Soumis par reza le Sep 06

Section I : Planification d’une mission d’appréciation directe

2.3.    Comme tout audit, le processus d’une mission d’appréciation directe commence par la phase de planification qui consiste à collecter et à évaluer des informations, ainsi qu’à déterminer l’étendue, l’approche, le calendrier et les ressources de l’audit. 

2.4.    Une planification appropriée permet de se consacrer pleinement aux domaines importants de l’audit, d’identifier les problèmes potentiels sans délai et de bien organiser et gérer l’audit, de manière à répondre aux besoins des utilisateurs de manière efficace et efficiente. Elle aide à assigner correctement le travail aux membres de l’équipe et facilite la supervision et la revue des travaux.

2.5.    Le processus de planification d’une mission d’appréciation directe fait intervenir plusieurs étapes qui sont :

  • la définition du sujet considéré, des critères et de l’étendue de l’audit ;
  • la détermination du niveau d’assurance à fournir ;
  • la prise de connaissance de l’entité ou des entités couverte(s) par l’audit ;
  • l’évaluation du système de contrôle interne ;
  • l’évaluation des risques ;
  • la détermination du seuil de signification ;
  • la détermination des objectifs et critères d’audit ;
  • la conception des procédures d’audit et de la stratégie d’audit ;
  • l’élaboration du plan d’audit.

A.    ÉTAPE 1 : DÉFINITION DU SUJET CONSIDÉRÉ, DES CRITÈRES ET DE L’ÉTENDUE DE L’AUDIT 

A.1.    Sous-étape 1 : Définition du sujet considéré et des critères d’audit

2.6.    La définition du sujet considéré et des critères d’audit est énoncée par les ISSAI 400/51, 4000/107 et suivants.

2.7.    La définition du sujet considéré et des critères est l’une des premières étapes d’un audit de conformité. 

2.8.    Dans certains cas, le mandat d’audit définit le sujet et l’étendue d’un audit de conformité donné, mais dans d’autres, ces derniers reposent sur le jugement professionnel de l’auditeur. Lorsqu’il détermine le sujet considéré, l’auditeur doit exercer son jugement professionnel et faire preuve d’esprit critique afin d’analyser l’entité auditée et d’évaluer le caractère significatif et le risque. Le sujet considéré doit être déterminé et être apprécié en fonction de critères adéquats. 

2.9.    Les critères sont les éléments de référence utilisés pour évaluer ou mesurer le sujet considéré de façon cohérente et raisonnable. L’auditeur détermine les critères sur la base des textes législatifs et réglementaires applicables. Pour être appropriés, les critères d’un audit de conformité doivent être pertinents, fiables, exhaustifs, objectifs, compréhensibles, comparables, acceptables et disponibles. En l’absence de cadre de référence constitué de critères appropriés, toute conclusion est susceptible de faire l’objet d’interprétations différentes et d’être mal comprise.

A.2.     Sous-étape 2 : Définition de l’étendue de l’audit 

2.10.    L’ISSAI 400.50 définit l’étendue de l’audit comme : « […] un énoncé clair de l’enjeu, de la portée et des limites de l’audit, sous l’angle de la conformité du sujet considéré par rapport aux critères. La définition de l’étendue d’un audit est influencée par le caractère significatif et par le risque. Elle permet aussi de déterminer les textes législatifs et réglementaires, ainsi que les parties de ces derniers, qui seront couverts. Le processus d’audit, pris dans son ensemble, doit être conçu pour couvrir toute l’étendue de celui-ci ».  

2.11.    En l’absence d’une délimitation légale de l’étendue, il revient à l’auditeur d’utiliser son jugement professionnel pour la déterminer.  

2.12.    La détermination de l’étendue de l’audit peut concerner les domaines à auditer, la période de l’audit, des structures, des informations spécifiques….

