Chaque année, les établissements placés sous le contrôle de l’ACPR rendent compte par écrit de la manière dont ils se contrôlent eux-mêmes. Ce document, le rapport annuel de contrôle interne, est souvent vécu comme une formalité de printemps. C’est une erreur d’appréciation : il est lu par le superviseur, il engage les dirigeants, et il révèle en quelques pages si le contrôle périodique a réellement fonctionné pendant l’exercice. Voici ce que l’arrêté du 3 novembre 2014 demande d’y faire figurer, et comment la fonction d’audit interne y contribue.
En bref
- L’article 258 impose d’élaborer, au moins une fois par an, un rapport sur les conditions dans lesquelles le contrôle interne est assuré.
- L’article 259 en fixe le contenu minimal, en sept rubriques.
- Il comporte un inventaire des enquêtes de l’audit interne et un suivi des mesures correctrices.
- Il est communiqué à l’organe de surveillance et transmis à l’ACPR (article 265).
- Un second rapport porte sur la mesure et la surveillance des risques (article 262) ; il peut être inclus dans le premier.
Le fondement : les articles 258 à 265
Le titre VI de l’arrêté du 3 novembre 2014 organise l’information des dirigeants effectifs, de l’organe de surveillance et de l’ACPR. Son article 258 est bref : au moins une fois par an, les entreprises assujetties élaborent un rapport sur les conditions dans lesquelles le contrôle interne est assuré.
L’article 265 en fixe les destinataires. Les rapports sont communiqués à l’organe de surveillance et, le cas échéant, aux comités spécialisés et à l’organe central. Ils sont transmis à l’Autorité de contrôle prudentiel et de résolution.
La responsabilité d’ensemble est rappelée par l’article 241 : celle de s’assurer que l’entreprise se conforme à ses obligations au titre de l’arrêté incombe aux dirigeants effectifs et à l’organe de surveillance.
Le contenu exigé par l’article 259
Le rapport comprend notamment, pour les différentes catégories de risques mentionnées dans l’arrêté :
| Rubrique | Contenu demandé par le texte | Qui l’alimente en pratique |
|---|---|---|
| a) | Description des principales actions effectuées dans le cadre du contrôle permanent et des enseignements qui en ressortent | Fonctions de conformité et de gestion des risques |
| b) | Inventaire des enquêtes réalisées par l’audit interne, principaux enseignements, principales insuffisances relevées et suivi des mesures correctrices | Fonction d’audit interne |
| c) | Modifications significatives réalisées dans les domaines des contrôles permanent et périodique | Les deux fonctions |
| d) | Conditions d’application des procédures mises en place pour les nouvelles activités | Conformité, gestion des risques |
| e) | Développement relatif aux contrôles permanent et périodique des succursales à l’étranger | Les deux fonctions |
| f) | Présentation des principales actions projetées dans le domaine du contrôle interne | Direction, fonctions de contrôle |
| g) | Annexe recensant les opérations conclues avec les dirigeants effectifs, les membres de l’organe de surveillance et, le cas échéant, les actionnaires principaux | Direction, secrétariat général |
Les entreprises d’investissement de classe 3 élaborent ce rapport selon un contenu dérogatoire, fixé par l’article 259 bis.
Ce que l’audit interne doit fournir
La rubrique b) est celle du contrôle périodique. Elle se prépare tout au long de l’année, pas au moment de la rédaction. Quatre éléments la composent.
- L’inventaire des enquêtes. La liste des missions réalisées dans l’exercice, avec leur périmètre et leur date. Elle doit pouvoir être rapprochée du programme annuel issu du plan d’audit pluriannuel : toute mission prévue et non réalisée appelle une explication.
- Les principaux enseignements. Une synthèse par mission, lisible par un membre de l’organe de surveillance qui n’a pas lu le rapport détaillé.
- Les principales insuffisances. Le texte les vise expressément. Un rapport qui n’en mentionne aucune ne rassure pas : il interroge sur la profondeur des travaux.
- Le suivi des mesures correctrices. L’état des recommandations : émises, mises en œuvre, en retard. Il prolonge l’article 26, qui impose des procédures de vérification de l’exécution des mesures correctrices dans des délais raisonnables.
