CIA® Certified Internal Auditor 1 : les concepts de base de l’audit interne

* Avant de débuter les cours, vous effectuerez une auto-évaluation par le biais du système de gestion des certifications (CCMS) de l'IAA. En fonction des résultats, les différentes parties de ce programme pourront être abordées brièvement ou en détail.

Domaine 1 : les fondamentaux de l’audit interne

• Objectif de l'audit interne selon les normes mondiales :
  • expliquer les objectifs généraux de l'audit interne (apporter de la valeur ajoutée, améliorer les opérations) et ses avantages (amélioration du contrôle interne, gestion des risques, gouvernance) ;
  • identifier les facteurs clés qui contribuent à l'efficacité de la fonction d'audit interne (indépendance, objectivité, compétences, ressources adéquates).
     
• Mandat et responsabilités du conseil d'administration :
  • décrire l'autorité (accès à l'information, étendue des travaux), le rôle (évaluation, conseil) et les responsabilités de la fonction d'audit interne ;
  • expliquer comment le responsable de l'audit interne aide le conseil à définir ou à mettre à jour le mandat de l'audit interne (sa mission, son champ d'application et ses responsabilités) ;
  • clarifier le rôle du conseil d'administration et de la direction générale dans la définition et l'approbation de l'autorité, du rôle et des responsabilités de la fonction d'audit interne.
     
• Exigences d'une charte d'audit interne :
  • identifier les éléments essentiels requis par les normes mondiales pour la pratique professionnelle de l'audit interne (objectif, autorité, responsabilité, indépendance, objectivité, etc.) ;
  • souligner l'importance de la discussion et de l'alignement de la charte avec le conseil d'administration et la direction générale ;
  • insister sur la nécessité de l'approbation formelle de la charte par le conseil d'administration.
     
• Différences entre services d'assurance et services de conseil :
  • définir clairement les services d'assurance (évaluation objective pour fournir une opinion) ;
  • distinguer l'assurance limitée (conclusion sous une forme négative) de l'assurance raisonnable (conclusion sous une forme positive) ;
  • définir clairement les services de conseil (activités de conseil et de services connexes).
  • expliquer comment la nature (type d'aide) et l'étendue (ampleur des travaux) des services de conseil sont déterminées ;
  • savoir identifier le type de service (assurance ou conseil) le plus approprié en fonction du contexte et des besoins de l'organisation.
• Types de services d'assurance fournis par l'audit interne :
  • décrire les évaluations des risques (identification et analyse) et des contrôles (efficacité et adéquation) ;
  • décrire les audits de conformité (lois, réglementations, contrats) des tiers (fournisseurs, partenaires) et des contrats ;
  • décrire les audits de sécurité informatique (protection des systèmes et données) et de protection de la vie privée (conformité aux réglementations) ;
  • décrire les audits de performance (efficacité, économie, efficience) et de qualité (conformité aux normes) ;
  • décrire les audits opérationnels (efficacité et efficience des processus), financiers (fiabilité des informations financières) et de conformité réglementaire (respect des lois et règlements) ;
  • décrire les audits de la culture organisationnelle (valeurs, éthique, comportements) ;
  • décrire les audits du processus d'établissement des rapports de gestion (pertinence, fiabilité, communication).
     
• Types de services de conseil fournis par l'audit interne :
  • décrire le rôle de l'auditeur interne dans la formation aux risques et aux contrôles (sensibilisation et développement des compétences) ;
  • décrire le rôle de l'auditeur interne dans la conception et le développement de systèmes (participation à l'amélioration des processus et des outils) ;
  • décrire le rôle de l'auditeur interne dans les services de diligence raisonnable (évaluation des risques et opportunités lors de transactions) ;
  • décrire le rôle de l'auditeur interne dans le maintien de la confidentialité des données (protection des informations sensibles) ;
  • décrire le rôle de l'auditeur interne dans le benchmarking (comparaison des pratiques avec d'autres organisations) ;
  • décrire le rôle de l'auditeur interne dans l'évaluation du contrôle interne (identification des faiblesses et recommandations d'amélioration) ;
  • décrire le rôle de l'auditeur interne dans la cartographie des processus (visualisation et analyse des flux d'activités).
     
• Situations compromettant l'indépendance de l'audit interne :
  • identifier les situations où le rattachement fonctionnel du RAI (au niveau le plus élevé de l'organisation) n'est pas approprié (par exemple, rattachement à une fonction opérationnelle) ;
  • décrire la responsabilité du Conseil d'Administration dans la protection de l'indépendance de l'audit interne (soutien, ressources, absence d'ingérence) ;
  • décrire la responsabilité du RAI dans la protection et le maintien de l'indépendance (gestion des conflits d'intérêts, communication au Conseil de toute atteinte ou perception d'atteinte) ;
  • identifier les situations où des limitations budgétaires peuvent restreindre les opérations d'audit interne (portée des audits, ressources humaines) ;
  • décrire les conséquences des limitations du champ d'application (restrictions sur les domaines audités) ou de l'accès restreint (manque d'informations ou de coopération).
     