Outil à utiliser 1 : Feuille de travail sur la détermination de l’étendue de l’audit (annexe n°3 : Feuille de travail sur la définition de l’étendue de l’audit)

B.   ÉTAPE 2 : DÉTERMINATION DU NIVEAU D’ASSURANCE À FOURNIR

2.13.    La détermination du niveau d’assurance à fournir est énoncée par les ISSAI 400/41, 4000/121 à 124.

2.14.    Lors des audits de conformité, il existe deux niveaux d’assurance : 

  • l’assurance raisonnable, qui permet à l’auditeur d’indiquer qu’à son avis, le sujet considéré est ou n’est pas conforme, dans tous ses aspects significatifs, aux critères établis ; 
  • l’assurance limitée, qui conduit à penser que le sujet considéré n’est pas conforme aux critères. 

2.15.    Pour fixer le niveau d’assurance, l’auditeur doit tenir compte de la disponibilité des informations, de la compétence de l’équipe, des risques et des ressources mises à sa disposition (financières, temporelles, humaines, logistiques, etc.). 

2.16.    En général, les missions d’assurance raisonnable sont conçues de façon à aboutir à une conclusion exprimée sous une forme positive, comme « nous sommes d’avis que le sujet considéré est/n’est pas conforme, dans tous ses aspects significatifs, aux critères établis… ». Les missions d’assurance limitée ne sont pas considérées comme des audits, mais plutôt comme des examens. Le niveau d’assurance qu’ils fournissent est inférieur à celui d’un audit. Ils sont conçus de façon à aboutir à une conclusion exprimée sous une forme négative, comme « nous n’avons eu connaissance d’aucun élément indiquant que le sujet considéré n’est pas conforme, dans tous ses aspects significatifs, aux critères… ».

Outil à utiliser 2 : Feuille de travail sur la détermination du niveau d’assurance (annexe n°2 : Feuille de travail sur la détermination du niveau d’assurance)

C.    ÉTAPE 3 : PRISE DE CONNAISSANCE DE L’ENTITÉ OU DES ENTITÉS COUVERTE(S) PAR L’AUDIT

2.17.    Les ISSAI 400/52, 4000/131 à 136 traitent de la prise de connaissance de l’entité ou des entités couverte(s) par l’audit.

2.18.    Les auditeurs doivent connaître l’entité auditée à la lumière des textes législatifs et réglementaires applicables. Les audits de conformité peuvent couvrir tous les niveaux du pouvoir exécutif, y compris plusieurs niveaux administratifs, ainsi que différents types et groupes d’entités. L’auditeur doit donc bien connaître la structure et les opérations de l’entité auditée, ainsi que les procédures qu’elle met en œuvre pour assurer la conformité. 

2.19.    La connaissance de l’entité, de son environnement et des domaines d’activités fournit aux auditeurs une base sur laquelle ils peuvent s’appuyer lorsqu’ils exercent leur jugement professionnel pour déterminer l’importance relative et évaluer les risques.

2.20.    Les éléments d’informations à collecter par l’auditeur concernent l’environnement interne et l’environnement externe de l’entité.

2.21.    L’entité peut se trouver influencée positivement ou négativement par des éléments intrinsèques. Il s’agit principalement d’informations relatives :

  • aux missions qui lui sont assignées ;
  • à sa structure organisationnelle ;
  • aux systèmes et procédures de contrôle mis en place ;
  • aux ressources dont elle dispose ;
  • à ses programmes et activités ; 
  • à son climat de gestion.

2.22.    Les éléments liés à l’environnement externe de l’entité sont constitués d’un ensemble varié de facteurs extérieurs à l’entité qui peuvent influer sur son fonctionnement ou ses objectifs. Les principaux facteurs sont les suivants :

  • les facteurs économiques (exogènes ou endogènes) ; 
  • les facteurs climatiques ;
  • les exigences des partenaires ;
  • le changement technologique ;
  • la politique de l’État ; 
  • etc.

Tableau n°1 : Différents types de données et leurs sources

Différents types de données et leurs sources

2.23.    Les techniques auxquelles l’auditeur recourt pour la collecte de ces informations sont :

  • la revue documentaire (dossier permanent, dossiers de contrôles antérieurs) ;
  • la revue analytique ;
  • les entrevues ;
  • l’observation physique.

