Audit interne basé sur les risques : cadre, évaluation et bonnes pratiques

L'audit interne basé sur les risques (AIBR) rattache le plan d'audit aux dispositifs de gestion des risques et aux objectifs stratégiques de l'organisation. Les missions sont priorisées selon les zones d'exposition les plus significatives, et non selon un calendrier de rotation hérité des exercices précédents. Le directeur de l'audit interne (DAI) peut ainsi expliquer au conseil d'administration pourquoi telle mission figure au plan et pourquoi telle autre n'y figure pas.

Qu'est-ce qu'une approche d'audit interne basé sur les risques ?

Depuis le 9 janvier 2025, les Normes mondiales d'audit interne de l'IIA (Institute of Internal Auditors) remplacent le cadre de référence de 2017. La norme 9.4 « Plan d'audit interne » demande au directeur de l'audit interne de construire son plan à partir d'une évaluation documentée des stratégies, des objectifs et des risques de l'organisation, alimentée par les échanges avec le conseil et la direction générale, et actualisée au moins une fois par an. La conséquence pratique est simple : les ressources d'audit vont là où une défaillance coûterait le plus cher.

L'évaluation des risques en audit interne est le processus par lequel les auditeurs identifient les risques d'une organisation, en apprécient l'impact et la probabilité, et tiennent compte de la qualité des contrôles internes qui les atténuent. Cette évaluation constitue le socle du plan d'audit basé sur les risques. Elle oriente les travaux vers les domaines les plus exposés, tout en maintenant une couverture minimale des zones à risque moindre.

Sur quels risques l'audit interne doit-il se concentrer ?

Les auditeurs internes qui travaillent selon une approche d'audit interne basé sur les risques répartissent leur attention entre deux catégories de menaces. Les risques stratégiques mobilisent la direction de l'audit, tandis que les risques opérationnels et financiers de base appellent une surveillance régulière, faute de quoi l'environnement de contrôle interne se dégrade sans que personne ne le voie.

Risques stratégiques : où le DAI doit concentrer son attention

Quatre familles de risques stratégiques reviennent aujourd'hui dans les plans d'audit et méritent une évaluation formalisée.

Risque stratégique	Pourquoi c'est important
Risque lié à la chaîne d'approvisionnement	La concentration des fournisseurs, les catastrophes naturelles, les pandémies ou les tensions géopolitiques peuvent provoquer des défaillances opérationnelles en cascade. Les auditeurs internes vérifient si la direction a prévu des plans de continuité et des sources d'approvisionnement de substitution.
Risque géopolitique	Sanctions, entraves aux échanges, évolutions réglementaires et instabilité politique pèsent sur les opérations et sur les chaînes d'approvisionnement mondiales. L'audit interne basé sur les risques examine comment la direction suit ces évolutions et conserve une visibilité sur les risques émergents, un point sensible pour les organisations très implantées à l'international.
Risque lié aux talents et aux ressources humaines	Une organisation qui n'arrive plus à attirer ni à retenir les compétences critiques s'expose à des ruptures opérationnelles et à un désavantage concurrentiel. Les auditeurs internes examinent les plans de succession, les capacités d'encadrement, la culture interne et la capacité à absorber l'évolution des modes de travail.
Risque lié au modèle économique	Une rupture technologique ou un déplacement des attentes clients peut rendre obsolète le modèle de rentabilité d'une organisation. L'audit interne basé sur les risques apprécie la concentration du chiffre d'affaires, la capacité d'innovation, les dépendances technologiques et le positionnement face à la concurrence.

Risques fondamentaux liés aux données et au reporting financier

Les risques stratégiques ne dispensent pas la fonction d'audit interne d'une couverture rigoureuse des risques financiers, opérationnels et de conformité. La qualité des données, leur intégrité et leur exhaustivité conditionnent la fiabilité de l'information financière et l'efficacité des contrôles internes. Les auditeurs internes regardent si les données sont correctement saisies à la source, si les rapprochements font ressortir les écarts, et si l'organisation suit des indicateurs de qualité des données au fil de l'eau.

Pour cela, les organisations s'équipent d'outils comme le logiciel d'analyse d'audit de Supervizor, qui standardise automatiquement les données issues de plusieurs ERP et installe une gouvernance des données commune à toutes les entités et à toutes les zones géographiques, sans préparation manuelle.

Les contrôles sur les processus financiers et sur le reporting restent au centre de la gouvernance. Le processus d'audit interne basé sur les risques doit garantir que les cycles financiers clés, order-to-cash, procure-to-pay, record-to-report et paie, sont audités selon leur niveau de risque réel et non selon une rotation fixée d'avance. La norme 9.4 demande d'ailleurs que le plan couvre explicitement le risque de fraude, la gouvernance des systèmes d'information et l'efficacité du dispositif de conformité.

Les anomalies de transactions et les écarts de conformité appellent une surveillance continue. Les fonctions d'audit interne s'appuient sur des logiciels d'analyse d'audit pour passer au crible l'ensemble des écritures et repérer les schémas inhabituels : paiements à montants ronds, factures en double ou dépassements des délégations de pouvoir. Les chiffres de l'ACFE (Association of Certified Fraud Examiners) donnent la mesure de l'écart. Dans son rapport Occupational Fraud 2024, les organisations qui pratiquent une analyse continue des données détectent la fraude au bout de 9 mois en médiane, contre 18 mois pour les autres, pour une perte médiane de 100 000 dollars contre 200 000.

