RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Le 23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

Les défis à relever dans un environnement d’audit interne en transformation Les membres du Réseau canadien des comités d’audit (RCCA) se sont réunis à Toronto le 18 juin 2013 pour discuter des défis inhérents à un environnement d’audit interne dynamique et en transformation. Le présent document résume les principaux points soulevés au cours de la réunion, de même que certains des points de vue qu’ils ont exprimés avant et après la réunion1. La liste complète des participants à la réunion figure à

l’annexe 1, à la page 13.

Sommaire

Les membres du RCCA ont discuté des changements et défis qui caractérisent l’environnement d’audit interne actuel, en se concentrant sur quatre grands enjeux :

Le rôle en évolution de la fonction d’audit interne (page 2)

Tandis que le rôle de la fonction d’audit interne évolue de façon à s’adapter aux risques auxquels font face les entreprises, les compétences qui y sont associées sont en transformation. Les membres du RCCA ont souligné que la fonction d’audit interne s’est bien adaptée aux tâches de coordination du processus de gestion du risque d’entreprise, en veillant à ce que les enjeux de cybersécurité soient résolus, en favorisant la conformité aux dispositions en matière de lutte contre la corruption et en recensant les possibilités d’amélioration de l’efficacité opérationnelle. Ils conviennent que les entreprises doivent faire en sorte que soient affectés à leur fonction d’audit interne des professionnels adéquats dotés des compétences techniques nécessaires pour procéder à des évaluations dans des secteurs qui peuvent être nouveaux pour elle.

Le recrutement et la fidélisation de membres et de leaders de la fonction d’audit interne hautement qualifiés (page 4)

La structure de dotation en personnel de la fonction d’audit interne présente à la fois des défis et des possibilités lorsqu’il s’agit d’assurer le succès des efforts de recrutement et de fidélisation. Les membres du RCCA conviennent que le chef de l’audit interne doit avoir plusieurs attributs clés, dont d’excellentes aptitudes en communications et en relations interpersonnelles, un bon jugement et la capacité de susciter le respect des autres membres de l’entreprise à l’égard de la fonction d’audit interne.

L’importance de soutenir la fonction d’audit interne et son personnel (page 8)

Le comité d’audit ne peut que bénéficier de solides relations entre le chef de l’audit interne et le personnel affecté à la fonction d’audit interne. Les membres du RCCA ont discuté des divers moyens qu’ils utilisent pour soutenir la fonction d’audit interne, notamment la tenue de réunions régulières hors du cadre des réunions du comité d’audit, des communications franches dans tous leurs échanges et la

1 La publication VantagePoint reflète l’utilisation par le RCCA de la version modifiée des règles de Chatham House, en vertu desquelles le nom de ses membres et les liens qui les unissent à leur société sont de notoriété publique, la paternité des propos tenus au cours des réunions n’étant toutefois pas attribuée à des personnes ou à des sociétés.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 2

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

définition d’attentes claires. Ils ont aussi discuté des avantages et inconvénients associés aux diverses structures de rapports hiérarchiques pour le chef de l’audit interne. Ils ont souligné que de bonnes relations entre ce dernier et la personne dont il relève sont plus importantes que le titre de celle-ci et qu’au-delà du type de structure de rapports hiérarchiques en place, il est essentiel de pouvoir accéder au chef de la direction, d’une manière ou d’une autre.

L’évaluation de l’efficacité et de la valeur globale de la fonction d’audit interne (page 10)

Les membres du RCCA ont discuté de la difficulté de définir les caractéristiques d’une fonction d’audit interne efficace ainsi que de déterminer de quelle façon, le cas échéant, celle-ci s’avère être une source de valeur ajoutée pour l’entreprise. Bien que plusieurs membres du RCCA aient indiqué privilégier l’application d’une méthode officieuse d’évaluation de la fonction d’audit interne, au moins l’un d’eux a présenté une méthode structurée consistant à sonder d’autres membres de l’entreprise, dont des membres de la haute direction, et à organiser avec les membres du comité d’audit des réunions à huis clos axées sur les contributions de la fonction d’audit interne. L’annexe 2, à la page 14, présente une liste de questions

auxquelles doivent répondre les membres des comités d’audit.

Le rôle en évolution de la fonction d’audit interne

Selon les répondants à un sondage mené récemment par EY, les pressions à l’égard de l’établissement des prix et celles à l’égard des réductions de coûts et de l’augmentation des bénéfices figurent parmi les deux principaux risques auxquels les entreprises font actuellement face2. Sources de nouvelles exigences et de nouveaux défis pour la fonction d’audit interne, ces risques peuvent influer sur la façon dont cette fonction est structurée et sur la mesure dans laquelle elle doit s’appuyer sur des compétences externes en cosourçage.

Certains chefs de l’audit interne affirment toutefois avec insistance que l’accent sur ces risques n’a rien de nouveau. Dans le cadre de ce sondage d’EY, Christophe Babule, chef de l’audit interne du Groupe L’Oréal, a affirmé que, depuis le début de la crise financière, tout le monde subit l’intensification des pressions à l’égard des réductions de coûts et de l’augmentation des bénéfices. Selon lui, son groupe n’a pas attendu la crise pour chercher à contrer ces pressions porteuses de risques, et la prise en compte de ceux-ci au quotidien, même lorsque les affaires vont bien, est une pratique profondément ancrée dans la culture du groupe3.

