Aperçu et format de l'examen CIA
La certification Certified Internal Auditor (CIA), délivrée par The IIA, s’appuie sur un programme composé de trois examens distincts. Selon le programme 2025, la Partie 1 comporte 125 questions en 150 minutes; les Parties 2 et 3 comportent chacune 100 questions en 120 minutes. The IIA communique les résultats sur une échelle de 250 à 750, avec 600 comme score requis pour réussir chaque partie. Vérifiez les règles d’inscription et de réservation en vigueur auprès de The IIA.
Ce guide s’adresse aux candidats et aux professionnels qui souhaitent revoir les notions de l’audit interne en les reliant à des décisions concrètes. Il couvre les trois parties: fondamentaux, éthique, gouvernance, risques et contrôles; conduite des missions; puis stratégie, ressources, qualité et coordination de la fonction.
Version et langue
Le contenu suit le programme CIA 2025 et les Global Internal Audit Standards, en vigueur depuis janvier 2025. Cette page est un outil éditorial de préparation, non un document officiel de The IIA. Une préparation en français ne signifie pas que l’examen est proposé en français: vérifiez les langues actuellement disponibles sur le site de The IIA.
- Les trois parties sont des examens distincts: ce guide ne décrit pas un examen unique.
- Les questions et exemples de ce guide sont originaux et ne sont ni des questions réelles ni des questions annoncées de l’examen.
- Les pondérations officielles indiquées ci-dessous concernent les domaines de la Partie 1 seulement; elles ne constituent pas une pondération générale entre les trois parties.
Pour consulter les sources, référez-vous au programme officiel CIA, à la page de certification CIA et aux Global Internal Audit Standards.
Les trois parties du programme CIA
| Partie | Périmètre du programme | Repère de préparation |
|---|---|---|
| Partie 1 — Fondements de l’audit interne | Fondements; éthique et professionnalisme; gouvernance, risques et contrôles; risques de fraude; fonction d’audit interne selon les Global Internal Audit Standards. | Pondérations officielles des domaines de la Partie 1: fondements 35 %, éthique et professionnalisme 20 %, gouvernance/risques/contrôles 30 %, risques de fraude 15 %. |
| Partie 2 — Mission d’audit interne | Planification de mission; collecte et analyse d’informations; preuves et échantillonnage; évaluation; supervision et communication pendant la mission. | Travaillez la qualité des preuves, la cohérence entre objectifs et tests, ainsi que le choix de la prochaine étape défendable. Aucune pondération globale entre les parties n’est indiquée ici. |
| Partie 3 — Fonction d’audit interne | Gestion et ressources de la fonction; stratégie et plan d’audit; coordination avec les autres prestataires d’assurance; qualité; résultats des missions, recommandations et plans d’action; communications finales; communication de l’acceptation des risques et suivi des actions. | Raisonnez du point de vue du responsable de l’audit interne: couverture fondée sur les risques, ressources, qualité, communication des résultats et suivi, avec responsabilité envers le conseil. Aucune pondération globale entre les parties n’est indiquée ici. |
60 concepts à comprendre et à appliquer 1–10
1. La finalité de l’audit interne
Partie 1 — Fondements de l’audit interne
L’audit interne aide l’organisation à créer, protéger et préserver sa valeur en fournissant au conseil et à la direction une assurance, des conseils et des perspectives fondés sur les risques. Il évalue les processus de gouvernance, de gestion des risques et de contrôle. Son utilité dépend de jugements objectifs et d’informations suffisamment solides, et non du fait de prendre en charge les responsabilités de gestion.
Mise en situation: Une équipe examine le processus d’octroi de subventions, identifie des faiblesses de contrôle et explique leur incidence potentielle au comité compétent, sans décider elle-même des bénéficiaires.
Erreur fréquente: L’audit interne n’est pas le propriétaire des risques ni le gestionnaire des contrôles. Concevoir ou exploiter durablement un processus au nom de la direction brouillerait cette distinction.
2. Mandat et charte d’audit interne
Partie 1 — Fondements de l’audit interne
Le mandat définit l’autorité, le rôle et les responsabilités de la fonction d’audit interne. La charte le formalise et précise notamment la finalité de l’audit interne, l’engagement à respecter les Global Internal Audit Standards, le périmètre et les types de services, l’autorité d’accès nécessaire aux travaux, ainsi que le positionnement et les liens de rattachement. Elle précise aussi les responsabilités du conseil et les attentes envers la direction pour soutenir la fonction. Le responsable de l’audit interne prépare la charte, la discute avec le conseil et la direction générale, puis la soumet à l’approbation du conseil.
Mise en situation: Une réorganisation modifie le mandat et le rattachement de l’audit interne. Le responsable actualise la charte, examine les changements avec le conseil et la direction générale, puis obtient l’approbation du conseil. Les modalités d’accès aux données sensibles respectent les obligations applicables et les exigences de confidentialité.
Erreur fréquente: L’accord de la direction générale ne remplace pas l’approbation du conseil. La charte ne donne pas non plus carte blanche : l’accès aux informations doit servir le mandat et respecter les obligations applicables.
3. Les Global Internal Audit Standards
Partie 1 — Fondements de l’audit interne
Les Global Internal Audit Standards fournissent un cadre professionnel pour guider et évaluer la fonction et les travaux d’audit interne. Elles articulent des principes, des exigences et des considérations de mise en œuvre. Pour appliquer une norme à un scénario, distinguez ce qui est requis de ce qui constitue une pratique ou un exemple utile, puis tenez compte des faits et du contexte de l’organisation.
Mise en situation: Une équipe repère une exigence de communication dans les normes, puis vérifie les parties prenantes et le contexte avant de choisir la forme adaptée à sa mission.
Erreur fréquente: Ne traitez pas chaque exemple ou considération comme une exigence identique dans toutes les situations. Il faut distinguer le statut du texte et appliquer les exigences pertinentes au contexte.
4. L’intégrité professionnelle
Partie 1 — Éthique et professionnalisme
L’intégrité suppose d’agir avec honnêteté, responsabilité et courage professionnel, y compris lorsque la communication d’un fait dérange une partie prenante. Elle exige aussi de ne pas altérer ou omettre des informations importantes pour donner une impression trompeuse. Un auditeur intègre rend compte de ce qu’il sait, distingue les faits des interprétations et corrige une erreur lorsqu’il la découvre.
Mise en situation: Une auditrice constate qu’une synthèse transmise à la direction minimise une exception importante. Elle signale l’omission et fait corriger la synthèse en s’appuyant sur le dossier.
Erreur fréquente: Être diplomate ne justifie pas de masquer un fait significatif. La communication peut être mesurée et constructive tout en restant complète et fidèle aux éléments probants.
5. L’objectivité individuelle et les conflits d’intérêts
Partie 1 — Éthique et professionnalisme
L’objectivité est la capacité d’exercer un jugement impartial, sans laisser un intérêt personnel, une relation ou une responsabilité antérieure influencer l’évaluation. Les atteintes réelles, potentielles ou perçues doivent être signalées et traitées. Selon les Global Internal Audit Standards, l’objectivité est présumée compromise lorsqu’un auditeur fournit une assurance sur une activité dont il était responsable au cours des 12 mois précédents : il ne doit pas être chargé de cette évaluation. Pour les autres situations, les mesures de protection dépendent de la nature de la menace et peuvent inclure une modification des tâches ou une réaffectation.