• Rôle de l'audit interne dans la gestion des risques de l'organisation :
  • décrire le modèle des trois lignes de l'IIA (première ligne : gestion opérationnelle, deuxième ligne : fonctions de surveillance des risques et de conformité, troisième ligne : audit interne) ;
  • identifier les responsabilités de première et de deuxième ligne qui pourraient nuire à l'indépendance de la fonction d'audit interne si elles étaient exercées par l'audit interne (par exemple, mise en œuvre de contrôles) ;
  • décrire les mesures de sauvegarde à mettre en place lorsque les auditeurs internes exercent ou sont perçus comme exerçant des responsabilités de première ou de deuxième ligne (séparation des responsabilités, reporting distinct).

Domaine 2 : l'éthique et le professionnalisme 

• Faire preuve d'intégrité :
  • décrire comment agir avec honnêteté et courage professionnel face à des dilemmes éthiques ou des situations difficiles ;
  • expliquer l'importance d'adopter un comportement légal et professionnel dans toutes les circonstances.
     
• Évaluer les déficiences en matière d'objectivité :
  • évaluer l'impact potentiel de l'auto-révision (audit de son propre travail antérieur) et du biais de familiarité (relations trop proches avec les audités) sur l'objectivité des missions ;
  • analyser les situations où des conflits d'intérêts (personnels, financiers) peuvent survenir et compromettre l'objectivité.
     
• Analyser les politiques favorisant l'objectivité et les options d'atténuation :
  • évaluer les situations où la réaffectation d'auditeurs internes (rotation des équipes) peut être nécessaire pour préserver l'objectivité ;
  • évaluer les situations où il serait approprié d'externaliser la réalisation ou la supervision d'une mission (manque d'expertise, risque de biais) ;
  • déterminer quand il est nécessaire de divulguer les dépréciations d'actifs (atteintes à l'objectivité perçue ou réelle) ;
  • Identifier les situations où il est inapproprié d'accepter un cadeau, une récompense ou une faveur (risque d'influence).
     
• Appliquer les connaissances, les aptitudes et les compétences requises :
  • appliquer des compétences en communication écrite et orale pour des messages, rapports, réunions et présentations efficaces ;
  • appliquer la pensée critique et les compétences en résolution de problèmes pour aborder des questions complexes et identifier des solutions innovantes.
  • appliquer des techniques de recherche pour collecter des informations variées et approfondir ses connaissances ;
  • appliquer des techniques de persuasion et de négociation pour gérer les conflits et collaborer efficacement ;
  • appliquer des techniques d'établissement de relations pour gagner la confiance et la crédibilité ;
  • appliquer des compétences en gestion du changement pour s'adapter aux environnements évolutifs ;
  • faire preuve de curiosité pour découvrir de nouvelles informations et favoriser l'apprentissage continu ;
  • évaluer les situations qui justifient la nécessité d'une formation professionnelle continue pour l'auditeur interne (évolution des normes, nouvelles techniques).
     
• Faire preuve de professionnalisme :
  • reconnaître que la diligence professionnelle implique l'évaluation de la stratégie et des objectifs de l'organisation ;
  • reconnaître que la diligence professionnelle implique l'évaluation de l'adéquation et de l'efficacité des processus de gouvernance, de gestion des risques et de contrôle ;
  • reconnaître que la diligence professionnelle implique l'évaluation du rapport coûts/bénéfices potentiels d'une mission ;
  • reconnaître que la diligence professionnelle implique l'évaluation de la probabilité d'erreurs significatives, de fraudes, de non-conformité et d'autres risques.
  • reconnaître que le scepticisme professionnel implique le maintien d'un esprit critique et une remise en question des informations.
     
• Maintenir la confidentialité et utiliser les informations de manière appropriée :
  • appliquer les politiques, procédures, lois et réglementations pertinentes de l'organisation en matière de confidentialité ;
  • appliquer les méthodologies d'audit interne en matière de gestion et de protection des informations ;
  • faire preuve de respect pour la vie privée et la propriété des informations ;
  • appliquer les méthodes appropriées pour protéger les informations confidentielles.

Domaine 3 : la gouvernance, la gestion des risques et le contrôle

• Décrire le concept de gouvernance organisationnelle :
  • décrire les rôles et responsabilités du conseil d'administration (supervision), de la direction générale (gestion), de la fonction d'audit interne (assurance et conseil) et des autres prestataires de services d'assurance (fonctions de conformité, juridique, etc.) ;
  • identifier les cadres (COSO), principes et modèles de gouvernance (par exemple, les principes de l'OCDE).
     