Il est certain que la situation a changé depuis l’époque extrême qui a d’abord suivi l’adoption en 2002 de la loi Sarbanes-Oxley. «Lorsqu’elle a été adoptée, cette loi a accaparé presque entièrement la fonction d’audit interne, jusqu’à ce que la situation se normalise et que les responsables de l’exploitation prennent certains contrôles en main, de sorte que la fonction a pu passer à autre chose», s’est remémoré l’un des membres du RCCA. Certains de ses pairs ont fait observer que, bien que l’étendue de son mandat continue de s’élargir au-delà de l’examen des contrôles prescrit par la loi Sarbanes-Oxley, la fonction d’audit interne doit veiller à ne pas outrepasser les limites de ses compétences et de son savoir-faire. Par exemple, bien que la gestion du

2 EY, Business Pulse: Exploring Dual Perspectives on the Top 10 Risks and Opportunities in 2013 and Beyond (Ernst & Young Global Limited, 2013), p. 4.

3 Ibidem, p. 13.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 3

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

risque d’entreprise et l’évaluation de la sécurité des TI fassent désormais partie de ses domaines d’intervention, son travail doit se limiter aux activités relevant de ses champs de compétence.

La gestion du risque d’entreprise

Les participants à la réunion du RCCA ont décrit différentes méthodes de surveillance du processus de gestion du risque d’entreprise, convenant tous toutefois que la fonction d’audit interne a un rôle important à jouer à cet égard. L’un d’eux a évoqué l’importance que revêt cette fonction, particulièrement dans les institutions autres que les institutions financières dépourvues d’une fonction indépendante affectée à la gestion des risques : «Bien qu’il incombe à la direction de s’occuper de l’identification et de l’atténuation des risques, une instance de l’entreprise doit en assurer la coordination. Or, la fonction d’audit interne excelle lorsqu’il s’agit de veiller à ce que le processus d’identification des risques soit exécuté comme il se doit et passé en revue régulièrement. Elle peut indiquer au conseil d’administration et à la direction de l’entreprise si la mise en œuvre des mesures d’atténuation des risques est adéquate ou non.» «Les membres de la fonction d’audit interne peuvent assumer un travail de coordination, a soutenu un autre membre du RCCA. Bien qu’il ne soit pas aussi bien placé que les chefs d’unité fonctionnelle pour identifier les risques, le chef de l’audit interne peut agir comme coordonnateur du processus.»

Les risques liés à la cybersécurité et les risques de TI

Dans le cadre d’un sondage mené récemment par EY, 68 % des répondants ont déclaré que leur entreprise confiait à sa fonction d’audit interne le mandat d’évaluer son efficience ou son efficacité sur le plan de la sécurité de l’information4. Des membres du RCCA se demandent toutefois si cette fonction a les compétences techniques nécessaires pour examiner et évaluer les risques liés à la cybersécurité et les risques de TI : «Lorsqu’il s’agit de nouveaux enjeux, je ne suis pas tellement certain que nous ayons les compétences requises, a confessé l’un d’eux. Comme président d’un comité d’audit, il m’est difficile d’en juger. Les membres de mon comité d’audit affirment avoir ce qu’il faut, mais est-ce bien le cas?» Un autre membre du RCCA a minimisé la contribution de la fonction d’audit interne : «Il faut d’abord que le chef de l’information et le chef de la direction nous rassurent; dans la mesure où elle peut se rendre utile, la fonction d’audit interne peut ensuite intervenir. Étant donné les compétences techniques requises, il est toutefois fort possible que nous ayons à recourir aux services d’un tiers.» L’un de ses pairs a cependant relaté que, dans son entreprise, bien qu’il incombe au chef de l’information de recenser les déficiences ou les problèmes liés à la cybersécurité, la fonction d’audit interne doit veiller à ce que quelqu’un s’occupe réellement d’y apporter des solutions.

Les risques liés à la lutte contre la corruption

La fonction d’audit interne peut être appelée à assumer plusieurs responsabilités associées à la conformité à des lois contre la corruption telles que la Foreign Corrupt Practices Act (FCPA) des États-Unis et la Bribery Act du Royaume-Uni, notamment en ce qui a trait à la conduite d’enquêtes sur d’éventuelles brèches de sécurité, à l’audit de l’efficacité opérationnelle de la politique de conformité de l’entreprise et au traitement

4 EY, Fighting to Close the Gap: Ernst & Young’s 2012 Global Information Security Survey (Ernst & Young Global Limited, 2012), p. 14.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 4

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

de l’attestation de conformité annuelle5. L’un des membres du RCCA a décrit en ces termes la valeur ajoutée que la fonction d’audit interne peut générer sur le plan de la conformité aux dispositions en matière de lutte contre la corruption : «La fonction d’audit interne peut se révéler très utile, car elle détermine le ton à donner et tout le monde sait que les auditeurs internes peuvent à tout moment vérifier le tiroir-caisse de l’entreprise, par exemple.» Toutefois, ce ne sont pas toutes les entreprises qui délèguent à leur fonction d’audit interne le traitement des questions relatives à la lutte contre la corruption. Souvent, c’est le service de la conformité qui en est chargé. Comme l’a fait remarquer l’un des membres du RCCA lors d’une conversation qui a précédé la réunion, «dans la plupart des cas, si nous soupçonnons que quelque chose ne va pas, nous faisons appel à un avocat, car nous voulons bénéficier du privilège du secret professionnel de l’avocat, ce dernier pouvant ensuite se tourner vers un tiers, de façon à maintenir la protection du privilège. Ce n’est pas la fonction d’audit interne qui prend l’initiative».