Mise en situation: Un auditeur a quitté la responsabilité opérationnelle du processus d’achat il y a six mois. Une mission d’assurance sur ce processus lui est proposée. Il signale sa responsabilité antérieure et le responsable de l’audit interne confie l’évaluation à un autre auditeur compétent dont l’objectivité n’est pas compromise.
Erreur fréquente: La divulgation ne rend pas automatiquement un conflit acceptable. Dans le cas d’une assurance portant sur une activité gérée au cours des 12 mois précédents, une simple supervision renforcée ne suffit pas à justifier que l’ancien responsable réalise l’évaluation.
6. L’indépendance de la fonction
Partie 1 — Fondements de l’audit interne
L’indépendance organisationnelle permet à la fonction d’audit interne de déterminer son périmètre, de réaliser ses travaux et de communiquer ses résultats sans ingérence indue. Elle repose notamment sur un rattachement direct au conseil et un accès sans restriction à celui-ci. Le responsable de l’audit interne confirme au conseil l’indépendance organisationnelle de la fonction au moins une fois par an. Cette confirmation comprend la communication des incidents ayant porté atteinte à l’indépendance et des mesures prises pour y remédier. Les menaces doivent être discutées avec le conseil et la direction générale afin de définir les protections nécessaires.
Mise en situation: Un dirigeant refuse l’accès à une unité à risque incluse dans une mission approuvée. Le responsable de l’audit interne documente la limitation et ses conséquences, cherche à la résoudre avec la direction et saisit le conseil pour obtenir le soutien nécessaire, plutôt que de retirer silencieusement l’unité du périmètre.
Erreur fréquente: Un rattachement administratif à la direction générale ne lui donne pas le droit de bloquer les travaux ou les communications. L’indépendance organisationnelle reste distincte de l’objectivité individuelle : un conflit personnel peut exister même dans une fonction correctement positionnée.
7. Compétence, diligence et scepticisme professionnel
Partie 1 — Éthique et professionnalisme
Les auditeurs doivent mobiliser les connaissances et les compétences nécessaires à leurs responsabilités, agir avec une diligence professionnelle adaptée et garder un esprit d’examen critique. La diligence ne signifie pas garantir la découverte de toute erreur ou fraude; elle implique de planifier et d’exécuter des travaux raisonnables au regard des risques, des informations disponibles et des objectifs convenus.
Mise en situation: Face à des rapprochements préparés par une seule personne, l’équipe ne se contente pas des signatures: elle vérifie la piste d’audit et examine des éléments indépendants.
Erreur fréquente: Le scepticisme n’est ni une accusation systématique ni une acceptation aveugle. Il consiste à questionner de façon proportionnée les explications et à rechercher des éléments qui les corroborent.
8. Confidentialité et usage responsable des informations
Partie 1 — Éthique et professionnalisme
Les informations obtenues au cours d’un travail d’audit doivent être protégées et utilisées à des fins professionnelles légitimes. La confidentialité n’interdit pas les communications nécessaires au travail, à la gouvernance ou au respect des obligations applicables; elle exige plutôt de contrôler l’accès et de tenir compte de la sensibilité des données. L’auditeur évite toute utilisation personnelle ou communication non autorisée.
Mise en situation: Une auditrice prépare une présentation sur un incident et remplace les données personnelles non nécessaires par des informations agrégées avant de la partager.
Erreur fréquente: La confidentialité ne signifie pas garder une information importante hors de toute communication. Il faut la transmettre aux personnes autorisées, par un canal adapté et avec les protections pertinentes.
9. Les responsabilités du conseil et de la direction
Partie 1 — Gouvernance, risques et contrôles
La gouvernance répartit les responsabilités de surveillance, de décision et d’exécution. Le conseil ou l’organe de gouvernance exerce une surveillance selon le cadre de l’organisation; la direction gère les activités, les risques et les contrôles. L’audit interne évalue ces dispositifs et communique ses conclusions. Comprendre les rôles permet d’adresser une question au niveau qui peut réellement agir.
Mise en situation: Une mission relève une faiblesse persistante dans l’approbation des dépenses. La direction est appelée à corriger le processus, tandis que l’organe de gouvernance reçoit l’information pertinente sur la surveillance.
Erreur fréquente: L’audit interne ne remplace ni la surveillance du conseil ni la responsabilité de gestion. Une recommandation utile ne transfère pas à l’auditeur la responsabilité de mettre en œuvre le contrôle.
10. Le processus de gestion des risques
Partie 1 — Gouvernance, risques et contrôles
La gestion des risques consiste à identifier et évaluer les événements susceptibles d’affecter les objectifs, puis à décider comment les traiter et à suivre leur évolution. L’audit interne évalue la conception et le fonctionnement du processus de gestion des risques, sans décider à la place de la direction quel risque accepter. Une évaluation utile relie les risques aux objectifs et au contexte réel.
Mise en situation: Après le lancement d’un nouveau service numérique, l’équipe examine si les risques opérationnels identifiés couvrent aussi la dépendance à un fournisseur externe.
Erreur fréquente: Un registre de risques à jour ne prouve pas à lui seul que la gestion des risques fonctionne. Il faut examiner la qualité des évaluations, les réponses choisies et leur suivi.
60 concepts à comprendre et à appliquer 11–20
11. Appétence au risque et tolérance
Partie 1 — Gouvernance, risques et contrôles
L’appétence au risque exprime les types et le niveau de risque qu’une organisation est disposée à accepter pour poursuivre sa stratégie et ses objectifs. La tolérance au risque précise les variations acceptables de performance dans la réalisation d’un objectif. Elle traduit l’appétence en repères opérationnels, qui peuvent être qualitatifs ou quantitatifs. L’auditeur vérifie que ces orientations sont approuvées par les autorités compétentes, cohérentes entre elles et applicables à l’activité examinée avant de les utiliser comme critères.
Mise en situation: Dans cet exemple, le conseil a approuvé une faible appétence aux interruptions d’un service essentiel. La direction a fixé, conformément à cette orientation et à ses délégations, une tolérance de 30 minutes d’indisponibilité cumulée par mois. Les relevés montrent 45 minutes pour le mois examiné. L’auditeur constate le dépassement du critère, analyse ses causes et évalue la réponse de la direction ; ces durées sont propres à la situation, non des seuils universels.
Erreur fréquente: L’appétence n’est pas un simple seuil opérationnel, et la tolérance ne doit pas être une limite arbitraire sans lien avec les objectifs. Une préférence informelle d’une unité ne remplace pas les orientations approuvées de l’organisation.
12. Les contrôles internes et leurs limites
Partie 1 — Gouvernance, risques et contrôles
Un contrôle est une action ou un mécanisme destiné à réduire un risque lié aux objectifs de l’organisation. Les contrôles peuvent être manuels ou automatisés et sont souvent combinés. Ils ne donnent qu’une assurance raisonnable: une erreur humaine, une collusion, une dérogation de la direction ou un changement de contexte peut en limiter l’effet. L’évaluation doit donc porter sur le risque et le dispositif dans son ensemble.
Mise en situation: Un système bloque les paiements dépassant une limite, mais un examen complémentaire montre que certains utilisateurs peuvent modifier les paramètres. L’auditeur évalue aussi la gouvernance de ces accès.
Erreur fréquente: La présence d’un contrôle ne supprime pas le risque. Il faut déterminer ce qu’il atténue réellement, quelles exceptions restent possibles et si d’autres contrôles complètent le dispositif.