La rubrique c) concerne aussi l’audit interne : un changement de responsable, le recours à un nouveau prestataire ou la révision du cycle d’audit sont des modifications significatives du contrôle périodique.
Le cas du contrôle périodique externalisé
Lorsque les missions sont réalisées par un cabinet, le rapport annuel reste celui de l’établissement. Le prestataire ne le signe pas et ne l’adresse pas au superviseur. En revanche, un contrôle périodique externalisé bien organisé prévoit que le cabinet remette, en fin d’exercice, une synthèse directement exploitable pour la rubrique b) : inventaire, enseignements, insuffisances, état du suivi.
Il est cohérent que le rapport mentionne ce mode d’organisation, puisque le recours à un prestataire extérieur pour l’exécution des contrôles relève de l’article 21 et que le dispositif figure au registre des externalisations. Sur ce registre, voir notre article consacré à l’externalisation bancaire.
Le rapport sur la mesure et la surveillance des risques
L’article 262 prévoit un second rapport, lui aussi au moins annuel, sur la mesure et la surveillance des risques. Il doit permettre d’appréhender globalement et de manière transversale l’ensemble des risques. L’article 264 précise qu’il peut être inclus dans le rapport prévu à l’article 258 : beaucoup d’établissements de petite taille produisent ainsi un document unique.
Un troisième rapport annuel, relatif à la politique et aux pratiques de rémunération, est prévu par l’article 266 et transmis lui aussi à l’ACPR.
Cinq conseils de rédaction
- Écrire pour l’organe de surveillance. Le rapport lui est communiqué avant d’être transmis au superviseur. S’il est compréhensible pour un administrateur, il le sera pour l’ACPR.
- Relier chaque affirmation à une pièce. Un rapport de mission, un procès-verbal de comité, un tableau de suivi daté.
- Assumer les insuffisances. Les nommer, indiquer la mesure décidée et son échéance. La crédibilité du document se joue là.
- Assurer la cohérence d’une année sur l’autre. Les actions projetées dans le rapport précédent doivent être reprises : réalisées, reportées ou abandonnées, avec le motif.
- Utiliser les trames du superviseur. L’ACPR met à disposition des canevas pour l’élaboration de ces rapports, dont un propre aux établissements de paiement et de monnaie électronique. Leur date de remise est fixée par les instructions de l’Autorité : il convient de vérifier chaque année celle qui s’applique.
Le regard du commissaire aux comptes
Le rapport annuel de contrôle interne n’est pas un document que le commissaire aux comptes certifie. Il constitue néanmoins, pour l’auditeur légal d’un établissement financier, une source d’information sur l’environnement de contrôle et sur les faiblesses identifiées, utile à sa propre évaluation des risques. Notre article sur le contrôle interne en entreprise rappelle pourquoi cet environnement pèse sur la fiabilité des comptes.
Questions fréquentes
Qui signe le rapport annuel de contrôle interne ?
L’arrêté ne désigne pas de signataire. Il place la responsabilité de la conformité sur les dirigeants effectifs et l’organe de surveillance, auquel le rapport est communiqué.
Le rapport doit-il mentionner les missions d’audit non réalisées ?
Le texte demande un inventaire des enquêtes réalisées. Expliquer les écarts avec le programme annuel relève de la bonne pratique : ils seront de toute façon visibles pour qui rapproche le rapport du plan.
Un établissement de paiement produit-il le même rapport qu’une banque ?
Le fondement est le même. Le contenu s’adapte à la taille et aux activités, conformément au principe de proportionnalité de l’article 4. Voir notre guide sur l’audit interne d’un établissement de paiement.
Le prestataire d’audit interne peut-il rédiger le rapport ?
Il peut préparer la partie relative au contrôle périodique. Le rapport d’ensemble reste élaboré sous la responsabilité de l’établissement.
Conclusion
Le rapport annuel de contrôle interne est le moment où le dispositif se regarde dans un miroir. Sa partie consacrée au contrôle périodique ne s’improvise pas : elle est la somme des missions conduites, des constats formulés et des recommandations suivies pendant l’année. C’est pourquoi la mission d’audit bancaire et de contrôle périodique externalisé de Paris Ouest Audit inclut la préparation de ces éléments.