CFEC-Afrique assure tout ou partie de la fonction d’audit interne, en externalisation ou aux côtés de vos équipes, selon les Normes mondiales d’audit interne de l’IIA. Nous concevons ou évaluons le dispositif de contrôle interne au regard du référentiel COSO, puis nous rédigeons le manuel de procédures et les délégations qui l’accompagnent. La gouvernance, la gestion des risques et la conformité (GRC) sont suivies par une surveillance continue : registre des risques, indicateurs, tests automatisés et alertes. La direction conserve ses responsabilités de gestion ; les règles d’indépendance encadrent chaque mission.
Trois composantes d’un même dispositif
Audit interne externalisé
- Externalisation complète ou co-sourcing de la fonction
- Charte d’audit interne et plan fondé sur les risques
- Missions thématiques et revues sur site
- Rapports à la direction et au comité d’audit
Contrôle interne & procédures
- Évaluation selon le COSO : cinq composantes, dix-sept principes
- Manuel de procédures administratives, financières et comptables
- Délégations de pouvoirs et séparation des tâches
- Documentation et tests SOX des filiales de groupes cotés aux États-Unis
GRC & surveillance continue
- Cartographie et registre des risques, appétence et seuils de tolérance
- Matrice risques-contrôles et indicateurs clés de risque (KRI)
- Veille réglementaire et tests de conformité
- Tableaux de bord pour la direction et le comité d’audit
Audit continu et contrôle permanent : des responsabilités distinctes
L’audit continu relève de la fonction d’audit. Le contrôle permanent, ou surveillance continue, relève de la direction et des responsables opérationnels.
Démarche de l’auditeur
Audit continu
continuous auditing
L’auditeur utilise des tests automatisés et l’analyse de données à intervalles réguliers pour évaluer les risques et les contrôles. Certains tests peuvent couvrir toutes les opérations du périmètre retenu. Leurs résultats orientent les travaux complémentaires et les conclusions de l’audit.
Dispositif de la direction
Contrôle permanent ou surveillance continue
continuous monitoring
La direction met en place des contrôles et des alertes pour repérer les opérations inhabituelles ou les écarts aux règles. Les responsables désignés analysent les alertes et décident des suites à donner. Ce suivi fait partie du contrôle interne de l’organisation.
Nous pouvons outiller l’un ou l’autre dispositif selon la mission. Leur coordination contribue à une assurance plus régulière sur les risques et les contrôles, à condition de préserver l’indépendance de l’audit et de séparer les droits d’accès et les responsabilités.
Les outils de la surveillance continue
Extraction automatisée
Connecteurs avec votre ERP, relevés bancaires et robots logiciels : les données sont collectées à intervalles réguliers, sans ressaisie.
Tests sur les données du périmètre retenu
Les règles paramétrées peuvent s’appliquer à toutes les transactions disponibles du périmètre retenu. Notre IA interne aide à repérer les opérations atypiques ; les exceptions sont examinées par un professionnel.
Alertes et traitement
Une exception déclenche une alerte adressée à un responsable identifié ; son analyse et sa résolution sont tracées jusqu’à la clôture.
Tableaux de bord GRC
Registre des risques, indicateurs clés de risque, état des contrôles et des plans d’action, consultables par la direction et le comité d’audit.
Nos interventions
- Externalisation complète (outsourcing) ou partielle (co-sourcing) de la fonction d’audit interne, conformément aux Normes mondiales d’audit interne de l’IIA.
- Plan d’audit interne fondé sur les risques, discuté avec la direction et soumis à l’approbation du conseil ou du comité d’audit selon les responsabilités définies par la gouvernance.
- Conception ou évaluation du dispositif de contrôle interne au regard du référentiel COSO : cinq composantes, dix-sept principes.
- Élaboration et mise à jour du manuel de procédures administratives, financières et comptables, des délégations de pouvoirs et des matrices d’habilitation.
- Revues de processus : achats, trésorerie, paie, stocks, immobilisations, ventes.
- Conformité à la loi Sarbanes-Oxley (SOX) : documentation et tests des contrôles des filiales de groupes cotés aux États-Unis.
- Déploiement d’un dispositif GRC : cartographie et registre des risques, matrice risques-contrôles, indicateurs clés de risque et suivi de la conformité réglementaire.
- Programme d’audit continu et conception du contrôle permanent : extraction automatisée des données, règles de test, seuils d’alerte et circuits de traitement des anomalies.
- Automatisation des tests par robots logiciels (RPA) et lecture automatisée des pièces par vision par ordinateur.
- Rapports périodiques à la direction, au comité d’audit, au conseil d’administration ou au bailleur.
Compléter les missions périodiques par un suivi régulier
Exemples de tests automatisés
Notre démarche
Cartographier
Processus, risques et contrôles clés sont recensés avec vos équipes et rapprochés des objectifs de l’organisation.
Concevoir et formaliser
Contrôles, procédures et délégations sont définis ou améliorés avec les responsables concernés, puis validés par la direction.
Paramétrer
Chaque contrôle clé reçoit une règle de test, une fréquence, un seuil d’alerte et un responsable.
Tester en continu
Les données disponibles sont extraites et testées à la fréquence prévue. La qualité des données, la pertinence des règles et les exceptions font l’objet d’une revue professionnelle.
Rendre compte
Chaque exception est expliquée ou corrigée par le responsable désigné ; tableaux de bord et rapports périodiques donnent à la direction et au comité d’audit une vision à jour du dispositif.
Documents et résultats remis
- Charte et plan d’audit interne fondé sur les risques ; rapports de missions.
- Rapport d’évaluation du contrôle interne selon le COSO et manuel de procédures prêt à être diffusé.
- Cartographie des risques, matrice risques-contrôles et tableaux de bord GRC.
- Plans d’action suivis jusqu’à leur clôture.