13. Conception et fonctionnement d’un contrôle
Partie 1 — Gouvernance, risques et contrôles
L’évaluation de la conception demande si le contrôle, tel qu’il est prévu, pourrait répondre au risque visé. L’évaluation du fonctionnement demande s’il est appliqué comme prévu et de manière suffisamment cohérente pendant la période examinée. Ces questions sont complémentaires: un contrôle peut être bien conçu mais mal exécuté, ou fonctionner régulièrement sans traiter le risque principal.
Mise en situation: Une procédure prévoit une revue indépendante des changements de coordonnées bancaires. L’auditeur vérifie d’abord si cette revue répond au risque, puis examine si elle a effectivement été réalisée.
Erreur fréquente: Une procédure écrite ne démontre pas le fonctionnement du contrôle. À l’inverse, une défaillance isolée d’exécution ne prouve pas automatiquement que la conception est inadaptée.
14. Contrôles préventifs, détectifs et correctifs
Partie 1 — Gouvernance, risques et contrôles
Un contrôle préventif vise à empêcher qu’un événement indésirable se produise; un contrôle détectif vise à le repérer; un contrôle correctif contribue à en corriger les effets ou à prévenir sa répétition. Une même activité peut combiner plusieurs fonctions. Cette distinction aide à comprendre le moment où le contrôle agit et les mesures supplémentaires nécessaires si la prévention échoue.
Mise en situation: Une validation avant paiement est préventive, un rapprochement mensuel peut révéler une anomalie et la correction d’un paramétrage erroné limite sa répétition.
Erreur fréquente: Un contrôle détectif ne prévient pas nécessairement l’incident initial. Il peut néanmoins être utile si les anomalies sont repérées assez tôt et font l’objet d’un traitement efficace.
15. Assurance et conseil: des rôles distincts
Partie 1 — Fondements de l’audit interne
Une mission d’assurance évalue de manière indépendante des éléments de gouvernance, de gestion des risques ou de contrôle à l’aide de critères adaptés. Une mission de conseil apporte un avis ou facilite une réflexion sans que l’auditeur assume une responsabilité de gestion. Dans les deux cas, il faut clarifier l’objectif, le rôle de chacun et les limites des conclusions attendues.
Mise en situation: Une équipe aide à cartographier les risques d’un projet, mais laisse aux responsables du projet le choix des réponses et des contrôles à mettre en place.
Erreur fréquente: Participer à une mission de conseil ne donne pas à l’auditeur le pouvoir de décider ou d’exploiter le processus. Toute responsabilité de gestion assumée peut compromettre une assurance ultérieure.
16. Responsabilités relatives au risque de fraude
Partie 1 — Risques de fraude
La direction et les organes de gouvernance ont des responsabilités concernant la prévention, la détection et la réponse à la fraude. L’audit interne évalue les risques et les contrôles associés, et suit les indices qui apparaissent dans ses travaux. Son rôle n’est pas automatiquement celui d’un enquêteur spécialisé ni celui d’une autorité chargée de déterminer la culpabilité; il doit appliquer les protocoles de l’organisation et faire appel aux compétences nécessaires.
Mise en situation: Lors d’une revue, un auditeur détecte des transactions inhabituelles. Il préserve les éléments pertinents et informe la personne compétente selon le protocole, sans interroger seul les personnes concernées.
Erreur fréquente: Repérer un risque de fraude ne signifie pas mener une enquête complète sans mandat ni expertise. Le bon réflexe consiste à préserver les faits et à suivre les voies de signalement appropriées.
17. Indices de fraude et éléments probants
Partie 1 — Risques de fraude
Une anomalie ou un signal d’alerte peut justifier une attention accrue, mais ne prouve pas en soi qu’une fraude a été commise. L’auditeur documente ce qu’il observe, recherche des éléments corroborants ou contradictoires et évalue si les travaux doivent être étendus. La qualification et l’escalade doivent rester proportionnées aux faits disponibles et aux responsabilités prévues dans l’organisation.
Mise en situation: Un fournisseur présente plusieurs factures similaires. L’équipe compare les pièces, vérifie les approbations et examine si d’autres transactions montrent le même schéma avant de communiquer ses observations.
Erreur fréquente: Un comportement inhabituel ne suffit pas à accuser une personne. À l’inverse, l’existence possible d’une explication bénigne ne justifie pas d’ignorer un signal pertinent.
18. Facteurs de risque de fraude
Partie 1 — Risques de fraude
Les pressions, les possibilités offertes par des contrôles faibles et les justifications personnelles peuvent aider à réfléchir aux circonstances dans lesquelles une fraude risque de se produire. Ce cadre sert à organiser l’évaluation des risques et à repérer des vulnérabilités, non à établir l’intention d’une personne. L’auditeur relie ces facteurs aux processus, aux contrôles et aux éléments observables.
Mise en situation: Une période de forte pression sur les résultats coïncide avec des accès peu contrôlés à la comptabilité. L’auditeur examine les contrôles concernés plutôt que d’en déduire la culpabilité d’un employé.
Erreur fréquente: La présence d’un ou plusieurs facteurs ne prouve ni qu’une fraude a eu lieu ni qui l’aurait commise. Ils orientent l’évaluation et les tests, sans remplacer les preuves.
19. Risque inhérent et risque résiduel
Partie 1 — Gouvernance, risques et contrôles
Le risque inhérent correspond au risque associé à une activité avant de considérer les réponses de contrôle; le risque résiduel est celui qui demeure après prise en compte de ces réponses. La distinction aide à juger si les mesures d’atténuation sont suffisantes au regard des objectifs et de l’appétence applicable. Le risque résiduel peut rester important même lorsque plusieurs contrôles existent.
Mise en situation: Une plateforme de paiement présente un risque élevé d’erreur. L’entreprise ajoute une validation indépendante, mais l’auditeur vérifie encore les exceptions et le risque qui subsiste.
Erreur fréquente: L’existence de contrôles ne rend pas automatiquement le risque résiduel acceptable. Il faut examiner leur fonctionnement et comparer le risque restant aux critères pertinents.
20. Approche d’audit fondée sur les risques
Partie 1 — Fondements de l’audit interne
Une approche fondée sur les risques concentre les travaux sur les objectifs et les expositions qui comptent le plus, plutôt que de répartir mécaniquement les tests. Les risques doivent être compris dans leur contexte et reliés aux contrôles examinés. Cette logique aide à choisir un périmètre utile, tout en restant attentive aux risques émergents et aux limites des informations disponibles.
Mise en situation: Dans un processus d’achat, l’équipe consacre davantage de tests aux fournisseurs à risque élevé et justifie pourquoi les opérations courantes moins exposées reçoivent un examen différent.
Erreur fréquente: Une note de risque ou un classement initial ne fixe pas définitivement le travail. De nouveaux faits peuvent justifier de revoir la priorité, le périmètre ou les procédures prévues.
60 concepts à comprendre et à appliquer 21–30
21. Objectifs de la mission
Partie 2 — Mission d’audit interne
Les objectifs de mission précisent ce que l’audit cherche à déterminer et orientent le choix des procédures. Ils doivent être suffisamment clairs pour relier les risques, les critères, les tests et les conclusions. Un objectif vague produit souvent des travaux dispersés; un objectif défini permet à l’équipe de juger si les éléments recueillis répondent réellement à la question examinée.
Mise en situation: Au lieu de « revoir les achats », l’équipe cherche à déterminer si les contrôles clés réduisent le risque de paiements non autorisés.
