5036 Composantes du contrôle interne — Processus de suivi du système de contrôle interne par l’entité

sept.-2022

Directives des NCA

Pour comprendre comment l’entité effectue le suivi de son système de contrôle interne, il peut être pertinent pour l’auditeur de prendre en considération des éléments tels que : (NCA 315.A116)

• la conception des activités de suivi (activités périodiques ou continues, par exemple);
• l’exécution et la fréquence des activités de suivi;
• l’évaluation en temps opportun des résultats des activités de suivi aux fins de l’évaluation de l’efficacité des contrôles;
• la manière dont l’entité a pris des mesures correctives appropriées pour corriger les déficiences relevées, y compris ce qui a été fait pour communiquer ces déficiences en temps opportun aux personnes chargées de prendre des mesures correctives.

L’auditeur peut aussi prendre en considération la façon dont s’effectue, dans le processus de suivi du système de contrôle interne par l’entité, le suivi des contrôles du traitement de l’information dont le fonctionnement repose sur le recours à l’informatique, tels que : (NCA 315.117)

• les contrôles de suivi d’environnements informatiques complexes qui visent :
  • soit à évaluer l’efficacité continue de la conception des contrôles du traitement de l’information et à modifier ces contrôles, au besoin, pour tenir compte de changements de circonstances,
  • soit à évaluer l’efficacité du fonctionnement des contrôles du traitement de l’information;
• les contrôles de suivi des autorisations se rapportant aux contrôles du traitement de l’information qui sont automatisés et qui assurent la séparation des tâches;
• les contrôles de suivi de l’identification et de la correction des erreurs ou des déficiences du contrôle liées à l’automatisation du processus d’information financière.

Le processus de suivi du système de contrôle interne par l’entité est le processus continu au moyen duquel l’entité évalue l’efficacité de son système de contrôle interne et prend les mesures correctives nécessaires en temps opportun. Il peut comporter des activités continues, des évaluations ponctuelles (réalisées périodiquement), ou une combinaison des deux. Les activités de suivi continues sont souvent intégrées aux activités récurrentes normales d’une entité et peuvent comprendre des activités courantes de gestion et de supervision. L’étendue et la fréquence du processus varient généralement en fonction de l’évaluation des risques que fait l’entité. (NCA 315.Annexe 3.10)

Parmi les contrôles afférents au processus de suivi du système de contrôle interne par l’entité, y compris ceux qui assurent le suivi de contrôles sous-jacents automatisés, il peut y avoir des contrôles automatisés, des contrôles manuels, ou une combinaison des deux. Par exemple, pour assurer le suivi des accès à une technologie, une entité peut avoir recours à des contrôles automatisés (rapports générés automatiquement pour signaler toute activité inhabituelle à la direction) et à des contrôles manuels (investigation par la direction des exceptions relevées). (NCA 315.Annexe 3.12)

Pour faire la distinction entre une activité de suivi et un contrôle afférent au système d’information, il faut tenir compte des détails sous-jacents de l’activité, particulièrement si elle suppose la réalisation d’examens par des superviseurs. Ces examens ne sont pas considérés d’emblée comme des activités de suivi, et la question de savoir si un examen est considéré comme une activité de suivi ou comme un contrôle afférent au système d’information peut relever du jugement. Par exemple, le but d’un contrôle de l’exhaustivité mensuel est de détecter et de corriger des erreurs, tandis que celui d’une activité de suivi consiste à identifier la cause des erreurs et à confier à la direction la responsabilité de corriger le processus afin de prévenir d’autres erreurs. Autrement dit, un contrôle afférent au système d’information vise à répondre à un risque spécifique, tandis qu’une activité de suivi permet d’évaluer si les contrôles de chacune des cinq composantes du système de contrôle interne de l’entité fonctionnent comme prévu. (NCA 315.Annexe 3.13)

Directives des NCA

Les réponses aux demandes d’informations adressées aux personnes appropriées au sein de la fonction d’audit interne aident l’auditeur à acquérir une compréhension de la nature des responsabilités de la fonction d’audit interne. Si l’auditeur détermine que les responsabilités de la fonction ont un rapport avec l’information financière de l’entité, il peut acquérir une meilleure compréhension des activités qui ont été ou qui seront réalisées par la fonction d’audit interne en examinant, le cas échéant, le plan d’audit élaboré par celle‑ci pour la période et en s’entretenant de ce plan avec les personnes appropriées au sein de la fonction. Cette compréhension ainsi que les informations obtenues grâce aux demandes d’informations peuvent également fournir des informations qui sont directement pertinentes pour l’identification et l’évaluation des risques d’anomalies significatives par l’auditeur. Si, compte tenu de la compréhension préliminaire qu’il a acquise de la fonction d’audit interne, l’auditeur compte s’appuyer sur les travaux de la fonction d’audit interne pour modifier la nature ou le calendrier des procédures d’audit à mettre en œuvre ou pour en réduire l’étendue, la NCA 610 s’applique. (NCA 315.A118)

