l’audit bancaire et ses particularités

Hier, contrôleur de la régularité des traitements et des opérations, l’auditeur bancaire est aujourd’hui un expert du diagnostic des processus opérationnels et de contrôle des risques, un chef de projet évoluant dans un environnement complexe et un spécialiste du métier bancaire.

Ce profil en fait également un acteur majeur en matière de gestion des risques et de création de valeur ajoutée pour la banque.

Principes édictés par le comité de Bâle en matière d’audit bancaire

Surveillance des activités et correction des déficiences.

L’efficacité globale des contrôles internes de la banque devrait être surveillée en permanence. Le suivi des principaux risques devrait faire partie des activités quotidiennes de la banque de même que les évaluations périodiques effectuées par les secteurs d’activité et l’audit interne.

Comme l’activité bancaire est un secteur dynamique, où tout évolue rapidement, les banques doivent en permanence surveiller et évaluer leurs systèmes de contrôle interne en fonction des modifications des conditions internes et externes et les renforcer, au besoin, pour en garantir l’efficacité.

Surveiller l’efficacité des contrôles internes est une tâche qui peut être accomplie par du personnel de plusieurs secteurs différents, dont celui en charge des opérations ellesmêmes, le contrôle financier et l’audit interne.

Pour cette raison, il est important que la direction générale désigne clairement les auditeurs en précisant leurs fonctions de surveillance. La surveillance devrait faire partie des activités quotidiennes de la banque mais commande également de procéder à des évaluations périodiques spécifiques de l’ensemble du processus de contrôle interne.

La fréquence de la surveillance des différentes activités devrait être fonction des risques encourus ainsi que du rythme et de la nature des changements affectant l’environnement opérationnel.

Un processus de surveillance en continu peut permettre de découvrir et de corriger rapidement les déficiences du système de contrôle interne. Il atteint son efficacité maximale lorsque le système de contrôle interne est intégré à l’environnement opérationnel et donne lieu à des rapports réguliers qui font l’objet d’un examen.

Dans le cadre de la surveillance en continu figurent, par exemple, l’examen et l’approbation des enregistrements courants ainsi que la consultation et l’approbation par la direction des rapports sur des faits exceptionnels.

En revanche, les évaluations spécifiques ne détectent généralement les problèmes qu’après coup; elles permettent cependant à une organisation d’avoir un aperçu récent et global de l’efficacité du système de contrôle interne et des activités de surveillance.

Les évaluations du système de contrôle interne prennent souvent la forme d’autoévaluations, lorsque les personnes chargées d’une fonction précise déterminent le degré d’efficacité des contrôles pour leurs activités.

Les documents et résultats concernant les évaluations sont ensuite soumis à l’attention de la direction générale. Les examens effectués à tous les niveaux devraient être étayés par une documentation adéquate et communiqués dans les meilleurs délais à l’échelon de la direction appropriée.

Un audit interne efficace et exhaustif du système de contrôle interne

Cet audit devrait être effectué par un personnel bien formé et compétent bénéficiant d’une indépendance opérationnelle. La fonction d’audit interne, en tant qu’élément de la surveillance du système de contrôle interne, devrait rendre compte directement au conseil d’administration, ou à son comité d’audit, ainsi qu’à la direction générale.

La fonction d’audit interne constitue un élément majeur de la surveillance en continu du système de contrôle interne, parce qu’elle fournit une évaluation indépendante du caractère adéquat des politiques et procédures établies et du respect de la conformité à ces dernières.

Il est essentiel que la fonction d’audit interne soit indépendante du fonctionnement de la banque au quotidien et qu’elle ait accès à l’ensemble des activités conduites par l’organisation bancaire, y compris dans ses succursales et filiales.

En rendant compte directement au conseil d’administration ou à son comité d’audit ainsi qu’à la direction générale, les auditeurs internes procurent des informations objectives sur les différentes activités.

En raison de l’importance de cette fonction, l’audit interne doit être assuré par un personnel compétent et bien formé ayant une parfaite compréhension de son rôle et de ses responsabilités.

La fréquence et l’ampleur des examens et tests des contrôles internes effectués au sein d’une banque par les auditeurs internes devraient correspondre à la nature et à la complexité des activités de l’organisation et aux risques associés.

