Audit Interne - Qualité (mai 2004).
publicité
Prise de Position AUDIT INTERNE - QUALITÉ a coexistence des deux métiers, audit interne et qualité, est propre à susciter de nombreuses interrogations de la part des auditeurs internes : quelle distinction fait-on entre Contrôle Interne et Système de Management de la Qualité, quels sont les points communs et les divergences entre les deux démarches, peut-on faire émerger des synergies entre Audit Interne et Qualité (en particulier, doit-on coordonner les deux activités, organiser des missions communes, envisager une direction commune,…) ? L Il apparaît d'autant plus opportun de préciser les relations entre Audit Interne et Qualité que ces deux domaines ont vécu dans la période récente des clarifications normatives tout à fait essentielles : - Le cadre de référence que constituent les " Normes professionnelles de l'audit interne " a été approuvé et publié en français en octobre 2002 dans sa version complète, comprenant : la définition de l'Audit Interne, le Code de déontologie, les Normes professionnelles, les Modalités Pratiques d'Application ; - La série complète des Normes ISO révisées en 2000 termine bientôt sa troisième année d'existence. Elle comprend le triptyque ISO 9000, 9001 et 9004. La publication fin 2002 de la quatrième norme de base, ISO 19011, consacrée à l'audit qualité et environnemental, marque la fin du processus de révision, et clôt la cohérence du système. Ce contexte a conduit l'IFACI à élaborer une prise de position qui présente le point de vue de la profession de l'audit interne, en intégrant le fait que la démarche qualité est de plus en plus prégnante dans les organisations et qu'il convient de tenir compte des avantages que celle-ci peut lui apporter. 1. Qu'entend-on par qualité ? Il est important de rappeler que si, aujourd'hui, les démarches suivies par l'audit interne et la Qualité présentent un certain nombre de convergences, elles ont des origines profondément différentes. L'une des différences majeures entre l'Audit Interne et la Qualité, c'est que, dès son émergence, la Qualité est avant tout une démarche visant l'action, fondée sur quelques orientations très déterminantes : - la priorité donnée au client ; - la participation des acteurs ; - la culture processus, - etc… mai 2004 Prise de position IFACI / Audit Interne - Qualité / mai 2004 Elle offre aux équipes opérationnelles un large choix d'outils et de méthodologies (des diagrammes Ishikawa des origines au Six Sigma d'aujourd'hui) visant à la prise de décision et à l'action. Ce n'est que plus tard qu'est apparu l'audit qualité, principalement motivé par l'ISO. L'audit qualité n'est qu'une partie de la fonction qualité, alors que l'audit interne est une fonction en soi, celle qui permet une évaluation, une assurance, par essence indépendante de la ligne opérationnelle. Par ailleurs, notons que deux approches majeures se dégagent du monde de la Qualité : le Management par la Qualité, appelé à l'origine " Qualité Totale ", et l'Assurance Qualité. Le Management par la Qualité renvoie aux modèles de performance des Prix Qualité : pour l'Europe, modèle de l'EFQM. Ce modèle propose une représentation systémique très complète de l'ensemble des processus génériques de toute entreprise. Il ne lui est pas associée une activité d'audit, mais il autorise l'évaluation, ou l'auto-évaluation. Ce modèle offre aujourd'hui l'une des approches les plus avancées en matière d'évaluation des " couches hautes " des processus et du management. C'est une pratique dédiée aux états-majors. L'Assurance Qualité renvoie à la série des Normes ISO 9000, redéfinies en profondeur dans la version 2000, plus synthétique, plus universelle. L'Assurance Qualité s'entend comme " la partie du management de la qualité visant à donner confiance en ce que les exigences pour la qualité seront satisfaites (Norme ISO 9000, 2000) ". Son ambition est donc moins large que la " Qualité Totale ", mais elle couvre en revanche un champ auditable, selon un ensemble de " lignes directrices pour l'audit " (Norme ISO 19011, déc. 2002). L'audit externe selon ces Normes conduit à la certification qualité. Enfin, alors que l'Audit Interne moderne, tel qu'il est apparu aux Etats-Unis entre les deux guerres mondiales, a plutôt son origine du côté du monde de la finance, la Qualité est née dans l'univers de la production. Les domaines couverts se rejoignent actuellement dans des systèmes globaux de maîtrise des risques. 2. Contrôle Interne et Système de Management de la Qualité 2.1. Définition " Le Contrôle Interne " est un processus mis en œuvre par le Conseil d'Administration, les dirigeants et le personnel d'une organisation destiné à fournir une assurance raisonnable quant à la réalisation de ses objectifs (COSO). " Le Système de Management de la Qualité " est l'élément du système de management de l'organisme qui se concentre sur l'obtention des résultats, en s'appuyant sur les objectifs qualité, pour satisfaire, selon les cas, les besoins, attentes ou exigences des parties intéressées (ISO 9000 - 2.11). 