Les objectifs des fonctions d’audit interne et l’étendue de leurs attributions englobent généralement des activités conçues pour évaluer et assurer le suivi de l’efficacité du système de contrôle interne de l’entité. Le processus de suivi de ce système par l’entité peut comporter des activités telles que l’examen par la direction des rapprochements bancaires pour s’assurer qu’ils sont établis en temps opportun, l’évaluation par les auditeurs internes du respect par le personnel de vente de la politique de l’entité concernant les modalités des contrats de vente, et la surveillance par le service juridique du respect de la politique de l’entité en matière d’éthique ou de pratiques commerciales. Le suivi a aussi pour but d’assurer que les contrôles continuent de fonctionner efficacement au fil du temps. Par exemple, si la périodicité et l’exactitude des rapprochements bancaires ne font pas l’objet de suivi, il est probable que le personnel cessera de les préparer. (NCA 315.Annexe 3.11)

Les objectifs et l’étendue de la fonction d’audit interne, la nature de ses responsabilités et son statut au sein de l’organisation, y compris ses pouvoirs et ses obligations de reddition de comptes, varient grandement et dépendent de la taille, de la complexité et de la structure de l’entité ainsi que des exigences de la direction et, le cas échéant, des responsables de la gouvernance. Ces questions peuvent être indiquées dans une charte ou un mandat d’audit interne. (NCA 315.Annexe 4.1)

La fonction d’audit interne peut, par exemple, avoir la responsabilité de mettre en œuvre des procédures et d’en évaluer les résultats afin de fournir une assurance à la direction et aux responsables de la gouvernance sur la conception et l’efficacité des processus de gestion des risques et de gouvernance et du système de contrôle interne de l’entité. Le cas échéant, la fonction d’audit interne peut jouer un rôle important dans le processus de suivi du système de contrôle interne par l’entité. Toutefois, il est possible que les responsabilités de la fonction d’audit interne se concentrent principalement sur l’évaluation de l’économie, de l’efficience et de l’efficacité avec lesquelles sont réalisées les activités, et que, le cas échéant, ses travaux n’aient aucun rapport direct avec l’information financière de l’entité. (NCA 315.Annexe 4.2)

Si l’entité a une fonction d’audit interne, les demandes d’informations adressées aux personnes appropriées au sein de la fonction peuvent fournir des informations utiles à l’auditeur pour l’acquisition d’une compréhension de l’entité et de son environnement, du référentiel d’information financière applicable et du système de contrôle interne de l’entité, et pour l’identification et l’évaluation des risques d’anomalies significatives au niveau des états financiers et au niveau des assertions. Dans le cadre de ses travaux, la fonction d’audit interne a probablement obtenu des informations sur les activités et les risques d’entreprise de l’entité, et peut avoir fait des constatations. Par exemple, elle peut avoir identifié des déficiences du contrôle ou bien des risques, et ces constatations peuvent être d’une grande utilité pour l’auditeur dans sa compréhension de l’entité et de son environnement, du référentiel d’information financière applicable et du système de contrôle interne de l’entité, et dans son évaluation des risques et d’autres aspects de l’audit. L’auditeur procède donc à des demandes d’informations, qu’il ait ou non l’intention de s’appuyer sur les travaux de la fonction d’audit interne pour modifier la nature ou le calendrier des procédures d’audit à mettre en œuvre ou pour en réduire l’étendue. Les demandes d’informations portant sur des questions soulevées par la fonction d’audit interne auprès des responsables de la gouvernance et sur les résultats de son propre processus d’évaluation des risques peuvent être particulièrement pertinentes. (NCA 315 Annexe 4.3)

Si, par leur nature, les responsabilités et les activités de certification de la fonction d’audit interne ont un rapport avec l’information financière de l’entité, il se peut que l’auditeur puisse s’appuyer sur les travaux de la fonction d’audit interne pour modifier la nature ou le calendrier des procédures d’audit qu’il mettra en œuvre lui‑même pour obtenir des éléments probants, ou pour réduire l’étendue de ces procédures. L’auditeur peut être plus susceptible de pouvoir utiliser les travaux de la fonction d’audit interne de l’entité si, par exemple, l’expérience des audits précédents ou les procédures d’évaluation des risques de l’auditeur semblent indiquer que la fonction d’audit interne de l’entité dispose de ressources adéquates et appropriées compte tenu de la complexité de l’entité et de la nature de ses activités, et qu’elle relève directement des responsables de la gouvernance. (NCA 315.Annexe 4.8)