Outil à utiliser  3 : Feuille de travail sur la synthèse des revues documentaires (annexes n°4.1 : Feuille de travail sur la prise de connaissance de l’entité et n°4.2 : Feuille de travail sur la revue documentaire) 

D.    ÉTAPE 4 : ÉVALUATION DU SYSTÈME DE CONTRÔLE INTERNE

2.24.    L’évaluation du système de contrôle interne est énoncée par les ISSAI 400/53, 4000/131 à 136.

2.25.    Pour comprendre l’entité auditée ou le sujet considéré, l’auditeur doit également connaître le système de contrôle interne. 

2.26.    Le type particulier de contrôles évalué dépend du sujet considéré, de la nature et de l’étendue de l’audit de conformité en cause. Lorsqu’ils évaluent les contrôles internes, les auditeurs du secteur public apprécient le risque que l’unité contrôlée ne puisse pas prévenir ou relever des cas de non-conformité. 

2.27.    Dans le cadre d’une mission d’appréciation directe, l’analyse du système de contrôle interne se résume à l’examen des politiques, structures, procédures, processus, tâches et autres facteurs corporels et incorporels qui aident l’entité auditée à faire face de manière appropriée aux risques de non-conformité. 

2.28.    L’auditeur procède à l’évaluation du système de contrôle interne à travers ses différentes composantes :

  • l’environnement de contrôle ;
  • l’évaluation des risques par l’entité ;
  • le système d’information et de communication ;
  • les mesures de contrôle et de suivi de contrôle.

2.29.    Il doit en plus effectuer les diligences nécessaires pour procéder à des tests de conformité et à des tests de permanence selon le cas.

2.30.    L’auditeur garde toujours à l’esprit qu’un système efficace de contrôle interne doit permettre de sauvegarder les actifs, de faciliter l’établissement de rapports internes et externes et d’aider l’entité auditée à respecter la législation en vigueur.

Outil à utiliser 4 : Questionnaires d’évaluation du contrôle interne (annexes n°5.1 : Feuille de travail sur l’évaluation du système de contrôle interne et annexe n°5.2 : Séparation des fonctions)

Outil à utiliser 5 : Grille d’analyse d’appréciation du système de contrôle interne (points forts et points faibles)

E.    ÉTAPE 5 : ÉVALUATION DES RISQUES

2.31.    L’évaluation des risques est traitée par les ISSAI 400/46, 4000/52 à 57.

2.32.    Le risque d’audit a trois composantes : 

  • le risque inhérent au sujet considéré (RI) ;
  • le risque de non-contrôle (RNC) : le risque que les contrôles internes pertinents associés aux risques inhérents ne soient pas appropriés ou ne fonctionnent pas correctement ;
  • le risque de non-détection (RND) : le risque que les procédures réalisées par l’auditeur conduisent à une conclusion/opinion incorrecte.   

2.33.    Les trois composantes de risque d’audit (RI, RNC, RND) sont considérées ensemble pendant l’évaluation du risque d’audit.  

2.34.    Pour évaluer les risques, l’auditeur doit acquérir une connaissance de l’entité, des exigences de conformité applicables et du contrôle interne s’y rapportant et doit par la suite définir un cadre de référence à partir duquel il planifie l’audit de conformité. Dans ce cadre de référence, l’auditeur exerce un jugement professionnel sur l’évaluation des risques d’anomalies significatives et des réponses qui y sont apportées tout au long de l’audit de conformité.

E.1.    Sous-étape 1 : Détection et évaluation du risque inhérent 

2.35.    Le risque inhérent est le « risque lié à la nature des activités, des opérations et des structures de gestion, que des écarts se produisent qui, s’ils ne sont pas prévenus ou détectés et corrigés par les systèmes de contrôle interne, aboutiront à ce que les objectifs de l’entité, en termes de légalité/régularité, ne seront pas atteints ». Le risque inhérent est estimé par l’auditeur, sur la base de sa connaissance des activités de l’entité. 