2.2. Ressemblances et différences Composition Le " Contrôle Interne " (définition du COSO) comprend 5 éléments qui constituent pour une entreprise donnée son " système de contrôle interne " : 2 Prise de position IFACI / Audit Interne - Qualité / mai 2004 L'environnement de contrôle, qui doit être favorable à la maîtrise des risques est essentiellement d'ordre culturel et comportemental : intégrité et éthique, l'exemplarité de l'attitude du management, la bonne définition du rôle de chacun et le respect des structures. L'évaluation des risques, essentielle à la mise en œuvre de stratégies de maîtrise de risques adaptées. Les activités de contrôle interne mises en œuvre par chaque manager : - des objectifs clairs, cohérents avec les missions du manager et la stratégie de l'entreprise ; - des moyens adaptés ; - un système d'information, qui permet de mesurer la réalisation des objectifs ; - l'organisation qui met en œuvre le bon fonctionnement des moyens ; - les méthodes et procédures pour bien opérer les tâches définies ; - la supervision pour vérifier l'avancement des objectifs et les faire évoluer en fonction du contexte. L'information et la communication entre les différents acteurs de l'entreprise. Le pilotage du Système de Contrôle Interne. Le " Système de Management de la Qualité ", au sens ISO, est fondé sur 8 principes (ISO 9000 -0.2). Sa mise en œuvre comporte un certain nombre d'étapes (ISO 9000 - 2.3) qui correspondent à des éléments de contrôle interne ou les impliquent : Les 8 principes : Orientation client ; leadership ; implication du personnel ; approche processus ; management par approche système ; amélioration continue ; approche factuelle pour la prise de décision ; relations mutuellement bénéfiques avec les fournisseurs. Prise de position IFACI / Audit Interne - Qualité / mai 2004 3 Champs et modalités d'intervention Ils peuvent être analogues. En effet, le contrôle interne couvre la maîtrise des risques de l'ensemble des processus de l'entreprise en allant au-delà des seuls processus comptables et financiers. Selon le choix de l'organisation, le système qualité peut englober tous les processus et tous les risques de l'organisation, au-delà de ceux qui concernent exclusivement la réalisation du produit, même s'il convient de noter que la notion de maîtrise de risque n'est qu'implicite dans la démarche qualité. Sur un plan concret on note de nombreuses convergences en termes de méthodes et d'outils entre démarche qualité et contrôle interne : - description systématique des processus ; - suivi des incidents révélateurs de non-qualité ou de risques ; - logique d'amélioration continue par des méthodes participatives (auto-évaluation,...) et détermination de plans d'actions ; - suivi d'indicateurs conjoints ; - etc. Conclusion A l'analyse, le Système de Management de la Qualité apparaît comme une composante du Système de Contrôle Interne focalisée sur la dimension " respect des objectifs qualité " et ciblée sur " les besoins et attentes des clients et autres parties intéressées ". 3. Métiers Audit Interne et Audit Qualité 3.1. Définitions Définition de l'audit qualité donnée par la Norme ISO 19011, 2002 Il convient d'entendre par " audit ", " preuves d'audit " et " critères d'audit " : audit qualité, preuves d'audit qualité et critères d'audit qualité. « L'Audit (ISO 19011, 2002) est un processus systématique indépendant et documenté en vue d'obtenir des preuves d'audit et de les évaluer de manière objective pour déterminer dans quelles mesures les critères d'audit sont satisfaits. On appelle critères d'audit, un ensemble de politiques, procédures ou exigences déterminées. Les preuves d'audit sont des enregistrements, énoncés de faits ou autres informations, qui se rapportent aux critères d'audit et sont vérifiables. » Définition de l'audit interne donnée par l'IFACI « L'Audit Interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée. Il aide cette organisation à atteindre ses objectifs en évaluant par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d'entreprise, et en faisant des propositions pour renforcer leur efficacité. » 3.2. Convergence partielle des métiers Les métiers d'auditeurs internes et d'auditeurs qualité sont proches en termes de normes et de déontologie, de champs d'intervention et d'approches. 