Réfléchissez en amont à votre stratégie
Vous êtes manager, ou vous visez un poste de responsable d’une équipe, ou d’un service. Vous avez des compétences et des savoir-faire, à la fois techniques et liés à un (ou des) domaine(s) métier spécifique(s). Vous avez un sens du relationnel. Toutes ces qualités vous permettent de gérer une équipe, avec un lien de subordination direct ou non, pour atteindre des objectifs communs.
En tant que manager ou responsable, vous devez réfléchir à la valeur ajoutée que votre fonction apporte à votre entreprise. Cette réflexion permet également de donner du sens à vos activités, pour ensuite l’expliquer à votre équipe et/ou vos interlocuteurs. Dans le cadre de la mise en place d’une fonction d’audit, vous allez réfléchir à une stratégie d’audit.
Dans ce chapitre, je vous invite à réfléchir sur votre stratégie d’audit :
comment gérer les audits dans leur globalité, tel un chef d’orchestre ;
comment fédérer sur les objectifs d’audit, afin de satisfaire toutes les parties impliquées et d’obtenir leur adhésion tout au long des audits.
Avant d’aborder les différents axes de réflexion, précisons ce qu’est une stratégie d’audit.
Cette réflexion peut être assez courte. Cela n’empêche pas qu’elle résulte d’un processus de raisonnement rationnel et structuré.
Il n’est pas forcément toujours nécessaire que votre réflexion sur la stratégie d’audit implique des heures et des heures de remue-méninges. Même courte, vous verrez que cette réflexion est essentielle pour vous donner une vision globale et pertinente du rôle et des objectifs de l’audit. Je vous propose justement de vous initier à un raisonnement structuré pour gagner du temps et de l’efficacité sur cette réflexion !
Pour cela, nous allons nous focaliser sur trois principales composantes d’une stratégie d'audit :
Le secteur d'activité de votre entreprise et ses objectifs à court, moyen et long termes.
Le cadre réglementaire et les référentiels en vigueur, à la fois en entreprise et sur le marché.
Les différentes parties prenantes et leurs attentes.
Prenez en compte l’environnement externe et les activités internes
Que vous interveniez dans le secteur privé, dans l’industrie pharmaceutique, automobile ou dans la banque ou l’assurance, ou bien dans une administration publique, les enjeux ne sont pas les mêmes. Le secteur d’activité est plus ou moins concurrentiel, les réglementations plus ou moins fortes.
Chaque entreprise ou organisation fonctionne différemment, même si elles se situent dans un même secteur. Leur business model, leurs objectifs ou leur organisation en interne leur sont propres.
En tant que responsable et auditeur, vous devez avoir une compréhension approfondie des objectifs de votre entreprise et du secteur d’activité dans lequel elle évolue, y compris des réglementations et des lois en vigueur.
Prenons par exemple le secteur bancaire. Depuis quelques années, les banques sont en pleine mutation digitale, notamment en raison de l’arrivée des acteurs de la FinTech. Les grands groupes bancaires investissent dans l’innovation, en créant des laboratoires et des services de recherche et développement comme dans l’industrie. Ils veulent anticiper les futurs besoins des consommateurs en proposant de nouvelles solutions bancaires. En revanche, les banques sont soumises à de fortes réglementations, visant à garantir leur solidité financière, et font face à un certain nombre de régulateurs externes (l’Autorité de contrôle prudentiel, l’Autorité des marchés financiers, la Banque centrale européenne, etc.).
Dans ce cadre, l’audit interne permettra de revoir les processus d’élaboration et d’implémentation de nouveaux produits et services, en s’assurant qu’ils sont bien conformes à la réglementation bancaire.
Comment appréhender l’environnement externe et les activités internes à l’entreprise que j’audite ?
Pour acquérir une vision globale de votre entreprise, je vous invite à cartographier l’environnement de l’entreprise à l’aide du modèle des forces de Porter. En ce qui concerne les activités de votre entreprise, la modélisation de la chaîne de valeur, de Porter également, pourrait vous être utile pour concevoir cette vision systémique. Regardons ces outils en détail.