Erreur fréquente: Commencer par collecter beaucoup de documents sans objectif précis peut créer un dossier volumineux mais peu concluant. Définissez d’abord la question à laquelle les travaux doivent répondre.
22. Délimiter le périmètre de la mission
Partie 2 — Mission d’audit interne
Le périmètre précise les activités, périodes, unités et systèmes examinés. Il doit permettre d’atteindre les objectifs de la mission. Le responsable de l’audit interne approuve les objectifs, le périmètre et leurs modifications. Une restriction d’accès ou une autre limitation susceptible d’empêcher les travaux nécessaires doit être discutée avec la direction pour rechercher une solution. Si elle demeure non résolue, le responsable de l’audit interne la porte au conseil selon la méthodologie établie. Les conclusions doivent rester proportionnées aux travaux réellement effectués.
Mise en situation: Une mission sur les remboursements couvre deux unités. L’équipe découvre qu’une troisième unité utilise le même système et présente un risque pertinent pour les objectifs. Elle documente la modification proposée du périmètre et obtient l’approbation du responsable de l’audit interne.
Erreur fréquente: Une restriction imposée par la direction ne doit pas être traitée comme une simple exclusion de convenance. Évaluez son effet sur les objectifs, recherchez sa résolution et appliquez la procédure d’escalade si nécessaire.
23. Critères d’évaluation
Partie 2 — Mission d’audit interne
Les critères sont les références utilisées pour comparer la situation observée à ce qui est attendu. Ils peuvent provenir de politiques, d’objectifs approuvés, de contrats, de cadres professionnels ou d’exigences applicables. Pour une mission d’assurance, l’auditeur évalue si les critères établis par la direction et le conseil sont adéquats et les utilise lorsqu’ils le sont. S’ils sont inadéquats ou manquants, il identifie des critères appropriés en discussion avec le conseil ou la direction générale, selon le cas. Un critère doit être pertinent pour les objectifs de la mission.
Mise en situation: Une mission examine les délais de traitement, mais aucun engagement de service n’a été approuvé. L’équipe recherche des exigences applicables et des références pertinentes, puis discute des critères proposés avec la direction générale avant de qualifier les écarts.
Erreur fréquente: L’absence de critère adéquat n’autorise ni à imposer une préférence personnelle ni à conclure qu’aucune évaluation n’est possible. Il faut établir une référence défendable selon la démarche prévue.
24. Compréhension préliminaire de l’activité
Partie 2 — Mission d’audit interne
Avant de concevoir les tests, l’équipe acquiert une compréhension suffisante de l’activité, de ses objectifs, de ses systèmes, de ses parties prenantes et de ses risques. Les entretiens, la documentation et l’observation peuvent se compléter. Cette étape permet de formuler des hypothèses de travail et de repérer les zones à examiner; elle ne remplace pas les procédures nécessaires pour vérifier les faits.
Mise en situation: Avant une mission sur les stocks, l’équipe observe le processus de réception, examine les procédures et échange avec les responsables des inventaires.
Erreur fréquente: Les explications initiales de la direction sont utiles pour orienter le travail, mais ne constituent pas à elles seules une validation indépendante du processus.
25. Évaluation des risques au niveau de la mission
Partie 2 — Mission d’audit interne
L’évaluation des risques de mission identifie les événements susceptibles d’empêcher les objectifs examinés d’être atteints et aide à hiérarchiser les travaux. Elle s’appuie sur le contexte, les contrôles connus et les informations préliminaires, puis peut évoluer à mesure que les preuves s’accumulent. Le programme de travail doit répondre aux risques pertinents, sans multiplier les tests sans lien avec les objectifs.
Mise en situation: Une mission sur les accès informatiques révèle qu’un ancien système reste utilisé pour des opérations importantes. L’équipe réévalue la priorité des tests d’accès.
Erreur fréquente: Ne confondez pas l’évaluation de la mission avec un classement général des risques de l’organisation. Elle est ciblée sur les objectifs et le périmètre précis du travail.
26. Programme de travail
Partie 2 — Mission d’audit interne
Le programme de travail transforme les objectifs et les risques en procédures documentées. Il précise les critères d’évaluation, les tâches, les méthodes et les outils utilisés, ainsi que les auditeurs chargés des travaux. Il permet de relier chaque procédure aux objectifs et aux conclusions attendues. Le responsable de l’audit interne doit le revoir et l’approuver avant sa mise en œuvre, puis approuver rapidement les modifications ultérieures. De nouveaux éléments peuvent justifier une adaptation, dont les raisons doivent être documentées.
Mise en situation: Le programme d’une mission sur les remboursements prévoit de comparer justificatifs, approbations et écritures selon des critères définis. Il est approuvé avant les tests. La découverte d’une catégorie d’opérations à risque conduit ensuite à une modification documentée et rapidement soumise à approbation.
Erreur fréquente: Exécuter un programme devenu inadapté n’est pas une preuve de rigueur. À l’inverse, modifier les tests sans documenter les raisons ni obtenir l’approbation requise compromet la maîtrise de la mission.
27. Ressources et compétences de la mission
Partie 2 — Mission d’audit interne
La mission doit disposer de personnes, de temps et de compétences adaptés à ses objectifs et à ses risques. Une équipe peut demander l’aide d’un spécialiste lorsqu’une question technique dépasse ses compétences, tout en conservant une supervision appropriée des travaux. Les contraintes de ressources doivent être évaluées quant à leur effet sur le périmètre, la qualité des preuves et la capacité à soutenir une conclusion.
Mise en situation: Une mission portant sur un modèle analytique complexe fait appel à un spécialiste des données pour valider la méthode et expliquer ses limites à l’équipe.
Erreur fréquente: L’accès à un expert n’élimine pas la responsabilité de l’équipe d’audit de comprendre les travaux et leurs limites. Il faut apprécier la compétence, l’objectivité et la pertinence de son apport.
28. Méthodes de collecte d’informations
Partie 2 — Mission d’audit interne
Les entretiens, l’observation, l’inspection de documents, la réexécution et l’analyse de données fournissent des types d’informations différents. Le choix dépend de l’objectif, du risque et de la fiabilité recherchée. Les méthodes peuvent se compléter: une explication orale aide à comprendre un processus, tandis qu’une trace indépendante ou une réexécution permet d’en vérifier certains aspects.
Mise en situation: Un responsable affirme qu’un rapprochement est effectué chaque mois. L’auditeur observe une exécution et examine les traces datées pour vérifier cette affirmation.
Erreur fréquente: Une seule méthode ne répond pas à toutes les questions. Une déclaration explique ce qu’une personne dit faire, mais ne prouve pas nécessairement que le contrôle a été exécuté.
29. Pertinence et fiabilité des preuves
Partie 2 — Mission d’audit interne
Une preuve est pertinente si elle répond directement à l’objectif ou à la question examinée. Sa fiabilité dépend notamment de sa source, de la manière dont elle a été obtenue et de la possibilité de la vérifier. Les données produites par l’organisation peuvent être utiles, mais leur qualité doit être évaluée au regard du système, des contrôles et de l’usage précis prévu.
Mise en situation: Pour vérifier les paiements, l’auditeur compare une extraction système dont il a testé l’exhaustivité avec des pièces de paiement et des confirmations pertinentes.
Erreur fréquente: Une information officielle ou présentée dans un rapport ne devient pas automatiquement fiable pour tout usage. Évaluez sa provenance, son exactitude et sa pertinence pour le test.