4 Prise de position IFACI / Audit Interne - Qualité / mai 2004 Normes et déontologies Les deux métiers obéissent à un code de déontologie fort et à des normes détaillées, ISO 19 011 et IFACI, dont la plupart des fondamentaux sont proches. Les deux types d'auditeurs doivent être indépendants et objectifs par rapport aux entités auditées. Leurs travaux sont rythmés par une planification annuelle avec des possibilités d'audits hors programme demandés par le management. Toutefois, et c'est ce qui en fait sa spécificité, l'audit interne, à l'inverse de l'audit qualité, fonde son plan d'audit sur une évaluation des risques de l'organisation. L'audit interne se positionne, de ce fait, comme un outil majeur de détection, de prévention et de maîtrise des risques de son organisation, en coordination avec toute autre fonction concernée. Enfin, les deux métiers visent l'amélioration des performances opérationnelles et la création de valeur pour l'entreprise. Champs d'intervention L'audit interne est susceptible d'intervenir dans toutes les entités, tous les processus et plus généralement tous les systèmes de management de l'entreprise, jusqu'aux processus stratégiques dès lors qu'ils sont en relation avec les risques qui menacent la réalisation des objectifs de l'organisation. L'audit qualité, quant à lui, couvre le champ (entités et processus) du Système de Management de la Qualité que la Direction de la Qualité a contribué à élaborer. Approches En audit qualité, sens ISO, le Système de Management de la Qualité est élaboré par la Direction de la Qualité à partir des Normes ISO qui sont très structurantes. En revanche, les référentiels sur lesquels s'appuie l'audit interne, qu'ils soient construits par le management de l'activité auditée ou construits par l'audit interne en concertation avec celui-là, s'inspirent de modèles ou de bonnes pratiques existants mais moins structurants. Les missions d'audit interne, souvent non récurrentes, comprennent de nombreux tests pour appréhender la réalité des opérations. Par conséquent, elles sont plus longues et plus approfondies que les missions d'audit qualité (ISO ou au-delà d'ISO), qui se révèlent plus systématiques et itératives. Il est enrichissant pour les deux fonctions qu'elles procèdent à des échanges d'informations, de bonnes pratiques, de coordination des missions,… Les missions d'audit interne conduisent à des recommandations qui doivent faire l'objet de plans d'actions destinées à corriger les dysfonctionnements. Ces plans d'actions sont élaborés et mis en oeuvre par les audités eux-mêmes. La responsabilité de l'audit interne ne s'arrête pas là puisqu'il doit mettre en place un programme de suivi permettant de surveiller et de garantir que des mesures ont été effectivement mises en œuvre. En revanche, les rapports des audits qualité indiquent les écarts par rapport au système qualité de l'organisation, au sens ISO, mais sans formuler de recommandations. Il appartient ensuite à l'audité d'élaborer l'action corrective à mettre en place pour corriger cet écart. La fonction qualité s'assure de l'existence des actions correctives et mesure leur efficacité. 4. Direction de l'Audit Interne et Direction de la Qualité La finalité de la Direction de l'Audit Interne est d'évaluer tous les processus de management des risques, de contrôle et de gouvernement d'entreprise, notamment dans ses aspects éthiques et déontologiques, y compris le management de la qualité, et de faire des propositions pour renforcer leur efficacité. Le rattachement hiérarchique de l'Audit Interne se situe " au plus haut niveau ", afin d'assurer son Prise de position IFACI / Audit Interne - Qualité / mai 2004 5 indépendance. Le rattachement idéal se situe au niveau du directeur général ou du président avec une liaison forte avec le comité d'audit. La Direction de l'Audit Interne, selon les normes de l'audit interne, doit élaborer et tenir à jour un programme d'assurance et d'amélioration de la qualité portant sur tous les aspects de l'audit interne et permettant un contrôle continu de son efficacité. La finalité de la Direction de la Qualité est : - d'élaborer le Système de Management de la Qualité de l'Entreprise. Un Système de Management de la Qualité efficace fournit aux opérationnels des référentiels : description des processus (processus de production, de RH, Informatiques,…), des procédures (check lists,…), des règles à respecter (sécurité, environnement, lois et réglementation) ; - d'aider à leur application ; - de garantir la conformité de ce Système de Management de la Qualité à la Norme ISO, par la conduite d'audits qualité. Le rattachement de la Qualité se situe de manière variable selon les entreprises mais cohérente avec l'orientation d'assistance et d'accompagnement des opérationnels. Les deux directions, de l'Audit Interne et de la Qualité sont auditables l'une par l'autre, dans le cadre de leurs responsabilités respectives et de leurs propres méthodes. En effet : - Le Service d'Audit Interne peut entrer dans le Système de Management de la Qualité, en tant que processus de