Qu'est-ce que le contrôle interne et pourquoi le mettre en place ?

Le contrôle interne est le processus par lequel une organisation cherche à maîtriser ce qu’elle fait vraiment : atteindre ses objectifs opérationnels, produire une information fiable et respecter les règles qui s’appliquent à elle. Il n’est pas un service à part, ni un classeur de procédures. C’est un ensemble d’actions quotidiennes, portées par des personnes, à tous les niveaux.

Le référentiel le plus utilisé pour le décrire, le COSO Internal Control – Integrated Framework (2013), le définit comme un processus mis en œuvre par le conseil, la direction et le personnel, conçu pour fournir une assurance raisonnable, et non une garantie absolue, quant à la réalisation d’objectifs liés aux opérations, au reporting et à la conformité.

Définition du contrôle interne

Trois idées tiennent toute la définition.

D’abord, c’est un processus. Il se joue dans le temps : autorisations, vérifications, rapprochements, remontées d’anomalies. Un manuel à jour n’est pas, à lui seul, un dispositif.

Ensuite, il est porté par des personnes. Le conseil ou l’organe de gouvernance fixe le cadre. La direction conçoit et fait vivre le dispositif. Les responsables opérationnels appliquent les contrôles dans leur périmètre. Chaque agent y contribue, même lorsqu’il n’a pas le mot « contrôle » dans son titre. Les procédures et les outils aident ; ils ne remplacent pas le jugement et le comportement.

Enfin, il vise une assurance raisonnable. Aucun système n’élimine l’erreur, la collusion ou un choc externe. Le COSO le dit clairement : le contrôle interne réduit le risque de ne pas atteindre les objectifs, il ne le supprime pas.

En pratique, on parle de contrôle interne dès qu’une organisation se demande : qui décide, qui exécute, qui vérifie, avec quelle preuve, et que se passe-t-il quand ça dérape.

À quoi sert le contrôle interne ?

Le cadre COSO classe les objectifs en trois familles, qui se recoupent souvent sur le terrain.

Les opérations : faire le travail prévu, avec les ressources disponibles, sans pertes évitables. Une caisse tenue, un marché passé selon les règles internes, un stock qui correspond à l’inventaire.

Le reporting : pouvoir s’appuyer sur les chiffres et les rapports. Pas seulement les états financiers. Une note de situation destinée à un bailleur, un tableau de suivi des recommandations ou un reporting interne à la direction relèvent aussi de cette exigence de fiabilité.

La conformité : respecter les lois, règlements, normes et engagements auxquels l’organisation est soumise. Dans le secteur public ou associatif, cela inclut souvent les conditions des financements.

Sur le terrain, cela se traduit par des effets plus concrets : clarifier qui est responsable de quoi, limiter les erreurs répétées, rendre plus difficile une fraude isolée, et donner à la direction une image moins déformée de ce qui se passe réellement.

Un dispositif qui n’aide personne à décider, ni à corriger, reste un décor.

Les cinq composantes du référentiel COSO

Le COSO 2013 organise le dispositif autour de cinq composantes. Elles doivent être présentes, fonctionner, et fonctionner ensemble. Une procédure isolée, sans environnement de contrôle ni suivi, ne fait pas un système.

Environnement de contrôle

C’est le socle : intégrité attendue, ton de la direction, clarté des responsabilités, compétences réellement exigées. Si un responsable peut signer et exécuter la même dépense sans que personne ne le remarque, le problème n’est pas seulement technique.

Dans une direction régionale, les délégations de signature existent parfois sur le papier, mais tout passe encore par le directeur. Les agents n’osent pas signaler un écart. L’environnement de contrôle est alors plus faible que le recueil de procédures ne le laisse croire.

Évaluation des risques

On identifie ce qui peut empêcher d’atteindre les objectifs, on en estime l’importance, on décide comment le traiter. Sans objectifs clairs, l’exercice tourne à la liste de peurs.

Une ONG qui gère plusieurs projets bailleurs identifie souvent le risque de dépenses inéligibles et de double financement. Elle priorise alors les contrôles sur les justifications et les rapprochements de budgets, plutôt que de tout contrôler au même niveau.

Activités de contrôle

Ce sont les actes concrets : autorisation, séparation des tâches, rapprochement, inventaire, contrôle d’accès, revue de pièces. Le COSO insiste : elles doivent découler des risques, pas d’une habitude administrative.

Pour les paiements, une personne prépare, une autre valide, une troisième libère le virement. Si les trois fonctions tiennent dans le même téléphone professionnel, le contrôle n’existe que nominalement.

Information et communication

Le dispositif a besoin d’informations utilisables, au bon moment, et d’une circulation réelle : consignes descendantes, alertes remontantes, échanges avec les partenaires externes quand c’est nécessaire.

