Administrations de l Etat. Transposition des Normes Professionnelles de l Audit Interne et bonnes pratiques

Transcription

1 Administrations de l Etat Transposition des Normes Professionnelles de l Audit Interne et bonnes pratiques

2 Principale Norme de référence 2320 Analyse et évaluation Transposition de la MPA Analyse causale Les auditeurs internes doivent fonder leurs conclusions et les résultats de leur mission sur des analyses et évaluations appropriées. En pratique La MPA a été publiée par l IIA en décembre 2011, après la publication de l ouvrage «Transposition des Normes professionnelles de l audit interne et bonnes pratiques». 1. L analyse causale consiste à rechercher l origine d un problème, au lieu de simplement le constater ou en rendre compte. Dans cette MPA, «problème» renvoie à une difficulté, une erreur, une non-conformité, ou une occasion manquée. 2. Les auditeurs internes dont les rapports se contentent de recommander au management de corriger une situation problématique sans résoudre les causes sous-jacentes manquent une opportunité de contribuer à l amélioration de l efficience et l efficacité des processus métiers à long terme et, par conséquent, à l amélioration de l environnement global de gouvernance, de gestion des risques et de contrôle. La capacité à identifier la nécessité d une analyse causale et, le cas échéant, à la faciliter, la réviser et/ou la réaliser est une compétence clé, indispensable à cette contribution. 3. L audit interne, du fait de son indépendance et de son objectivité, peut être la fonction idéale pour analyser les problèmes et identifier leurs causes sous-jacentes. Cette approche contribue à la réduction des écarts, à la remise en cause des hypothèses, et à l évaluation complète des éléments probants. En outre, les auditeurs internes par leurs interventions dans différentes entités et lignes hiérarchiques de l organisation peuvent avoir développé une connaissance étendue et approfondie du (des) problème(s) sous-jacent(s). Cette connaissance est parfois plus importante que celle d un manager, ce qui leur permet d être mieux à même d analyser le problème en question. Dans les cas où la cause sous-jacente d un problème résulte d actions ou d inactions du management, il est essentiel de faire appel à l objectivité d un tiers, tel l audit interne, pour étudier la situation et en rendre compte aux instances dirigeantes. 4. L analyse causale est bénéfique pour l organisation parce qu elle identifie la (les) cause(s) sousjacente(s) d un problème. Cette approche offre une perspective d amélioration à long terme 2

3 des processus. En l absence d une analyse efficace et de solutions de traitement appropriées, il y a une plus forte probabilité que le problème se produise à nouveau. L analyse causale permet d éviter de multiples remaniements et traite de façon proactive le risque de récurrence du (des) problème(s). L analyse causale peut s appliquer à n importe quel type de situation, tel qu un événement risqué inattendu, une défaillance dans un processus, des dommages ou pertes matériels, un arrêt de la production, un incident de sécurité, une dégradation de la qualité ou l insatisfaction d un client. Il est important de souligner le fait qu un problème s explique souvent par plusieurs causes corrélées ou non. 5. Les ressources consacrées à l analyse causale doivent correspondre à l impact du problème ou des problèmes potentiels et risques futurs. Dans certaines circonstances, l analyse causale peut tout simplement utiliser la méthode des «cinq pourquoi». Par exemple : L employé est tombé. Pourquoi? Parce qu il y avait de l huile sur le sol. Pourquoi? Parce qu une pièce s est cassée. Pourquoi? Parce que la pièce tombe toujours en panne. Pourquoi? Parce que les méthodes d approvisionnement ont été modifiées. À l issue du cinquième «pourquoi», l auditeur interne devrait être en mesure de pouvoir identifier ou d approcher la cause sous-jacente. Toutefois, des problèmes plus complexes peuvent nécessiter un investissement plus important en ressources et une analyse plus rigoureuse. Avant de débuter l analyse causale de problèmes plus complexes, il convient que les auditeurs internes considèrent que : a. L analyse causale peut nécessiter énormément de temps pour étudier le processus, le personnel, la technologie ainsi que les données nécessaires à l identification et à l évaluation d une cause sous-jacente. Ainsi, un projet qui pourrait a priori être réalisé rapidement peut finalement nécessiter d énormes travaux pour la validation des divers scénarios, l analyse approfondie des données et l évaluation des nombreux facteurs internes et externes qui ont un effet sur les processus métiers. b. Les auditeurs internes peuvent ne pas avoir toutes les compétences nécessaires à la conduite de l analyse spécifique de certaines causes sous-jacentes. C est pourquoi, ils devront définir avec précision les travaux à entreprendre pour mener à bien l analyse causale ainsi que leur degré d implication. Pour ce faire, ils devront considérer l ensemble des compétences requises ainsi que le niveau d évaluation et d analyse nécessaires pour établir une conclusion. Les responsables de l audit interne (RAI) s assureront que l expérience et l expertise de leurs équipes sont suffisantes pour accomplir ces travaux et pourront éventuellement faire appel à une aide extérieure (par exemple, experts techniques, et/ou consultants externes, autre service d audit). c. Lorsque l audit interne ne dispose pas du temps ou des compétences nécessaires, le RAI devra formuler des recommandations pour que le management cherche à traiter l origine de la déficience et, le cas échéant, qu il conduise une analyse causale. 3