30. Suffisance des éléments probants
Partie 2 — Mission d’audit interne
Les informations sont suffisantes lorsqu’elles permettent de réaliser les analyses et les évaluations nécessaires et d’étayer les résultats de la mission. Une personne prudente, informée et compétente doit pouvoir refaire les travaux et parvenir aux mêmes conclusions. La suffisance ne dépend donc pas uniquement du nombre de pièces : leur couverture, leur pertinence et leur fiabilité comptent également. Si les informations disponibles ne soutiennent pas une constatation ou une conclusion, l’auditeur doit déterminer quels éléments supplémentaires recueillir.
Mise en situation: Une observation montre qu’un rapprochement est correctement exécuté le jour de la visite. Pour conclure sur son fonctionnement pendant le trimestre, l’équipe examine aussi des traces d’exécution couvrant la période selon une sélection adaptée au risque.
Erreur fréquente: Une preuve convaincante pour une opération ne suffit pas nécessairement à conclure sur toute une période. Accumuler des documents peu fiables ne comble pas non plus une lacune de couverture.
60 concepts à comprendre et à appliquer 31–40
31. Analyse de données
Partie 2 — Mission d’audit interne
L’analyse de données peut repérer des tendances, des valeurs inhabituelles ou des relations qui aident à orienter les tests. Avant d’interpréter les résultats, l’auditeur comprend la source, la structure, l’exhaustivité et la qualité des données, ainsi que les règles de traitement utilisées. Un signal analytique sert à guider une vérification; il ne constitue pas toujours, à lui seul, une explication ou une preuve complète.
Mise en situation: Un test repère des paiements dupliqués. L’auditeur vérifie d’abord les champs utilisés et les doublons possibles, puis examine les transactions signalées.
Erreur fréquente: Un résultat produit par un outil n’est pas fiable simplement parce qu’il est automatisé. Les données d’entrée, les paramètres et l’interprétation humaine doivent aussi être évalués.
32. Échantillonnage et limites d’extrapolation
Partie 2 — Mission d’audit interne
L’échantillonnage permet d’examiner une partie d’une population. La méthode et la taille de la sélection doivent correspondre à l’objectif, aux risques et aux caractéristiques de cette population. Une approche statistique repose sur une sélection probabiliste et une évaluation statistique permettant de quantifier le risque d’échantillonnage. Une approche non statistique mobilise le jugement sans fournir cette quantification. Les conclusions et toute extrapolation doivent être justifiées par le plan retenu ; un niveau de confiance statistique chiffré ne peut pas être attribué à une simple sélection ciblée.
Mise en situation: L’équipe sélectionne les paiements les plus élevés pour examiner un risque d’approbation insuffisante. Des exceptions peuvent révéler une faiblesse importante sur ces opérations, mais leur fréquence ne permet pas, à elle seule, d’estimer le taux d’exception de tous les paiements.
Erreur fréquente: Une sélection couvrant plusieurs mois n’est pas automatiquement représentative. Ne lui attribuez pas un niveau de confiance statistique ni une portée générale que la méthode ne permet pas de défendre.
33. Construire une constatation d’audit
Partie 2 — Mission d’audit interne
Une constatation solide relie généralement la situation observée, le critère applicable, la cause éventuelle et l’effet ou le risque associé. La preuve doit soutenir les faits et la formulation doit distinguer ce qui est établi de ce qui reste hypothétique. Cette structure aide la direction à comprendre l’écart et permet de discuter d’une réponse qui traite le problème réel.
Mise en situation: Des dossiers montrent que des validations prévues n’ont pas été réalisées; l’équipe compare ce fait à la procédure applicable et examine les conséquences possibles sur les paiements.
Erreur fréquente: Une constatation ne devrait pas attribuer une cause certaine si les travaux ne l’ont pas établie. Distinguez les faits observés, les explications possibles et les risques qui en découlent.
34. Analyser la cause d’un problème
Partie 2 — Mission d’audit interne
Comprendre la cause aide à proposer une réponse qui réduit la probabilité de répétition, plutôt que de traiter uniquement le symptôme. L’auditeur examine les facteurs de processus, de gouvernance, de compétences, de systèmes ou de supervision qui peuvent expliquer l’écart. La cause doit être appuyée par les éléments disponibles; si plusieurs explications restent possibles, cela doit être signalé.
Mise en situation: Des retards de rapprochement se répètent. L’équipe découvre que la responsabilité est partagée sans calendrier clair et vérifie si cette organisation explique les retards observés.
Erreur fréquente: Dire que les employés sont « négligents » sans analyse ni preuve n’identifie pas une cause utile. Cherchez les conditions du processus qui rendent l’écart possible ou récurrent.
35. Évaluer l’importance d’une constatation
Partie 2 — Mission d’audit interne
L’importance d’une constatation dépend notamment de la probabilité du risque et de son incidence sur les objectifs, la gouvernance, la gestion des risques et les contrôles. La fréquence, l’étendue et le contexte peuvent aussi éclairer l’évaluation. Une faiblesse apparemment limitée peut être significative si elle touche un contrôle clé ou révèle un problème plus large. Les constatations sont hiérarchisées selon les méthodologies établies par le responsable de l’audit interne, en tenant compte des repères de risque pertinents de l’organisation.
Mise en situation: Une exception de faible montant révèle un contournement répété des validations. L’équipe évalue l’étendue du problème et son impact potentiel, puis classe la constatation selon la méthodologie de l’audit interne plutôt que selon le seul montant de l’opération.
Erreur fréquente: Le montant financier n’est pas le seul indicateur d’importance. Le classement proposé par la direction auditée ne remplace pas non plus l’évaluation indépendante menée selon la méthodologie de l’audit interne.
36. Documentation et dossier de mission
Partie 2 — Mission d’audit interne
La documentation doit étayer les résultats et permettre à une personne informée et compétente de refaire les travaux et d’obtenir les mêmes résultats. Elle présente les objectifs, les critères, les procédures, les éléments recueillis, les analyses et les jugements importants. Le dossier doit rendre traçable le lien entre les preuves et les conclusions, et faire l’objet des revues et approbations requises. Sa conservation et son accès respectent les méthodologies de l’audit interne, les politiques de l’organisation et les exigences applicables de protection des informations.
Mise en situation: Pour un test d’approbation, le dossier conserve la définition et la source de la population, la méthode de sélection, les opérations retenues, le critère, les pièces examinées, les résultats et le raisonnement. Un autre auditeur compétent peut ainsi reproduire le test.
Erreur fréquente: Conserver des fichiers sans expliquer leur source, leur sélection ou leur utilisation ne suffit pas. Une conclusion compréhensible mais impossible à reconstruire à partir du dossier reste insuffisamment documentée.
37. Supervision de la mission
Partie 2 — Mission d’audit interne
La supervision vérifie que le travail est conforme aux objectifs, que les procédures sont exécutées correctement et que les conclusions sont étayées. Son intensité peut tenir compte de la complexité du sujet et de l’expérience des membres de l’équipe. Une supervision efficace repère assez tôt les lacunes, clarifie les questions techniques et aide à résoudre les désaccords de jugement.
Mise en situation: Une responsable examine un test avant la fin de la mission et constate que les exceptions n’ont pas été reliées au critère. Elle demande une analyse complémentaire.
Erreur fréquente: La revue finale seule ne garantit pas que les problèmes seront détectés à temps. La supervision doit accompagner le travail à un niveau adapté, sans remplacer l’analyse de l’auditeur.