Les gains d’efficacité opérationnelle

Au cours de conversations qui ont précédé la réunion, des membres du RCCA ont fait remarquer que la fonction d’audit interne est devenue une ressource utile quand il s’agit de recenser ou de proposer de nouvelles possibilités de gains d’efficacité opérationnelle. L’un d’eux a affirmé que la direction de son entreprise considère désormais que la fonction d’audit interne est une ressource pouvant contribuer à l’obtention de gains d’efficacité et d’une plus grande valeur ajoutée. «La fonction d’audit interne reçoit des demandes d’assistance émanant des groupes d’exploitation, et pas seulement quand quelque chose va mal, mais également lorsque des améliorations sont souhaitées», a soutenu un autre membre du RCCA. Selon l’un de ses pairs, le fait que l’on se tourne maintenant davantage vers les auditeurs internes pour obtenir des conseils est révélateur de la confiance qu’ils inspirent.

Le recrutement et la fidélisation de membres et de leaders de la fonction d’audit interne hautement qualifiés

Les membres du RCCA ont discuté des défis associés à la dotation en personnel et à l’organisation adéquates de la fonction d’audit interne, en plus de traiter de ce qui caractérise les excellents chefs de l’audit interne.

Obtenir un juste équilibre entre les services fournis en interne et ceux fournis par un prestataire externe

Les membres du RCCA ont évalué les avantages associés à différentes approches organisationnelles à l’égard de l’audit interne : la dotation en personnel interne seulement, le cosourçage et l’externalisation complète de la fonction. Plusieurs ont manifesté leur accord avec l’un de leurs pairs qui a tenu les propos suivants : «Je privilégie le cosourçage. Ce modèle permet à l’entreprise de bénéficier au moment opportun des compétences dont elle a besoin. C’est au chef de l’audit interne de décider quand il convient de faire appel à des ressources externes.» Un autre membre du RCCA a souligné que le cosourçage permet à la fonction d’audit interne de recourir à des «professionnels très spécialisés», ce qui est avantageux lorsque l’accès rapide à de nouveaux ensembles de compétences s’avère nécessaire. L’un de ses pairs a souligné que le cosourçage

5 Brian Loughman, Aaron Marcu et Kerry Schalders, “Top Ten Tips for FCPA Compliance”, le 1er mars 2010.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 5

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

peut s’avérer une solution économique : «Si une entreprise a besoin de spécialistes pour un projet devant s’échelonner sur trois semaines, pourquoi les garderait-elle à son service pendant les 49 autres semaines de l’année?» Par contre, au cours d’une conversation qui a précédé la réunion, un autre membre du RCCA a soulevé le fait qu’au début du moins, les prestataires externes connaissent mal l’organisation : «Il faut essayer de garder en place la même équipe pendant un certain temps, de façon à ce que ses membres puissent apprendre à mieux connaître l’entreprise.»

L’Institute of Internal Auditors (IIA) est d’avis que le chef de l’audit interne doit partager l’information dont il dispose et coordonner les activités à réaliser avec les autres prestataires internes et externes de services de certification et de services consultatifs, de façon à assurer une couverture adéquate des questions à traiter et à minimiser le risque de dédoublements d’efforts6. Ces considérations influent non seulement sur les décisions relatives au cosourçage et à l’externalisation, mais également sur la nature et la fréquence des échanges avec les auditeurs externes, le temps que la fonction d’audit interne doit consacrer aux travaux de certification et de conformité, et le budget à affecter à l’exécution des tâches opérationnelles et autres.

Recruter, motiver et fidéliser des professionnels talentueux

Le recrutement de professionnels talentueux figure en tête de liste des priorités de n’importe quelle fonction de l’entreprise, s’agissant là d’une règle à laquelle n’échappe pas la fonction d’audit interne. Selon l’un des membres du RCCA, par le passé, chaque fois que la carrière d’auditeur interne a été perçue comme n’étant pas très prometteuse, la fonction d’audit interne s’est transformée en quelque sorte en un «cimetière d’éléphants». «Le roulement de personnel pose problème, et comme l’étendue des audits internes change, il devient encore plus difficile de pouvoir compter sur les bonnes ressources», a fait valoir l’un de ses pairs. Un autre a toutefois reconnu que, peu importe les défis associés à la dotation en personnel, c’est au comité d’audit qu’il incombe de veiller à ce que la fonction d’audit interne dispose de ressources dotées des compétences lui permettant de s’acquitter de sa mission. Les membres du RCCA se sont penchés sur les avantages et inconvénients associés au traitement de l’audit interne comme l’un des volets d’un modèle de formation professionnelle plus vaste, de même que sur le défi que posent, sur le plan des ressources humaines, les progrès technologiques récents.

Le recours au modèle reposant sur la rotation de l’effectif

L’offre aux membres de la fonction d’audit interne de possibilités d’avancement au sein d’autres secteurs de l’entreprise constitue l’une des façons de rendre plus attrayants les postes de cette fonction. Les membres du RCCA ont mis en évidence les avantages potentiels associés à cette approche : elle donne aux jeunes auditeurs internes intéressés par les finances la possibilité de bénéficier d’une formation dans ce domaine, elle permet à la fonction d’audit interne d’acquérir une connaissance approfondie de l’entreprise au contact de membres de l’effectif rattachés à d’autres secteurs organisationnels, et elle favorise une meilleure compréhension de l’importance de cette fonction par les autres membres de l’entreprise. En outre, si des

6 Institute of Internal Auditors, International Standards for the Professional Practice of Internal Auditing (Standards) (Altamonte Springs, FL: Institute of Internal Auditors, 2012), p. 10.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 6

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

employés affectés à d’autres fonctions de l’entreprise ont déjà une expérience en audit interne, ils peuvent être plus enclins à appliquer les directives émanant de la fonction d’audit interne. Comme l’a fait observer l’un des membres du RCCA à l’occasion d’une conversation ayant précédé la réunion, «lorsqu’il arrive à la fonction d’audit interne d’avoir besoin de ressources supplémentaires pendant un certain temps, dans le cadre d’enquêtes ou d’audits urgents, les membres de l’entreprise qui comptent de l’expérience en audit interne peuvent donner un coup de main».

