Les spécificités de l audit de projet Le premier objet d une mission d audit de projet est d évaluer la manière dont les risques sont maîtrisés pour répondre de manière satisfaisante aux spécifications de coûts, de délais et de performances techniques fixées par le commanditaire 1. Les caractéristiques de ces démarches d exception contraignent l auditeur à porter un jugement sur une réalité mouvante, exercice délicat qui se démarque des missions de contrôle des activités récurrentes de l entreprise. Pour ce type d audit, il convient en effet de faire la part des choses entre les ajustements liés à des événements qui n étaient pas prévisibles par exemple le lancement sur le marché d une nouvelle technologie ayant un impact sur la solution retenue pour le projet, et les ajustements qui relèvent de la seule responsabilité du management du projet par exemple la faiblesse des procédures de pilotage. La «méthodologie» de l audit est le cheminement simple mais rationnel qui aidera l auditeur à conduire sa démarche de contrôle. 1. Le cadre d analyse de l audit 1.1. Le projet informatique comme processus d exception être parce que leur production débouche le plus souvent sur des images d écrans, des programmes et d autres éléments quasi - immatériels (cas des développements d application). Ces derniers n en sont pas moins soumis pour autant, à des degrés divers, aux mêmes contraintes et principes de management que les grands projets d ouvrage. La norme AFNOR X 50-105 de 1991 définit les projets comme «une démarche spécifique qui permet de structurer méthodiquement et progressivement une réalité à venir». Le texte précise plus loin que le projet est caractérisé par la satisfaction d un besoin spécifique et particulier, un objectif autonome, avec un début et une fin, et un caractère novateur. Le projet est ainsi défini dans ce qu il a de plus singulier par opposition aux activités répétitives de l entreprise. Celles-ci se réalisent dans un contexte organisationnel stabilisé et concourent directement à la formation des marges bénéficiaires alors que les tâches de développement d un projet, quel qu il soit, sont confrontées à des aléas et des incertitudes, et génèrent essentiellement des coûts. De telles démarches sont à coup sûr plus risquées que la conduite des activités courantes. Raoul Belot, Auditeur dans un groupe financier Raoul Belot a participé à la réalisation et au contrôle d un nombre significatif de projets dans des domaines d activité diversifiés. Il est l auteur de l ouvrage «Anticiper l audit de projet» paru aux éditions AFNOR. Il est actuellement Auditeur au sein d un grand groupe financier. La notion de projet renvoie à l idée d une réalisation originale qui est assortie de contraintes de coûts et de délais et d une grande complexité technique. Elle évoque dans les esprits la réalisation de programmes aérospatiaux, d ouvrages d art (ponts, tunnels, ) et d opérations d aménagement et de construction (non exhaustif) relevant des secteurs de pointe qui ont vu émerger la gestion de projets dans les années 1960. Les projets informatiques sont moins connus du grand public, peut- La réalisation d un projet informatique commence généralement par l expression du besoin du commanditaire et s achève par la livraison d un produit. Entre ces deux moments extrêmes, vont se succéder les phases de cadrage, de développement (conception et spécifications) et de réalisation (du logiciel et des tests pour les applications) qui débouchent sur une production spécifique (les livrables). Chaque production est définie et approuvée au cours d étapes (les jalons). 1. Personne qui fixe les objectifs du projet, définit ou fait définir les besoins fonctionnels et les contraintes futures d utilisation du «produit», et en assume la responsabilité financière. Le commanditaire délègue la partie technique de ses prérogatives à un maître d ouvrage. Il est le client du projet mais il n est pas nécessairement le futur utilisateur. 21