2.36.    L’auditeur doit réaliser une évaluation préliminaire du risque inhérent au niveau global (par exemple pour ce qui concerne le domaine politique ou l’agence dans son ensemble) afin de déterminer les domaines à risque spécifiques à l’audit qu’il faut prendre en considération lors de la planification et de la mise en œuvre des procédures d’audit. L’auditeur peut estimer que le risque inhérent est élevé ou peu élevé. Les domaines où le risque inhérent est élevé sont ceux où il convient d’obtenir l’assurance que le risque de non-contrôle est adéquatement géré. 

2.37.    L’auditeur doit déterminer, parmi les risques inhérents détectés, ceux qui, selon son jugement, requièrent une attention particulière (appelés « risques significatifs »). Pour ces risques, l’auditeur doit acquérir une connaissance des contrôles internes correspondants. Si des contrôles appropriés n’ont pas été mis en place pour prévenir des risques significatifs, cette situation peut être révélatrice de l’existence de faiblesses majeures au niveau du contrôle interne de l’entité.

2.38.    Lors de l’évaluation des risques d’anomalies significatives en matière de conformité, l’auditeur doit tenir compte des facteurs suivants :

  • la complexité des exigences de conformité applicables ;
  • la sensibilité des obligations de conformité applicables aux cas de non-conformité ;
  • la date depuis laquelle l’entité est soumise aux exigences de conformité applicables ;
  • les observations de l’auditeur sur la manière dont l’entité a respecté les exigences de conformité applicables les années précédentes ;
  • l’impact potentiel sur l’entité d’anomalies significatives dans les exigences de conformité applicables ;
  • le degré de jugement intervenant dans le respect des exigences de conformité.

2.39.    Voici quelques exemples de situations pouvant présenter un facteur de risque de non-conformité significative, associé à l’état de non-conformité de l’entité :

  • entité connaissant des difficultés financières et pour laquelle il existe un risque accru que des subventions soient détournées à des fins non autorisées ;
  • entité ayant des antécédents de mauvaise gestion des archives de ses programmes.

E.2.     Sous-étape 2 : Détection et évaluation du risque de non-contrôle 

2.40.    Le risque de non-contrôle est le risque que le dispositif de contrôle interne ne permette pas de prévenir des écarts significatifs, ou de les détecter et de les corriger à temps. Le risque de non-contrôle est évalué par l’auditeur, sur la base de son évaluation du contrôle interne de l’entité. Si le risque de non-contrôle est susceptible d’être élevé, l’auditeur doit obtenir l’assurance requise principalement à partir de vérifications de détail, puisqu’il n’est pas possible de s’appuyer sur les contrôles internes.

2.41.    Pour évaluer les risques relatifs au contrôle, l’auditeur doit examiner si :

  • les responsables/dirigeants clés de l’entité comprennent clairement les principaux objectifs de conformité, et s’ils sont capables de déceler les cas de non-conformité et d’entamer le processus nécessaire pour remédier à la cause sous-jacente de non-conformité ;
  • la structure organisationnelle permet d’identifier les risques de non-conformité. Une organisation importante et complexe dispose habituellement d’une unité dédiée à la gestion du risque. Celle-ci examine la conformité et les autres risques auxquels l’entité est confrontée, revoit les contrôles et recommande les éventuelles modifications à y apporter afin de s’assurer que l’entité satisfait aux exigences de conformité applicables ;
  • les responsables/dirigeants clés de l’entité auditée ont été chargés de communiquer les modifications. Une entité opérant dans un environnement dynamique doit réagir rapidement aux évolutions de ce qui l’entoure. Le fait que l’entité dispose d’un ou plusieurs fonctionnaires/dirigeants chargés de communiquer les modifications apportées aux procédures/contrôles à travers l’entité permet de réduire le risque de non-conformité ;
  • les responsables/dirigeants clés comprennent bien les aspects complexes de leurs opérations. Si ce n’est pas le cas, il est peu probable qu’ils puissent mettre en œuvre ou superviser comme il se doit la conformité avec ces exigences. Le risque de non-conformité sera alors certainement élevé ;
  • la direction de l’entité étudie attentivement les constatations/recommandations d’audit et prend les mesures correctives  qui s’imposent. Un organe institutionnel (par ex. un comité ou un Conseil) se réunit régulièrement pour examiner les problèmes de conformité détectés lors des audits.