Un tableau de trésorerie existe parfois, mais il arrive quinze jours après la clôture. La direction décide à l’aveugle. L’information est produite ; elle n’est pas utile.

Activités de surveillance

On vérifie que le reste tient encore : revues de supervision, autoévaluations, contrôles de second niveau, éventuellement missions d’audit. Les faiblesses doivent arriver jusqu’à quelqu’un qui peut agir.

Un chef de service qui relit chaque mois un échantillon de dossiers d’achat et consigne les écarts ne fait pas de l’audit interne. C’est de la surveillance opérationnelle.

Le détail des 17 principes et du cube COSO est traité dans l’article COSO : composantes, principes et cube.

Exemples concrets

Les formulations varient selon les organisations. La logique est la même.

Caisse et fonds. Plafond, justificatifs, rapprochement fréquent, interdiction de confondre caisse et avance personnelle. L’absence de décharge écrite après chaque remise d’espèces est un trou classique.

Achats et marchés. Besoin formalisé, comparaison d’offres au-delà d’un seuil, séparation entre celui qui commande et celui qui réceptionne. Le risque n’est pas seulement la fraude : c’est aussi l’achat inutile ou mal spécifié.

Paiements. Double regard au-delà d’un montant, liste des bénéficiaires autorisés, conservation des preuves. Dans beaucoup de structures, le vrai point faible est le changement de RIB sans contrôle.

Stocks. Fiche de mouvement, inventaire physique indépendant de la personne qui gère le magasin, écarts expliqués. Un stock « théorique » jamais confronté au terrain finit par mentir.

Ressources humaines. Recrutement tracé, présence, paie rapprochée des effectifs réels, départ avec retrait des accès. Les agents fantômes ou les cumuls non déclarés se voient rarement dans un organigramme.

Immobilisations. Inventaire, étiquetage, sortie d’actif documentée. Un véhicule ou un ordinateur « perdu » est souvent un problème de suivi, pas seulement de malveillance.

Systèmes d’information. Comptes nominatifs, retraits d’accès au départ, sauvegardes testées, interdiction des comptes partagés pour les validations. Le contrôle papier ne sert à rien si tout le monde utilise le même mot de passe administrateur.

Projets financés. Éligibilité des dépenses, pièces conformes aux conventions, suivi distinct par bailleur, interdiction de fongibilité sauvage. Ici, le contrôle interne protège à la fois l’organisation et sa relation avec le financeur.

Secteur public et parapublic. Délégations, circuits de dépense, conservation des pièces, respect des textes de gestion. La formalité n’a de valeur que si elle correspond au circuit réel.

Contrôle interne et audit interne

On les confond souvent. Ils ne font pas le même métier.

Le contrôle interne appartient à l’organisation. Il fonctionne en continu. C’est le dispositif lui-même.

L’audit interne, selon l’IIA, est une activité indépendante et objective d’assurance et de conseil. Elle évalue, de façon méthodique, l’efficacité de la gouvernance, de la gestion des risques et du contrôle. Elle n’est pas chargée de tenir la caisse ni de valider chaque paiement.

Autrement dit : le contrôle interne fait partie du fonctionnement quotidien ; l’audit interne, lorsqu’il existe, regarde si ce fonctionnement tient. Dans une petite structure sans fonction d’audit, le dispositif peut exister. Il faudra alors d’autres regards : supervision hiérarchique, contrôle de second niveau, parfois un appui externe ponctuel.

L’article Rôle de l’audit interne développe ce point.

Qui est responsable ?

Le COSO insiste : le dispositif est mis en œuvre par le conseil, la direction et le personnel. La responsabilité n’est pas « le service contrôle interne », quand il existe.

L’organe de gouvernance (conseil, comité, autorité de tutelle selon les cas) fixe les attentes, demande des comptes, veille à ce que la direction ne soit pas seule juge et partie.

La direction conçoit le dispositif, alloue les moyens, tranche les arbitrages. Si elle contourne ses propres règles, le reste s’effondre.

Les responsables opérationnels appliquent les contrôles dans leur processus. Un chef de service qui signe tout sans lire n’a pas « délégué » : il a abdiqué.

Le personnel exécute les contrôles de premier niveau et signale les anomalies. Un agent qui n’a jamais été informé de ce qu’on attend de lui ne peut pas être tenu pour seul responsable d’un écart.

L’audit interne, s’il est en place, évalue et recommande. Il ne remplace pas les contrôles quotidiens. Voir aussi le suivi des recommandations.

Dans les organisations de petite taille, les mêmes personnes portent plusieurs casquettes. La séparation idéale n’est pas toujours possible. Il faut alors compenser : revue a posteriori, rotation, regard externe sur les flux sensibles.

Quelles sont les limites ?

Le COSO reconnaît des limites inhérentes. Les citer n’est pas une excuse. C’est une condition de lucidité.

