Contrôle interne : les 10 faiblesses que les chambres régionales des comptes relèvent encore

15 décembre 2023. Un notaire vire 1,6 million d'euros.

Le prix d'un terrain que la commune d'Aubagne vient de vendre. Le virement part vers le RIB transmis par les services municipaux. Ce RIB est faux : un fraudeur a pris la main sur la messagerie d'un agent et l'a remplacé.

Dix ans plus tôt, la même commune avait découvert un détournement de 110 223,90 € dans ses régies de recettes. Faute de suites, la créance s'est prescrite en 2019. L'argent ne reviendra jamais.

En 2025, la chambre régionale des comptes Provence-Alpes-Côte d'Azur a posé le diagnostic sans détour : ces risques « auraient pu être prévenus par un contrôle interne comptable et financier formalisé ». La commune n'en avait pas. (rapport d'observations définitives, CRC PACA, 2025)

Aubagne n'est pas un cas isolé. Les mêmes faiblesses reviennent, rapport après rapport, dans toutes les régions. Voici dix faiblesses qui reviennent régulièrement sous la plume des magistrats. Avec, pour chacune, un exemple public et la parade concrète à mettre en place avant leur visite.

Ce que disent les chiffres des chambres

Chaque année, chaque chambre régionale publie une synthèse du suivi de ses recommandations. La loi l'impose : l'ordonnateur présente à son assemblée, dans l'année, les actions menées après le contrôle, et la chambre en fait la synthèse (article L. 243-9 du code des juridictions financières).

Ces synthèses sont une mine. Celle de la chambre Auvergne-Rhône-Alpes, publiée en mai 2025, porte sur 324 recommandations issues de 62 rapports. La chambre les classe en sept domaines :

• gouvernance et organisation interne : 31,5 %

• ressources humaines : 24,1 %

• comptabilité : 13,0 %

• achats : 9,6 %

• relations avec les tiers : 8,3 %

• situation financière : 7,7 %

• situation patrimoniale : 5,9 %

Le contrôle interne ne forme pas un domaine à part. Il traverse tous les autres : la gouvernance, la comptabilité, les régies, la paie, les systèmes d'information.

Deux autres chiffres comptent. D'abord, 63,6 % des recommandations sont des rappels à la loi, pas des conseils de bonne gestion. Ensuite, 86 % sont mises en œuvre, au moins partiellement, dans l'année. Les chambres Hauts-de-France et Corse publient des taux du même ordre. Autrement dit : les organismes corrigent. Mais après le contrôle, pas avant.

Sources : synthèse annuelle CRC Auvergne-Rhône-Alpes, mai 2025 · synthèse CRC Hauts-de-France, 2026 · suivi CRC Corse, 2025

Les 10 faiblesses

1. Aucun contrôle interne formalisé, aucune cartographie des risques

C'est la racine des neuf autres. À Aubagne, la chambre constate qu'aucune cartographie des risques n'a été réalisée et que les services n'ont pas formalisé de procédures de contrôle. Sa première recommandation tient en une ligne : formaliser une procédure de contrôle interne comptable et financier.

Le département de l'Allier a reçu la même consigne, plus précise : développer le contrôle interne sur la base d'une cartographie complète des risques, en tenant compte d'une chaîne comptable très déconcentrée. À Riom, la chambre demandait un dispositif de contrôle interne contre les atteintes à la probité.

La parade. Partez de vos processus : dépense, recette, paie, régies, patrimoine. Listez ce qui peut mal tourner, évaluez chaque risque, puis rattachez-lui un contrôle et un responsable. Un premier périmètre restreint vaut mieux qu'un projet exhaustif jamais terminé.

2. Des contrôles réalisés, mais sans trace

Beaucoup de services contrôlent. Peu le prouvent. À Aubagne, la chambre note que, lorsqu'ils sont réalisés, les contrôles ne font l'objet d'aucune traçabilité. Le rapport rappelle la règle : l'efficacité d'un contrôle interne doit être attestée par la traçabilité des contrôles opérés.

La parade. Pour chaque contrôle : qui l'a fait, quand, sur quel échantillon, avec quel résultat. Conservez la preuve au même endroit que le contrôle. Un contrôle sans trace n'existe pas pour un magistrat.