2.42.    Pour l’évaluation préliminaire du risque de non-contrôle, il faut que l’auditeur tienne compte des cinq composantes du contrôle interne que sont :

  • l’environnement de contrôle ;
  • le processus d’évaluation des risques de l’entité ;
  • le système d’information et communication ;
  • les activités de contrôle ;
  • le suivi des contrôles.

2.43.    Cependant, la première question que l’auditeur doit se poser est celle de savoir si, et de quelle manière, un contrôle particulier permet de prévenir, ou de détecter et de corriger des écarts, plutôt que de se demander selon quelle composante particulière il doit être classé. Si un contrôle attendu n’existe pas, les auditeurs doivent vérifier si des contrôles compensateurs susceptibles d’avoir le même effet sont en place. À l’issue de l’évaluation, l’auditeur peut considérer que le risque de non-contrôle est faible, moyen ou élevé, comme le montre le tableau ci-après.

Tableau n°2 : Évaluation des contrôles internes et risque de non-contrôle associé 

Évaluation des contrôles internes et risque de non-contrôle associé

2.44.    Outre l’évaluation du risque de non-contrôle pour tous les risques significatifs, l’auditeur doit également examiner les systèmes de contrôle de l’entité relatifs aux risques pour lesquels il considère qu’il n’est ni possible ni réaliste de réduire le risque à un niveau acceptable en s’appuyant uniquement sur des contrôles de substance. C’est le cas, par exemple, si le système d’information d’une entité permet un traitement hautement automatisé ne nécessitant qu’une intervention manuelle minimale ; seuls une évaluation et des tests des contrôles portant sur l’exactitude et l’exhaustivité des informations fourniront des éléments probants suffisants et appropriés. 

2.45.    L’évaluation d’ensemble du risque de non-contrôle ne doit pas être meilleure que celle de l’environnement de contrôle, car même d’« excellentes » procédures de contrôle peuvent être affaiblies par un mauvais environnement de contrôle.

E-3    Sous-ÉTAPE 3 : Détermination du risque de non-détection
Le risque de non-détection, qui relève de l’auditeur, est le risque que ce dernier ne détecte pas un écart qui n’a pas été corrigé par les contrôles internes de l’organisation. En se fondant sur le niveau de risque d’audit acceptable et sur une évaluation du risque de non-contrôle et du risque inhérent de l’entité, l’auditeur détermine la nature, le calendrier et l’étendue des procédures d’audit nécessaires pour atteindre le niveau de risque de non-détection qu’il est disposé à accepter. Par exemple :   

  • si un risque d’audit plus faible est requis, le risque de non-détection peut être réduit en exécutant davantage de contrôles de substance, ce qui offre une plus grande probabilité que l’auditeur détecte des anomalies ou irrégularités significatives ;
  • si l’auditeur envisage de s’appuyer sur le système de contrôle interne, des tests des contrôles doivent être réalisés. Si le contrôle ne fonctionne pas comme prévu (augmentant de ce fait le risque de non-contrôle), le risque de non-détection doit être réduit, ce qui nécessite un plus grand nombre de contrôles de substance.

Annexes :

  • n°6.1 : Questionnaire d’évaluation des risques ;
  • n°6.2 : Feuille de travail sur la cartographie des risques ;
  • n°6.3 : Feuille de travail sur l’estimation du risque d’audit ;
  • n°6.4 : Feuille de travail sur l’analyse des risques.

F.    ÉTAPE 6 : DéTERMINATION DU SEUIL DE SIGNIFICATION 

2.46.    Les ISSAI 400/47, 4000/125 à 130 traitent de la détermination du seuil de signification.

2.47.    L’auditeur planifie et réalise l’audit de manière à déterminer si les activités, les opérations et les informations sont conformes, dans tous leurs aspects significatifs, au cadre législatif et réglementaire qui les régit. En théorie, les écarts ou les erreurs sont significatifs si, pris isolément ou cumulés avec d’autres, il est raisonnable de penser qu’ils affecteraient les conclusions d’audit sous-jacentes ou les décisions des utilisateurs présumés.

