Le plan d'audit interne est la base d'une supervision efficace. C'est lui qui permet à votre organisation de traiter méthodiquement les risques les plus importants pour son activité. Sans planification structurée, une entreprise s'expose à des failles de contrôle non détectées, voire à des manquements réglementaires.
L'audit interne est une fonction d'assurance indépendante, dont la mission est de créer de la valeur et d'améliorer le fonctionnement de l'organisation. Il évalue l'efficacité des dispositifs de gestion des risques, de contrôle et de gouvernance, et vérifie que les contrôles internes fonctionnent comme prévu. Contrairement à l'audit externe, confié à un tiers, il est réalisé par des collaborateurs ou des prestataires qui travaillent directement pour l'organisation et rendent compte à la direction générale et au comité d'audit. Le directeur de l'audit interne pilote la fonction : il veille à ce que les auditeurs appliquent les normes et procédures en vigueur lorsqu'ils examinent les états financiers, les systèmes de contrôle interne et les processus de l'organisation.
La planification permet de couvrir méthodiquement tous les risques importants. Sans elle, l'audit devient réactif : on s'intéresse à un sujet une fois le problème survenu, au lieu de l'anticiper. Un plan d'audit interne bien construit identifie les risques, mesure leur importance et définit la nature, le calendrier et l'étendue des travaux nécessaires pour évaluer les contrôles.
Les organisations soumises à la loi Sapin II, à la directive CSRD ou, pour les filiales de groupes américains cotés, au Sarbanes-Oxley Act (SOX) doivent pouvoir démontrer que leurs contrôles sont documentés et évalués régulièrement. Pour les entreprises certifiées ISO 9001, la norme (publiée en France parmi les normes AFNOR) impose des audits internes à intervalles planifiés, pour vérifier que le système de management de la qualité fonctionne et reste conforme. Enfin, les entités d'intérêt public doivent disposer d'un comité d'audit chargé de suivre l'efficacité du contrôle interne, de la gestion des risques et de l'audit interne. Un plan documenté et fondé sur les risques est le meilleur moyen de lui en rendre compte.
Une planification insuffisante pèse sur toute l'organisation. Elle entraîne notamment :
Un plan d'audit interne efficace se construit par étapes, chacune s'appuyant sur la précédente. L'équipe d'audit sait ainsi précisément quels sont les objectifs, les risques et les résultats attendus.
Commencez par rencontrer la direction générale, le comité d'audit et les principales parties prenantes pour recenser les objectifs stratégiques. Documentez les processus et les fonctions critiques qui y contribuent, puis réalisez une cartographie complète des risques.
Elle doit couvrir :
Prenons l'exemple d'une entreprise industrielle. Elle identifie les ruptures d'approvisionnement et la gestion des stocks comme des risques majeurs, puis constate que son outil de gestion des stocks manque de contrôles préventifs. Ce sujet devient alors une priorité pour l'audit interne.
La stratégie d'audit définit l'approche globale du DAI et de son équipe. Selon l'IFACI, elle doit couvrir l'ensemble de l'univers des risques de l'organisation et préciser comment l'audit interne répartira ses ressources pour apporter le maximum d'assurance.
Elle porte notamment sur :
Le plan d'audit annuel détaille ensuite chaque mission prévue dans l'année : son intitulé, son périmètre, ses objectifs, les travaux envisagés et les ressources estimées. Dans un groupe international, le DAI doit s'assurer que le plan couvre les risques importants dans tous les pays où le groupe est présent.
Pour chaque mission, précisez ce que les auditeurs vont tester et de quelle manière.
Les travaux doivent être proportionnés au niveau de risque. Pour une zone sensible comme la reconnaissance du chiffre d'affaires, prévoyez des tests approfondis sur plus de 500 factures par trimestre, une circularisation des clients et une surveillance continue des transactions les plus importantes. Pour une zone moins exposée, un échantillon de 50 transactions par an peut suffire.
