Repenser l’univers d’audit : de l’audit des structures à l’audit des risques, des systèmes et des capacités

Pour une doctrine renouvelée de l’objet auditable, de la programmation fondée sur les risques et de l’intelligence d’audit

Il ne s’agit pas seulement d’auditer là où se trouvent les responsabilités administratives, mais là où se construisent, se compromettent ou se restaurent les résultats.

Introduction — Une question de conception, bien au-delà des outils.

Lorsqu’une organisation entreprend de construire son plan annuel d’audit, la première question formulée est souvent : « Quelles directions ou unités devons-nous auditer cette année ? » Cette interrogation est légitime, mais elle suppose implicitement que le découpage administratif suffit à décrire les réalités à vérifier. Or, un risque peut traverser plusieurs services ; une défaillance peut naître de l’interface entre deux processus ; une politique publique peut mobiliser plusieurs ministères et opérateurs ; une insuffisance de performance peut provenir de capacités réparties sur toute une chaîne d’exécution.

Réduire l’univers d’audit à l’organigramme conduit alors à multiplier les interventions verticales sans nécessairement traiter les problèmes horizontaux. Le présent texte soutient une proposition plus large : construire l’univers d’audit à partir de ce qui mérite une appréciation professionnelle, en tenant compte des objectifs, des risques, des responsabilités, des systèmes et des résultats. Cette orientation demeure compatible avec les principes de l’IIA et de l’INTOSAI relatifs au sujet audité, aux critères, au périmètre et à la planification fondée sur les risques [1–5].

L’organisation n’est pas nécessairement l’objet d’audit.

L’organisation concernée est une entité juridique, institutionnelle ou opérationnelle qui assume une responsabilité, exploite un processus ou porte un résultat. Elle fournit souvent un contexte, des interlocuteurs, des ressources et des frontières administratives. Elle n’est cependant pas nécessairement l’objet principal de chaque mission.

L’objet auditable est la réalité précisément examinée et susceptible d’être évaluée au regard de critères pertinents : un processus, un risque, une activité, un programme, un dispositif de contrôle, une information financière, une capacité ou un système. Dans l’audit public, ISSAI 100 différencie explicitement le sujet audité des parties à l’audit et des critères [3]. Les principes de l’audit de performance et de conformité admettent une grande diversité de sujets [4–5].

La mission d’audit est une intervention délimitée par un mandat, des objectifs, une étendue, des critères, une méthode, des ressources, un calendrier et des livrables. Une mission peut étudier un objet unique ou plusieurs objets étroitement liés. Réciproquement, un objet peut être réexaminé dans plusieurs missions, sous des perspectives distinctes.

Vers une conception élargie et relationnelle de l’univers d’audit.

L’univers d’audit doit être considéré comme le portefeuille évolutif des sujets susceptibles de relever du mandat d’une fonction ou d’une institution d’audit. Il ne s’agit pas d’une liste définitive ni d’un ensemble de catégories mutuellement exclusives. Un dispositif de contrôle peut relever d’un processus, répondre à plusieurs risques et contribuer à une politique publique. Cette pluralité doit être visible dans le référentiel et dans le système d’information.

Les catégories utiles comprennent notamment les entités et les fonctions, les processus et les chaînes de valeur, les risques et les familles de risques, les thèmes transversaux, les activités, les programmes et les projets, les politiques publiques, les dispositifs de contrôle, les systèmes d’information, les capacités institutionnelles, ainsi que les résultats et les problématiques interinstitutionnelles. L’intérêt de cette taxonomie est d’élargir le regard sans démultiplier artificiellement les missions.

Dans une administration, l’examen de la continuité du service numérique peut concerner simultanément le système informatique, le risque d’interruption, le processus d’exploitation, les contrats de prestataires et les capacités de réponse aux incidents. Une programmation exclusivement fondée sur les services administratifs pourrait disperser ces dimensions au lieu d’en faire apparaître les dépendances.

Auditer les risques ne signifie pas seulement les classer.