2.48.    La détermination de l’importance relative sur le plan quantitatif suppose un jugement quant au niveau maximal acceptable de non-conformité. L’UEMOA peut adopter une politique commune aux ISC membres qui consiste par exemple à fixer le seuil de signification entre 0,5% et 2% de la valeur qui reflète le mieux le niveau de l’activité financière de l’entité ou de l’activité auditée.

2.49.    Lors des audits de conformité, l’importance relative est définie pour toutes les ÉTAPEs de l’audit à des fins :

  • de planification ;
  • d’évaluation des éléments probants collectés et des effets des cas de non-conformité relevés ; 
  • d’établissement de rapports sur les résultats des travaux d’audit.

2.50.    La détermination du caractère significatif relève du jugement professionnel et dépend de l’interprétation, par l’auditeur, des besoins des utilisateurs. C’est souvent un critère de valeur qui permet de définir le caractère significatif, mais ce dernier revêt également d’autres aspects quantitatifs et qualitatifs. Les caractéristiques inhérentes d’un élément ou d’un groupe d’éléments peuvent rendre un problème significatif de par sa nature même. Un problème peut également être significatif en raison du contexte dans lequel il survient. Les facteurs à prendre en considération dans le cadre de ce jugement sont les exigences prévues dans le mandat, l’intérêt ou les attentes du public, les domaines qui ont fait spécifiquement l’objet d’une attention de la part du pouvoir législatif, les demandes et les financements significatifs. Les questions, par exemple la fraude, qui ont un caractère moins significatif, en termes de valeur ou d’incidence, peuvent également être considérées comme significatives.

F.1.    Sous-ÉTAPE 1 : Jugement professionnel sur le caractère significatif

2.51.    La détermination par l’auditeur du seuil de signification relève du jugement professionnel et dépend de la perception qu’il a des besoins transversaux d’information des utilisateurs présumés en tant que groupe. Dans ce contexte, il est raisonnable que l’auditeur suppose que les utilisateurs présumés :

  • ont une connaissance appropriée du sujet considéré sous-jacent et ont la volonté d’étudier les informations y afférentes en faisant preuve de diligence raisonnable ;
  • comprennent que les informations afférentes au sujet considéré sont élaborées et assurées pour des niveaux appropriés de signification, et comprennent les concepts de caractère significatif inclus dans les critères applicables ;
  • comprennent les incertitudes inhérentes à la mesure ou à l’évaluation du sujet considéré sous-jacent ;
  • prennent des décisions raisonnables s’appuyant sur les informations afférentes au sujet considéré prises dans leur ensemble.

F.2.    Sous-ÉTAPE 2 : Détermination du caractère significatif

2.52.    Le caractère significatif s’applique à l’ensemble de la population étudiée par l’audit. L’auditeur conçoit les procédures d’audit et l’échantillon de telle sorte que si des anomalies en matière de conformité atteignent le seuil de signification, elles devront être identifiées dans l’échantillon. Comme nous l’avons indiqué, l’évaluation du caractère significatif relève du jugement professionnel exercé par l’auditeur et dépend de l’étendue de l’audit, mais certaines ISC peuvent donner des orientations en fixant le seuil de signification qu’il convient de prendre en compte au vu des aspects légaux et réglementaires des opérations, ou en fonction de la valeur.

2.53.    Pendant la phase de planification, les auditeurs doivent tenir compte des facteurs suivants pour déterminer si une information est significative ou non :

  • le contexte de la question, par exemple si elle est également liée au respect des textes législatifs et réglementaires, ou si les dispositions législatives ou réglementaires interdisent tout dépassement de budget, indépendamment du montant ;
  • les attentes et l’intérêt du grand public, y compris l’importance accordée à la question par les commissions compétentes du pouvoir législatif, par exemple une commission des comptes publics, notamment le caractère obligatoire de certaines informations à fournir ;
  • la nécessité d’une intervention du pouvoir législatif en matière de supervision et de régulation dans un domaine particulier ;
  • le besoin d’ouverture et de transparence, par exemple s’il existe des obligations d’information particulières concernant les fraudes ou autre pertes.

