CIA Part 3 (Internal Audit Function) : piloter la fonction d'audit interne

Le point de vue du responsable de l'audit

La Part 3, Internal Audit Function, porte sur la gestion de la fonction : stratégie et plan d'audit, gestion des ressources, programme d'assurance et d'amélioration de la qualité, relations avec le Conseil et la direction générale.

Du plan d'audit à la valeur pour l'organisation

Un plan d'audit n'est pas une simple liste de missions reconduites chaque année. Le responsable de l'audit interne doit comprendre les objectifs de l'organisation, prendre en compte les risques, puis expliquer ses priorités et ses besoins en ressources au Conseil et à la direction générale.

Exemple pédagogique : si l'entreprise lance un nouveau canal de vente numérique, garder exactement le même calendrier de missions sans réévaluer les risques peut laisser un angle mort. La bonne démarche consiste à réexaminer les priorités, puis à rendre explicites les arbitrages si les ressources ne suffisent pas.

Les thèmes qui reviennent souvent

• →
  Escalade

  Que faire quand la direction accepte un niveau de risque que l'auditeur juge inacceptable.
• →
  Risque résiduel

  Évaluer ce qui reste après les contrôles et le communiquer clairement.
• →
  Communication efficace

  Adapter le message au Conseil, au comité d'audit et à la direction.
• →
  Qualité

  Évaluations internes et externes de la fonction d'audit.

Cas pratique : la direction accepte un risque élevé

Supposons qu'une mission identifie un accès non contrôlé à des données sensibles. La direction décide de ne pas agir, malgré une exposition que le responsable de l'audit interne considère excessive. Ce dernier doit d'abord comprendre et discuter les raisons de cette acceptation avec la direction, documenter le risque et, si le désaccord demeure, le porter à l'attention du Conseil selon les modalités de gouvernance applicables.

Il ne s'agit ni de prendre la décision opérationnelle à la place de la direction, ni de laisser disparaître un risque jugé inacceptable dans un rapport vague. Pour répondre à un cas, identifiez qui accepte le risque, sur quelle base, quel risque reste après les contrôles et qui doit en être informé.

Qualité et communication : ce qu'il faut savoir expliquer

• →
  Qualité

  Distinguez le suivi continu de la qualité, les évaluations internes périodiques et l'évaluation externe ; leur objectif commun est d'apprécier et d'améliorer la fonction.
• →
  Message adapté

  Un responsable opérationnel attend des mesures concrètes ; le Conseil a besoin d'une vision claire des risques, des tendances et des arbitrages.
• →
  Risque résiduel

  Ne confondez pas le risque initial avec celui qui subsiste après la prise en compte des contrôles ; examinez si ce dernier reste acceptable.

Préparer la Part 3 avec Tamkiny

Cours en français, questions corrigées et deux examens blancs qui respectent la répartition des domaines de l'examen.