ESSENTIEL - La démarche d'audit et le contrôle interne
Un commissaire aux comptes ne vérifie jamais une entreprise ligne de compte par ligne de compte : il concentre ses travaux là où le risque d'erreur est le plus élevé.
Cette approche par les risques repose largement sur un préalable : l'appréciation du contrôle interne de l'entreprise auditée.
Le principe
La démarche d'audit consiste à obtenir une assurance raisonnable, jamais absolue, que les comptes ne comportent pas d'anomalies significatives, en concentrant les travaux sur les zones de risque plutôt qu'en contrôlant l'intégralité des opérations.
Cette approche par les risques s'appuie sur trois grandes phases et sur une appréciation préalable du contrôle interne de l'entité.
Un contrôle interne solide ne dispense jamais totalement l'auditeur de contrôles, mais lui permet de réduire l'étendue de ses tests sur les zones qu'il couvre efficacement.
Les trois phases de la démarche d'audit
| Phase | Ce qu'elle consiste à faire |
| 1. Orientation et planification | Prise de connaissance de l'entité, identification et évaluation des risques d'anomalies significatives (NEP 315), détermination du seuil de signification |
| 2. Examen des comptes | Mise en œuvre des travaux d'audit (tests de procédures et contrôles de substance) en réponse aux risques évalués (NEP 330) |
| 3. Finalisation de la mission | Synthèse des travaux, obtention des déclarations de la direction, formulation de l'opinion et rédaction du rapport (NEP 700) |
Deux philosophies différentes
| PCG | IFRS | |
| Priorité | Protection du patrimoine et des tiers (créanciers, associés) | Information utile aux investisseurs pour leurs décisions économiques |
| Principe dominant | Prudence, coût historique | Substance over form (la réalité économique prime sur la forme juridique), recours plus large à la juste valeur |
| Destinataire principal | Administration fiscale, tiers, associés | Marchés financiers, investisseurs internationaux |
Trois divergences majeures à connaître
| Situation | Référentiel applicable |
| Comptes individuels (comptes sociaux), toute entreprise française | PCG, sans exception, même pour une filiale d'un groupe coté |
| Comptes consolidés, société cotée sur un marché réglementé de l'UE | IFRS, obligatoire depuis les exercices ouverts à compter du 1er janvier 2005 (règlement CE n° 1606/2002) |
| Comptes consolidés, société non cotée établissant des comptes consolidés | Option entre les règles françaises (règlement ANC 2020-01) et les IFRS |
Le seuil de signification
Le seuil de signification est le montant au-delà duquel une anomalie, ou le cumul de plusieurs anomalies, est susceptible d'influencer le jugement d'un utilisateur des comptes.
Il est généralement déterminé à partir d'un pourcentage appliqué à un indicateur de référence : chiffre d'affaires, résultat courant ou capitaux propres selon la nature de l'activité.
Ce seuil détermine l'étendue des travaux : plus il est fixé bas, plus les contrôles doivent être approfondis pour détecter des anomalies plus modestes.
Le risque d'audit
| Composante | Ce qu'elle mesure |
| Risque inhérent | Risque qu'une anomalie significative existe, indépendamment de tout contrôle (complexité de l'opération, jugement requis, historique d'erreurs) |
| Risque lié au contrôle | Risque que le contrôle interne de l'entité ne prévienne ni ne détecte une anomalie significative en temps voulu |
| Risque de non-détection | Risque que les travaux de l'auditeur eux-mêmes ne parviennent pas à détecter une anomalie significative existante |
Le risque d'audit résulte du produit de ces trois composantes : plus le risque inhérent et le risque lié au contrôle sont élevés, plus l'auditeur doit renforcer ses propres contrôles pour maintenir le risque d'audit à un niveau acceptable.
Le contrôle interne : les 5 composantes du référentiel COSO
| Composante | Ce qu'elle recouvre |
| Environnement de contrôle | La culture de l'entreprise en matière de maîtrise des risques : intégrité, éthique, répartition des pouvoirs et des responsabilités |
| Évaluation des risques | L'identification et l'analyse des risques susceptibles d'affecter l'atteinte des objectifs de l'entité |
| Activités de contrôle | Les procédures concrètes mises en œuvre pour maîtriser les risques identifiés (autorisations, rapprochements, séparation des tâches) |
| Information et communication | La circulation, en temps utile, des informations nécessaires à l'exercice des responsabilités de chacun |
| Pilotage | L'évaluation continue de l'efficacité du contrôle interne, par des revues périodiques ou des audits internes |
Cas particuliers
| Situation | Ce qu'il faut retenir | Pour aller plus loin |
| Une entreprise au contrôle interne jugé faible | L'auditeur ne peut pas s'appuyer sur les contrôles de l'entité : il doit renforcer ses propres contrôles de substance pour compenser | Voir le mémo dédié aux composantes du contrôle interne |
| Des anomalies détectées mais corrigées avant la fin de la mission | Si elles sont corrigées et que le seuil de signification n'est plus dépassé, elles n'affectent pas nécessairement l'opinion | Voir le mémo dédié au seuil de signification |
| Une limitation aux travaux de l'auditeur imposée par l'entité | Selon l'ampleur de la limitation, l'opinion peut être assortie d'une réserve ou déboucher sur une impossibilité de certifier | Voir le mémo dédié aux types d'opinion du commissaire aux comptes |
Erreurs fréquentes et bons réflexes
| Erreur | Conséquence | Bon réflexe |
| Confondre contrôle interne de l'entité et contrôles réalisés par l'auditeur | Mauvaise compréhension des responsabilités respectives de la direction et du commissaire aux comptes | Rappeler que le contrôle interne relève de la responsabilité de la direction ; l'auditeur se contente de l'apprécier |
| Penser que l'audit garantit l'absence totale d'erreur dans les comptes | Attentes irréalistes vis-à-vis de la mission du commissaire aux comptes | L'audit apporte une assurance raisonnable, jamais une garantie absolue, contre les anomalies significatives |
| Croire que toute anomalie détectée entraîne automatiquement un refus de certifier | Confusion entre les quatre types d'opinion possibles | Distinguer certification sans réserve, certification avec réserve, refus de certifier et impossibilité de certifier selon la nature et l'ampleur des anomalies |
Bonnes pratiques
Trois réflexes pour aborder la démarche d'audit :
| Bon réflexe | Pourquoi ? |
| Toujours partir de l'évaluation des risques avant de définir l'étendue des contrôles | L'approche par les risques est au cœur de la méthodologie d'audit : elle conditionne où et combien contrôler |
| Distinguer clairement risque inhérent, risque lié au contrôle et risque de non-détection | Cette décomposition permet d'identifier sur quel levier agir pour maintenir le risque d'audit à un niveau acceptable |
| Relier systématiquement le contrôle interne aux 5 composantes du référentiel COSO | Cette grille de lecture structure l'appréciation du contrôle interne et évite d'en oublier une dimension |
En résumé
| Principe | Ce qu'il impose |
| Assurance raisonnable, non absolue | L'audit vise à détecter les anomalies significatives, pas à garantir l'exactitude totale des comptes |
| Approche par les risques | Concentrer les travaux là où le risque d'anomalies significatives est le plus élevé, plutôt que contrôler uniformément |
| Documentation et traçabilité | Chaque évaluation de risque et chaque travail réalisé doit pouvoir être justifié dans le dossier d'audit |