Bien que le modèle en question ait ses défenseurs, certains membres du RCCA remettent en question les compromis qu’il suppose. «Le chef de l’audit interne idéal n’aspire pas à changer de poste, a soutenu l’un d’eux. Je m’inquiéterais qu’au lieu de se concentrer seulement sur son travail, un chef de l’audit interne lorgne des possibilités d’avancement offertes dans d’autres fonctions de l’entreprise.» D’autres membres du RCCA s’interrogent quant à la viabilité du modèle dans les petites entreprises où l’effectif de la fonction d’audit interne est relativement limité, étant donné les coûts supplémentaires qui sont associés à un fort roulement du personnel d’audit interne.

Recruter et fidéliser du personnel ayant des compétences en TI

Sur le plan du recrutement, un défi de taille découle de l’évolution rapide des technologies qui s’est produite récemment. Les mégadonnées – à savoir les actifs informationnels qui sont très volumineux, qui requièrent de grandes capacités de transmission, qui sont très diversifiés et qui exigent des modes de traitement rentables et innovateurs, de façon à permettre l’amélioration de l’information et du processus décisionnel7 – sont susceptibles de révolutionner le travail d’audit interne. Selon l’IIA, les services d’audit interne et les entreprises dans leur ensemble peuvent tirer parti des technologies d’analyse de données. Par exemple, les analyses de données peuvent permettre de vérifier en entier un jeu de données particulier, d’effectuer en permanence la surveillance et l’audit d’un secteur particulier, de normaliser l’utilisation de procédures reproductibles et d’améliorer les rapports d’audit grâce à l’application d’analyses tendancielles et statistiques aux données financières et aux autres types de données8.

Cela n’est toutefois possible que dans la mesure où la fonction d’audit interne peut attirer des employés compétents en exploration et analyse de données. L’entreprise de l’un des membres du RCCA doit composer avec un risque de fraude très élevé, de sorte que l’équipe de la fonction d’audit interne qui est chargée de la détection des cas de fraude doit se consacrer entièrement à l’exploration de données. Toutefois, parmi les autres membres du RCCA, très peu ont le sentiment que la fonction d’audit interne de leur entreprise est en mesure de tirer parti des progrès technologiques tels que les mégadonnées. «Dans mon entreprise, nous avons récemment cherché à recruter un auditeur interne compétent en TI, sans succès; nous avons fini par faire appel à un spécialiste retraité de l’étranger», a relaté l’un des membres du RCCA. Un autre participant à la réunion a déploré la pénurie d’auditeurs férus de TI, qui touche même des centres technologiques comme Vancouver. Avec l’accroissement du risque de TI et des besoins d’analyse, les pressions visant à remédier à cette pénurie iront en s’intensifiant.

7 Svetlana Sicular, “Gartner’s Big Data Definition Consists of Three Parts, Not to Be Confused with Three ‘V’s”, Forbes, le 27 mars 2013. 8 Institute of Internal Auditors, Leveraging the Value of Data Analytics (Altamonte Springs, FL: Institute of Internal Auditors, 2011), p. 2.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 7

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

Les exigences auxquelles doit satisfaire le chef de l’audit interne

Comme le champ d’activité de la fonction d’audit interne s’élargit de plus en plus, il est possible que l’on exige dorénavant des chefs de l’audit interne un éventail plus large de compétences et d’expériences. Appelés à brosser le portrait d’un super chef de l’audit interne, les membres du RCCA ont mentionné les qualités suivantes :

D’excellentes aptitudes en communications et en relations interpersonnelles – Selon l’un des membres du RCCA, le chef de l’audit interne doit avoir de bonnes aptitudes en communications et pouvoir s’exprimer en toute franchise. L’un de ses pairs a allégué qu’il était essentiel que le chef de l’audit interne ait des aptitudes en communications et qu’il soit capable d’établir des consensus et de convaincre. Au cours d’une conversion ayant précédé la réunion, un autre membre a insisté sur l’importance des relations : «Tout finit par être une question de relations. Le chef de l’audit interne doit pouvoir entretenir des relations avec le personnel, avec les membres du comité d’audit et du conseil d’administration ainsi qu’avec les membres de la direction.»

Un bon jugement – «Le chef de l’audit interne doit avoir un bon jugement; c’est la principale qualité qu’il doit avoir.»

Une connaissance approfondie de l’entreprise – L’un des membres du RCCA a affirmé que le chef de l’audit interne «doit bien connaître l’entreprise et savoir où se cachent les problèmes», de façon à pouvoir cerner les points faibles éventuels et se concentrer sur l’audit des principaux secteurs de risque.

De l’expérience en audit et en contrôle interne – «Le chef de l’audit interne doit connaître les règles du jeu : ce qu’est un auditeur interne, comment l’audit interne devrait fonctionner et quels outils sont mis à sa disposition pour une efficacité maximale.»

La capacité de susciter du respect à l’égard de la fonction d’audit interne – Lors d’une discussion qui a précédé la réunion, l’un des membres du RCCA a tenu les propos suivants : «Idéalement, le chef de l’audit interne doit inspirer le respect chez tous les membres de la haute direction et être la personne à consulter dans une multitude de situations.»

L’un des membres du RCCA a soutenu que les chefs de l’audit interne qui ont du succès savent «moderniser la fonction, établir une méthode d’audit adéquate fondée sur les risques et gagner la confiance de la haute direction et des responsables d’unité fonctionnelle».