Le rattachement de la fonction d’audit interne au plus haut niveau de l’organisation bancaire, permet à la gouvernance d’entreprise de s’exercer correctement.

Le conseil bénéficie d’informations qui ne peuvent être aucunement adaptées par les niveaux de direction couverts par ces comptes rendus. Le conseil devrait également renforcer l’indépendance des auditeurs internes, en faisant en sorte que des questions ayant trait, par exemple, à leur rémunération ou aux affectations budgétaires les concernant soient traitées par le conseil ou par les niveaux de direction supérieurs plutôt que par des responsables qui sont affectés par les travaux des auditeurs internes.

Notification par l’audit interne des déficiences des contrôles internes au conseil

Les déficiences des contrôles internes, qu’elles soient détectées par un secteur d’activité, l’audit interne ou un autre personnel de contrôle, devraient être notifiées dans les meilleurs délais au niveau de la direction appropriée et faire l’objet d’un traitement rapide. Les déficiences importantes devraient être signalées à la direction générale et au conseil d’administration.

Les auditeurs internes doivent assurer un suivi ou toute autre forme appropriée de surveillance et informer immédiatement la direction générale ou le conseil de toute insuffisance non corrigée. Pour faire en sorte que toutes les déficiences soient traitées au plus tôt, la direction générale devrait être responsable de l’instauration d’un système destiné à suivre les faiblesses du contrôle interne ainsi que les actions destinées à y remédier.

Le conseil d’administration et la direction générale doivent recevoir périodiquement des rapports recensant les problèmes de contrôle décelés. Des points qui apparaissent peu importants lors de contrôles individuels peuvent fort bien révéler des tendances susceptibles, sous un angle global, de représenter une déficience de contrôle majeure si une action n’est pas entreprise à temps.

Contrôle interne et audit interne bancaires.

Contrôle interne bancaire

“ Le contrôle interne est le processus mis en œuvre par le conseil d’administration, les dirigeants et le personnel d’une organisation, destiné à fournir l’assurance raisonnable quant aux objectifs suivants : la réalisation et l’optimisation des opérations, la fiabilité des opérations financières, la conformité aux lois et aux réglementations en vigueur ”.

Le contrôle interne se définit généralement comme l’ensemble des mesures qui, sous la responsabilité de la direction de l’entreprise, doivent assurer, avec une certitude raisonnable, la réalisation des éléments suivants : une conduite des affaires ordonnée et prudente, encadrée d’objectifs bien définis; une utilisation économique et efficace des moyens engagés; une connaissance et une maîtrise adéquate des risques en vue de protéger le patrimoine; l’intégrité et la fiabilité de l’information financière et de celle relative à la gestion; le respect des lois et règlements ainsi que des politiques générales, plans d’actions et des procédures internes.

Une partie de ces mesures est axée sur la vérification et l’encouragement du respect, par l’entreprise, des règles qui ont trait à l’intégrité de la fourniture de services financiers. Elle porte, en d’autres termes, sur la fonction dite de compliance.

Enfin, la fonction d’audit interne est un instrument important pour vérifier le bon fonctionnement, l’efficacité et l’efficience du contrôle interne et ce compris la fonction de compliance.

Dans le cadre de ses travaux, l’audit interne fournit à la direction de l’entreprise des analyses, des évaluations, des recommandations, des avis et des informations sur les activités examinées et contribue ainsi à une meilleure gestion de l’entreprise.

Un système de contrôle interne adéquat requiert un ensemble efficace de mesures intégrées, adaptées à l’organisation et au fonctionnement de l’établissement et conformes aux principes d’une gestion prudente et saine.

L’objectif principal du contrôle interne est d’analyser, surveiller, détecter et prévenir les risques auxquels les établissements bancaires sont confrontés. Les principaux risques sont : le risque de crédit, de marché, de taux, de liquidité, de règlement, opérationnel et juridique.

Le contrôle bancaire doit se concevoir à travers une approche préventive pour que l’établissement exerce ses activités de manière saine et sûre. Ce contrôle ne se limite pas au seul examen du respect des normes quantitatives, mais repose aussi sur la qualité des dirigeants, sur la discipline de marché (par une meilleure transparence financière) et sur la qualité du contrôle et de la maîtrise des risques par les Etablissements bancaires.