38. Communication pendant la mission
Partie 2 — Mission d’audit interne
Une communication régulière avec les parties prenantes permet de confirmer la compréhension du périmètre, d’éclaircir les faits et de signaler rapidement des problèmes importants. Elle ne doit pas compromettre l’indépendance du jugement ni entraîner la suppression d’un constat fondé. Échanger sur les faits avant la communication finale réduit les erreurs et donne aux responsables la possibilité d’apporter des informations pertinentes.
Mise en situation: Avant de finaliser un constat sur les retards, l’auditeur présente les dates documentées au responsable et vérifie si une pièce pertinente manque au dossier.
Erreur fréquente: Consulter la direction pour vérifier les faits ne signifie pas lui céder le contrôle des conclusions. L’auditeur reste responsable d’évaluer les réponses et les preuves.
39. Recommandations et plans d’action
Partie 3 — Fonction d’audit interne
Une recommandation indique une réponse possible au problème; un plan d’action précise ce que la direction choisit de faire, avec des responsabilités et des échéances convenues selon le contexte. La direction conserve la responsabilité de sélectionner et de mettre en œuvre les mesures. L’audit interne peut discuter des options et évaluer leur pertinence sans devenir le propriétaire de la correction.
Mise en situation: Après une faiblesse de contrôle d’accès, la direction propose une revue périodique des droits et désigne un responsable. L’auditeur évalue si cette réponse traite le risque constaté.
Erreur fréquente: Un plan d’action accepté ne prouve pas que le problème est résolu. De même, l’auditeur ne devrait pas piloter la mise en œuvre à la place de la direction.
40. Suivi des actions convenues
Partie 3 — Fonction d’audit interne
Le suivi comprend la demande d’informations sur l’avancement, des vérifications fondées sur les risques et la mise à jour de l’état des actions. L’étendue des vérifications dépend de l’importance de la constatation. Si une action n’avance pas selon l’échéance prévue, l’auditeur obtient et documente l’explication de la direction, puis en discute avec le responsable de l’audit interne. Celui-ci détermine si le retard ou l’inaction traduit une acceptation de risque dépassant l’appétence ou la tolérance de l’organisation. Si tel est le cas, il en discute avec la direction générale, puis saisit le conseil si la question demeure non résolue.
Mise en situation: La direction déclare qu’une revue des droits d’accès est terminée. Compte tenu du risque élevé, l’auditeur examine les traces et vérifie les comptes concernés. Des droits injustifiés subsistent : il ne clôt pas l’action sur la seule déclaration et examine avec les responsables la réponse nécessaire.
Erreur fréquente: Un courriel de réalisation ne suffit pas nécessairement à clore une action. À l’inverse, tout retard ne justifie pas une saisine immédiate du conseil : l’escalade dépend de l’acceptation de risque évaluée et de la démarche prévue.
60 concepts à comprendre et à appliquer 41–50
41. Stratégie de la fonction d’audit interne
Partie 3 — Fonction d’audit interne
La stratégie de la fonction d’audit interne soutient les objectifs de l’organisation et répond aux attentes du conseil, de la direction générale et des autres parties prenantes clés. Elle comprend une vision, des objectifs stratégiques et des initiatives permettant de les atteindre. Elle oriente notamment le développement des compétences, des méthodes et des outils. Le responsable de l’audit interne l’examine périodiquement avec le conseil et la direction générale afin de tenir compte des changements de contexte.
Mise en situation: Après une transformation numérique majeure, le responsable de l’audit interne propose un objectif stratégique de renforcement de l’assurance sur les systèmes numériques, accompagné d’initiatives de formation et d’analyse de données. Il examine cette orientation avec le conseil et la direction générale.
Erreur fréquente: Une stratégie n’est pas une liste de missions : le plan d’audit organise les travaux, tandis que la stratégie définit l’orientation et les capacités à développer. Une ambition sans objectifs ni initiatives ne suffit pas.
42. Plan d’audit fondé sur les risques
Partie 3 — Fonction d’audit interne
Le responsable de l’audit interne établit un plan fondé sur une évaluation documentée des stratégies, des objectifs et des risques de l’organisation, réalisée au moins annuellement. Cette évaluation tient compte des contributions du conseil et de la direction générale ainsi que de la compréhension des processus de gouvernance, de gestion des risques et de contrôle. Le plan précise les travaux prioritaires et les ressources nécessaires. Il est discuté avec le conseil et la direction générale, puis approuvé par le conseil.
Mise en situation: Le responsable compare les risques des nouvelles opérations, des systèmes anciens et des unités déjà auditées. Il documente ses priorités et les lacunes de couverture, discute du plan et des ressources avec la direction générale et le conseil, puis obtient l’approbation du conseil.
Erreur fréquente: Une rotation automatique des unités ou une liste de demandes de la direction ne constitue pas une évaluation des risques. Même approuvé, le plan ne garantit pas une couverture complète de toutes les expositions.
43. Adapter le plan aux risques émergents
Partie 3 — Fonction d’audit interne
Le plan d’audit doit rester dynamique. Le responsable de l’audit interne suit les changements touchant les activités, les risques, les systèmes, les contrôles et les ressources, puis évalue leurs effets sur les priorités. Il distingue les ajustements courants des modifications significatives. Le plan et ses modifications significatives sont discutés avec la direction générale et le conseil; ces modifications doivent être approuvées par le conseil. Les conséquences sur les travaux reportés ou supprimés doivent être explicitées.
Mise en situation: L’interruption d’un fournisseur critique justifie une mission urgente sur la continuité. Comme son ajout entraîne le report d’une mission importante approuvée, le responsable expose l’arbitrage à la direction générale et au conseil et obtient l’approbation du conseil pour la modification significative.
Erreur fréquente: L’approbation initiale ne rend pas le plan immuable. À l’inverse, l’urgence d’un nouveau sujet ne permet pas de modifier silencieusement les engagements significatifs de couverture.
44. Communiquer les limites de couverture
Partie 3 — Fonction d’audit interne
Lorsque des ressources insuffisantes limitent le plan d’audit, le responsable de l’audit interne en communique les effets au conseil et à la direction générale. Il précise les travaux concernés, les risques qui resteront sans couverture prévue, les conséquences sur le calendrier et les options disponibles. Les autres limitations significatives, notamment de périmètre ou d’accès à l’information, doivent également être signalées. Cette communication permet de décider en connaissance de cause, sans laisser croire que la couverture initiale demeure assurée.
Mise en situation: Deux postes vacants empêchent de réaliser toutes les missions prévues. Le responsable présente au conseil et à la direction générale les missions susceptibles d’être reportées, les risques concernés et les options de recrutement, d’expertise externe ou de révision du plan.
Erreur fréquente: Réduire discrètement les tests ou le périmètre pour afficher un plan entièrement exécuté masque la limitation. La communication doit exposer ses conséquences réelles sur l’assurance fournie.
45. Gérer les capacités et les ressources
Partie 3 — Fonction d’audit interne
La fonction d’audit interne doit évaluer si ses ressources humaines, financières, technologiques et temporelles sont suffisantes pour son mandat et son plan. Si un manque de capacité menace la qualité ou la couverture, il faut en analyser l’effet et envisager des options, comme reprioriser, former, recruter ou recourir à une expertise externe. Les limites importantes doivent être communiquées.
Mise en situation: Un départ réduit l’équipe disponible pour examiner un risque technique. Le responsable compare les options de formation, de report et d’expertise externe avant de réviser le plan.