Le modèle des forces de Porter
Le modèle des forces de Porter permet de mener une analyse du secteur d’activité de votre entreprise. Le but, dans cet exercice, n’est pas de réaliser une analyse stratégique et détaillée de la concurrence. Ici, vous chercherez à appréhender le secteur afin de développer une vision externe de l’entreprise, et d’identifier ce que celle-ci a mis en œuvre pour faire face à ces différentes forces en présence.
Michael Porter a identifié cinq forces ; une sixième s’est ajoutée par la suite. Vous pouvez analyser chacune des six forces.
L'intensité concurrentielle : qui sont les concurrents sur le marché ? Sont-ils nombreux ? Quelle est leur taille ? Quels produits et services proposent-ils ? Quelles sont leurs parts de marché ? Connaître les entreprises concurrentes est indispensable, notamment pour se comparer, pour faire des benchmarks et identifier les pratiques du secteur, afin de s’aligner ou de se différencier. Par exemple, si les plus gros concurrents disposent d’une fonction d’audit interne et que votre entreprise n’en a pas, il serait intéressant de savoir pourquoi.
Le pouvoir de négociation des clients : dans quelle mesure les clients influencent-ils les prix, les produits et services que propose votre entreprise ?
Le pouvoir de négociation des fournisseurs : dans quelle mesure les fournisseurs imposent-ils leurs conditions à votre entreprise ? Les conditions peuvent être le prix, les conditions de paiement, les délais d'approvisionnement et de livraison, le service après-vente, la qualité, etc. Un fournisseur incontournable a forcément un fort pouvoir de négociation, et peut facilement imposer ses conditions.
La menace des produits ou services de substitution : vers quels produits et/ou services les clients de votre entreprise peuvent-ils se tourner ? Quels dispositifs votre entreprise a mis en place pour garder sa clientèle ?
La menace d'entrants potentiels sur le marché : qui sont les nouveaux entrants sur le marché ? Quelle part du marché peuvent-ils prendre ? Comment votre entreprise et ses autres concurrents se protègent-ils pour contrer cette menace ?
Les pouvoir publics, force importante dans l’industrie plus particulièrement, ou dans le secteur bancaire et les assurances. Les institutions, autorités, administrations publiques et l’État établissent les réglementations ou des normes, et peuvent attribuer des subventions ou faire bénéficier d’avantages fiscaux. Quel est leur influence sur votre entreprise ?
La chaîne de valeur de Porter
Il s’agit d’une analyse interne des fonctions ou activités dans l’entreprise. Grâce à cet outil, vous allez identifier les fonctions qui créent ou non de la valeur, surtout d’un point de vue financier. Une activité crée de la valeur lorsque le total de ses coûts associés est inférieur à sa contribution au chiffre d’affaires de l’entreprise.
La chaîne de valeur de Porter est composée :
des activités principales, dites “de base” : celles qui contribuent directement à générer du chiffre d’affaires et à dégager de la marge, à savoir, selon Porter :
les activités de logistique entrante pour l’approvisionnement,
les activité de fabrication ou de production,
les activités de logistique sortante pour la distribution et la commercialisation,
le marketing et les ventes,
les services ;
des activités de soutien : celles qui sont en support des activités principales et forment l’infrastructure de l’entreprise :
l’infrastructure de l’entreprise,
la gestion des ressources humaines,
la recherche et le développement,
les achats.
À partir de la chaîne de valeur de Porter, vous aurez identifié les principaux processus de votre entreprise ainsi que leurs interactions. Leur modélisation vous permettra d’avoir une vision interne de l’entreprise.
Qu’est-ce qu’un processus ?
Par exemple, le processus d’audit :
est déclenché par une demande d’assurance de la maîtrise des opérations de la part de la direction générale ;
aboutit à des propositions d’amélioration sur le périmètre audité, en vue d’atteindre les objectifs stratégiques de l’entreprise.
