COSO : composantes, principes et cube du contrôle interne
Le COSO (Committee of Sponsoring Organizations of the Treadway Commission) est un référentiel utilisé pour structurer l'analyse du contrôle interne autour d'objectifs, de composantes et de principes. Cet article reprend les éléments du référentiel Internal Control – Integrated Framework (2013). Il complète les notions présentées dans l'article sur le contrôle interne.
Ce que couvre cet article
- Les 5 composantes du COSO.
- Les 17 principes associés.
- La logique du cube COSO : objectifs, composantes et structure de l'organisation.
Les 5 composantes
Le référentiel organise le contrôle interne autour de cinq composantes, présentées ici dans l'ordre du référentiel :
- Environnement de contrôle — l'ensemble des normes, structures et processus qui donnent la base du contrôle interne : valeurs éthiques, gouvernance, organisation des responsabilités, niveau de compétence des équipes.
- Évaluation des risques — un processus continu d'identification et d'analyse des risques susceptibles d'affecter l'atteinte des objectifs.
- Activités de contrôle — les actions concrètes, définies par des politiques et des procédures, qui permettent de vérifier que les décisions de la direction sont réellement appliquées.
- Information et communication — la production et la circulation d'informations fiables, en interne comme vers l'extérieur, nécessaires au fonctionnement du contrôle interne.
- Activités de surveillance (pilotage) — les évaluations continues ou ponctuelles qui vérifient que les quatre autres composantes sont bien présentes et qu'elles fonctionnent.
Les 17 principes
Chaque composante se décline en principes, pour un total de 17 :
Environnement de contrôle (principes 1 à 5) : engagement envers l'intégrité et les valeurs éthiques ; indépendance du conseil d'administration dans sa fonction de surveillance ; définition par la direction des structures, lignes hiérarchiques et responsabilités ; engagement à attirer, développer et retenir des collaborateurs compétents ; responsabilisation des individus sur leurs missions de contrôle.
Évaluation des risques (principes 6 à 9) : objectifs formulés avec une clarté suffisante pour permettre d'en identifier les risques associés ; identification et analyse des risques ; prise en compte du risque de fraude ; identification des changements susceptibles d'affecter le dispositif de contrôle interne.
Activités de contrôle (principes 10 à 12) : sélection et développement d'activités de contrôle qui réduisent les risques à un niveau acceptable ; développement des contrôles généraux sur les systèmes d'information ; déploiement des activités de contrôle via des politiques et des procédures.
Information et communication (principes 13 à 15) : production d'informations pertinentes et de qualité ; communication interne des objectifs et des responsabilités liés au contrôle interne ; communication externe sur les sujets qui affectent le contrôle interne.
Activités de surveillance (principes 16 et 17) : évaluations continues et/ou ponctuelles permettant de vérifier que les composantes sont présentes et fonctionnent ; évaluation et communication des déficiences de contrôle interne aux personnes en mesure d'agir, y compris la direction et le conseil d'administration.
Le cube COSO
Le référentiel se représente sous la forme d'un cube à trois dimensions, qui relie les objectifs, les composantes et la structure de l'organisation :
- Une face regroupe les catégories d'objectifs : opérations, reporting et conformité.
- Une face regroupe les cinq composantes du contrôle interne présentées ci-dessus.
- La profondeur du cube représente les niveaux de l'organisation concernés : entité, filiales, directions, unités opérationnelles.
Cette représentation montre que le contrôle interne ne se limite pas à un seul niveau : la même logique de composantes s'applique à chaque catégorie d'objectifs, quelle que soit l'unité de l'organisation concernée.