Le contrôle interne est un système qui fonctionne en continu à tous les niveaux de la banque. A ce titre, il constitue une composante essentielle de la gestion d’un établissement et un élément de la culture de celui-ci en faisant partager à l’ensemble du personnel l’importance du contrôle.

Le contrôle interne doit permettre à l’établissement de conserver sa capacité d’identification, de réaction et d’adaptation lors de la survenance de risques.

Ainsi, le système de contrôle interne doit prévoir quatre niveaux de contrôle :

• contrôles quotidiens réalisés par les exécutants (contrôle premier niveau, premier degré).
• contrôles critiques continus assurés par les personnes chargées du traitement administratif des opérations(contrôle premier niveau, deuxième degré) ;
• contrôles réalisés par les membres de la direction sur les activités ou fonctions qui tombent sous leur responsabilité directe (contrôle premier niveau, troisième degré);
• contrôles réalisés par le service d’audit interne (contrôle deuxième niveau).

Audit interne bancaire

Rappelons que : « L’audit Interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée. Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d’entreprise, et en faisant des propositions pour renforcer leur efficacité. »

L’audit interne, chargé de veiller à la cohérence et à l’efficacité du contrôle interne, est au cœur du système de contrôle interne bancaire. Pour garantir son efficacité, des exigences doivent être vérifiées:

• Caractère permanent;
• Indépendance;
• Charte d’audit;
• Objectivité;
• Compétence professionnelle.

Empruntant la démarche d’audit interne décrite supra pour l’exécution de ses travaux, l’audit bancaire repose en plus sur quelques particularités :

• Plan annuel d’audit;
• Programmes de missions;
• Documents de travail;
• Rapports de synthèse et détaillé;
• Suivi de missions.

Le plan annuel d’audit est déterminé selon la méthodologie « ANA » (Audit Needs Assessment) en déterminant les priorités d’audit et la fréquence des audits qui doit être en fonction du degré de risque.

Pour l’élaborer, un plan d’audit est déterminé en plusieurs étapes :

• Analyse des flux et activités;
• Hiérarchiser selon l’impact et la probabilité;
• Elaboration de la cartographie des risques.

De ce fait, la cartographie des risques est considérée comme :

• Un outil de planification, de gestion et de monitoring des risques bancaires;
• Un instrument d’aide à la maîtrise adéquate des risques;
• Un outil pour gérer le système de contrôle interne.

Ainsi pour mener à bien sa mission et contribuer à créer de la valeur ajoutée pour la banque, l’audit bancaire doit adopter une approche simple, pragmatique et efficace.

Dispositif de l’audit interne bancaire

L’audit interne, directement rattaché au top management de l’établissement bancaire, est indépendant de toute entité, de tout métier et de toute unité opérationnelle. Il n’est donc, de quelque manière que ce soit, pas impliqué dans le fonctionnement au quotidien des activités qu’il contrôle.

L’audit interne effectue périodiquement et autant que de besoin, des missions, surplace et ou sur pièces et dont l’objectif est la vérification :

• du respect des réglementations externes;
• du respect des règles internes;
• du respect des décisions du management et de la mise en place de moyens adaptés à leur application;
• de l’identification et de la maîtrise des risques de toute nature, tant avant qu’après l’initiation des opérations;
• de la fiabilité et de la pertinence des informations, mesures ou méthodes utilisées au niveau local à des fins de gestion financière ou de contrôle des risques;
• de la fiabilité et de l’exhaustivité des informations reportées au niveau central en vue de leur consolidation;
• de l’existence, de la pertinence et de la correcte application des procédures opérationnelles;
• de la qualité ainsi que de la juste évaluation et comptabilisation des éléments d’actif et de passif;
• de la mise en place des procédures et moyens suffisants pour assurer la continuité de l’activité;
• de la traçabilité des opérations et de leurs traitements;
• de l’efficacité et de la cohérence du dispositif de contrôle interne.

