Contrôle interne : des responsabilités claires, des limites assumées

Un manuel décrit les règles ; un dispositif de contrôle interne organise leur application et leur suivi. Cette note présente une méthode générale pour discuter la répartition des responsabilités. Elle ne constitue pas une attestation sur le fonctionnement d’une organisation.

1 Partir d’un processus concret

Prenons un exemple fictif d’achat : expression du besoin, validation, commande, réception, facture et règlement. À chaque étape, préciser qui exécute, qui valide, quels documents servent de preuve et comment une exception est traitée. Le montant de l’achat et la nature du risque peuvent conduire à des niveaux de validation différents.

2 Organiser les responsabilités

La direction définit les objectifs, les règles et les délégations. Les responsables opérationnels réalisent les contrôles qui leur sont attribués. La fonction financière rapproche les documents et analyse les écarts dans son périmètre. Les organes de gouvernance supervisent le dispositif selon leurs attributions. Une fonction d’audit interne, lorsqu’elle existe, apporte une évaluation distincte ; elle ne doit pas devenir l’exécutant de chaque contrôle.

3 Donner une forme observable au contrôle

Une formule vague comme « vérifier la facture » est peu exploitable. Une consigne opérationnelle précise les données à rapprocher, les critères d’acceptation, la fréquence, le responsable et la preuve conservée. Les écarts doivent recevoir une décision : correction, justification ou escalade. Un contrôle sans trace peut être difficile à démontrer ; une trace sans vérification peut donner une fausse impression de maîtrise.

4 Suivre ce qui fonctionne réellement

Une revue régulière peut examiner un échantillon de dossiers, les anomalies récurrentes, les actions en retard et les changements dans les équipes ou les outils. Pour une petite structure, l’impossibilité de séparer toutes les fonctions invite à définir des contrôles compensatoires, par exemple une revue documentée par une personne indépendante de l’opération concernée.

Attention aux erreurs à ne pas commettre

Présenter le contrôle interne comme une garantie absolue ; considérer une signature comme preuve suffisante de toute vérification ; confondre conception et exécution ; laisser la même personne créer un fournisseur et autoriser son paiement sans revue appropriée. L’erreur humaine, la collusion ou un contournement par la direction peuvent limiter le dispositif.

Actions recommandées

1. Cartographier un processus prioritaire et ses risques.
2. Nommer les responsables et formaliser les délégations.
3. Définir des preuves simples, proportionnées au risque.
4. Tester l’exécution et suivre les corrections.
5. Réviser le dispositif après un changement majeur.

Pour les établissements publics

Cadrer d’abord le statut, les textes applicables, les attributions des organes et les règles de commande publique. Un dispositif conçu pour une entreprise privée ne se transpose pas automatiquement à un EPA.