L’importance d’améliorer la rémunération des chefs de l’audit interne

Les membres du RCCA se demandent s’il ne faudrait pas offrir des régimes de rémunération bonifiés,

de façon à favoriser le recrutement et la fidélisation d’auditeurs internes hautement qualifiés. L’un

d’eux a tenu les propos suivants : «Nous sommes tous à la recherche de la perle rare, mais comment

pouvons-nous fidéliser cette personne si nous ne la rémunérons pas à la hauteur de ce que touchent les

autres cadres clés de l’entreprise?» Un autre membre a décrit en ces termes l’avantage pratique qui

découle d’une meilleure rémunération du chef de l’audit interne : «Il pourrait revenir moins cher de

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 8

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

L’importance de soutenir la fonction d’audit interne et son personnel

Dans la grande majorité des entreprises nord-américaines, sur le plan fonctionnel, l’équipe d’audit interne relève du comité d’audit9, de sorte qu’il est essentiel que les deux entités entretiennent de solides relations. En apportant son soutien à la fonction d’audit interne, le comité d’audit peut favoriser l’établissement de relations florissantes. Avant la réunion, l’un des membres du RCCA a fait la remarque suivante : «Il est absolument essentiel que l’auditeur interne sente qu’il bénéficie du solide soutien du comité d’audit et de son président.»

Comment le comité d’audit peut apporter son soutien à la fonction d’audit interne et à son personnel

Selon les membres du RCCA, la franchise dans les communications et des échanges fréquents sont des aspects importants qui contribuent à enrichir les relations avec la fonction d’audit interne, le comité d’audit pouvant recourir à divers moyens favorisant la consolidation de celle-ci :

Insistance sur l’importance de communications franches auprès du chef de l’audit interne – «Il faut veiller à ce que l’auditeur interne sache qu’il peut s’exprimer sans risque de représailles», a fait valoir l’un des membres du RCCA. Un autre a émis le commentaire suivant : «Il incombe au comité d’audit d’avoir des rencontres à huis clos avec le chef de l’audit interne. Ces rencontres ne doivent pas être reléguées à la fin des réunions; elles doivent en être le cœur. Autrement, le chef de l’audit interne risque de se méprendre quant au degré d’importance que le comité d’audit accorde à l’audit interne.»

Importance d’intégrer aux réunions du comité d’audit les chefs d’unité fonctionnelle concernés – Il peut arriver que la direction tarde à intervenir face à un problème relevé dans un rapport d’audit. L’un des membres du RCCA a évoqué une approche directe qui permet de faire en sorte que le bon message parvienne à la bonne personne : «Je veille à ce que le rapport d’audit soit présenté en présence des chefs d’unité fonctionnelle concernés par son contenu. L’effet recherché est ainsi obtenu à coup sûr.» D’autres membres conviennent qu’il peut s’avérer très efficace d’inviter les chefs d’unité fonctionnelle concernés à répondre aux questions portant sur des déficiences détectées depuis assez longtemps et auxquelles aucune solution n’a encore été apportée.

9 Institute of Internal Auditors, “2013: Time to Seize the Opportunity”, Pulse of the Profession, mars 2013, p. 5.

bien rémunérer le chef de l’audit que d’avoir à faire appel à un chasseur de têtes tous les deux ans.

Après l’excellente évaluation obtenue par la chef de l’audit interne de mon entreprise, j’ai fait valoir

auprès de la haute direction que nous avions tout intérêt à la garder en nos rangs. J’ai convaincu la

haute direction de lui verser un meilleur salaire et de lui accorder une prime substantielle, de façon à

l’inciter à rester parmi nous.» Un autre membre a résumé l’origine possible du problème : «En fin de

compte, il s’avère difficile d’obtenir une rémunération juste et raisonnable pour le chef de l’audit

interne, dans un contexte où sa rémunération ne dépend pas de la rentabilité de l’entreprise, comme

c’est le cas pour les autres membres de la haute direction.»

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 9

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

Organisation de rencontres avec le chef de l’audit interne hors des réunions du comité d’audit – Avant la réunion du RCCA, l’un des membres a tenu les propos suivants : «Il importe que le président du comité d’audit et le chef de l’audit interne se rencontrent régulièrement, habituellement avant les réunions du comité d’audit.»

Présentation au personnel de la fonction d’audit interne – Selon l’un des membres du RCCA, le président du comité d’audit peut avoir tout intérêt à faire une présentation devant l’équipe d’audit interne : «À vrai dire, j’ai présenté à tous les membres de l’équipe d’audit interne les attentes que nous avons à leur égard, en leur mentionnant le type de questions que nous sommes appelés à leur poser et l’information qu’ils sont censés produire. Je leur ai ensuite donné l’occasion de poser des questions.»

Promotion des échanges d’information entre pairs – Du fait que bien des membres du comité d’audit siègent également à d’autres conseils d’administration, ils sont dans une situation particulière qui leur permet d’inciter les responsables de l’audit interne de l’ensemble des entreprises à s’engager davantage. «Je m’efforce de promouvoir la collaboration entre les chefs de l’audit interne, a expliqué l’un des membres du RCCA. J’ai présenté un chef de l’audit interne chevronné à l’un de ses pairs moins expérimenté, de façon à ce que celui-ci puisse bénéficier de ses conseils quant aux aspects de l’audit interne à ne pas perdre de vue. Cela a été très utile.»

