Contrôle interne : comment optimiser l’évaluation des contrôles de niveau 2

Contexte

L’internationalisation des économies et la multiplication des normes internationales font qu’aujourd’hui les assureurs sont amenés à contrôler de façon à la fois récurrente et permanente la bonne implémentation des contrôles. Ceci a conduit les autorités de supervision et de contrôle à accroître leur vigilance sur ce point. D’où la nécessité pour les assureurs de renforcer leur dispositif de contrôle interne, en lien avec les exigences réglementaires.

La réglementation impose la définition d’un dispositif de contrôle sur le périmètre du contrôle interne. Une typologie fondée sur trois lignes de défense est mise en vigueur afin de pouvoir classifier les contrôles et les attribuer aux différents opérationnels. Cette évaluation peut être également auditée par les commissaires aux comptes. Or les premières lignes sont mobilisées par leurs activités quotidiennes. L’organisation des évaluations de contrôle de niveau 2, qui implique les acteurs des 1^ère et 2^e lignes, relève ainsi parfois de l’exploit.

Enjeux

Les enjeux de ces contrôles sont bien connus. Le tableau ci-dessous en présente une synthèse :

Conseils

1^er conseil : bien préparer le travail en amont, étudier le cadre de l’entreprise, les ressources disponibles et à se poser les bonnes questions avant le lancement des campagnes de contrôle.

Certaines questions paraissent triviales. La tentation de les considérer comme déjà résolues peut être grande. Elles sont pourtant incontournables. Parmi ces questions indispensables :

Interlocuteurs/SPOCs (Single point of contact) :

• Qui sont les interlocuteurs ?
• Quels sont les relais de communication du Contrôle Interne auprès des équipes opérationnelles ?
• Qui est en charge dans les périmètres contrôlés de regrouper les informations ?

Périmètre réglementaire/légal :

• Est-ce qu’une nouvelle réglementation/mise à jour réglementaire vient affecter mes contrôles existants ? De nouveaux contrôles doivent-ils être créés ?
• Quel est le cadre légal ? A quelle loi je me réfère ?

Planning/gouvernance :

• Comment s’organiser ? Planifier les calendriers et réunions à l’avance. Avoir un organigramme à jour et l’analyser : les fonctions de chacun, qui rapporte à qui et les différents liens avec les autres services et les filiales.

Organisation/outils :

• Comment faire face à un périmètre dont les contrôles ne sont pas mis en place ?
• S’il y a des départs, qui reprend le travail ? Quand l’organisation n’est pas mise à jour ?
• Préparation de l’environnement : y a-t-il des outils à mettre à jour ? Sont-ils à jour de l’organisation ?

Formalisation à travers des fiches de contrôle :

• A quelles exigences répondent-elles (légales, éthiques…) ?
• Quels risques cherche-t-on à couvrir ? Quels sont les livrables/processus concernés ?
• Sont-elles facilement compréhensibles pour les opérationnels ?

En synthèse, le planning ci-dessous présente les principales étapes à suivre lors des campagnes de contrôle, du contact avec les équipes opérationnelles à la remise de la synthèse finale.

2^e conseil : résoudre les difficultés une à une

Au cours d’une évaluation de contrôles de niveau 2, plusieurs obstacles peuvent se présenter. Au cas par cas, des bonnes pratiques permettent de résoudre ces difficultés.

Difficulté #1 : certaines informations ne remontent pas.

Cette difficulté apparaît notamment en cas d’éloignement géographique et lors de l’évaluation de plusieurs périmètres.

Les solutions :

• Contacter directement les entités évaluées et identifier un contact/référent. Celui-ci sera chargé de collecter et transmettre les réponses et éléments de preuve.
• Etablir un contact régulier avec les interlocuteurs, notamment pour les relances. Cela permet de faire remonter les points bloquants pour trouver une solution.
• Répartir les périmètres et la charge de travail entre les évaluateurs.

Difficulté #2 : les équipes opérationnelles ne parviennent pas à dégager du temps pour les contrôles.

Mobilisés sur les travaux de production, les opérationnels remettent à plus tard les tâches de contrôle.