Que ce soit avec une analyse de la chaîne de valeur ou des forces de Porter, il est essentiel que vous gagniez en visibilité sur le périmètre des activités de votre entreprise, pour pouvoir mettre en oeuvre une stratégie d’audit efficace.
Conformez-vous aux réglementations et aux standards
Dans cette section, nous allons nous focaliser sur les aspects de conformité.
En principe, les activités de votre entreprise, dont vous avez une vision globale au moyen d’une cartographie des processus, répondent :
aux lois et aux réglementations à respecter sous peine de sanction ;
à des standards et à des bonnes pratiques du secteur et/ou du métier, pour démontrer notamment la bonne gestion de l’entreprise.
Les lois et réglementations
En tant que responsable et auditeur, la connaissance des lois et les réglementations auxquelles votre entreprise est soumise fait partie de votre champ de compétence.
Par exemple, toujours dans le secteur bancaire, certaines réglementations imposent de protéger les informations relatives aux clients en matière de cartes de crédit, telles que la PCI DSS, ou à caractère personnel, telles que le RGPD (Règlement général sur la protection des données). En conséquence, ces points de la réglementation sont à intégrer dans les audits. Les auditeurs devront déterminer si les processus et la documentation associée mis en place dans l’entreprise permettent de garantir cette conformité.
Les standards et les bonnes pratiques
Les activités de l’entreprise doivent être conformes aux lois et à la réglementation, mais peuvent également répondre à des standards et à des bonnes pratiques du secteur et/ou du métier.
Par exemple, la Direction des systèmes d'information (DSI) de l'entreprise s'appuie sur des référentiels tels que le COBIT, ITIL ou CMMI, afin de définir la gouvernance des SI.
L'entreprise peut également avoir la volonté de s'inscrire dans une démarche qualité, et s'engager dans une certification "ISO".
Ainsi, la stratégie d’audit devra permettre à l’entreprise d’être conforme à ces référentiels.
Répondez aux attentes des parties prenantes
Nous avons abordé les aspects organisationnels et de conformité, intéressons-nous à présent aux aspects relationnels.
Le besoin de mettre en place une fonction d’audit interne en entreprise résulte dans la plupart des cas d’une obligation réglementaire, ou bien de la demande des administrateurs. En effet, vous l’avez retenu : l’audit permet de réduire une asymétrie d’information.
En tant que manager ou responsable, vous pouvez donc solliciter les parties prenantes internes et externes (par exemple, les membres du conseil d’administration, la direction générale, et les régulateurs) afin de recenser leurs attentes sur la fonction d’audit, et les informations dont elles ont besoin pour prendre des décisions. Ces échanges pourront se faire dans le cadre d’entretiens en face à face et/ou de réunions collectives en mode “brainstorming”. N’hésitez pas à prendre comme support les modélisations que vous aurez élaborées (les forces et la chaîne de valeurs de Porter).
En sollicitant les parties prenantes internes et externes, vous commencez déjà à fédérer sur les objectifs d’audit. Vous communiquez sur le rôle de la fonction d’audit interne et sur votre volonté de créer de la valeur ajoutée, en contribuant à l’atteinte des objectifs stratégiques.
En résumé :
déterminer une stratégie d’audit est le résultat d’un raisonnement rationnel et structuré, basé sur plusieurs axes de réflexion :
le secteur d'activité et les objectifs de l’entreprise à court, moyen et long termes,
le cadre réglementaire et les référentiels en vigueur, à la fois en entreprise et sur le marché,
les différentes parties prenantes et leurs attentes ;
en tant que responsable, cette réflexion peut être utile pour préparer et formater votre discours auprès de vos équipes et des différentes parties prenantes internes et externes, afin de fédérer autour du rôle de l’audit et de ses missions.
Dans le chapitre suivant, je vous propose de poursuivre cette réflexion stratégique au moyen de la méthode SWOT.