Un périmètre d’intervention élargi

Hier, l’auditeur se préoccupait d’un périmètre limité avec une démarche pour l’essentiel très proche des détails. Aujourd’hui, de fait, son champ d’intervention est beaucoup plus large : il est chargé de réaliser le diagnostic de systèmes de reporting et de dispositifs de pilotage très sophistiqués, des systèmes utilisés par la direction générale, ce qui signifie que les auditeurs sont en contact avec l’état-major de la banque, dans une approche qui n’a rien à envier à celle du consultant.

Ainsi, pour mettre en œuvre cette démarche de manière efficace et crédible, il faut faire intervenir uniquement des auditeurs spécialistes et lorsque nécessaire, leur apporter l’appui d’experts très pointus pour les aspects les plus techniques.

Audit tous Risques

Exemple parmi d’autres : les risques de marché, risques de système d’information et les moyens mis en œuvre pour y faire face. Aujourd’hui, on demande aux banques de maîtriser, de gérer et de contrôler ces risques. A partir du moment où elles entrent dans la cartographie des risques de la banque, cela signifie qu’il faut avoir les compétences nécessaires pour avoir un regard critique sur ces risques.

Ce sont des horizons nouveaux pour le métier de l’audit bancaire, on doit donc avoir des équipes compétentes formées et de spécialistes qui peuvent comprendre en détail tout ce qu’il y a derrière et parler d’égal à égal avec les audités.

Pour ce type de risques, on recrute notamment des ingénieurs financiers ayant des connaissances mathématiques extrêmement poussées, parfois complétées par une expérience de trading ou de contrôle des risques dans une banque.

Une démarche globale

Un empilement de solutions techniques (informatiques mais aussi comptables, juridiques, fiscales, financières…) ne saurait assurer la sécurité d’un système d’information sans une cohésion d’ensemble de ces différents éléments. Celle-ci passe par la mise en place d’une véritable organisation efficace au sein de la banque.

Pour l’audit bancaire, il s’agit donc de mettre en place une approche structurée intégrant les composantes stratégiques, organisationnelles et humaines mais aussi les facteurs risques, coûts et efficacité.

Finalité, rôle et approche de l’audit bancaire

Finalité de l’audit bancaire

Les banques font face à un environnement socioéconomique de plus en plus difficile. Les risques auxquels elles sont confrontées sont devenus plus nombreux, plus significatifs et plus complexes.

Dans le contexte économique actuel, les banques doivent plus que jamais disposer d’un système de gestion de risque efficace et élaboré, susceptible d’assurer une réaction rapide face à l’apparition de nouveaux risques. La finalité d’un tel système serait de préserver leur solidité financière, de continuer de croître et d’apporter la confiance au marché.

La fonction d’audit interne est un instrument important pour vérifier le bon fonctionnement, l’efficacité et l’efficience du contrôle interne, en ce compris la fonction de compliance.

Dans le cadre de ses travaux, l’audit interne fournit au management de la banque des analyses, évaluations, recommandations, avis et informations sur les activités examinées et contribue ainsi à une meilleure gestion de la banque.

Les autorités de tutelle exige pour chaque banque l’existence d’une organisation interne adéquate par rapport à l’activité exercée et aux risques encourus. D’où la nécessité d’un système d’audit et de gestion de risques performant.

Rôle : vérification du bon fonctionnement du contrôle interne

Pour tenir compte de l’importance de la gestion de risque dans une banque, un certain nombre de principes ont été clairement définis, notamment le rôle et les responsabilités du management (conseil d’administration et direction générale), les activités de contrôle et la séparation des fonctions, la nécessité de disposer des informations actualisées, fiables, cohérentes et accessibles.

Le conseil d’administration doit veiller à la mise en place et au maintien d’un contrôle interne conséquent, établir des limites à l’intérieur desquelles les risques sont encourus et garantir la mise en place des mesures d’identification, d’évaluation, de surveillance et de contrôle des risques. Il appartient, par la suite, à la direction générale de mettre en œuvre ces principes et notamment de développer des procédures de contrôle y relatives.

L’audit interne, cellule indépendante directement rattachée au conseil d’administration, a comme premier rôle de vérifier le bon fonctionnement du contrôle interne.

En parallèle, on assiste à un développement des comités d’audit, émanation du conseil d’administration, composés de plus en plus de spécialistes dans les différents domaines concernés (comptabilité, réglementation, juridique, private banking, etc.).