Déterminez le nombre d'auditeurs et les compétences nécessaires pour chaque mission. L'audit interne doit disposer d'effectifs suffisants pour mener à bien le plan approuvé.
Tenez compte des compétences techniques requises (auditeurs informatiques pour les contrôles des systèmes, auditeurs financiers pour les contrôles comptables, auditeurs opérationnels pour l'efficacité des processus), du niveau d'expérience de chacun, de la répartition de la charge de travail et des expertises propres à votre secteur. Vérifiez aussi que vous disposez de ces compétences en interne. Si ce n'est pas le cas, faites appel à des spécialistes externes sur les sujets pointus comme la sécurité informatique, l'analyse de données ou certains audits de conformité.
Formalisez le plan dans un document écrit, qui servira de feuille de route pour l'année. Il doit comprendre :
Diffusez ensuite le plan au comité d'audit, à la direction générale, à l'équipe d'audit interne et aux parties prenantes concernées. Le DAI le présente au comité d'audit pour approbation. Il explique alors pourquoi certaines zones ont été priorisées, comment les risques ont été évalués, quelle assurance le plan permettra d'obtenir et en quoi il sert les objectifs stratégiques de l'organisation.
Un modèle de plan d'audit interne simplifie la planification et garantit une approche homogène dans toute l'organisation. Il doit reprendre les éléments essentiels :
Avant de finaliser votre plan, vérifiez qu'il est complet à l'aide de cette checklist :
Un plan d'audit interne basé sur les risques hiérarchise les missions selon les risques identifiés et leur impact possible sur les objectifs stratégiques, les opérations et le reporting financier. Les ressources vont ainsi en priorité aux sujets les plus critiques pour l'entreprise. Un plan classique repose souvent sur une logique de rotation : chaque service ou processus est audité selon un cycle fixe, quel que soit son niveau de risque.
Pour la plupart des organisations, passer d'une planification classique à une planification par les risques prend plusieurs mois. Le DAI doit convaincre ses interlocuteurs de la pertinence des priorités retenues et former son équipe à la méthode. Beaucoup d'organisations commencent par un pilote sur un domaine sensible, comme les contrôles financiers ou la cybersécurité, avant de généraliser l'approche.
Le travail ne s'arrête pas à la rédaction du plan : il faut le piloter tout au long de l'année. Le DAI en est le propriétaire et répond de son exécution. Suivez l'avancement réel par rapport au prévisionnel, documentez les écarts et ajustez le calendrier si nécessaire. Si un risque émergent impose de modifier le plan, formalisez le changement et soumettez-le à l'approbation du comité d'audit.
Pour mesurer l'efficacité de l'audit, suivez quelques indicateurs clés : taux de réalisation du plan, taux de mise en œuvre des recommandations, satisfaction de la direction sur la qualité des travaux, délai entre la détection d'une anomalie et sa correction. Présentez-les aux parties prenantes chaque trimestre.
Les logiciels d'analyse de données et d'audit continu rendent l'équipe plus efficace. Ils repèrent les anomalies dans les transactions, permettent de tester des volumes bien plus importants (jusqu'à une couverture proche de 100 % au lieu d'un simple échantillon) et surveillent les contrôles clés en temps réel.
Enfin, partagez votre plan avec les commissaires aux comptes : vous éviterez les doublons, élargirez la couverture globale et renforcerez l'assurance sur l'information financière.
Un plan d'audit interne efficace est un investissement dans la gouvernance, la gestion des risques et l'environnement de contrôle de l'organisation. Il repose sur une évaluation approfondie des risques, des objectifs clairs, des travaux bien définis, des ressources adaptées et une approche par les risques. Bien construit, il fait de l'audit interne un interlocuteur écouté par la direction.
Les organisations dont le contrôle interne est solide se distinguent souvent de celles qui accumulent les défaillances par la rigueur de leur planification. Un plan annuel fondé sur une évaluation complète des risques, et mis en œuvre par une équipe compétente, protège l'organisation, soutient sa conformité et apporte au conseil d'administration comme aux parties prenantes l'assurance qu'ils attendent.