La priorité accordée aux risques est une avancée majeure. Le guide de l’IIA consacré à la planification fondée sur les risques, dans sa deuxième édition de juillet 2025, présente cette démarche comme un moyen de concentrer les ressources limitées sur les enjeux les plus pressants [2]. Toutefois, la formule « probabilité × impact », lorsqu’elle est employée, n’est qu’une aide parmi d’autres. Elle ne constitue ni une méthode universelle d’évaluation de toutes les catégories d’objets, ni un substitut à la décision motivée.

De l’identification des dysfonctionnements à l’intelligence des causes.

L’audit perd une partie de sa portée lorsque les mêmes défaillances sont constatées année après année sans que les mécanismes qui expliquent leur répétition soient mis en lumière. Les retards, l’absence de rapprochements, l’insuffisance de supervision et la faiblesse des contrôles documentaires peuvent révéler, au-delà des écarts observés, un déficit de capacités organisationnelles tenant aux compétences, aux systèmes, à la répartition des responsabilités, aux incitations ou aux mécanismes d’apprentissage.

L’approche développée dans les travaux MissionPro invite, lorsque le mandat et les éléments probants le justifient, à relier objectifs, risques, causes, capacités critiques, contrôles, constats, recommandations et transformations. Elle n’exige pas que toute mission couvre intégralement cette chaîne. Elle fournit un cadre explicatif pour éviter que des recommandations purement procédurales ne masquent les conditions institutionnelles de leur mise en œuvre.

La responsabilité de l’auditeur demeure de fournir une appréciation indépendante, fondée sur des travaux suffisants et appropriés. Les dirigeants et responsables de gestion conservent la décision et l’exécution des mesures correctives. Cette séparation préserve l’indépendance et la valeur de l’assurance.

Les conséquences sur les méthodes et programmes d’audit.

Définir l’objet auditable avant de figer l’entité examinée modifie la construction des programmes de travail. Les périmètres peuvent devenir transversaux, interinstitutionnels ou multi-entités. Les critères changent selon le type de mission : conformité à une autorité applicable, performance au regard de l’économie, de l’efficience et de l’efficacité, maîtrise d’un risque ou fonctionnement effectif d’un contrôle. La comparabilité ne doit pas se faire au prix d’une uniformisation trompeuse des méthodes.

Chaque constat devrait pouvoir être rattaché à une question d’audit, à un ou plusieurs critères, aux procédures réalisées, aux preuves obtenues, aux analyses effectuées et aux validations intervenues. Les preuves électroniques appellent un suivi de leur provenance, de leur intégrité, des droits d’accès et de leur contexte de collecte. Pour des matières sensibles, notamment l’investigation et la fraude, un protocole distinct peut s’imposer.

L’identification d’une anomalie statistique, d’une corrélation ou d’un contrôle faible n’établit pas à elle seule l’existence d’une fraude. Le passage d’un signal à une conclusion relève de vérifications contradictoires, documentées et conformes aux règles applicables.

L’apport des plateformes numériques et de l’intelligence artificielle.

Dans une plateforme intégrée comme RICAC, l’objet auditable devrait être un registre configurable, indépendant du répertoire des organisations mais relié à celui-ci. Chaque objet posséderait un identifiant, une définition, une ou plusieurs catégories, un statut, des relations à d’autres objets, des risques associés, des critères de priorité et un historique. Il pourrait être couvert par plusieurs missions dans le temps.

La plateforme devrait permettre d’associer une mission à plusieurs objets et à plusieurs organisations, sans imposer une correspondance univoque. Les relations risques–processus–contrôles–capacités–résultats devraient être représentées explicitement. Cette architecture servirait simultanément la programmation, l’exécution, la consolidation des constats et les synthèses adressées aux instances de gouvernance.

L’intelligence artificielle peut assister la classification, la recherche documentaire, la proposition de procédures et la préparation des synthèses, mais ses suggestions ne sont pas des preuves en soi. Elles doivent être identifiées comme telles, vérifiées par un professionnel et soumises à des règles de confidentialité, de traçabilité et de contrôle des accès.