dossier :Audit 22 L articulation du projet autour des phases et étapes permet d atteindre progressivement l objectif final. Sans cet engagement graduel de la démarche, les obstacles survenant en chemin ne pourraient pas être écartés. Cependant, différents facteurs, qui tiennent à la complexité technique du projet et à la lourdeur de l organisation et des moyens à mettre en place,amènent à procéder à un découpage complémentaire du projet en fonction de critères de savoir-faire qui peut prendre la forme d un organigramme technique (le WBS des Anglo-Saxons). La presse spécialisée mentionne régulièrement le coût des erreurs de conception et des dérapages de planning des projets. Les causes des dérives peuvent être imputables à la maîtrise d'œuvre ou à la maîtrise d'ouvrage, voire au manque de coordination entre les deux. Il peut s'agir encore de problèmes généraux d'organisation autour du projet. Audelà de ces problèmes de coûts et de délais, on constate un pourcentage significatif d abandons avant même d entrer dans la phase de développement. 1.2. Le contexte d intervention et les objectifs de l audit Les circonstances de la demande d intervention conditionnent généralement le sujet d audit : difficultés prévisibles qui ont été détectées à l occasion d une revue du projet ; remplacement du chef de projet ; incident contractuel (risques de contentieux avec les fournisseurs) ; survenance d un événement grave (fraude, accident ) ; relations conflictuelles entre services, etc. L audit est amené à garantir que le projet se trouve dans un état satisfaisant ou qu il est nécessaire de le mettre en conformité avec les objectifs, règles et procédures qui constituent le référentiel des équipes chargées de le mettre en œuvre. Lorsqu il existe des écarts entre la situation projetée et la situation constatée, la mission d audit est alors l occasion de préconiser les actions de progrès pouvant favoriser la réalisation des objectifs. Les auditeurs sont susceptibles d intervenir à n importe quel moment. Pour le passé, les dossiers des revues de projet (revues d évaluation technique, revues d avancement,...) les informeront sur les éléments de mesure suivants : les niveaux de performances atteints, les risques déjà pris en compte, les temps passés, la partie du coût global déjà réalisée, et la qualité des réalisations. Pour le futur, ces mêmes revues sont censées avoir évalué : les performances attendues, les risques restants, les délais restants, les prévisions de dépenses, les coûts engagés, et la qualité des réalisations. Lorsque la mission est engagée à la fin du projet, les auditeurs ne disposent plus que de mesures puisque, à ce moment-là, les prévisions sont «épuisées». Il faudra se livrer en conséquence à une «remontée dans le temps» pour tenter de comprendre la façon dont le projet a été mené et la façon dont les arbitrages ont été rendus. La documentation du projet, en particulier le rapport d achèvement, s il a été élaboré suivant les règles de l art, est alors incontournable. Les modifications qui sont intervenues en cours de route en disent généralement long sur la cohérence de la situation de départ et sur les faiblesses de cadrage du projet. Il conviendra d analyser de la même manière la cause des dysfonctionnements apparus dans la conduite de la démarche. L histoire du projet servira ainsi à améliorer la pratique future de l entreprise. 2. Le déroulement de la mission d audit Elle se décompose généralement en trois phases : la phase d étude préliminaire, qui comprend la prise de connaissance de l entité à contrôler, le dépistage des risques et l orientation de la mission ; la phase de réalisation de l audit à proprement parler (exécution des travaux de contrôle) ; la phase de conclusion de la mission (synthèse, présentation orale et rédaction du rapport). 2.1. La phase préliminaire ou la phase de préparation de la mission La démarche commence par un ordre de mission dont la forme et le contenu varient en fonction du contexte d intervention. Il s agit le plus souvent d un document sommaire informant les responsables concernés de l objet, des circonstances et du calendrier de l intervention. L ordre de mission est suivi d un premier contact avec les responsables du projet pour leur présenter la démarche projetée, mais surtout pour obtenir de leur part le «passeport» nécessaire à la suite des opérations. La détection des risques du projet passe par une phase de reconnaissance des différents domaines doublée d un examen critique de l organisation, des procédures et des processus mis en œuvre par les entités auditées. Les objectifs de pré-audit pour un projet d une importance significative sont les suivants : 2.1.1. Prendre connaissance des caractéristiques du projet La présentation du projet doit logiquement constituer le thème central des premiers échanges avec les responsables de l entité auditée. En ce début de mission, il s agit de s informer, à grands traits seulement, sur l histoire, les caractéristiques