Le comité d’audit assure la communication régulière avec l’audit externe et l’audit interne, veille à la qualité et l’indépendance de leurs travaux et informe l’ensemble du conseil d’administration, par des rapports synthétisés sur les constats et recommandations majeurs relevés.

L’approche risque au centre de l’audit bancaire.

Dans le cadre du concept de surveillance, la banque centrale exerce une surveillance des établissements bancaires et ce de manière indirecte. C’est-à-dire en se basant sur les travaux des auditeurs internes et externes.

Ainsi, dans son rôle d’organe de vérification du bon fonctionnement du contrôle interne, l’auditeur bancaire se voit attribuer un rôle beaucoup plus étendu. Il ne vérifie pas seulement la régularité de traitement des opérations. Il doit également prendre position, dans un rapport adressé au conseil d’administration de la banque sur le respect des conditions d’autorisation d’une banque.

Par ailleurs, il doit aussi constater le (non)-respect de la réglementation bancaire, se prononcer sur la situation financière et notamment présenter des indications quantitatives et qualitatives sur la situation des risques (adéquation de la politique des risques, gestion et contrôle).

Pour remplir leur rôle, les auditeurs utilisent des méthodologies basées sur l’analyse de l’environnement, des risques existants ou potentiels et de l’organisation interne d’une banque.

• Compréhension de l’environnement

En premier lieu, un diagnostic est posé sur l’interaction de la banque dans son environnement. Quels sont les clients? Quels sont les produits proposés? Sur quels marchés et quelles régions géographiques la banque intervient-elle? Qui sont les stakeholders et quelles sont leurs attentes? Quelle est la conjoncture économique? Quels sont les changements réglementaires? etc.

Cette première étape permet d’identifier les risques découlant des activités bancaires (business risks), comme par exemple: sensibilité à l’évolution des indicateurs économiques (taux de change, taux d’intérêt, etc); concurrence; tendance et développement de l’environnement (par exemple, de la taxation de l’épargne, de la nouvelle ordonnance sur le blanchiment d’argent de la banque centrale); technologie (e-business, fournisseurs informatiques, disponibilité et sécurité de l’information…).

• Appréciation de la culture de risque

La deuxième étape consiste à apprécier la culture de risque de la banque et le degré d’élaboration du système de gestion de risque et du contrôle interne. Son point de départ se situe au niveau de la politique de risque qui reflète la compréhension, la mesure et le contrôle de risque par l’établissement bancaire.

Face à chacun d’eux, les établissements adoptent certains comportements: éviter un risque (par exemple, ne pas rentrer sur un nouveau marché ou offrir tel type de services); réduire ou transférer un risque (par exemple, utilisation des dérivés de crédit), et enfin, accepter un risque. Une fois ce cadre posé, la banque doit identifier, définir et mesurer les risques et attribuer un risk owner pour chacun d’eux.

Ensuite, il est nécessaire de fixer des tolérances aux risques (limites), puis d’établir un suivi et un reporting de l’évolution de l’exposition aux risques, et ceci de manière individuelle et globale.

• Appréciation et analyse de chaque risque

L’auditeur procède à une estimation des risques inhérents à chaque domaine d’activité (crédit, ressources humaines, système d’information, etc.). les risques peuvent être d’ailleurs classés en trois catégories (cf. chapitre 2) :

Une fois que le niveau des risques inhérents a été ainsi estimé, l’auditeur doit comprendre comment ceux-ci sont gérés et contrôlés.

Autrement dit, il doit apprécier l’adéquation et l’efficacité des mesures prises par la banque en vue de minimiser les risques encourus. Si donc l’importance du risque se définit par le risque inhérent, la capacité de gérer ce risque se définit par le dispositif de contrôle interne mis en place.

La conjonction des niveaux estimés du risque inhérent et du risque de contrôle permet ensuite à l’auditeur de déterminer l’étendue, la périodicité et les méthodes de vérification qu’il doit entreprendre, en accord avec les principes de la profession.

• Le respect des conditions d’autorisation.

L’analyse des risques inhérents et les contrôles internes mis en place permet de s’assurer que les risques sont bien identifiés et correctement reflétés dans les comptes annuels. Ces travaux permettent également de se prononcer sur le respect des conditions d’autorisation et des règles de comportement.

