Le COSO 2013

Depuis plus de vingt ans, le COSO(1) est une référence incontournable pour le dispositif du contrôle interne. La version publiée en 1992 a établi les fondamentaux du contrôle interne et a été utilisé par de nombreuses organisations dans le monde pour définir les bases s’y rapportant. Or, depuis 1992, les organisations et l’environnement dans lequel elles opèrent ont beaucoup changé (prééminence de la technologie, recours croissant à l’externalisation, renforcement des obligations de reporting…). Elles ont dû adapter leurs pratiques de contrôle aux nouveaux enjeux ainsi générés. Reconnaissant ces évolutions de l’environnement et le besoin d’adaptation du contrôle interne en conséquence, COSO a décidé de mettre à jour son référentiel. Le COSO 2013 est paru en mai dernier dans sa version anglaise(2), une version française est actuellement en cours de finalisation par l’IFACI et PwC et sera publiée probablement courant le mois de Mai 2014.

Les principales évolutions apportées par cette nouvelle version du référentiel sont introduites au travers de la codification des 17 principes sous jacents aux 5 composantes du contrôle interne. L’efficacité du contrôle interne reposant sur la déclinaison des 5 composantes et donc dans la version 2013 des 17 principes, le COSO 2013 peut être abordé par les organisations comme un outil mis à leur disposition pour les aider à faire un point sur leur dispositif de contrôle interne et à identifier des pistes d’amélioration.

Il est important de rappeler ici que, le référentiel COSO n’étant pas une norme, il ne définit pas de pratiques standard pour la mise en œuvre des principes. Chaque organisation choisit les pratiques qui lui sont les plus adaptées. Toutefois, afin de permettre aux organisations de faire ce choix, le référentiel développe des points d’attention pour la mise en œuvre de chacun des 17 principes. Il fournit également des exemples issus des pratiques des nombreuses organisations qui ont contribué à son élaboration. Un recueil séparé (COSO Internal Control over External Financial Reporting - ICEFR) décrit diverses approches et cas pratiques pour illustrer la mise en œuvre des 17 principes du contrôle interne dans le cadre de l’établissement des rapports financiers. Des recueils similaires pourraient être élaborés par la suite sur l’application des 17 principes à d’autres objectifs comme le reporting non-financier.

En analysant sans a priori et avec pragmatisme les pratiques existantes au regard des 17 principes, les organisations devraient identifier des pistes de réflexion pour améliorer, renforcer mais aussi dans certains cas simplifier leur dispositif. En effet certains des 17 principes résonnent particulièrement avec quelques unes des principales préoccupations des organisations vis-à-vis de leur dispositif de contrôle interne :

• Prévenir le risque de fraude,

• Adapter le contrôle interne aux transformations de l’organisation,

• Mobiliser le management et instaurer le «tone in the middle»,

• Assurer la cohérence entre les dispositifs contribuant à la maîtrise des activités (système de management intégré, éthique et conformité, risk management, audit interne),

• Maîtriser les opérations externalisées.

Ceci étant, il y a lieu de favoriser dans ce qui suit des éléments sur la façon dont le référentiel COSO approche ces thématiques.

Prévenir le risque de fraude

L’évaluation et la prévention du risque de fraude sont établies dans le COSO 2013 comme un principe à part entière du contrôle interne (Principe n°8). L’organisation doit faire face à plusieurs types de fraude : la communication volontaire d’informations erronées, le détournement d’actifs et la corruption. Pour le COSO, cela présuppose la définition de règles de conduite (Principe n°1) et que s’assure que ces règles soient respectées par le management, les collaborateurs et les prestataires externes (Principes n°5 et 17). Les modalités de suivi pour les prestataires externes gagnent à être spécifiquement prévues dans le cadre de la gestion des relations avec ces tiers.

Le COSO fournit des éléments sur l’analyse que l’organisation doit mettre en place pour évaluer le risque de fraude : analyse des facteurs de motivation et des pressions, analyse des opportunités d'acquisition, d'utilisation ou de cession non autorisées d'actifs, analyse des opportunités de modification des registres comptables, analyse des possibilités de commettre et de justifier des actes inappropriés…En fonction des résultats de l’analyse, l’organisation devra définir des contrôles et mettre en place un suivi des principales zones de vulnérabilité. Le COSO insiste enfin sur l’importance de l’analyse a posteriori des cas de fraude avérés dans le but de renforcer l’efficacité du dispositif de prévention (Principe n°17).

Adapter le contrôle interne en fonction des transformations de l’organisation

Qu’il s’agisse de l’application de nouvelles réglementations, de la mise en place d’un nouveau système d’information ou d’un centre de services partagés, les organisations se transforment en permanence pour s’adapter à leur environnement et rester performantes. Dans ce contexte, l’enjeu en matière de contrôle interne est double : adapter le dispositif en fonction des évolutions de l’organisation et assurer que le niveau de maîtrise des activités est maintenu pendant les phases de transition (dans le cas d’une fusion par exemple, un socle commun des contrôles clés peut être défini sur la base des différents référentiels existants en attendant la définition d’un référentiel de contrôles unique adapté aux nouveaux processus issus de la fusion).Par ailleurs, le dispositif mis en place par l’organisation ne doit pas générer trop de rigidité lors des changements. Cela est particulièrement critique lorsque l’organisation implémente une solution logicielle dédiée au contrôle interne (l’organisation devra notamment définir le niveau de documentation qu’elle adopte et décider par exemple si tous les contrôles doivent figurer dans le système ou uniquement les contrôles dit clés).

Le COSO 2013 traite spécifiquement des enjeux liés aux transformations en introduisant le Principe n°9sur l’évaluation du changement. Ce principe met en avant le besoin d’anticiper les changements pour mieux y répondre. Toutefois la capacité d’anticipation dépendra aussi de l’existence de flux de communication interne adaptés

...