générales et techniques (choix de la solution), et l état d avancement du projet de façon à : Situer le projet dans son environnement pour en comprendre les enjeux Les auditeurs vont s interroger sur les origines du projet, lesquelles doivent pouvoir se raccorder avec les objectifs généraux de l entreprise. Pour les projets à dominante stratégique (forts enjeux de développement ou d organisation), ils seront amenés à étudier le cadre de planification de l entreprise. Connaître l organisation et les équipes Les auditeurs se feront présenter la structure d organisation du projet qui a été retenue et les raisons de ce choix. S agit-il d une simple structure de coordination ou d une structure de direction à part entière? Ils se feront présenter la composition des équipes de maîtrise d ouvrage et de maîtrise d œuvre et les fonctions assurées par leurs membres. Ils prendront la mesure de l'importance de la sous-traitance. Connaître les phases et les domaines du projet Les auditeurs vont devoir se familiariser avec l architecture du projet (critères techniques ayant déterminé les choix de découpage). Connaître le dispositif contractuel Les auditeurs se feront préciser les moyens de la fonction juridique Exemple de grille d analyse des risques ainsi que la réglementation propre au secteur d intervention du projet (s il en existe une) et les règles applicables à la passation des marchés de prestations de service. Connaître les coûts, le budget et la rentabilité du projet Les auditeurs demanderont communication des principaux éléments du programme d investissements, des prévisions budgétaires et de leur actualisation, ainsi que des principaux éléments du dossier d estimation de la rentabilité du projet (coûts rapportés aux gains de productivité escomptés). Connaître les supports matériels du projet Il s agira de savoir si le projet bénéficie d une organisation matérielle spécifique et, dans l affirmative, de se faire préciser les caractéristiques de cette organisation. Connaître le mode de management du projet Les auditeurs vont chercher à apprécier les fonctions de pilotage opérationnel et de gestion (système de planification des tâches et de contrôle d avancement) au regard des risques qu elles font courir au projet. Connaître les caractéristiques du système de maîtrise des risques Il conviendra de porter une première appréciation sur l organisation et les procédures de contrôle en se focalisant sur les éléments suivants : existence d un plan d organisation et de cahiers de procédures définissant les champs d intervention de chacun (système organisé de délégations de pouvoirs) et les critères de séparation des tâches réputées les plus sensibles ; permanence du système d analyse des risques qui doit faire partie intégrante du dispositif de management du projet ; instauration d un système de contrôle d avancement rattaché au niveau du chef de projet mais rapportant également à un autre échelon de l entreprise (contrôle de gestion central par exemple). 2.1.2. Identifier les risques Cette première analyse des risques sert à définir les pistes d exploration à partir desquelles le véritable effort de diagnostic sera mis en œuvre. L attention et les moyens se concentreront alors sur les secteurs d activité où les risques de défaillance sont significatifs. L enjeu doit en valoir la peine. Pour cette raison, il est nécessaire de classer les risques par ordre d importance. Les auditeurs peuvent élaborer leur pré-diagnostic en s appuyant sur des grilles d analyse des risques de défaillance du projet. Le tableau cidessous fait référence à un projet informatique comportant de forts enjeux d organisation (introduction d une gestion par processus par exemple). Objet d audit Pilotage de la phase de réalisation et de tests du projet. Nature du risque Les besoins de toutes les parties prenantes aux différents processus ne semblent pas avoir été pris en compte. Cause apparente Faiblesse de la maîtrise d ouvrage ayant abouti à une insuffisance de cadrage du projet. Impact probable Les recettes fonctionnelles ne couvrent pas tous les services concernés. Nature du contrôle Vérifier : - le contenu du cahier des charges ; - les échanges entre la maîtrise d œuvre et les utilisateurs. 23