Les solutions :

• Anticiper, cadrer précisément les contrôles. La transmission d’instructions et d’un calendrier annuel précis des dates de contrôles de la part de la production vs 2^ème lignes permet aux opérationnels de planifier les contrôles à réaliser sans entraver le processus de production. Bonne pratique complémentaire : organiser des réunions de lancement pour présenter calendrier et instructions afin d’ajuster le programme si besoin.
• Inclure dans les instructions les éléments de preuve nécessaires à la validation des contrôles. La disponibilité d’un outil de Contrôle permet de renseigner en amont les preuves de contrôles attendues.

Difficulté #3 : gérer l’abondance et la dispersion des informations

Le volume des documents transmis et la dispersion ou la difficulté à trouver les informations ainsi qu’à s’assurer de leur mise à jour rend délicate l’analyse des réponses et des preuves. Spontanément et par manque de temps, la solution en cas de doute consiste bien souvent à envoyer tous les documents de nature à répondre à la demande.

Les solutions :

• Déterminer en amont les preuves pertinentes et surtout accompagner les opérationnels dans le tri des preuves à transmettre. Cela requiert au préalable un analyse fine des procédures et des politiques (politique anti-corruption, anti-fraude, politique sur les rémunérations…).
• Analyser la méthodologie d’échantillonnage/de contrôle. Pour monter un plan de contrôle, il est important de choisir comment les contrôles vont être faits, par quelle méthode et sur quels points s’attarder.

Difficulté #4 : trouver le juste scoring entre sévérité indulgence

L’enjeu des campagnes est de refléter au mieux la qualité des contrôles effectués par les équipes opérationnelles ainsi que la façon avec laquelle les risques sont couverts. D’où l’importance de la méthodologie de scoring des contrôles.

Les solutions :

• Implémenter un contrôle 4 yeux sur la revue critique.
• En cas de doute sur la note à attribuer, arbitrer collégialement.
• En cas d’évaluation périodique, s’appuyer sur les évaluations des campagnes précédentes. Un contrôle semble être mal mis en place ? Dans ce cas, il convient de regarder les notes attribuées les années précédentes. Si le contrôle n’a jamais été correctement mis en œuvre, il faut remédier à ce point en priorité. En effet, l’évaluation des contrôles de niveau 2 n’est pas seulement une évaluation, elle doit également être accompagnée de recommandations si le scoring est insatisfaisant.

Difficulté #5 : parvenir à une restitution synthétique mais juste et constructive

La consolidation des évaluations synthétique le scoring, avec une moyenne par contrôle (ou catégorie de contrôles s’il y en a plusieurs) ou par entité. Elle doit proposer une vue synthétique mais complète et constructive pour favoriser l’implication des équipes opérationnelles.

Les solutions :

• Relever les points forts pour chaque entité. Un contrôle mal mis en œuvre les années précédentes est maintenant correctement mis en place ? Alors il faut le noter. Au contraire, un contrôle qui n’a jamais fait l’objet d’une amélioration doit être remonté.
• Réaliser la synthèse pour chaque périmètre contrôlé au fil de l’eau. Une fois l’évaluation terminée, faire la synthèse à chaud afin de n’oublier aucun élément important.
• Utiliser directement les outils (Tableau par exemple) comme des tableaux pour la restitution, pour le suivi et pour la synthèse.

Difficulté #6 : apporter, dans les délais, des réponses précises et à jour aux commissaires aux comptes

L’intervention des Commissaires aux comptes est un exercice récurrent et consommateur de temps pour les équipes de contrôle interne. Souvent, les demandes s’accumulent et deviennent difficiles à absorber.

Les solutions :

• Anticiper les demandes des CAC et organiser des réunions préparatives avant leur arrivée. En effet, les CAC peuvent demander des pièces complémentaires, il faut donc prévoir des créneaux à leurs accorder et essayer, idéalement, d’être disponible tout le long de l’intervention.
• Mettre à jour les plans de contrôle et les process et vérifier que ces derniers sont bien respectés lors des campagnes de contrôle car c’est ce que les CAC vont regarder.
• Prendre en compte les recommandations émises afin de les résoudre lorsque c’est possible et lever l’objection lors de l’intervention suivante.
• Enfin, la formalisation et la justification sont nécessaires dès lors qu’il y a des KO où des problèmes détectés pendant les contrôles.