Proposition d'une methodologie d'evaluation du controle interne d'une entreprise de travail temporaire française soumise au referentiel Sarbanes-Oxley

1.2. L'impact de la loi Sarbanes-Oxley sur la profession

L'annexe 1 donne un exemple de rapport d'audit émis par un auditeur américain sur le contrôle interne dans le cadre d'un rapport d'audit intégré.

Les diligences des auditeurs des groupes soumis à la loi Sarbanes-Oxley en matière de contrôle interne ont été considérerablement accrues par la Section 404 de ladite loi. Elle impose aux auditeurs externes des groupes concernés d'émettre une opinion sur l'efficacité du dispositif de contrôle interne mis en place par l'entité pour la préparation des états financiers consolidés. Les auditeurs doivent revoir l'approche retenue par le groupe, se forger de façon indépendante leur opinion sur l'efficacité du contrôle interne et confronter celle- ci avec les conclusions de la direction. Cette opinion sur l'évaluation du contrôle interne est intégrée dans le rapport de l'auditeur américain sur les comptes. On parle dans ce cas d'un audit intégré (Integrated Audit).

Un organisme indépendant de surveillance de la profession d'auditeur aux États-Unis, le Public Company Oversight Board (PCAOB) a été créée pour veiller à l'application de la loi Sarbanes-Oxley. Il a ainsi pour prérogatives d'établir des normes à appliquer par les auditeurs pour leur permettre d'émettre une opinion conforme à l'esprit de la loi Sarbanes-Oxley et d'inspecter la qualité des dossiers des cabinets d'audit.

Dans le cas présenté dans ce mémoire, les travaux du CAC français dans l'évaluation du contrôle interne d'une filiale française d'un groupe de travail temporaire américain, effectués pour les besoins des auditeurs du groupe, peuvent être aujourd'hui inspectés par le PCAOB.

Le Dodd-Franck Act du 21 juillet 2010 a étendu le pouvoir d'inspection du PCAOB aux cabinets d'audit non américains qui effectuent des travaux sur le contrôle interne dans les filiales significatives d'un groupe pour les besoins de l'auditeur américain de celui-ci. Cette extension a été autorisée en France via un accord conclu entre le PCAOB et le Haut Conseil au Commissariat aux Comptes (H3C) le 31 janvier 2013 applicable à ce jour jusqu'au 31 juillet 2022.

1.3. Les diligences sur le contrôle interne du CAC français, proximité et divergences avec celles de l'auditeur américain

L'émission d'une opinion sur l'efficacité du contrôle interne n'existe pas dans le référentiel normatif français applicable au CAC. Néanmoins, dans le cadre de

sa mission légale, le CAC français peut être amené à évaluer la conception et la mise en oeuvre des contrôles sous certaines conditions.

L'évaluation du contrôle interne par le CAC français

La mission légale principale confiée au CAC est de certifier que les comptes annuels sont réguliers, sincères et donnent une image fidèle du résultat des opérations de l'exercice écoulé ainsi que de la situation financière et du patrimoine de l'entité¹ì^1(*) . Il n'est nullement question d'une évaluation du contrôle interne en lien avec la préparation des comptes annuels. En revanche, une des NEP qui encadrent la démarche d'audit du CAC pour aboutir à cette opinion de certification (la NEP 315^2(*)) prévoit :

- l'obligation pour le professionnel de prendre connaissance des éléments du contrôle interne pertinents pour sa mission afin de déterminer les sources d'anomalies significatives et les facteurs de risque ; et

- la possibilité pour le CAC d'évaluer la conception et la mise en oeuvre des contrôles de l'entitéì que s'il estime que cela lui est utile à l'expression de son opinion.

L'importance accordée au contrôle interne dans sa mission légale fait du CAC français un professionnel couramment sollicité par l'auditeur américain et par les filiales d'entreprises soumis à la loi Sarbanes-Oxley pour évaluer le contrôle interne à l'échelle locale.

La NEP accorde une forte importance au contrôle interne dans la mission du professionnel mais le voit comme un moyen utilisé dans son approche d'audit qui n'a que pour finalité de lui permettre de réduire le risque d'anomalies significatives. Il s'agit pour le professionnel de faire une évaluation de l'efficacité du contrôle interne pour réduire, le cas échéant l'étendue des procédures substantives qu'il va, par la suite mener. Il n'a en revanche, dans sa mission légale, aucune opinion à émettre sur le contrôle interne (cela lui est interdit par la NEP 265^3(*)).

La mission de l'auditeur américain sur l'évaluation du contrôle interne

L'étendue de la mission de l'auditeur américain n'est pas prévue par la loi Sarbanes-Oxley mais par les normes du PCAOB et principalement par la norme d'audit AS 2201: An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements^4(*). Cette norme donne l'objectif de la mission de l'auditeur, les diligences à accomplir par celui-ci et le cadre de référence à utiliser.

A l'inverse du commissaire aux comptes français, l'objectif de la mission de l'auditeur américain est l'expression d'une opinion sur l'efficacité du contrôle interne relatif à la préparation des états financiers consolidés. Cette opinion est une assurance raisonnable qu'aucune faiblesse majeure de contrôle interne relatif à la préparation des états financiers n'existe.

Ces deux notions sont définies comme suit :

- la notion d'assurance raisonnable est définie par la norme AS 1015 du PCAOB^5(*) comme un haut niveau d'assurance, non absolue, pouvant être atteint par l'obtention d'éléments probants suffisants pour former une opinion ;

- la notion de faiblesse majeure de contrôle interne a été définie par la norme AS 2201 comme une déficience significative ou une combinaison de déficiences de contrôle interne qui peuvent raisonnablement conduire à l'absence de détection d'erreurs matérielles dans les comptes.

Une déficience significative est une déficience ou une combinaison de déficiences de contrôle interne dont l'importance mérite une attention particulière des instances de gouvernance.

L'évaluation du contrôle interne, faisant l'objet de l'opinion de l'auditeur, doit être jugée en comparaison avec les principes du cadre de référence utilisé par la direction. Celui-ci ne peut, selon le Securities Exchange Act, n'être qu'un cadre de référence reconnu. A ce jour, la quasi-unanimité des groupes concernés applique le référentiel reconnu du COSO (intitulé Internal Control Integrated Framework) qui est par ailleurs proposé par la norme AS 2201 du PCAOB.

L'approche proposée dans ce mémoire pour l'évaluation du contrôle interne des filiales des groupes de travail temporaire sera basée sur les principes du COSO.

* ¹ Article L 823-12 du Code de Commerce

* ² NEP- 315. Connaissance de l'entité et de son environnement et évaluation du risque d'anomalies significatives

* ³ NEP-265. Communication des faiblesses du contrôle interne

* ⁴ La norme relative à cette certification était l'Audit Standard n°2 du PCAOB à l'origine puis cette norme a été intégrée par la suite à l'Audit Standard n°5. A ce jour, la nouvelle codification des normes du PCAOB, prévoit ces dispositions se trouvent dans la section 2201 des normes du PCAOB

* ⁵ AS 1015 - Due Professional Care in the Performance of Work