pilotage, et il est, à ce titre, auditable en termes d'audit qualité, de manière interne ou externe. - Le Système de Management de la Qualité, le Service Qualité et les processus qualité font partie du champ d'intervention de l'audit interne dans le cadre de sa responsabilité d'évaluation de l'ensemble du système de contrôle interne ainsi que l'illustre le schéma suivant : Les niveaux de contrôle interne exemple : bouclage du système qualité par l’audit interne Risque qualité client Risque économique Risque industriel Risque informatique 6 Prise de position IFACI / Audit Interne - Qualité / mai 2004 Le schéma ci-contre est un exemple d'organisation. L'Audit Interne Groupe (3ème cercle), qui intègre des auditeurs " groupe " qualité, intervient en " bouclage " du système qualité qui est ici un système de qualité totale, englobant l'entreprise tout entière (Services Centraux : 2ème cercle, et Opérations : 1er cercle). Ce système va donc au-delà des exigences de la norme ISO. Parmi les services centraux, se trouve la Direction Qualité du Groupe qui prescrit (conçoit et met en place) et contrôle le système qualité de l'entreprise, en supervisant des équipes qualité locales présentes dans toutes les entités du groupe. Le service Audit Interne Groupe est lui-même audité par ces équipes qualité. Remerciements : L'IFACI tient à remercier les personnes qui ont conçu et rédigé cette prise de position : - Florence Bergeret, Responsable de la Recherche, IFACI, - Jean-Michel Chaplain, Directeur de l'Audit, AFPA, - Alain Gelly, Directeur Qualité et Maîtrise des Risques, TDF, - Jacques Szpirglas, Directeur Délégué, Direction de l'Audit et du Contrôle des Risques Système d'Information et Réseaux, France Telecom, - Jean-Louis Vincent, Directeur de l'Audit Groupe, Michelin. Pour leur relecture avisée et leurs précieux commentaires, merci également à : - Philippe Christelle, Directeur de l'Audit Interne Groupe, Cap Gemini Ersnt & Young, Président de l'IFACI, - Gilbert Fuzillier, Directeur de l'Audit Interne, Philips France, - Pierre Poulain, Inspecteur Chargé de Mission pour la Prévention des Risques, Banque de France, - Louis Vaurs, Délégué Général, IFACI Prise de position IFACI / Audit Interne - Qualité / mai 2004 7 En synthèse : Prise de position du groupe de travail Le groupe de travail souligne les fortes synergies entre Contrôle Interne/Management des Risques et Système de Management de la Qualité, d'une part, et certaines convergences entre les " métiers " d'audit interne et d'audit qualité, d'autre part. Le Système de Management de la Qualité est une composante du contrôle interne focalisée sur la dimension " respect des objectifs qualité " et ciblée sur les " besoins et attentes des clients et autres parties intéressées ". Un Service d'Audit Interne a tout intérêt à s'approprier les outils venant du monde de la qualité, et plus spécialement de l'audit qualité dans ses propres travaux méthodologiques. De même, les méthodologies du Management de la Qualité doivent pouvoir utilement être mises à profit lors de l'élaboration des référentiels de Contrôle Interne. Pour arriver à ces fins, les auditeurs internes peuvent se former aux Normes ISO. Une intégration d'auditeurs internes sur des missions qualité et réciproquement d'auditeurs qualité sur des missions d'audit interne peut également être recommandée. Dans chaque organisme, l'Audit Interne peut avoir intérêt à se rapprocher du Service Qualité, lorsqu'il existe, prendre connaissance de son programme d'activité et de ses méthodes. La coordination des interventions ainsi que les échanges de résultats sont souhaitables. La complémentarité entre audit interne et audit qualité doit pouvoir être explicitée aux audités. Elle peut figurer de manière formelle dans la Charte d'Audit, et être inscrite dans la présentation de l'approche des divers types d'audit en amont de chaque mission. L'utilisation de dénominations distinctes (audit interne / audit qualité) doit être mise en œuvre pour éviter toute confusion. Toutefois, il y a lieu de toujours bien garder à l'esprit l'exigence d'indépendance de l'activité d'audit interne par rapport aux lignes opérationnelles, ce qui va de pair avec le rattachement du Service d'Audit Interne au plus haut niveau. En revanche, la Direction de l'Audit Qualité, qui assiste les lignes opérationnelles dans la mise en place et le maintien du système de management de la qualité, est plus souvent rattachée à un niveau opérationnel. Enfin, une distinction majeure de l'audit interne par rapport à l'audit qualité est qu'il doit, entre autres, évaluer le processus de gouvernement d'entreprise, notamment sur ses aspects éthiques et déontologiques, et formuler des recommandations appropriées en vue de son amélioration. 8 Prise de position IFACI / Audit Interne - Qualité / mai 2004