Enfin, l’application d’une telle méthodologie permet également d’identifier des opportunités d’amélioration et d’optimisation du système de contrôle interne et de les communiquer à la banque sous forme de recommandations ou de plans d’actions.

Dans le contexte économique actuel, une gestion de risque efficace se révèle plus que jamais capitale, pour préserver la solidité financière d’une banque et apporter la confiance au marché. Les autorités bancaires de surveillance doivent intégrer cette nécessité dans la réglementation en vigueur, qui va toutefois encore se renforcer avec l’introduction des nouveaux accords de Bâle II.

Le développement récent du corporate governance, à l’image des fondements du contrôle interne récemment redéfinis par la banque centrale, gagne en importance dans la gestion de risque.

La gestion des risques : un processus continu

La gestion de risque et le contrôle interne doivent ainsi être entendus en tant que processus continu dont l’application doit être garantie en permanence. Ce processus doit assurer l’identification des déficiences et la prise de mesures de correction adéquates.

L’analyse de ce processus dynamique est au cœur de l’approche et des travaux d’audit bancaire. Il ne s’agit pas seulement d’une appréciation figée des risques à un instant donné.

L’analyse des risques et les approches d’audit bancaire en découlant doivent être communiquées et validées avec le conseil d’administration ou le comité d’audit. La communication et la compréhension des rôles des différents acteurs dans la surveillance des banques s’en trouveront certainement facilitées et améliorées.

Quant à la transparence des informations déterminantes sur la situation des risques, elle contribuera à renforcer la confiance et améliorer la bonne gouvernance bancaire.

Conclusion

Dans un environnement changeant, l’auditeur interne peut jouer un rôle dépassant largement celui de « contrôleur » pour devenir un « catalyseur » encourageant les dirigeants d’entreprise à agir…

Quoi qu’il en soit, l’existence d’une structure d’audit interne au sein d’une banque traduit la volonté affirmée de la part de ses instances dirigeantes de se doter d’un outil en vue de limiter les risques, de rendre l’organisation existante plus performante et plus efficace.

L’audit interne peut jouer un rôle non négligeable en matière d’efficacité de la banque. Ainsi, dans le cadre de l’exercice de sa mission, l’auditeur est bien placé pour identifier, outre les problèmes de contrôle, les domaines dans lesquels les contrôles sont inutiles, inefficaces et coûteux.

L’auditeur peut également identifier les inefficacités des opérations et peut se voir charger, au-delà de sa mission habituelle, de mission de conseil.

Encore s’agit-il de s’assurer que l’outil mis en place est bien apte à accomplir la mission qu’on lui a assignée. Des conditions sont à remplir pour que l’audit interne puisse être un véritable outil d’efficacité.

L’efficacité, et donc le résultat pour la banque, seront d’autant plus grands, que chacun de ses critères aura pu être optimisé, apportant ainsi une contribution significative à l’ensemble. Cette optimisation a toutefois ses limites, qui peuvent être classées en quatre grandes catégories, selon leur nature :

• Une première limite est liée aux hommes, aux auditeurs bien sûr, compte tenu de leurs aptitudes à assumer la fonction, de leurs connaissances, de leur formation, de leurs qualités intrinsèques, mais aussi aux audités et à leur comportement ou à la remise en cause éventuelle de leur façon de travailler et de leurs habitudes. Enfin, l’attitude des dirigeants et le soutien qu’ils apportent à leur structure d’audit interne, est un gage majeur de réussite.
• Une deuxième limite est constituée par le rapport efficacité/coût. L’existence d’une structure performante d’audit coûte cher en termes de salaires, de frais de déplacements, de frais de structure. Il faut donc que l’équipe se rentabilise et il n’est pas toujours évident de mesurer concrètement sa productivité.
• La troisième limite est liée au fait que la mise en place du contrôle interne vient souvent à l’encontre de l’efficacité immédiate.
• Le quatrième type de limite concerne l’évolution rapide des techniques et des méthodes de travail. L’exemple de l’informatique qui permet désormais de travailler en temps réel, va tout à fait dans le sens de l’efficacité, mais par contre, conduit souvent à des systèmes inauditables.

l’audit bancaire PDF

Cours sur l’audit bancaire en PDF

Télécharger