Comment préparer un audit externe dans une organisation publique ?
Mis à jour le
La préparation d'un audit externe consiste à rassembler les pièces demandées par l'auditeur, à identifier le responsable interne de chacune et à conserver la trace des échanges. La difficulté n'est pas de produire les documents, mais de savoir à tout moment lesquels ont été fournis, par qui, et lesquels manquent encore. Un auditeur apprécie la qualité du dispositif de contrôle interne autant sur la traçabilité des contrôles effectués que sur leur existence déclarée.
Qui contrôle, selon l’organisation
L'audit externe ne désigne pas un interlocuteur unique. Sa nature, son rythme et son objet varient selon l'employeur public, ce qui change les pièces attendues.
- Chambre régionale des comptes, pour l'examen de la gestion des collectivités et de leurs établissements
- Commissaire aux comptes, pour la certification des comptes des établissements de santé les plus importants et des entreprises publiques
- Corps d'inspection ministériels, pour les services de l'État et leurs opérateurs
- Agence française anticorruption, pour la qualité du dispositif de prévention des atteintes à la probité
Ce qui fait échouer la préparation
La dispersion. Les demandes de pièces circulent par courriel, les réponses reviennent en pièces jointes, et le suivi se tient dans un tableur mis à jour par une seule personne. Trois semaines plus tard, personne ne sait avec certitude ce qui a été transmis.
Le second facteur est l'absence de responsable identifié par pièce : une demande adressée à un service plutôt qu'à une personne reste sans réponse sans que quiconque en porte la charge.
Les pièces habituellement demandées
Un audit portant sur le contrôle interne comptable examine la documentation du dispositif avant d'examiner les opérations elles-mêmes.
- La cartographie des risques et sa date de dernière actualisation
- L'organigramme fonctionnel nominatif, qui matérialise la séparation des fonctions
- Le plan de contrôle et les comptes rendus des contrôles réalisés
- Le plan d'action, avec ses responsables et ses échéances
- Les délégations de signature en vigueur
- Les procédures écrites des processus examinés
Source : Décret n° 2012-1246 du 7 novembre 2012, article 170
La traçabilité, objet principal de l’examen
Un contrôle déclaré mais non tracé est traité comme un contrôle non effectué. C'est la raison pour laquelle un dispositif tenu dans des fichiers bureautiques se défend mal : rien n'y atteste de la date d'un contrôle, ni de son auteur, ni de ce qui a été modifié depuis.
Isodit conserve l'horodatage et l'auteur de chaque opération, et prévoit un accès distinct pour l'auditeur externe, par lequel celui-ci formule ses demandes de pièces, constate lesquelles ont été fournies, relance les responsables internes et dépose son rapport.