Structurer les rapports hiérarchiques de façon à soutenir la fonction d’audit interne et le chef de l’audit interne

Bien que, dans la plupart des entreprises, sur le plan fonctionnel, la fonction d’audit interne relève du comité d’audit, elle peut relever de n’importe quel cadre d’un point de vue administratif. Le plus souvent, elle relève du chef des finances. Dans le contexte d’un sondage mené récemment par l’IIA, 27 % des répondants membres d’entreprises inscrites au palmarès Fortune 500 ont affirmé relever du chef de la direction, sur le plan administratif, tandis que 48 % ont dit relever du chef des finances10. Les membres du RCCA ont partagé leurs expériences et leurs points de vue sur les divers types de rapports hiérarchiques possibles :

Relever du chef de la direction – Souhaitant privilégier avant tout l’objectivité, la Réserve fédérale américaine a récemment publié des directives dans lesquelles elle incite les grandes banques des États-Unis à adopter une structure hiérarchique faisant en sorte que leur chef de l’audit interne relève du chef de la direction11. Bien que l’IIA considère que ce modèle soit idéal, il s’abstient de l’imposer12. Comme l’a cependant révélé son sondage, pour le moment, les chefs de l’audit interne des entreprises inscrites au palmarès Fortune 500 ne sont pas nombreux à relever du chef de la direction13, et très peu de membres du RCCA affirment avoir expérimenté ce modèle. L’un des membres a exprimé le point de vue suivant, que partagent la plupart de ses pairs : «Le chef de l’audit interne devrait pouvoir accéder au chef de la direction n’importe quand, mais une telle structure de rapports hiérarchiques n’est pas réaliste.» Les

10 Ibidem. 11 Ken Tysiac, “Internal Audit Reporting Line to CEO Gains Steam as Fed Weighs In”, Journal of Accountancy, le 1er février 2013. 12 Ibidem. 13 Institute of Internal Auditors, 2013: Time To Seize The Opportunity, p. 5.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 10

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

membres du RCCA conviennent que, quel que soit le type de structure de rapports hiérarchiques en place, «le chef de l’audit interne doit pouvoir accéder facilement et régulièrement au chef de la direction».

Relever du chef des finances – Bien des membres du RCCA ont affirmé que, sur le plan administratif, le chef de l’audit interne de leur entreprise relève du chef des finances et qu’il s’agit d’une bonne chose. Au cours d’une conversation qui a précédé la réunion, l’un d’eux a expliqué ainsi son point de vue : «Je suis à l’aise avec l’idée que le chef de l’audit interne relève du chef des finances, car le rôle fondamental de la fonction d’audit interne est d’assurer l’exactitude des états financiers, sans compter que ceux-ci finissent toujours par bénéficier de l’amélioration des processus et des contrôles.»

Relever d’un autre membre de la haute direction – Plusieurs membres du RCCA ont allégué qu’aucun modèle de structure de rapports hiérarchiques n’est universellement applicable aux chefs de l’audit interne. «Ce qui importe, a expliqué l’un d’eux, c’est la personne en tant que telle. Que le chef de l’audit interne relève du chef de la direction, du chef des finances ou du directeur des affaires juridiques, c’est sans importance. L’important, c’est que le courant passe entre lui et le membre de la haute direction dont il relève.» Des membres ont cité en exemples des expériences positives de chefs de l’audit interne relevant du directeur des affaires juridiques, d’un premier vice-président à la stratégie, du directeur des ressources humaines et du secrétaire général.

L’évaluation de l’efficacité et de la valeur globale de la fonction d’audit interne

L’évaluation de l’efficacité de la fonction d’audit interne doit reposer sur une norme en la matière. Les membres ont discuté de ce qui caractérise toute fonction d’audit interne efficace et de la façon dont elle permet d’ajouter de la valeur à l’entreprise.

Comprendre ce qui contribue à l’efficacité d’une fonction d’audit interne

Quelles sont les caractéristiques d’une fonction d’audit interne efficace? «Suffit-il qu’une entreprise n’ait pas eu de problème? Peut-on réellement en déduire qu’il s’agit d’un gage de l’efficacité de la fonction d’audit interne?», s’est ouvertement demandé l’un des membres du RCCA. L’un de ses pairs a posé la question suivante : «Lorsque la fonction d’audit interne procède à des audits de la conformité ou qu’elle donne des conseils, en quoi est-elle efficace?» «L’efficacité repose sur deux facteurs : une définition claire des attentes et les compétences des ressources recrutées», a expliqué un autre membre. Un autre participant à la réunion a réfléchi à l’utilisation des indicateurs de performance clés dans l’évaluation de la performance de la fonction d’audit interne : «J’ai commencé à me pencher sur les indicateurs de performance clés susceptibles d’être appliqués à la fonction d’audit interne, outre l’exécution du plan d’audit. Quel indicateur de performance clé est le plus significatif pour évaluer l’efficacité de cette fonction?»

«L’efficacité et la valeur de la fonction d’audit interne sont interreliées», a fait observer un autre membre du RCCA. En évoquant le défi que représente la définition de l’efficacité, les membres ont aussi discuté de l’enjeu corollaire de la détermination de la valeur de la fonction d’audit interne par rapport aux coûts qui s’y rattachent. Tandis que l’un d’eux s’est demandé si la fonction d’audit interne rapportait vraiment quelque chose, plusieurs de ses pairs conviennent que la valeur qui en découle varie d’un secteur à l’autre : «Dans le secteur financier, la fonction d’audit interne revêt une grande importance, car les fraudeurs de la nouvelle

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 11

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

génération font preuve de beaucoup de créativité.» Un autre membre du RCCA a souligné le lien qui existe entre les compétences de l’équipe d’audit interne et sa capacité à fournir de la valeur ajoutée : «C’est une question de compétences fondamentales. Le secteur des services financiers en est un exemple; les compétences en audit interne font partie des compétences fondamentales, et la fonction d’audit interne est une importance source de valeur ajoutée. Toutefois, il y a sans doute des entreprises où la fonction d’audit interne n’est pas une source de valeur ajoutée, parce que ceux qui y travaillent ne comprennent pas bien le rôle qu’elle devrait jouer.»

