La saison des audits débute à la fin du mois : le problème de la traçabilité

La saison des audits ne commence pas réellement la semaine où les auditeurs se présentent. Elle commence à chaque fois qu’un chiffre est exporté dans Excel puis ajusté manuellement en cours de route, car c’est à ce moment-là que la chaîne reliant un chiffre déclaré à sa source commence à s’effriter. Lorsque la saison des audits arrive, cette chaîne a déjà été rompue et recollée une douzaine de fois, sans que personne ne sache exactement où.

Ce que les auditeurs demandent réellement

Une liste type de demandes d'audit de type PBC (préparée par le client) ressemble à un test de traçabilité :

• Prise en charge d'un solde spécifique, lié aux opérations sous-jacentes.
• Un relevé de rapprochement indiquant comment le solde d'ouverture a évolué pour aboutir au solde de clôture, avec une explication de chaque mouvement.
• Preuve que le rapport utilisé en interne correspond au rapport fourni pour l'audit : mêmes chiffres, même logique.
• Une explication des raisons pour lesquelles un chiffre a évolué entre deux moments donnés.

Aucune de ces demandes n’est déraisonnable. Ce qui les rend pénibles, c’est que la plupart des rapports établis manuellement n’ont jamais été conçus pour y répondre a posteriori. Un groupe d’auditeurs en activité a formulé ce point de vue sans détour : « Les auditeurs ne vérifient pas l’effort fourni. Ils vérifient les preuves, la cohérence et les contrôles. » Une équipe qui a travaillé dur toute l’année peut tout de même échouer à ce test si la piste des preuves fait défaut.

Là où la chaîne se rompt réellement

Chaque étape d’exportation vers Excel rompt un lien. Dès qu’un solde de vérification ou un détail du grand livre auxiliaire est importé dans une feuille de calcul, collé, reformaté et ajusté, le seul lien du fichier avec le système source correspond à ce que l’exportation a capturé à ce moment-là. Si une écriture tardive est enregistrée par la suite, ou si un reclassement est comptabilisé, les données du classeur divergent de celles de l'ERP, et le rapprochement a posteriori de ces deux sources constitue en réalité le véritable casse-tête d'un audit.

Le reporting consolidé illustre particulièrement bien ce point de rupture. Un compte rendu détaillé sur la consolidation native dans un ERP souligne qu’une fois les données importées dans une société de consolidation au niveau du groupe, « les soldes importés apparaissent sous forme d’écritures agrégées associées à l’unité opérationnelle source et à la période. En explorant une ligne de chiffre d’affaires dans la société de consolidation, on accède au journal d’importation… Pour accéder aux détails sources, il faut quitter la société de consolidation, ouvrir la filiale et relancer l’analyse à ce niveau. » C’est là, en miniature, le problème de traçabilité. La chaîne ne devient pas simplement plus difficile à suivre. Elle s’arrête complètement au niveau de l’importation.

C'est une situation bien connue : un contrôleur extrait un relevé de rapprochement datant de trois mois pour répondre à la question d'un auditeur, mais constate que le fichier fait référence à un classeur qui a depuis été renommé, déplacé ou remplacé. Ce qui s'ensuit n'est ni une fraude ni une négligence. Il s'agit d'une reconstruction. Le chiffre était probablement correct dès le départ. Le prouver, plusieurs mois plus tard, sans piste claire permettant de remonter à la source, demande un nombre d'heures considérable que personne n'avait prévu dans le budget.

La traçabilité se construit tout au long de l'année ; elle n'est pas reconstituée au premier trimestre.

On a naturellement tendance à considérer la préparation à l’audit comme un projet distinct qui démarre quelques semaines avant l’arrivée des auditeurs. Mais la traçabilité n’est pas quelque chose que l’on peut ajouter a posteriori à douze mois de rapports exportés et ajustés manuellement. Soit la chaîne allant de la source au rapport a toujours existé, soit elle doit être reconstruite à partir de zéro. Et reconstruire une année entière de justificatifs dans l’urgence est une tâche fondamentalement différente de celle qui consiste à les maintenir au fur et à mesure.

C'est là le mécanisme qui sous-tend un phénomène que les praticiens décrivent régulièrement : des audits qui « condensent le temps » et « suppriment toute marge de manœuvre », dans lesquels tout ce qui repose sur la mémoire ou sur des connaissances informelles est mis à nu presque immédiatement. Lorsque les rapports sont conçus pour résister à des examens répétés, et non pas simplement élaborés une fois pour toutes avant d'être mis de côté, cette mise à nu ne se produit pas, car il n'y a rien à reconstituer.

Rester au niveau du problème

Il ne s'agit pas ici d'appeler à l'adoption de nouvelles mesures de sécurité ou de nouveaux logiciels. Ce sera l'objet d'une autre discussion, à un stade ultérieur. Il s'agit simplement de mettre un nom sur ce qui se passe réellement derrière l'expression « la saison des audits est stressante » : un déficit de traçabilité qui s'est creusé discrètement tout au long de l'année, invisible jusqu'à ce que quelqu'un pose une question qui oblige à le combler sous la pression.

Le test qui permet de vérifier réellement l'efficacité du système est le suivant : choisissez n'importe quel chiffre figurant dans le dossier du conseil d'administration du dernier trimestre, et voyez combien de temps il vous faut pour remonter jusqu'à la transaction d'origine. Si la réponse est « Il faudrait que je reconstitue quelque chose pour le savoir », c'est là que se situe la lacune.

Découvrez où se situent les failles de la chaîne d'audit + Téléchargez le guide gratuit