Erreur fréquente: Une contrainte de ressources n’autorise pas à prétendre que des travaux non réalisés l’ont été. La direction de l’audit doit exposer les conséquences et proposer des arbitrages réalistes.
46. Budgets et arbitrages de la fonction
Partie 3 — Fonction d’audit interne
Le responsable de l’audit interne élabore un budget permettant de mettre en œuvre la stratégie et le plan d’audit, puis en demande l’approbation au conseil. Il gère les ressources financières et apprécie les effets des arbitrages sur les compétences, les outils, la qualité et la couverture. Si les moyens financiers sont insuffisants, il en communique rapidement les conséquences au conseil et à la direction générale. Le coût doit être apprécié au regard de la capacité à réaliser des travaux fiables.
Mise en situation: Une mission technique nécessite une expertise externe non prévue au budget. Le responsable chiffre le besoin et explique les conséquences d’un financement insuffisant au conseil et à la direction générale; il soumet au conseil la demande budgétaire nécessaire.
Erreur fréquente: Respecter un budget ne prouve pas que la fonction est correctement financée. Choisir l’option la moins chère peut compromettre la qualité si les compétences indispensables ne sont pas disponibles.
47. Développer les compétences de l’équipe
Partie 3 — Fonction d’audit interne
La direction de l’audit interne évalue les compétences nécessaires à son portefeuille de travaux et repère les écarts au sein de l’équipe. Elle peut répondre par le recrutement, la formation, le mentorat, la mobilité ou l’appui de spécialistes. La démarche gagne à être liée aux risques et aux objectifs de la fonction, plutôt qu’à une accumulation de formations sans application professionnelle.
Mise en situation: Le plan comprend plusieurs missions sur des systèmes infonuagiques. Le responsable identifie les compétences manquantes et organise une formation pratique avec des travaux supervisés.
Erreur fréquente: Une formation suivie ne prouve pas que la compétence est maîtrisée. Il faut aussi apprécier la capacité à appliquer les connaissances et prévoir une supervision adaptée.
48. Mesurer la performance de la fonction
Partie 3 — Fonction d’audit interne
Le responsable de l’audit interne définit des objectifs de performance en tenant compte des attentes du conseil et de la direction générale. Il établit une méthode de mesure permettant d’évaluer les progrès, notamment en matière de qualité, de couverture des risques, d’efficacité et de valeur apportée. Il recherche aussi les retours du conseil, de la direction générale et, selon les besoins, d’autres parties prenantes. Les résultats servent à identifier les améliorations nécessaires; aucun indicateur isolé ne résume la performance globale.
Mise en situation: Pour évaluer un objectif d’amélioration de la couverture des risques prioritaires, le responsable rapproche les missions réalisées des risques retenus, examine la qualité des dossiers et recueille les retours du conseil. Il ne se limite pas au nombre de rapports publiés.
Erreur fréquente: Un indicateur doit être relié à un objectif explicite. Augmenter le nombre de missions ou raccourcir leurs délais peut produire un résultat apparent favorable tout en réduisant la profondeur des travaux.
49. Programme d’assurance et d’amélioration de la qualité
Partie 3 — Fonction d’audit interne
Le programme d’assurance et d’amélioration de la qualité couvre tous les aspects de la fonction d’audit interne. Il comprend des évaluations internes et externes et apprécie notamment la conformité aux Global Internal Audit Standards ainsi que l’atteinte des objectifs de performance. Le responsable de l’audit interne communique au conseil et à la direction générale les résultats des évaluations internes au moins annuellement et ceux des évaluations externes dès leur achèvement. Il présente également les actions prévues pour corriger les insuffisances et améliorer la fonction.
Mise en situation: La synthèse annuelle du programme qualité rassemble les résultats du suivi continu et d’une autoévaluation périodique. Le responsable présente au conseil et à la direction générale les écarts relevés, leurs effets et le plan d’amélioration.
Erreur fréquente: Le programme qualité ne se limite ni à la revue finale des rapports ni à une évaluation externe tous les cinq ans. Il doit couvrir la fonction dans son ensemble et déboucher sur des améliorations suivies.
50. Évaluation interne de la qualité
Partie 3 — Fonction d’audit interne
Les évaluations internes comprennent deux composantes : un suivi continu intégré aux activités courantes et des autoévaluations périodiques, ou des évaluations réalisées par d’autres personnes de l’organisation possédant une connaissance suffisante des pratiques d’audit interne. Elles apprécient la conformité aux normes et les progrès vers les objectifs de performance. Les évaluations périodiques prennent du recul sur le fonctionnement de la fonction, au-delà de la supervision de chaque mission. Les résultats et les actions nécessaires sont documentés et suivis.
Mise en situation: En complément des revues habituelles de dossiers, une équipe interne compétente réalise une autoévaluation périodique de la planification, de la gestion des ressources et des communications au conseil. Elle étaye ses conclusions par des éléments vérifiables.
Erreur fréquente: La supervision courante ne remplace pas l’évaluation périodique. Une liste de cases cochées sans examen des pratiques et des preuves ne permet pas de conclure de manière fiable à la conformité.
60 concepts à comprendre et à appliquer 51–60
51. Évaluation externe de la qualité
Partie 3 — Fonction d’audit interne
Une évaluation externe de la qualité doit être réalisée au moins tous les cinq ans par un évaluateur ou une équipe qualifiés et indépendants, extérieurs à l’organisation. Elle peut prendre la forme d’une évaluation externe complète ou d’une autoévaluation avec validation indépendante. Au moins un membre de l’équipe ou l’évaluateur doit détenir une certification Certified Internal Auditor active. Le responsable de l’audit interne prépare le plan d’évaluation et en discute avec le conseil, qui l’approuve, notamment quant à la compétence et à l’indépendance des évaluateurs.
Mise en situation: Avant l’expiration du délai de cinq ans, le responsable propose une autoévaluation avec validation indépendante. Il vérifie la compétence, l’absence de conflits d’intérêts et la présence d’un Certified Internal Auditor actif dans l’équipe de validation, puis soumet le plan au conseil.
Erreur fréquente: Une autoévaluation sans validation indépendante ne satisfait pas à l’exigence d’évaluation externe. La présence d’un titulaire du CIA ne dispense pas de vérifier les autres compétences et l’indépendance de l’équipe.
52. Suivi continu de la qualité
Partie 3 — Fonction d’audit interne
Le suivi continu permet de repérer les problèmes de qualité au fil des travaux, plutôt que d’attendre une évaluation périodique. Il peut s’appuyer sur la supervision, les revues de dossiers, les échanges de mission et l’analyse d’indicateurs pertinents. Les signaux relevés doivent être interprétés et, si nécessaire, transformés en mesures correctives ou en améliorations de processus.
Mise en situation: Les superviseurs constatent que plusieurs dossiers omettent de justifier la sélection des tests. La fonction examine l’origine du problème et adapte ses consignes et ses revues.
Erreur fréquente: La seule présence de superviseurs ne garantit pas un suivi de qualité efficace. Il faut examiner ce que les revues détectent et la façon dont les problèmes sont résolus.
53. Coordonner les prestataires d’assurance
Partie 3 — Fonction d’audit interne
La coordination avec d’autres prestataires d’assurance aide à repérer les lacunes de couverture, les doublons inutiles et les différences de priorité. Elle suppose de comprendre les objectifs, le périmètre et les résultats des travaux concernés. La coordination peut améliorer la vision globale des risques, mais ne supprime pas la nécessité pour l’audit interne d’exercer son propre jugement sur les domaines importants.