Évaluer la fonction d’audit interne

Dans une proportion de 41 %, les répondants à un sondage qu’EY a commandé en 2012 à la maison Forbes Insights ont affirmé se concentrer sur la productivité de la fonction d’audit interne lorsqu’ils sont appelés à en évaluer la performance14. Souvent, dans l’évaluation de la fonction d’audit interne, on cherche à déterminer si celle-ci a su gérer efficacement les principaux secteurs de risque, formuler des recommandations appropriées et s’assurer de leur mise en œuvre, tout en tenant compte du nombre et du type d’échanges ayant eu lieu entre l’équipe d’audit interne et les responsables d’unité fonctionnelle15.

Les membres du RCCA ont mentionné plusieurs possibilités pour l’évaluation de la fonction d’audit interne :

Évaluation par le comité d’audit – Avant la réunion, l’un des membres a décrit trois volets de l’évaluation de la fonction d’audit interne par le comité d’audit : «Nous procédons d’abord à une évaluation structurée à l’aide d’un questionnaire de l’IIA. Nous utilisons ensuite un ensemble approprié de mesures préparées chaque trimestre, qui visent notamment à évaluer le degré de satisfaction du reste de l’entreprise à l’égard de la fonction d’audit interne et les interventions qui s’ensuivent. Finalement, nous tenons une rencontre à huis clos avec le comité d’audit, ce qui nous donne l’occasion de débattre entre nous de la valeur et de la contribution de cette fonction.» Un autre membre du RCCA sollicite la contribution des auditeurs externes : «Je trouve toujours intéressant d’apprendre à quel point nos auditeurs externes s’appuient sur la fonction d’audit interne. À mon avis, c’est un bon signe.»

Autoévaluation par le chef de l’audit interne – L’IIA publie, à l’intention des chefs de l’audit interne, un guide d’autoévaluation qui leur demande de déterminer dans quelle mesure la fonction d’audit interne a contribué aux objectifs stratégiques de l’entreprise, si la fonction dispose ou non des ressources dont elle a besoin et si les processus qu’elle utilise permettent ou non d’atteindre les objectifs fixés et d’exécuter le plan d’audit16.

Évaluation externe de la qualité au moyen d’un examen par les pairs – L’une des façons d’assurer la conformité de la pratique professionnelle de l’audit interne aux normes internationales en la matière consiste à recourir à une évaluation externe de la qualité17. Un examen effectué par deux ou

14 EY, “The Future of Internal Audit Is Now: Increasing Relevance by Turning Risk into Results”, Insights on Risk, juillet 2012, p. 14. 15 Ibidem. 16 Institute of Internal Auditors, “Tool 2A: Self-assessment Guide”, dans le Quality Assessment Manual, 6e éd. (Altamonte Springs, FL: Institute of

Internal Auditors. 2009). 17 Institute of Internal Auditors, “Quality Assessment”, 2013.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 12

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

plusieurs entreprises paires rattachées à un même secteur d’activité, à une même association régionale ou à un autre groupe d’affinité permet de satisfaire aux exigences de l’IIA18.

Conclusion

Les membres du RCCA ont discuté de ce qui caractérise les fonctions audit interne et les chefs de l’audit interne hautement efficaces ainsi que des défis communs auxquels font face les entreprises et les comités d’audit interne dans le cadre du déploiement et de la dotation en personnel d’une fonction d’audit interne de qualité, de même que dans leurs efforts de fidélisation de cet effectif. Bien que les membres du RCCA aient eu de la difficulté à cerner les mesures à utiliser pour évaluer l’efficacité de la fonction d’audit interne, ils sont nombreux à convenir que celle-ci a du succès lorsque l’étendue de son mandat est clairement communiquée et que les responsables à sa tête sont adéquats et bénéficient du soutien de la haute direction, particulièrement du chef de la direction. Comme l’un d’eux l’a bien résumé, «il s’agit d’établir le cadre de fonctionnement, de choisir les bons dirigeants et de leur attribuer le bon profil».

À propos du présent document

Le Réseau canadien des comités d’audit (RCCA) est un groupe de présidents de comités d’audit de grandes sociétés, lesquelles se sont engagées à améliorer la performance des comités d’audit et à promouvoir la confiance envers les marchés des capitaux. Les réunions du RCCA sont organisées et dirigées par Tapestry Networks, avec le soutien d’EY, dans le cadre de son engagement permanent à promouvoir l’efficacité et la bonne gouvernance des conseils d’administration.

La publication VantagePoint est publiée par Tapestry Networks afin de favoriser les discussions de fond en temps opportun au sein du conseil d’administration sur les choix auxquels les membres du comité d’audit, les dirigeants et leurs conseillers font face alors qu’ils s’évertuent à s’acquitter de leurs responsabilités respectives envers les investisseurs. Le principal mérite de la publication VantagePoint réside dans le fait qu’elle aide tous les membres du RCCA à préciser leur propre point de vue éclairé sur les enjeux importants de ce genre. Tous ceux et celles qui l’ont reçue sont invités à la mettre à la disposition des membres de leur propre réseau. Plus les administrateurs, les membres de la direction et leurs conseillers prendront systématiquement part au débat, plus la valeur qui en découlera pour tout le monde sera importante.