L’erreur humaine : fatigue, mauvaise compréhension, oubli. Un contrôle trop complexe est souvent moins tenu qu’un contrôle simple.

La collusion : deux personnes qui devraient se contrôler mutuellement s’entendent. La séparation des tâches ne suffit plus.

Le contournement par la direction : une exception verbale, un « on fera le papier après ». C’est l’une des failles les plus destructrices, parce qu’elle enseigne au reste de l’organisation que les règles sont optionnelles.

L’arbitrage coût / bénéfice : tout contrôler coûterait plus cher que le risque. Il faut choisir. Ce choix doit être conscient, pas le fruit de l’oubli.

Les changements de contexte : nouveau logiciel, réorganisation, départ d’un agent clé, nouveau bailleur. Un dispositif figé vieillit vite.

Le jugement : évaluer un risque, accepter une dérogation, classer une anomalie. Le cadre aide. Il ne remplace pas la décision.

D’où l’expression assurance raisonnable. Promettre l’absence totale d’incident, c’est promettre ce qu’aucun dispositif ne peut tenir.

Comment renforcer le dispositif

On peut avancer sans attendre un programme de transformation.

1. Clarifier les objectifs du périmètre choisi (une direction, un processus, un projet). Sans cela, on contrôle au hasard.
2. Identifier les risques qui menacent ces objectifs. Une cartographie des risques aide, même simple.
3. Recenser les contrôles déjà en place, y compris les pratiques orales. Beaucoup d’organisations contrôlent plus qu’elles ne croient, mais mal, ou sans preuve.
4. Repérer les écarts : contrôles absents, trop lourds, ou tenus par la même personne d’un bout à l’autre.
5. Écrire les responsabilités : qui fait, qui vérifie, quelle pièce on garde. Une procédure utile tient en quelques pages si elle dit cela clairement.
6. Décider des actions : seuils, séparations possibles, revues, outils. Un plan d’action avec responsables et délais évite la liste de bonnes intentions.
7. Suivre l’efficacité. Un contrôle que personne ne relit finit par mourir. Le plan annuel de contrôle interne sert précisément à organiser ces regards dans le temps.

L’erreur fréquente est de commencer par rédiger un recueil complet. Mieux vaut un processus sensible bien tenu qu’un manuel que personne n’ouvre.

Dans les organisations africaines francophones

Ces observations ne valent pas pour toutes les structures, ni pour tous les pays. Elles reviennent assez souvent pour mériter d’être nommées.

La formalisation est inégale. Des contrôles existent dans les habitudes, mais ils ne sont pas écrits, donc difficiles à transmettre quand un agent part.

Les responsabilités se concentrent. Dans une petite équipe, le même responsable initie, valide et paie. Ce n’est pas toujours de la mauvaise foi : c’est souvent le manque de personnel. Il faut alors des compensations, pas un copier-coller d’un modèle de grande entreprise.

Les moyens sont contraints. Un dispositif trop lourd meurt. Mieux vaut trois contrôles réellement faits qu’une matrice de cinquante points jamais cochée.

Beaucoup de contrôles restent manuels. Ce n’est pas un défaut en soi. Le risque apparaît quand la pièce n’est pas classée, ou quand le registre n’est jamais rapproché.

Les projets et ONG vivent sous des exigences de bailleurs différentes. Le dispositif interne doit pouvoir parler à ces exigences sans se dédoubler en cinq systèmes incompatibles.

Le secteur public et parapublic ajoute des textes, des circuits et parfois une tutelle. Le risque n’est pas seulement l’absence de contrôle : c’est aussi le contrôle formel, qui produit des dossiers complets et des décisions déjà prises ailleurs.

La digitalisation avance, mais de façon inégale. Introduire un logiciel sans retirer les comptes partagés ni former les utilisateurs déplace le risque, il ne le réduit pas.

Dans ce contexte, un regard externe peut aider à distinguer ce qui est réellement tenu de ce qui est seulement déclaré. C’est tout l’intérêt d’un diagnostic calé sur le fonctionnement observé, pas sur un référentiel recopié.

Questions fréquentes

Pour aller plus loin

• COSO : composantes, principes et cube
• Cartographie des risques
• Rédiger une procédure utile
• Rôle de l’audit interne
• Plan annuel de contrôle interne

Vous souhaitez apprécier ou renforcer le dispositif de contrôle interne de votre organisation ? Les services proposés décrivent le type d’appui possible. Pour une demande : contact@bdembele.com, avec le contexte, le besoin et les délais.

Sources

• COSO — Internal Control guidance
• COSO, Internal Control – Integrated Framework (2013) : définition, cinq composantes, assurance raisonnable, limites
• IFACI — Contrôle interne
• The IIA — Definition of Internal Audit
• IFAC — commentaire sur le cadre COSO révisé