Comment l'audit interne doit-il réaliser une évaluation des risques ?

Une évaluation des risques en audit interne repose sur trois outils qui s'enchaînent : une checklist d'évaluation des risques, un modèle d'évaluation des risques et une matrice d'évaluation des risques.

Checklist d'évaluation des risques

L'évaluation commence par une checklist qui guide les auditeurs à travers des procédures standardisées. Elle assure la cohérence d'une unité à l'autre et évite d'oublier un domaine critique.

La checklist recense les risques identifiés, les points de contrôle de conformité à tester, les exigences réglementaires applicables, dont le RGPD et la norme ISO 31000, ainsi que les entretiens à mener avec les parties prenantes. Elle fixe aussi le périmètre de l'évaluation, c'est-à-dire les unités opérationnelles, les fonctions et les catégories de risques qui entrent dans son champ. Ce périmètre s'inscrit dans le dispositif de gestion des risques d'entreprise (GRE) de l'organisation.

Modèle d'évaluation des risques

Le modèle d'évaluation des risques uniformise les informations collectées pour chaque unité auditable. Il recense le propriétaire du processus, le lien avec les objectifs de l'organisation, les facteurs de risque inhérents comme l'exposition réglementaire et le volume de transactions, la maturité des contrôles en place et les données disponibles pour l'analyse d'audit.

En consignant à la fois les notes chiffrées et le raisonnement qui les justifie, le modèle garde la mémoire des arbitrages d'une campagne à l'autre. Un auditeur qui reprend le dossier trois ans plus tard comprend pourquoi un processus avait été noté comme il l'a été.

Matrice d'évaluation des risques

La matrice d'évaluation des risques sert à hiérarchiser et à visualiser les risques recensés dans le modèle. Elle les positionne sur deux axes, la probabilité et l'impact, avec un code couleur qui distingue les niveaux faible, moyen, élevé et extrême. On obtient une cartographie des risques qui fait ressortir les zones à traiter en priorité dans le plan d'audit.

La matrice combine plusieurs dimensions du risque dans un même cadre. Les organisations apprécient le risque inhérent, avant toute mesure de maîtrise, puis l'efficacité des contrôles en place, puis le risque résiduel qui subsiste une fois ces contrôles appliqués. Certaines matrices ajoutent l'importance des montants en jeu, la vitesse à laquelle le risque se matérialise ou son caractère stratégique.

Exécution du processus d'évaluation des risques

Étape	Ce qu'elle implique
1	À l'aide de la checklist d'audit interne, recenser les risques potentiels en examinant la documentation, en interrogeant le management et en relisant les constats des audits précédents.
2	Documenter chaque risque dans le modèle d'évaluation des risques, en précisant la façon dont il peut se matérialiser, les contrôles concernés et les données disponibles pour l'analyse d'audit.
3	Noter la probabilité et l'impact selon des critères alignés sur l'appétence au risque de l'organisation, puis représenter ces notes graphiquement pour visualiser l'exposition d'ensemble.
4	Traduire l'évaluation en décisions de planification, en auditant plus souvent et plus largement les processus les plus exposés.

Pour chaque mission envisagée, l'équipe d'audit fixe des objectifs en rapport avec les risques identifiés, délimite le périmètre des travaux et choisit l'approche appropriée : tests substantifs, revue de la conception des contrôles ou analyse de données en continu.

Pourquoi automatiser l'évaluation des risques en audit interne ?

Une évaluation des risques menée à la main tient dans une petite organisation. Au-delà, le nombre d'unités auditables, d'ERP et de référentiels à réconcilier rend la mise à jour annuelle impossible à tenir.

L'automatisation fait passer l'évaluation d'un exercice périodique et rétrospectif à un suivi continu des indicateurs de risque. Lorsqu'un logiciel d'analyse d'audit comme Supervizor se branche sur les systèmes transactionnels, il signale les écarts par rapport aux schémas attendus et les défaillances de contrôle sans attendre la campagne annuelle de réévaluation.

L'analyse exhaustive des populations est le premier apport de l'automatisation. Les travaux manuels reposent sur des échantillons, quand les outils automatisés testent la totalité des transactions. L'auditeur ne conclut plus à l'absence d'anomalie significative à partir d'un échantillon extrapolé, mais à partir de toutes les écritures de la période.

L'automatisation libère aussi du temps. Les auditeurs sortent des travaux de préparation et de rapprochement pour se consacrer à l'investigation et au conseil, ce qui élargit la couverture du plan sans recruter.

Une méthodologie automatisée se défend plus facilement. Les mêmes règles, les mêmes seuils et les mêmes critères s'appliquent à chaque exécution, ce qui compte lorsque le comité d'audit demande pourquoi un processus a été retenu ou écarté. L'automatisation conserve enfin la trace de la façon dont l'évaluation a été conduite, des données utilisées et des conclusions retenues, une piste d'audit utile en interne comme face aux commissaires aux comptes et aux régulateurs.

Conclusion

L'audit interne basé sur les risques repose sur trois pièces : une checklist qui cadre le recueil, un modèle qui documente chaque unité auditable, une matrice qui hiérarchise. L'analyse de données apporte ce que ces trois outils ne donnent pas seuls, la mise à jour des notes entre deux campagnes annuelles. Un plan construit ainsi se défend devant le comité d'audit ligne par ligne : chaque mission retenue correspond à un risque documenté, chaque mission écartée aussi.