3. Des régies que l'ordonnateur ne contrôle jamais sur place

Les régies manient des espèces, des chèques, des avances. C'est là que le détournement d'Aubagne s'est produit. Dix ans plus tard, la commune compte 26 régies, qui ont encaissé 2,12 M€ en 2023. Pourtant, l'ordonnateur n'y réalise aucun contrôle sur place.

Le scénario se répète. À Bayonne, la chambre recommandait d'exercer sur les régies des contrôles réguliers, distincts de ceux du comptable, pour 23 régies de recettes et 10 régies d'avances. À Talence, en 2024, elle relève un contrôle des régies par l'ordonnateur mis en œuvre partiellement.

La parade. Ne comptez pas sur le seul comptable public : à Aubagne, son poste ne pouvait pas tenir la périodicité réglementaire de quatre ans. Classez vos régies par enjeu, planifiez des contrôles inopinés sur les plus exposées et tracez-les.

4. Des coordonnées bancaires mal protégées

La fraude au faux RIB ne vise pas que les fournisseurs. À Aubagne, c'est le RIB de la commune elle-même qui a été substitué dans une messagerie piratée. Au 1er décembre 2024, 1 174 793 € avaient été rappelés ; la perte potentielle restait de l'ordre de 425 000 €. La chambre pointe une sensibilisation insuffisante des agents chargés des opérations à forts enjeux.

Après la fraude, seule la direction des finances peut transmettre le RIB de la commune. La chambre juge la mesure insuffisante : la nouvelle règle repose sur un simple courriel, et la modification frauduleuse des coordonnées de tiers créanciers reste possible.

La parade. Toute création ou modification de RIB passe par un contre-appel à un numéro déjà connu, jamais celui du courriel reçu. Une seconde personne valide. Et vous revoyez périodiquement les changements de coordonnées du fichier des tiers.

5. Une seule personne de bout en bout

La séparation des tâches est le plus vieux contrôle du monde. Elle manque encore. Au service de gestion comptable d'Aubagne, jusqu'en septembre 2022, les ordres de paiement des excédents de versement étaient signés par l'agent qui les instruisait, sans contrôle croisé. La chambre rappelle que ces sorties de caisse sont un terrain favorable à la fraude.

Même corrigée, la faille laisse une trace : les ordres n'indiquaient pas l'identité de l'agent émetteur. La chambre n'a donc pas pu vérifier l'intervention de deux personnes distinctes.

La parade. Repérez les opérations où une même personne peut créer, valider et payer. Contrôlez les droits d'accès de vos logiciels financiers, pas seulement l'organigramme : c'est là que se cachent les cumuls.

6. Un inventaire qui ne colle pas à l'état de l'actif

L'ordonnateur tient l'inventaire, le comptable tient l'état de l'actif. Les deux doivent concorder. À Aubagne, fin 2023, l'écart atteint 4,18 M€. Saint-Donat-sur-l'Herbasse doit rapprocher son inventaire comptable de l'état de l'actif. Le département de l'Allier doit réaliser un inventaire physique de ses biens et fiabiliser son inventaire comptable.

La conséquence dépasse le bilan. Un actif mal suivi fausse les amortissements, donc le résultat et l'équilibre budgétaire.

La parade. Un rapprochement annuel, écrit et signé par les deux parties. Les écarts y sont listés, expliqués et suivis jusqu'à leur résorption.

7. Des charges oubliées en fin d'exercice

Le rattachement des charges et des produits garantit l'indépendance des exercices. À Aubagne, la chambre identifie environ 0,7 M€ de charges 2023 non rattachées. Elle constate aussi que le règlement budgétaire et financier ne fixe aucun seuil de rattachement.

D'autres ont régularisé. Saint-Symphorien-d'Ozon a fixé par délibération un seuil de 500 € TTC en dessous duquel elle ne rattache pas.

La parade. Fixez un seuil par délibération. Établissez avec votre comptable un calendrier de fin de gestion concerté. Puis contrôlez les factures reçues en janvier : elles révèlent les oublis de décembre.

8. Des risques connus, mais pas provisionnés

La provision est une dépense obligatoire dès qu'un contentieux s'ouvre ou qu'une créance devient douteuse (articles L. 2321-2 et R. 2321-2 du CGCT). À Aubagne, un contentieux bancaire au long cours, dont l'enjeu s'élevait à 2,07 M€, n'a jamais été provisionné. Verdict de la chambre : des résultats insincères de 2012 à 2022.