Mise en situation: Le responsable compare le plan d’audit avec les revues de conformité prévues afin de repérer un risque émergent qui n’est couvert par aucun travail annoncé.
Erreur fréquente: La coordination ne signifie pas que les travaux d’un autre intervenant sont automatiquement suffisants ou fiables. Il faut comprendre leur portée et déterminer si une assurance complémentaire est nécessaire.
54. S’appuyer sur les travaux d’autres intervenants
Partie 3 — Fonction d’audit interne
Avant de s’appuyer sur les travaux d’un autre prestataire d’assurance, le responsable de l’audit interne suit une démarche cohérente d’évaluation de leur fiabilité. Il apprécie notamment l’indépendance, l’objectivité, les compétences et la diligence professionnelle du prestataire, ainsi que les objectifs, le périmètre, les méthodes et les résultats de ses travaux. Il documente le fondement de la confiance accordée et détermine les éventuels travaux complémentaires. L’audit interne conserve la responsabilité de ses propres conclusions.
Mise en situation: Pour utiliser une revue de sécurité, l’équipe vérifie les systèmes et la période couverts, les tests réalisés, les qualifications et l’objectivité du prestataire. Elle documente les parties utilisables et complète les tests sur un système critique exclu de la revue.
Erreur fréquente: La réputation d’un prestataire ou l’existence d’un rapport ne suffisent pas. Des objectifs, des critères ou des périodes différents peuvent rendre ses travaux inadaptés à la conclusion recherchée.
55. Communication avec le conseil
Partie 3 — Fonction d’audit interne
La communication avec le conseil ou l’organe de gouvernance doit permettre de comprendre les priorités, la performance, les limites et les risques importants liés au travail de la fonction. Une information utile est claire, équilibrée et adaptée à son destinataire. La direction de l’audit interne doit aussi s’assurer que les questions qui menacent l’indépendance, les ressources ou la couverture sont portées au niveau approprié.
Mise en situation: Au cours d’un échange périodique, le responsable présente les missions achevées, les changements de risques et les contraintes qui empêchent certaines couvertures prévues.
Erreur fréquente: Transmettre un grand volume de détails ne garantit pas une communication efficace. Mettez en évidence les décisions attendues, les limites importantes et les conséquences pour la surveillance.
56. Signaler un risque que la direction accepte
Partie 3 — Fonction d’audit interne
Lorsque le responsable de l’audit interne conclut que la direction a accepté un niveau de risque dépassant l’appétence ou la tolérance de l’organisation, il doit en discuter avec la direction générale. S’il estime que la question reste non résolue, il doit la porter au conseil. Le raisonnement repose sur les faits, les expositions et les limites de risque applicables, et non sur une simple préférence pour un contrôle différent. Il n’appartient pas au responsable de l’audit interne de résoudre lui-même ce risque.
Mise en situation: La direction opérationnelle accepte de maintenir un processus dont les pertes prévisibles dépassent la tolérance approuvée. Le responsable de l’audit interne en discute avec la direction générale. La question demeurant non résolue, il la porte au conseil.
Erreur fréquente: Tout désaccord sur un plan d’action ne justifie pas automatiquement une remontée au conseil. En revanche, le responsable ne peut taire un dépassement non résolu de l’appétence ou de la tolérance, ni accepter le risque à la place de la direction.
57. Relations avec les parties prenantes
Partie 3 — Fonction d’audit interne
Des relations professionnelles avec le conseil, la direction et les équipes opérationnelles facilitent l’accès à l’information, la compréhension des risques et l’acceptation d’un dialogue fondé sur les faits. La confiance se construit par la compétence, la transparence et une communication respectueuse, sans que l’auditeur renonce à son objectivité. Comprendre les attentes aide aussi à orienter les travaux vers les enjeux utiles.
Mise en situation: Avant une mission, le responsable échange avec plusieurs équipes pour comprendre leurs changements récents et leurs préoccupations, puis conserve un périmètre cohérent avec les risques retenus.
Erreur fréquente: Entretenir de bonnes relations ne signifie pas éviter les constats difficiles. La confiance est renforcée par un traitement équitable des faits, pas par l’adoption systématique du point de vue de la direction.
58. Comprendre les processus de gouvernance, de gestion des risques et de contrôle
Partie 3 — Fonction d’audit interne
Pour élaborer une stratégie et un plan pertinents, le responsable de l’audit interne doit comprendre comment l’organisation est gouvernée, identifie et traite ses risques, et organise ses contrôles. Cette compréhension porte notamment sur les responsabilités, les décisions, la surveillance, les circuits d’information et les mécanismes de responsabilisation. Elle permet de repérer les faiblesses transversales et les besoins d’assurance. Elle se distingue du choix des missions : il s’agit d’abord de comprendre les processus qui soutiennent les objectifs.
Mise en situation: Lors d’une expansion régionale, le responsable examine qui autorise les investissements, comment les risques locaux sont évalués, quelles informations remontent au conseil et qui surveille les contrôles des nouvelles unités. Il utilise ensuite cette compréhension pour orienter les priorités d’audit.
Erreur fréquente: Lire l’organigramme et le plan stratégique ne suffit pas. Les processus décrits doivent être rapprochés des pratiques réelles, des responsabilités effectivement exercées et des informations utilisées pour décider.
59. Suivre les résultats à l’échelle de la fonction
Partie 3 — Fonction d’audit interne
La direction de l’audit interne suit les résultats de ses missions et des actions associées pour comprendre si les risques importants sont traités et si des problèmes récurrents apparaissent. Cette vue transversale peut révéler des causes communes ou des lacunes de couverture. Le suivi doit distinguer les actions réalisées, les risques effectivement réduits et les expositions qui restent à gérer.
Mise en situation: Plusieurs missions signalent des accès utilisateurs obsolètes. Le responsable regroupe les observations pour déterminer si une faiblesse commune exige une réponse à l’échelle de l’organisation.
Erreur fréquente: Compter les recommandations clôturées ne révèle pas nécessairement l’effet obtenu. Évaluez aussi la réduction du risque et les tendances qui traversent plusieurs activités.
60. Amélioration continue de la fonction
Partie 3 — Fonction d’audit interne
L’amélioration continue consiste à utiliser les résultats des missions, les évaluations de qualité, les commentaires et les changements de risque pour faire évoluer les méthodes et les compétences. Elle demande de choisir des améliorations précises, d’en attribuer la responsabilité et d’examiner si elles produisent l’effet attendu. Cette démarche renforce la capacité de la fonction à rester pertinente sans confondre innovation et changement pour lui-même.
Mise en situation: Après plusieurs missions où l’analyse de données a été limitée par des extractions incomplètes, l’équipe améliore sa méthode de validation des données et examine son application lors des missions suivantes.
Erreur fréquente: Adopter un nouvel outil ou réviser une procédure ne prouve pas à lui seul une amélioration. Il faut vérifier que le changement répond à un problème identifié et améliore réellement les travaux.
Six étapes pour organiser vos révisions
Sources officielles
Références consultées le 11 octobre 2026: programme de l’examen CIA de The IIA, https://www.theiia.org/en/certifications/cia/exam-prep-resources/exam-syllabus/ ; certification CIA, https://www.theiia.org/en/certifications/cia/ ; Global Internal Audit Standards, https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/ ; spécifications détaillées des Parties 1, 2 et 3 publiées par The IIA. Le programme et les modalités peuvent être modifiés: vérifiez les informations les plus récentes auprès de The IIA.