Comme il est expliqué plus en détail dans la NCA 610, les activités d’une fonction d’audit interne sont distinctes des autres contrôles de suivi susceptibles d’être pertinents pour l’information financière, comme les examens de l’information comptable de la direction conçus pour renforcer les moyens que prend une entité pour prévenir ou détecter les anomalies. (NCA 315.Annexe 4.10)

La mise en place d’une communication soutenue avec les personnes appropriées au sein de la fonction d’audit interne de l’entité dès le début de la mission et le maintien de cette communication tout au long de la mission peuvent favoriser l’efficacité de l’échange d’informations. Le climat ainsi créé fait que l’auditeur peut être informé de toute question importante qui a retenu l’attention de la fonction d’audit interne et qui peut avoir une incidence sur les travaux de l’auditeur. La NCA 200 traite de l’importance pour l’auditeur de faire preuve d’esprit critique lors de la planification et de la réalisation de l’audit, ce qui implique d’être attentif aux informations qui remettent en question la fiabilité des documents et des réponses aux demandes d’informations devant servir d’éléments probants. Le maintien d’une communication avec la fonction d’audit interne tout au long de la mission peut donner aux auditeurs internes l’occasion d’attirer l’attention de l’auditeur sur de telles informations. L’auditeur peut alors en tenir compte dans son identification et son évaluation des risques d’anomalies significatives. (NCA 315.Annexe 4.11)

Directives des NCA

Dans les entités peu complexes (notamment celles qui sont gérées par un propriétaire-dirigeant), la compréhension qu’acquiert l’auditeur en ce qui concerne le processus de suivi du système de contrôle interne par l’entité est souvent axée sur la façon dont la direction ou le propriétaire-dirigeant participe directement à l’exploitation, car il se peut qu’il n’y ait aucune autre activité de suivi. (NCA 315.A114)

Dans les entités qui n’ont pas de processus structuré de suivi du système de contrôle interne, la compréhension des examens périodiques de l’information comptable de la direction qui sont conçus pour renforcer les moyens que prend l’entité pour prévenir ou détecter les anomalies peut faire partie de la compréhension du processus de suivi du système de contrôle interne. (NCA 315.A115)

Directives des NCA

Les activités de suivi effectuées par la direction peuvent reposer sur l’utilisation d’informations provenant de parties externes, telles que des plaintes de clients ou des commentaires d’autorités de réglementation, qui peuvent révéler l’existence de problèmes ou faire ressortir des points à améliorer. (NCA 315.A119)

La compréhension des sources d’informations utilisées dans le cadre du processus de suivi du système de contrôle interne par l’entité, qui porte notamment sur la question de savoir si les informations utilisées sont pertinentes et fiables, aide l’auditeur à évaluer si ce processus est approprié. Lorsque la direction suppose, sans fondement réel, que les informations utilisées pour le suivi sont pertinentes et fiables, des erreurs possibles dans celles‑ci pourraient amener la direction à tirer des conclusions incorrectes de ses activités de suivi. (NCA 315.A120)

Les activités de suivi peuvent comprendre l’utilisation d’informations communiquées par des parties externes, qui peuvent révéler l’existence de problèmes ou faire ressortir des aspects à améliorer. Par exemple, les clients corroborent implicitement les données de facturation en réglant leurs factures ou en les contestant. Par ailleurs, les autorités de réglementation peuvent communiquer avec l’entité au sujet de questions qui influent sur le fonctionnement de son système de contrôle interne, par exemple les communications concernant les examens effectués par les organismes de réglementation du secteur bancaire. La direction peut aussi, dans le cadre de ses activités de suivi, tenir compte des communications des auditeurs externes au sujet du système de contrôle interne de l’entité. (NCA 315 Annexe 3.14)

Directives des NCA

L’évaluation par l’auditeur de la manière dont l’entité procède à des évaluations continues et ponctuelles aux fins de suivi de l’efficacité des contrôles l’aide à savoir si les autres composantes du système de contrôle interne de l’entité ont été mises en place et sont fonctionnelles, et donc à comprendre ces autres composantes. Cette évaluation peut aussi aider l’auditeur à identifier et à évaluer les risques d’anomalies significatives au niveau des états financiers et au niveau des assertions. (NCA 315.A121)

L’auditeur évalue le caractère approprié du processus de suivi du système de contrôle interne par l’entité en fonction de sa compréhension de ce processus. (NCA 315.A122)