Skip Ribbon Commands
Skip to main content
Global Institute of Internal AuditorsBreadcrumb SeparatorKnowledge and ResearchBreadcrumb SeparatorChambers Blog (French)Breadcrumb SeparatorComprendre les causes racines : la réponse de l’audit interne au COVID-19

​Comprendre les causes racines : la réponse de l’audit interne au COVID-19

Aucune organisation, petite ou grande, n’a été épargnée par les effets du coronavirus, c’est une évidence. Chaque jour apporte un nouvel éclairage sur des faiblesses du système de contrôle, des défaillances coûteuses et des risques mis à nu par la pandémie et ses nombreuses ramifications.

Mais une autre évidence se dessine aujourd’hui : nombre d’organisations ont agi de manière admirable pour contrer ces effets. Elles ont bien réagi aux confinements initiaux en adaptant leurs processus et en tirant profit de la technologie pour préserver leur productivité. Elles se sont armées pour affronter la pandémie en toute sécurité, en jonglant entre approches créatives pour leurs activités et gestes citoyens.

L’audit interne a su lui aussi démontrer sa valeur dans cette crise. Les enquêtes de l’IIA montrent que les auditeurs internes s’adaptent aux besoins de leur organisation, souvent en endossant des rôles extraordinaires en faisant preuve d’une flexibilité remarquable dans la mise à jour des évaluations des risques et dans la révision des plans d’audit comme contribution à la gestion de la pandémie.
Mais bien qu’il y ait matière à reconnaître et à saluer notre capacité d’adaptation face à ce fléau, force est de constater que la prise de décision se fait souvent avec des informations parcellaires et dans une optique court-termiste. En effet, il est facile de remettre à plus tard les stratégies de long terme au vu de la vitesse vertigineuse à laquelle émergent les risques, les enjeux et les menaces.

La liste des domaines de risques liés à la pandémie et faisant l’objet d’une assurance de la part de l’audit interne est longue : planification de crise, continuité d’activité, cybersécurité, relations avec les tiers, santé et productivité des collaborateurs, et bien plus encore. Nous devons envisager que la qualité des travaux de l’audit interne peut se trouver compromise, car les professionnels – souvent seuls ou limités dans leur capacité à mener des évaluations sur site – luttent pour répondre aux besoins de leur organisation. L’une des menaces les plus manifestes pour la qualité est de ne pas creuser assez profond pour mettre au jour les causes racines des défaillances et des faiblesses du système de contrôle.

Il y a plusieurs années, j’ai écrit un billet de blog sur le danger des constats superficiels intitulé Good Internal Audits Focus on the Roots, Not Just the Trees (Les bons auditeurs internes se concentrent sur les racines, et pas uniquement sur les arbres). Nombre de mes observations d’alors sont encore valables aujourd’hui.

Extrait :
« En tant qu’auditeurs internes, nous sommes souvent tentés d’insister dans nos rapports sur les faits que nous observons. Après tout, il n’est pas rare de captiver le lecteur en lui décrivant la situation provoquée par une défaillance du contrôle ou du management des risques. Et le dysfonctionnement d’un nouveau système d’information, d’une exigence clé de conformité ou d’un contrôle financier critique attirera à coup sûr l’attention de la direction générale et du conseil d’administration. Par ailleurs, les rapports d’audit interne contiennent fréquemment une analyse approfondie des effets qui en découlent. Somme toute, quoi de plus sensationnel, après avoir décrit un naufrage, que de régaler le lecteur de toutes les conséquences de la catastrophe ? 
Mais bien qu’ils puissent se lire comme un roman, ces rapports n’apportent aucune réelle valeur ajoutée. Un jour, j’ai rencontré un manager prompt à admettre qu’il avait des problèmes. Au début de la mission, il m’a prié de ne pas revenir vers lui pour lui dire ce qu’il savait déjà : "Je n’ai pas besoin que quelqu’un vienne me dire que j’ai des problèmes. Ça, je le sais. J’ai besoin de quelqu’un qui me dise comment les résoudre." C’étaient les recommandations que j’allais inclure dans mon rapport qui allaient lui être le plus utiles.
Les critères (c’est-à-dire ce qui aurait dû être), les faits, les effets et les recommandations sont souvent cités comme les composantes essentielles d’un "constat d’audit". Mais il existe un autre élément qui est souvent beaucoup moins bien compris, et peut-être bien plus critique : la cause (ou la cause racine). Si l’on ne saisit pas la cause, il est quasiment impossible de formuler de bonnes recommandations de mesures correctrices. »
Dans mon billet de blog, j’avais cité les normes d’audit issues du « Livre jaune » de l’administration américaine et repris ses lignes directrices concernant l’identification de la cause de la situation observée :

« La cause désigne la raison ou l’explication des faits, ou le(s) facteur(s) responsable(s) de la différence entre la situation existante (les faits) et la situation requise ou désirée (les critères). Cette raison ou explication peut également servir de base aux recommandations de mesures correctrices. Parmi les facteurs courants, on trouve : une mauvaise conception des règles, procédures ou critères ; leur mise en œuvre incohérente, incomplète ou incorrecte ; ou des facteurs indépendants du contrôle continu. Les auditeurs peuvent évaluer si les éléments probants établissent de manière raisonnable ou convaincante la preuve que la cause déclarée constitue le ou les facteurs clés contribuant à la différence entre les faits et les critères. »
Enfin, je faisais référence à une modalité pratique d’application de l’IIA consacrée à l’analyse causale (et qui fait désormais partie du Guide de mise en œuvre 2320, disponible au téléchargement pour tous les membres de l’IIA) qui propose un processus simple centré sur des questions commençant par « pourquoi ».

« Le travailleur est tombé. Pourquoi ? Parce qu’il y avait de l’huile sur le sol. Pourquoi ? Parce qu’une pièce fuyait. Pourquoi ? Parce que la pièce était défectueuse. Pourquoi ? À cause d’un changement dans les procédures d’achat. Pourquoi ? »
Les auditeurs internes doivent impérativement fonder leurs constats sur les cinq éléments qui suivent : les critères, les faits, les conséquences/effets, les causes et les recommandations/mesures correctrices. Mais malgré l’importance de ces éléments pour un reporting efficace, l’identification des causes racines peut être infiniment plus créatrice de valeur.

Aujourd’hui plus que jamais, il est essentiel d’apporter des réponses claires et exactes aux « pourquoi » qui se posent à chaque étape du processus d’audit. Dans toutes nos missions, la priorité doit être de creuser suffisamment pour trouver les causes racines des défaillances et des faiblesses du contrôle. Nous ne pouvons pas nous permettre de faire les choses à moitié : les enjeux sont trop importants.

Comme toujours, je me réjouis de lire vos réactions.

Communication: Richard F. Chambers, Président et CEO du Global Institute of Internal Auditors, publie un article hebdomadaire pour InternalAuditor.org sur les questions et tendances relatives à la profession de l'audit interne.