La synthèse Auvergne-Rhône-Alpes cite la communauté de communes du Pays mornantais et la commune de Saint-Symphorien-d'Ozon pour des provisions absentes ou partielles.

La parade. Un point trimestriel entre service juridique et finances sur les contentieux ouverts. Une méthode de provisionnement des créances inscrite dans votre règlement budgétaire, et appliquée chaque année de la même façon.

9. Pas de comptabilité d'engagement fiable

La comptabilité d'engagement est obligatoire quelle que soit la taille de la collectivité (article L. 2342-2 du CGCT). Elle manque encore. La commune de Lagnieu s'est vu recommander de la mettre en œuvre pour fiabiliser ses restes à réaliser et ses rattachements. Saint-Paul-de-Varces devait fiabiliser son système d'information financier pour tracer ses engagements.

Bonne nouvelle : ce sujet se corrige vite. Les deux communes ont mis en œuvre la recommandation dans l'année.

La parade. Aucun bon de commande sans engagement comptable préalable dans le logiciel. La règle est simple ; c'est son contrôle régulier qui la fait vivre.

10. Un système d'information sans politique de sécurité

La synthèse Auvergne-Rhône-Alpes recense douze recommandations sur les systèmes d'information. Elles vont de la politique de sécurité (Aix-les-Bains, Chambéry) au schéma directeur. À Charvieu-Chavagneux, la chambre demandait une politique de sécurité, une charte d'usage, la formation des agents et la sécurisation des sauvegardes.

Le lien avec vos comptes est direct. La fraude d'Aubagne est partie d'une messagerie piratée.

La parade. Une politique de sécurité écrite, des droits d'accès revus au moins une fois par an, et une sensibilisation ciblée des agents qui manipulent des coordonnées bancaires ou valident des paiements.

Sources : ROD Aubagne, CRC PACA, 2025 · synthèse CRC Auvergne-Rhône-Alpes, 2025 · suites du rapport CRC, Bayonne, 2019 · ROD Talence, CRC Nouvelle-Aquitaine, 2024

Ce qui coûte le plus à corriger

Un rappel à la loi se corrige par une délibération. Un dispositif de contrôle se construit en plusieurs années.

La synthèse Auvergne-Rhône-Alpes le montre domaine par domaine. Pour la situation patrimoniale, seules 15,7 % des recommandations sont entièrement mises en œuvre dans l'année, contre 73,8 % partiellement. Pour les achats, 33,4 % seulement le sont entièrement. À l'inverse, les recommandations de régularité sont plus souvent soldées que celles qui touchent à la qualité de gestion : 49,7 % contre 41,9 %.

Le contrôle interne suit la même pente. Les deux exemples détaillés par la chambre, Saint-Just Saint-Rambert et Riom, n'ont mis en œuvre leur recommandation que partiellement un an après. Riom a pourtant créé une direction générale adjointe dédiée et lancé sa cartographie des risques.

La leçon est simple. Si vous attendez le rapport pour bâtir votre dispositif, vous serez encore en chantier lors du rapport de suivi. Commencez avant.

Source : synthèse annuelle CRC Auvergne-Rhône-Alpes, mai 2025

Pourquoi le sujet devient personnel

Depuis le 1er janvier 2023, la responsabilité financière des gestionnaires publics a changé de nature. L'ordonnance n° 2022-408 du 23 mars 2022 a créé un régime unifié, jugé par la chambre du contentieux de la Cour des comptes.

Ce régime vise d'abord les responsables administratifs et les comptables publics, plus rarement les ordonnateurs élus. Les chambres régionales y contribuent : elles défèrent au parquet général les faits repérés lors de leurs contrôles qui pourraient constituer une infraction.

Parmi les fautes visées par la réforme figurent les carences graves dans les contrôles, lorsqu'elles ont causé un préjudice financier significatif. Les documents de cadrage diffusés aux services en tirent la conséquence : la réforme implique une adaptation du contrôle interne, avec des processus mieux sécurisés au regard des enjeux.

Pas de panique pour autant. Un dispositif documenté et tracé est précisément ce qui permet de démontrer que vous avez exercé vos contrôles. C'est votre meilleure protection.