Les points de vue exprimés dans le présent document n’engagent que la responsabilité de Tapestry Networks et ne coïncident pas nécessairement avec l’opinion des membres du réseau ou des participants à la réunion, ni avec le point de vue de leurs organisations affiliées ou d’EY. Pour obtenir un avis particulier, veuillez consulter vos conseillers. EY désigne l’organisation mondiale des sociétés membres d’Ernst & Young Global Limited et peut désigner une ou plusieurs de ces sociétés membres. Ernst & Young Global Limited, société à responsabilité limitée par garanties du Royaume-Uni, ne fournit aucun service aux clients. Le présent document a été préparé par Tapestry Networks, qui en détient tous les droits d’auteur. Son contenu peut être reproduit et rediffusé, mais uniquement dans son intégralité, avec toutes les notices relatives à la protection des droits d’auteur et des marques de commerce. Tapestry Networks et les logos qui y sont associés sont des marques de commerce de Tapestry Networks, Inc., et EY et les logos qui y sont associés sont des marques de commerce d’EYGN Ltd.

18 Institute of Internal Auditors, “External Quality Assessment: A Business-Focused Quality Assessment”, chap. 2, Quality Assessment Manual, 6e éd.

(Altamonte Springs, FL: Institute of Internal Auditors, 2009), p. 15.

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 13

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

Annexe 1 : Participants à la réunion

John Caldwell, président des comités d’audit de FARO Technologies et d’IAMGOLD

Peter Case, président du comité d’audit de Fortis

Marc Courtois, président du comité d’audit du Groupe TVA

Denis Desautels, président des comités d’audit de Bombardier et du Groupe Jean Coutu (PJC)

Sheila Fraser, présidente du comité d’audit de la Financière Manuvie

Alan Horn, président du comité d’audit de Fairfax

Michel Labonté, président du comité de gestion des risques de Banque Laurentienne du Canada

Eileen Mercier, présidente des comités d’audit d’Intact Corporation financière et de Teekay

Ted Reevey, président du comité d’audit de Bell Aliant

Stuart Smith, président du comité d’audit de TGS North American REIT

Bob Steacy, président des comités d’audit de Cineplex, de Domtar et de Postmedia Network

Les membres suivants ont pris part aux discussions qui ont précédé ou suivi la réunion :

David Leslie, président des comités d’audit de Crombie REIT, d’Enbridge et d’IMRIS

Tom O’Neill, président des comités d’audit de Nexen et de la Banque Scotia

Les associés d’EY suivants ont participé à la réunion :

Greg Boehmer, associé, Services consultatifs transactionnels, EY

Tom Kornya, associé directeur, Services de certification, EY Canada

Eric Rawlinson, associé directeur, région du Grand Toronto, EY Canada

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 14

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

Annexe 2 : Questions auxquelles doivent répondre les membres des comités d’audit

? Dans quelle mesure les défis que votre équipe d’audit interne est appelée à relever ont-ils changé au cours des dernières années?

? Selon vous, quel devrait être le rôle particulier de la fonction d’audit interne? À titre de président d’un comité d’audit, dans quelle mesure vos exigences à l’égard de la fonction d’audit interne de votre entreprise ont-elles évolué au cours des dernières années?

? Quels défis particuliers découlent de l’importance accrue accordée à la gestion des risques, notamment des risques liés à la cybersécurité, à la conformité et à la stratégie?

? Quelle est l’approche de la fonction d’audit interne de votre entreprise à l’égard de l’identification, de l’évaluation, de la communication et de l’atténuation des risques?

? Quelle approche organisationnelle la fonction d’audit interne de votre entreprise a-t-elle adoptée? La structure organisationnelle a-t-elle changé au cours des dernières années?

? Quelles ont été les méthodes de dotation en ressources les plus efficaces? Quelles ont été les embûches?

? Quel type d’outils d’analyse la fonction d’audit interne de votre entreprise utilise-t-elle? Comment les applique-t-elle? Quels sont les coûts et avantages s’y rattachant? Des outils plus puissants auraient-ils pour effet d’accroître les attentes de la fonction d’audit interne?

? Comment la fonction d’audit interne coordonne-t-elle son travail avec celui des auditeurs externes, de façon à assurer une couverture adéquate des questions à traiter, quelle que soit son approche à l’égard de la dotation en personnel?

? Dans votre entreprise, la fonction d’audit interne sert-elle de centre de formation pour les membres du personnel qui souhaitent être promus à d’autres rôles? Pourquoi en est-il ainsi ou pourquoi n’est-ce pas le cas?

? Quelles sont les caractéristiques d’un chef de l’audit interne hautement efficace?

? Comment faites-vous pour établir de bonnes relations avec le chef de l’audit interne et l’équipe d’audit interne de votre entreprise?

? En général, dans quelle mesure votre comité d’audit soutient-il le chef de l’audit interne et la fonction d’audit interne de votre entreprise?

? Quel type de structure de rapports hiérarchiques est appliqué à la fonction d’audit interne de votre entreprise? Quels sont les avantages et défis s’y rattachant?

? Comment votre comité d’audit procède-t-il pour évaluer les coûts, la performance et les capacités de la fonction d’audit interne? En quoi consiste le processus suivi?

RÉSEAU CANADIEN DES COMITÉS D’AUDIT

VantagePoint

Les défis à relever dans un environnement d’audit interne en transformation 15

23 juillet 2013 TAPESTRY NETWORKS, INC · WWW.TAPESTRYNETWORKS.COM · +1 781 290 2270

? Pouvez-vous mentionner certains aspects particuliers sur lesquels porte l’évaluation de votre comité d’audit?

? La fonction d’audit interne de votre entreprise procède-t-elle régulièrement à une autoévaluation? Est-elle soumise à des examens par des pairs? Comment les résultats de ces examens sont-ils partagés avec votre comité d’audit?