dossier :Audit 24 2.1.3. Préparer la phase suivante Lorsque les risques potentiels ont pu être identifiés et ont fait l objet d un début d analyse, il est alors possible de fixer la prochaine étape de la mission en définissant les axes et les limites. Tel est l objectif assigné à la note d orientations des travaux de contrôle. Après validation, ce document permet d élaborer le programme de travail de la phase de réalisation de l audit. 2.2. La phase de réalisation de l audit Cette phase est l occasion d accumuler les preuves nécessaires à la crédibilité des constats des auditeurs et de s assurer du fondement des affirmations des personnes interviewées. Le programme de vérifications comprend les points de contrôle et d examen détaillé ainsi que leurs modalités de mise en œuvre pour les activités réputées sensibles du projet. Il formalise les engagements réciproques au sein de l équipe d audit et permet d élaborer le planning et le budget définitif de l intervention, ce qui revient à organiser la mission dans le temps jusqu à la diffusion du rapport. À ce stade de la mission, les faiblesses révélées ne sont plus des «présomptions», mais de véritables constats dont il convient d analyser les causes et les conséquences dans une perspective de résolution du problème. Le cadre imparti à cet article nous limite à une présentation schématique et synthétique de quelques types de risque auxquels les auditeurs sont confrontés de manière récurrente.la présentation ne prétend donc pas à l exhaustivité. Notons enfin que les risques peuvent concerner une seule phase, un seul domaine du projet ou avoir des conséquences en chaîne sur les phases successives et les domaines respectifs du projet. Lors de cette phase d audit, les auditeurs devront : 2.2.1. Contrôler les risques afférents aux études d avant-projet La valeur des études conditionne le fondement des décisions prises lors des premiers jalons, comme elle garantit la fiabilité des données de cadrage pour les phases d étude détaillée et de réalisation du projet. C est dire l attention qu il convient de leur porter. Pourtant, les projets informatiques sont régulièrement confrontés à des difficultés qui proviennent d une faiblesse de la définition des besoins fonctionnels et des choix d organisation et de moyens. Les risques de la phase d étude d opportunité Le risque de devoir composer avec des données insuffisantes pour la phase suivante a souvent pour origine une mauvaise appréciation de l environnement du projet. Les conséquences organisationnelles du choix stratégique que constitue un projet informatique d importance significative peuvent être mésestimées, alors que les structures et les capacités actuelles de management de l entreprise sont parvenues à leurs limites. La faiblesse des premières études peut avoir d autres causes, par exemple : absence de participation de certains services, absence de consensus autour des finalités recherchées liées à une moindre implication du commanditaire, mauvaise définition des besoins qui résulte d une faiblesse de l analyse fonctionnelle, maîtrise insuffisante des prestataires (études réalisées en sous-traitance). Les risques de la phase d étude préalable Les manifestations d études préalables qui n ont pas été menées avec la rigueur ou les moyens souhaitables se constatent à différents endroits : tâches mal identifiées et non valorisées, aspects délaissés (fonctions supports notamment), date de fin de projet qui ne se justifie pas sur un plan technique, budget estimé sur la base d une analyse insuffisante des coûts, spécifications fonctionnelles imprécises, solution technique mal adaptée au système en place, etc. 2.2.2. Contrôler les risques liés à l organisation, aux ressources et aux contrats de prestations de service L organisation et les moyens de fonctionnement induisent un certain nombre de risques dont certains sont spécifiques à la conduite des projets. La répartition des tâches Une faiblesse de définition des rôles des intervenants peut entraîner des risques de confusion entre les missions relevant de la maîtrise d ouvrage, de la maîtrise d œuvre et des autres intervenants. Une confusion des rôles et notamment un empiétement de la maîtrise d ouvrage sur les tâches de la maîtrise d œuvre augmente les risques d aboutir à des choix techniques inappropriés. À l inverse, un empiétement de la maîtrise d œuvre sur la maîtrise d ouvrage peut faire dériver le projet loin de ses objectifs premiers et entraîner une inflation des études et des coûts. Ces risques peuvent également engendrer des différends et parfois même des contentieux si les fonctions évoquées impliquent plusieurs entités juridiques distinctes. Les ressources humaines Le risque majeur sur ce point est de ne pas pouvoir disposer des compétences nécessaires au moment où il le faudrait. Ce risque menace tous les domaines du projet. Il peut survenir à n importe quel moment si la gestion des ressources humaines n est pas bien adaptée aux contraintes spécifiques du projet ou si le mode de management du projet convient mal à l équipe.
