L’environnement de contrôle exerce une influence significative sur l’ensemble de l’entreprise et sur le contrôle interne, notamment au travers des éléments suivants :
Le conseil d’administration et le comité d’audit
Le type de relation entre le conseil d’administration et les dirigeants, le niveau de contrôle souhaité par le conseil d’administration ainsi que l’indépendance de ses membres influencent le dispositif de contrôle interne. Il convient également de considérer les relations et les interactions entre le conseil d’administration, le comité d’audit et les auditeurs internes ou externes.
Le style de management et la philosophie des dirigeants
Selon les dirigeants et leur style de management, le niveau de risque accepté (appétence au risque ou risk appetite) peut varier de façon significative et ceci a une incidence sur la conception du dispositif de contrôle interne. Les instances décisionnelles peuvent prendre la forme de comités très formels ou de réunions bilatérales. Le niveau de formalisme des procédures et des règles peut aussi varier de façon significative.
La structure de l’entreprise et les délégations de pouvoirs
La structure de l’entreprise est en lien direct avec la définition des domaines d’autorité et de responsabilité et des délégations qui y sont associées. La déclinaison des objectifs et la consolidation des informations sont toujours déterminantes, dans toutes les mailles de l’organisation, qu’elle soit pyramidale ou matricielle, centralisée ou non. Les délégations de pouvoir sont étroitement liées aux règles de séparation des fonctions. Dans le système d’information, la traduction des séparations de fonction, au moyen d’une politique de gestion des accès, est particulièrement sensible.
Les ressources humaines et les compétences
Les attentes de l’entreprise vis-à-vis de son personnel sont traduites sous forme de politique. L’entreprise met en place une gestion de l’emploi et des compétences et elle pilote notamment le recrutement, la gestion de carrière, la rémunération ou la formation. L’entreprise vérifie l’adéquation entre les compétences des salariés et leurs activités, mission ou responsabilités. L’entreprise est également amenée à adapter la rémunération selon la performance individuelle et/ou collective. Chaque salarié est responsable de la mise en application du contrôle interne dans son périmètre d’action et de responsabilité. L’entreprise attend généralement de ses employés un comportement conforme à ses règles, particulièrement en matière d’intégrité et d’éthique.
Intégrité et éthique
Une vigilance particulière est à apporter à ces deux points, à tous les niveaux de l’entreprise. En effet, un manquement à l’éthique ou le manque d’intégrité d’un dirigeant peut conduire à la mise en place de contrôles peu efficaces, et altérer de manière significative son image. Outre la définition préalable de règles éthiques et la vérification de leur application, il convient de rappeler que, derrière un manquement éthique peut se cacher une fraude dont les conséquences peuvent se révéler catastrophiques pour l’entreprise et éventuellement conduire à sa liquidation.
Points d’attention pour l’environnement de contrôle
Ces grands thèmes trouvent leur prolongement dans la sécurité des personnes et des biens matériels et immatériels, dans la politique de système d’information ou dans les programmes de lutte contre la fraude.
Principes de mise en oeuvre de l’environnement de contrôle
Il est judicieux d’adopter une méthodologie éprouvée pour matérialiser l’existence et l’efficacité de l’environnement de contrôle au travers de :
- L’implication des dirigeants et le portage des principes du contrôle interne.
- La définition, la validation, la communication et la vérification de l’application des politiques, chartes, règles de gestion, procédures, contrôles…
- Déclinaison locale ou sectorielle, au niveau requis de l’organisation (par exemple, la politique sectorielle de sécurité…).
- La mise en place des instances décisionnelles, adossée à un système de reporting efficace.
- L’identification des écarts, la mise en place des actions préventives, correctives ou curatives et le suivi de leurs résultats.
La manière de regrouper ou de décliner ces thématiques n’est pas normée à ce jour.