Planifier ses missions d'audit par les risques, pas par l'habitude

Le symptôme est connu : un plan d'audit constitué d'un ensemble incohérent d'étapes reconduites d'année en année, justifiées par « les expériences passées » ou des « résultats jugés satisfaisants ». Selon diverses études, de nombreux audits se conforment difficilement aux normes internationales en matière de planification. La solution est une approche structurée, basée sur les risques.

De l'univers d'audit aux thèmes d'audit

Tout part de la définition de l'univers d'audit : l'ensemble des domaines, enjeux et questions auditables de l'organisation. De cet univers, l'analyse des risques fait émerger des thèmes d'audit — gouvernance, management des risques, conformité, surveillance, performance — qui alimentent un plan annuel ou pluriannuel des missions.

Cette phase de planification doit s'effectuer avant le début de l'année d'exécution des missions sur le terrain. Elle exige de bien comprendre la stratégie, les objectifs et les processus en vigueur, et de s'appuyer sur des modèles structurés et reconnus comme le COSO ou le cadre des contrôles internes — en évitant les solutions faciles et les diagnostics expéditifs.

La boucle PDCA appliquée à l'audit

Le processus de planification suit une approche Plan – Do – Check – Act : évaluer les activités requises, les ressources et le temps disponibles ; identifier les parties prenantes à mobiliser ; évaluer l'assurance sur la gestion des risques ; puis déterminer pour chaque mission la portée, les objectifs, les risques d'audit, les ressources et le calendrier.

Un plan bien construit se mesure : pourcentage de missions achevées à temps, part des missions imprévues, enjeux répétitifs d'une année sur l'autre, risques encore pendants par rapport aux conclusions des dernières années. Ces indicateurs révèlent la maturité réelle de la fonction d'audit.