4 6. Avant de réaliser l analyse causale, il convient que les auditeurs internes anticipent les obstacles potentiels qui pourraient entraver leurs efforts, et développent une approche proactive pour traiter ces situations. a. Le management peut être réticent à l idée que l audit interne puisse avoir un rôle dans les analyses causales. Le RAI et les auditeurs internes peuvent être amenés à expliquer et à démontrer au management le rôle et les capacités de l audit interne. b. Le management peut s opposer à la conduite d une analyse causale en raison des délais et des efforts supplémentaires qu elle impose à leur équipe. Le management peut privilégier les solutions à court terme pour rétablir immédiatement la conformité ou ramener le processus ou la transaction à son état normal. Il arrive toutefois que des solutions à long terme soient envisagées mais uniquement lorsque les délais et les ressources le permettent. Mais le management sera d autant moins enclin à adopter les solutions proposées qu elles ne génèrent pas d effets immédiats, sont de nature préventive, et nécessitent des investissements significatifs. De fait, l impact à long terme des défaillances non corrigées en termes de coût, de délais et de ressources n est pas toujours mesuré. De même, en l absence de solution à long terme, les ajustements permanents ne sont pas appréhendés. Les RAI pourront utiliser ce type d argument s ils sont amenés à documenter le bien-fondé d une analyse causale pour obtenir le soutien du management. Pour les questions nécessitant des corrections à long terme, ayant un impact important sur les ressources, les délais ou les coûts, les auditeurs internes pourront suggérer, en plus de la solution à long terme plus coûteuse, des mesures d atténuation immédiates ou à court terme. Cette approche permettra d atteindre rapidement les objectifs métiers fixés par le management tout en lui donnant le temps de planifier et de budgétiser une solution à long terme plus robuste, qui puisse traiter les causes sous-jacentes du problème. c. Déterminer la véritable cause sous-jacente peut se révéler difficile et subjectif même lorsque l on dispose de suffisamment de données quantitatives et qualitatives. Les auditeurs internes devront rendre compte de la contribution des différentes parties prenantes du processus métier dans l élaboration, l analyse et l évaluation des informations. Une multiplicité d erreurs avec divers degrés d impact peut être à l origine d un problème. L auditeur interne peut, dans certains cas, élaborer plusieurs conclusions, assorties de différents scénarios à considérer par le management comme pouvant être la cause sous-jacente d un problème. Dans ce cas, la valeur apportée par l audit interne est l évaluation indépendante et objective ainsi que la présentation des diverses données et analyses à partir desquelles le management pourra formuler une conclusion sur la cause la plus probable. d. Lorsqu elle est réalisée par l audit interne, une analyse causale qui conduirait à des observations et à des recommandations spécifiques et concrètes pour l amélioration des processus et des contrôles, pourra être perçue comme plaçant l auditeur interne dans 4

5 un rôle de management. Les auditeurs doivent gérer ce risque de perception en : i. fournissant une analyse spécifique, objective et étayée de la cause sous-jacente ; ii. distinguant la détermination de la cause sous-jacente, des recommandations liées à son traitement ; iii. s assurant que la charte de l audit interne ou le rapport de mission définissent clairement le rôle du management, à savoir évaluer les recommandations faites par l audit interne et assumer la mise en œuvre de toute modification du processus métier ; iv. dissociant clairement les missions d assurance ou les évaluations à l initiative de l audit interne, des missions de conseil commanditées par un responsable opérationnel. 7. De façon générale, la plupart des causes sous-jacentes peuvent être ramenées à des décisions, des actions ou des inactions d une ou de plusieurs personne(s). Toutefois, les auditeurs internes devront considérer le contexte, qui peut avoir une incidence sur le problème et qui peut également représenter un risque plus important pour l organisation : a. compétence du personnel. b. embauche du personnel qualifié. c. absence de formation ou formation insuffisante. d. adéquation de la technologie ou des outils. e. pertinence de la culture de l organisation ou du département. f. santé au travail et risques psychosociaux. g. niveau ou volume de ressources (par exemple, budget ou effectif ). h. circonstances du processus et autres facteurs ayant conduit la personne ou les personnes à prendre les décisions. i. pouvoir de décision de la ou des personne(s) impliquée(s). Une analyse causale qui s arrête à l identification des composantes et des activités du processus (par exemple, la technologie, les règles, la formation) peut se révéler incomplète. Une véritable analyse causale cherchera à comprendre pourquoi des personnes qualifiées prennent de mauvaises décisions ou des décisions inappropriées (pourquoi la personne ayant pris la décision a-t-elle pensé qu elle avait fait le bon choix à ce moment?). Dans ces cas, les auditeurs internes devront caractériser la situation en essayant de comprendre toutes les circonstances qui ont amené les acteurs du processus à prendre une décision spécifique. 5

6 8. Pour la plupart des problèmes qu ils auront à traiter, les auditeurs internes pourront recourir à des techniques simples. Les techniques les plus élaborées de collecte de données, d analyse statistique, et l utilisation d autres concepts seront réservées aux situations dans lesquelles le temps et l effort (c est-à-dire les coûts) nécessaires pour corriger les causes sous-jacentes sont susceptibles d être justifiés par le niveau de risque et d optimisation des processus pouvant être atteints. Il existe plusieurs techniques d analyse causale. Parmi les outils d analyse utilisés que l on trouve facilement sur lnternet figurent : a. la méthode des «Cinq pourquoi». b. la méthode QQOQCP c. l Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité (AMDEC). d. le diagramme SIPOC (fournisseurs (Suppliers), entrées (Input), Processus, sorties (Output), Clients). e. l organigramme de flux (flowchart) d un processsus, d un système de données. f. le diagramme cause-effet (en arête de poisson / Diagramme d Ishikawa). g. l analyse critique de mesure de la qualité. h. le diagramme de Pareto. i. la corrélation statistique. 6