Qu'est-ce que Contrôle interne ?
Dispositifs et procédures intégrés aux opérations et mis en œuvre par toutes les personnes de l'organisation pour atteindre les objectifs de celle-ci. Dans l'approche du système japonais de rapport sur le contrôle interne (J-SOX), ses objectifs sont au nombre de quatre (efficacité et efficience des opérations, fiabilité de l'information, conformité aux lois et réglementations applicables aux activités, protection des actifs) et ses composantes fondamentales au nombre de six (environnement de contrôle, appréciation des risques et réponse aux risques, activités de contrôle, information et communication, pilotage, réponse aux TI). Il s'inspire du référentiel américain COSO.
Nom japonais: 内部統制
« Contrôle interne » apparaît dans 5 questions d'entraînement réparties sur 1 thèmes, dont Gestion des services et audit des systèmes d'information.
Domaine: Gestion des services et audit des systèmes d'information
Les quatre objectifs
L'efficacité et l'efficience des opérations consistent à mener les opérations de façon efficace et efficiente, conformément aux objectifs de l'activité. La fiabilité de l'information signifie que les informations publiées, comme l'information financière, sont fiables ; J-SOX évalue en particulier la fiabilité de l'information financière. La conformité aux lois et réglementations consiste à respecter les lois et les règles applicables aux activités. La protection des actifs consiste à faire en sorte que l'acquisition, l'utilisation et la cession des actifs se fassent selon des procédures légitimes et avec approbation. Le Japon a ajouté la protection des actifs aux trois objectifs du référentiel COSO (opérations, information, conformité).
Les six composantes fondamentales
L'environnement de contrôle détermine la culture de l'organisation et sert de fondement aux autres composantes ; il comprend l'intégrité et l'éthique de la direction, la structure de l'organisation, l'attribution des pouvoirs et des responsabilités, etc. L'appréciation des risques et la réponse aux risques consistent à identifier et apprécier les risques qui entravent la réalisation des objectifs et à choisir comment y répondre. Les activités de contrôle sont les politiques et procédures comme l'approbation, le rapprochement et la séparation des fonctions. L'information et la communication consistent à saisir correctement les informations nécessaires et à les transmettre de façon appropriée à l'intérieur et à l'extérieur de l'organisation. Le pilotage consiste à évaluer en continu si le contrôle interne fonctionne efficacement ; il comprend le pilotage continu et les évaluations indépendantes. La réponse aux TI consiste, compte tenu de l'environnement informatique, à exercer des contrôles qui utilisent les TI et des contrôles sur les TI elles-mêmes ; c'est la composante que le Japon a ajoutée aux cinq composantes du COSO.
Contrôles généraux informatiques et contrôles applicatifs
Les contrôles relevant de la réponse aux TI se divisent en contrôles généraux informatiques et contrôles applicatifs. Les contrôles applicatifs sont intégrés au système de chaque activité et vérifient que les données de transaction sont traitées correctement : contrôles des données saisies, calculs automatiques, vérification de la cohérence avec les fichiers maîtres, etc. Les contrôles généraux informatiques maintiennent l'environnement dans lequel les contrôles applicatifs fonctionnent efficacement : développement et maintenance des systèmes, gestion de l'exploitation, gestion des accès, gestion de la sous-traitance, etc. Si les contrôles généraux sont faibles, les programmes des contrôles applicatifs risquent d'être modifiés sans autorisation, et l'on ne peut plus se fier non plus aux contrôles applicatifs.
Questions fréquentes
Le contrôle interne peut-il empêcher complètement les fraudes et les erreurs ?
Non, pas complètement. Il a des limites face à la collusion entre employés, au contournement du contrôle interne par la direction ou aux transactions imprévues. On considère que le contrôle interne fournit une assurance raisonnable (et non absolue) quant à la réalisation des objectifs.
Quel est le lien entre contrôle interne et audit des systèmes d'information ?
Le contrôle interne est un dispositif que la direction conçoit et applique sous sa responsabilité. L'audit des systèmes d'information et l'audit interne évaluent, d'un point de vue indépendant, si la partie de ce dispositif qui concerne les systèmes d'information fonctionne efficacement ; ils relèvent des évaluations indépendantes du pilotage du contrôle interne.