Pour une nouvelle doctrine de programmation.

L’arbitrage doit tenir compte de plusieurs critères : exposition au risque, matérialité, importance stratégique, obligations d’audit, vulnérabilité des contrôles, événements récents, travaux antérieurs, attentes légitimes des parties prenantes, capacités nécessaires et disponibilité effective des ressources. Selon les situations, certains facteurs peuvent relever de conditions impératives plutôt que d’une simple pondération numérique.

Un score de risque est une information pour décider ; il n’est pas la décision elle-même.

Il convient de distinguer l’évaluation des risques, le classement comparatif des objets et la décision de programmation. Une justification documentée doit permettre de comprendre pourquoi un sujet fortement coté est différé, pourquoi une mission obligatoire est conservée, ou pourquoi un thème émergent est ajouté en cours d’exercice. La programmation devient ainsi révisable, traçable et soumise au jugement professionnel.

1. Pluralité. Une entité n’est qu’un type d’objet auditable parmi d’autres.

2. Transversalité. Le périmètre suit le sujet, les risques et les résultats, y compris entre organisations.

3. Relations. L’objet doit être représenté avec ses liens aux objectifs, risques, processus, contrôles et capacités.

4. Priorisation raisonnée. Aucun score unique ne remplace les obligations, le contexte et le jugement professionnel.

5. Preuve traçable. Les conclusions relient critères, travaux, éléments probants et validations.

6. Analyse des causes. L’audit peut examiner les mécanismes de persistance des défaillances sans se substituer à la gestion.

7. Valeur et amélioration. L’utilité de l’audit se mesure aussi à sa contribution aux décisions et à une correction durable.

Conclusion — Changer la question pour changer l’audit.

La question « Quelle direction devons-nous auditer ? » reste pertinente, mais elle n’est plus suffisante. Il faut aussi demander quels objectifs sont menacés, quels contrôles sont vulnérables, quels processus traversent les organisations, quelles capacités conditionnent les résultats et quelles situations requièrent une appréciation professionnelle. L’univers d’audit devient alors une représentation raisonnée des enjeux et de leurs relations, plutôt qu’un simple reflet de l’organigramme.

Cette évolution ne rompt pas avec les normes : elle cherche à traduire leurs possibilités en doctrine, en pratique et en outils. Pour RICAC, l’ambition est de rendre la programmation plus intelligente, l’exécution plus probante et les recommandations mieux reliées aux transformations qui comptent.

Références professionnelles et lectures

[1] The Institute of Internal Auditors (IIA). Global Internal Audit Standards, édition 2024, applicables depuis le 9 janvier 2025. https://www.theiia.org/en/content/standards/complete-global-internal-audit-standards/

[2] IIA. Developing a Risk-Based Internal Audit Plan, 2nd Edition, Global Practice Guide, 16 juillet 2025. https://www.theiia.org/en/content/guidance/recommended/supplemental/practice-guides/developing-a-risk-based-internal-audit-plan/

[3] INTOSAI. ISSAI 100, Fundamental Principles of Public-Sector Auditing. https://www.issai.org/pronouncements/issai-100-fundamental-principles-of-public-sector-auditing/

[4] INTOSAI. ISSAI 300, Performance Audit Principles. https://www.issai.org/pronouncements/issai-300-performance-audit-principles/

[5] INTOSAI. ISSAI 400, Compliance Audit Principles. https://www.issai.org/pronouncements/issai-400-compliance-audit-principles/

[6] INTOSAI. GUID 5100, Guidance on Audit of Information Systems. https://www.issai.org/pronouncements/guidance-on-audit-of-information-systems/

Note doctrinale : les références citées étayent les notions de sujet audité, critères, planification et jugement professionnel. La taxonomie intégrée, la chaîne causale et les sept principes forment la proposition d’architecture et de recherche-action MissionPro ; ils ne sont pas présentés comme des prescriptions textuelles de l’IIA ou de l’INTOSAI.