Sources : synthèse annuelle CRC Auvergne-Rhône-Alpes, mai 2025 · éléments de cadrage sur la RGP, académie de Caen, 2023 · dossier documentaire INSP, 2024

Votre auto-diagnostic en 10 questions

Répondez par oui ou par non, preuve à l'appui. Chaque « non » correspond à l'une des dix faiblesses ci-dessus.

1. Disposez-vous d'une cartographie des risques comptables et financiers, mise à jour depuis moins d'un an ?

2. Pouvez-vous montrer, pour chaque contrôle prévu, qui l'a fait, quand et avec quel résultat ?

3. Avez-vous contrôlé sur place, l'an dernier, vos régies à plus fort enjeu ?

4. Toute modification de RIB fait-elle l'objet d'un contre-appel et d'une double validation ?

5. Savez-vous si une même personne peut créer un tiers, valider une dépense et la mettre en paiement dans vos logiciels ?

6. Votre inventaire et l'état de l'actif du comptable ont-ils été rapprochés, par écrit, sur le dernier exercice ?

7. Votre règlement budgétaire et financier fixe-t-il un seuil de rattachement, et votre calendrier de fin de gestion est-il concerté avec le comptable ?

8. Chaque contentieux ouvert et chaque créance douteuse fait-il l'objet d'une provision, selon une méthode écrite ?

9. Tout bon de commande est-il précédé d'un engagement comptable dans le logiciel ?

10. Disposez-vous d'une politique de sécurité des systèmes d'information, et les droits d'accès ont-ils été revus cette année ?

Trois « non » ou plus ? Commencez par les questions 1 et 2. Elles conditionnent toutes les autres.

Comment ISODIT vous aide

ISODIT réunit dans un même outil votre cartographie des risques, votre plan d'action et votre plan de contrôle. Chaque contrôle se rattache à son risque. Chaque exécution laisse une trace datée, avec sa preuve. Vous répondez ainsi aux faiblesses 1 et 2 dès le départ.

Pour les faiblesses 4 et 5, ISODIT va plus loin qu'un tableau de suivi. Il fiabilise votre fichier des tiers et détecte automatiquement les anomalies d'habilitations et les cumuls de fonctions dans vos logiciels. L'analyse de votre fichier des écritures comptables (FEC) fait ressortir les opérations atypiques.

Le jour du contrôle, vos auditeurs internes et externes disposent d'une vue dédiée. Ils consultent les contrôles réalisés et leurs preuves, sans que vos équipes passent des jours à rassembler des pièces.

Faites le point sur vos dix faiblesses. Contactez-nous : nous réalisons avec vous l'auto-diagnostic ci-dessus et nous vous montrons, sur vos propres processus, par où commencer.

Méthode et sources

Cet article s'appuie sur des documents publics des juridictions financières : des rapports d'observations définitives et des synthèses annuelles de suivi des recommandations. Les chiffres cités viennent de ces documents, sans retraitement.

Les dix faiblesses sont présentées dans un ordre logique, du dispositif d'ensemble vers les processus. Elles ne sont pas classées par fréquence : un tel classement suppose de coder l'ensemble des recommandations de toutes les chambres, ce que nous prévoyons pour une prochaine étude.

Les chambres régionales contrôlent surtout les collectivités, leurs établissements publics et les entreprises publiques locales. Les établissements publics nationaux relèvent en principe de la Cour des comptes. Les constats restent transposables, mais les textes cités (CGCT notamment) visent le secteur local.

Sources

• Rapport d'observations définitives, commune d'Aubagne, CRC Provence-Alpes-Côte d'Azur, 2025

• Synthèse annuelle des rapports de suivi, CRC Auvergne-Rhône-Alpes, mai 2025

• Synthèse annuelle de suivi des recommandations, CRC Hauts-de-France, 2026

• Suites données aux observations de la CRC Corse, 2025

• Rapport sur les suites du contrôle de la CRC, Ville de Bayonne, 2019

• Rapport d'observations définitives, commune de Talence, CRC Nouvelle-Aquitaine, 2024

• Éléments de cadrage sur la responsabilité des gestionnaires publics, académie de Caen, 2023

• Dossier documentaire, INSP, 2024

• Code des juridictions financières, article L. 243-9 ; code général des collectivités territoriales, articles L. 2321-2, R. 2321-2 et L. 2342-2 ; ordonnance n° 2022-408 du 23 mars 2022 (Légifrance)