Les risques liés aux contrats du projet On mentionnera uniquement l absence d assistance juridique qui aboutit notamment à des faiblesses de rédaction : par exemple, les spécifications sont imprécises et peuvent prêter à équivoque pour un cocontractant. 2.2.3. Contrôler les risques liés au management des équipes Le premier facteur de risque en ce domaine est un chef de projet dont le profil n est pas adapté aux exigences qu implique la conduite de ses équipiers. Les insuffisances d un mode de management en décalage par rapport à l action et aux attentes des membres de l équipe engendre une incapacité de réaction collective (recherche de solutions dans l urgence) face à la survenance d un dysfonctionnement ou à l indisponibilité d une ressource. 2.2.4. Contrôler les risques liés aux revues du projet Les facteurs de risques sont liés à la composition des instances d évaluation et au mode de fonctionnement des revues. Par exemple : le commanditaire et son maître d ouvrage ne sont pas représentés au niveau de délégation requis pour pouvoir prendre les décisions ; en fait, les décisions se prennent ailleurs ; les chargés d évaluation ne sont pas indépendants vis-à-vis des équipes de projet ; la définition des objectifs, l organisation et le fonctionnement même des revues ne sont pas satisfaisants. Ceci entraîne notamment : la détection tardive des problèmes ; l incapacité à pouvoir arbitrer sur le fond les priorités du projet ; l opacité de la démarche pour les instances décisionnaires (faiblesse du reporting) ; le changement fréquent de cap. 2.3. La phase de synthèse et de rédaction du rapport Il s agit de la phase de conclusion de la mission : les notes prises en entretien, l étude de la documentation et des procédures recueillies, le contrôle des dossiers et des systèmes d informations ont permis de constituer un dossier dont le volume est important. Les auditeurs doivent à présent structurer leur réflexion. Il convient de classer les idées et les faits, en fonction de leur importance, de les regrouper par thème et de travailler à l élaboration du plan détaillé du rapport d audit. En conclusion Les missions d audit n ont pas d autre objet que de mettre en évidence les constats explicites ou implicites disponibles au sein même des équipes de projet et qui peuvent échapper aux contrôles de proximité (premier et deuxième niveau). Dans ces conditions, les missions d audit sont l occasion exceptionnelle d une «revue de détail» impartiale dont chaque constat devra être validé de part et d autre. On a souligné dés l introduction les difficultés de l exercice qui consiste pour l auditeur à porter un jugement sur une réalité mouvante. A l instar de tout système complexe, rappelons que les projets sont composés d éléments qui interagissent constamment entre eux pour se stabiliser seulement au moment d atteindre leur état définitif. Les ajustements en chemin sont inévitables et plusieurs voies possibles peuvent conduire au même résultat. Le travail de comparaison des réalisations projetées et des réalisations constatées doit être mené en ayant à l esprit ces «fondamentaux» du projet. Notons enfin que la maîtrise d un projet dépend pour beaucoup de la qualité du système d informations qui fonde le langage commun de tous les intervenants. Les informations sont à la fois techniques, lorsqu elles servent la définition du produit, mais aussi juridiques, comptables et financières. La démarche sera difficile pour l auditeur s il ne possède pas les connaissances suffisantes pour lui permettre de communiquer efficacement avec ses interlocuteurs et assimiler ainsi rapidement les aspects de ces domaines qui ont un rapport avec le contrôle de la gestion des risques. On conçoit ainsi qu un audit de système d information nécessite une compétence à la fois d organisateur, d informaticien et de gestionnaire. Cette compétence s obtient le plus souvent avec une équipe pluridisciplinaire. Pour aller plus loin L ouvrage «Anticiper l audit de projet», de Raoul Belot, paru aux éditions AFNOR en 2003, a été conçu en priorité pour les professionnels de l audit et pour les techniciens qui souhaitent acquérir une vision d ensemble des projets dont ils ne connaissent parfois que les aspects relevant de leur domaine de spécialité. Il propose dans un premier temps un vademecum des projets. Le livre s attache ensuite à décrire de façon aussi didactique que possible les méthodes et les outils de l audit. 25