• Reconnaître l'impact de la culture organisationnelle :
  • définir la culture organisationnelle (valeurs, croyances, comportements) et l'environnement de contrôle (attitude de la direction, structure organisationnelle, intégrité).
  • définir les risques et les contrôles spécifiques liés à une mission d'audit.
  • reconnaître comment les processus décisionnels de l'organisation influencent la gouvernance, la gestion des risques et le contrôle interne.
     
• Reconnaître les questions d'éthique et de conformité :
  • identifier les exigences éthiques (code de conduite), juridiques (lois) et de conformité (réglementations, normes) applicable à l'organisation.
  • reconnaître le rôle de l'auditeur interne dans la promotion de l'éthique au sein de l'organisation (sensibilisation, évaluation des dispositifs).
     
• Interpréter les concepts fondamentaux du type de risque :
  • distinguer les risques stratégiques (atteinte des objectifs), opérationnels (défaillance des processus), financiers (pertes financières), de conformité (non-respect des lois), de réputation (atteinte à l'image), environnementaux (impact sur l'environnement), de durabilité (viabilité à long terme) et de responsabilité sociale (impact sur la société).
  • comparer et opposer les risques inhérents (avant la mise en place de contrôles) et résiduels (après la mise en place de contrôles).
     
• Interpréter les concepts fondamentaux du processus de gestion des risques :
  • définir la gestion des risques (processus d'identification, d'évaluation et de traitement des risques) ;
  • reconnaître l'appétit pour le risque (niveau de risque qu'une organisation est prête à accepter) et la tolérance au risque (variation acceptable par rapport à l'appétit pour le risque) ;
  • évaluer les éléments du cycle de gestion des risques (identification, évaluation, traitement, surveillance et communication) ;
  • évaluer les différentes réponses possibles d'une organisation aux risques identifiés (accepter, éviter, atténuer, transférer).
     
• Décrire la gestion des risques dans le cadre des processus et des fonctions :
  • évaluer la conception (adéquation) et l'efficacité (fonctionnement) des processus de gestion des risques intégrés aux activités de l'organisation ;
  • décrire l'objectif (structurer l'approche, améliorer la prise de décision) et les avantages (meilleure allocation des ressources, atteinte des objectifs) de l'utilisation d'un cadre de gestion des risques.
     
• Interpréter les concepts de contrôle interne et les types de contrôles :
  • décrire l'objectif des contrôles internes (maîtriser les risques et atteindre les objectifs) ;
  • décrire et évaluer les types de contrôles internes : préventifs (empêcher les erreurs), de détection (identifier les erreurs survenues) et correctifs (rectifier les erreurs) ;
  • recommander des contrôles appropriés pour atténuer les risques spécifiques identifiés.
• Reconnaître l'importance de la conception, de l'efficacité et de l'efficience des contrôles internes :
  • examiner la conception (est-ce que le contrôle est bien conçu pour atténuer le risque ?) et l'efficacité (est-ce que le contrôle fonctionne comme prévu ?) des contrôles internes (financiers et non financiers) ;
  • décrire l'objectif (fournir une assurance raisonnable quant à l'atteinte des objectifs) et l'avantage (amélioration de la fiabilité, de la conformité et de l'efficience) de l'utilisation d'un cadre de contrôle interne (COSO).

Domaine 4 : les risques de fraude

• Décrire les concepts de risques de fraude et de types de fraude :
  • décrire le triangle de la fraude (pression/motivation, opportunité, rationalisation) ;
  • identifier les différents types de risques de fraude (détournement d'actifs, corruption, fraude dans les états financiers) ;
  • identifier les fraudes les plus courantes (falsification de documents, conflits d'intérêts, abus de biens sociaux).
     
• Déterminer si les risques de fraude doivent faire l'objet d'une attention particulière :
  • reconnaître l'importance d'évaluer les risques de fraude dès la planification d'une mission d'audit ;
  • évaluer les processus qui sont potentiellement les plus exposés au risque de fraude (gestion de la trésorerie, achats, ventes).
     
• Évaluer le potentiel de fraude et la détection/gestion des risques :
  • évaluer l'efficacité des processus de gestion du risque de fraude mis en place par l'organisation (politiques anti-fraude, formation, évaluation des risques de fraude) ;
  • détecter et évaluer les signaux d'alerte (red flags) au niveau de l'organisation (faiblesse du contrôle interne, culture non éthique) et des processus (anomalies, transactions inhabituelles) ;
  • reconnaître le rôle de l'auditeur interne dans le signalement des signaux d'alerte.