2.54.    D’autres facteurs peuvent être jugés significatifs de par leur nature :

  • la fraude ;
  • les actes illégaux ou de non-conformité intentionnels ;
  • la communication à la direction, à l’auditeur ou au législateur d’informations incorrectes ou incomplètes (dissimulation) ;
  • l’indifférence volontaire à l’égard du suivi des demandes émanant de la direction, des autorités ou des auditeurs ;
  • la réalisation d’événements et de transactions malgré l’absence notoire de base juridique pour les étayer.

Outil à utiliser 6 : Feuille de travail sur la synthèse de la détermination du seuil de signification
(annexe n°7 : Feuille de travail sur la synthèse de la détermination du seuil de signification).

G.    ÉTAPE 7 : DÉFINITION DES OBJECTIFS ET CRITÈRES D’AUDIT 

G.1.    Sous-ÉTAPE 1 : Formulation des objectifs

2.55.    La définition des objectifs et des critères d’audit est énoncée par les ISSAI 100/48, 400/51 et 4000/107.

2.56.    Tout audit doit avoir des objectifs clairs et pertinents au regard desquels l’auditeur peut tirer des conclusions.  

2.57.    Les objectifs font état de ce que l’audit doit permettre de réaliser.

2.58.    L’auditeur doit exprimer les objectifs d’une vérification par des questions auxquelles l’audit est censé répondre. Il doit veiller à ce que les objectifs de la vérification soient compatibles avec l’atteinte des résultats de l’entité, de l’activité sectorielle ou du secteur fonctionnel.

2.59.    Les objectifs de la vérification doivent être définis de telle façon que l’auditeur puisse, à la fin de la mission, tirer une conclusion par rapport à chacun des objectifs. 

2.60.    Les objectifs de l’audit doivent être des énoncés brefs et concis commençant par un verbe d’action pour indiquer le but de la vérification. Ces énoncés devraient commencer par des mots tels que : 

  • évaluer si … ;
  • déterminer si … ;
  • comparer… ;
  • cerner… ;
  • s’assurer que… ;
  • examiner si…

2.61.    On énonce habituellement des objectifs pour chacune des questions d’importance faisant l’objet d’une vérification. Selon la complexité de la vérification, il se peut qu’on ait plus d’un objectif, chacun étant accompagné de critères auxquels l’entité ou le programme doit se conformer pour l’atteindre.

G.2.    Sous-ÉTAPE 2 : Choix des critères de la vérification

2.62.    Le choix des critères de la vérification est énoncé par les ISSAI 400/51, 4000/107 et suivants.

2.63.    L’auditeur a besoin de mesurer ou de juger les résultats. Les normes utilisées à cette fin s’appellent des critères de l’audit. Ce sont des normes de rendement et de contrôle raisonnables et réalistes par lesquelles peuvent être évalués et mesurés la conformité et le caractère adéquat des systèmes et des méthodes. 

2.64.    En audit d’appréciation directe, les auditeurs prennent en considération les sources de critères suivantes :

  • les textes législatifs sous forme de loi et de résolutions budgétaires ainsi que les principes ou les dispositions spécifiques liées à l’utilisation des crédits approuvés ou à des transactions financières, des fonds et des soldes financiers ;
  • les autres textes législatifs, réglementaires et contractuels à caractère général ou particulier à l’entité contrôlée ou à des entités similaires ;
  • les principes écrits ou non écrits relatifs à la bonne gestion financière du secteur public. 

2.65.    En audit d’attestation, les critères d’audit sont donnés de manière implicite par la présentation des informations portant sur le sujet considéré. Dans ces cas, l’auditeur doit identifier les critères d’audit pertinents pour formuler des conclusions sur l’exactitude des critères implicitement donnés dans les informations portant sur le sujet considéré par la partie responsable. 

2.66.    Quelle que soit la source, les critères d’audit retenus doivent présenter les caractéristiques suivantes : 

  • la pertinence : des critères pertinents donnent lieu à des informations portant sur le sujet considéré qui aident à la prise de décision par le(s) utilisateur(s) ciblé(s) ;
  • l'exhaustivité : des critères sont exhaustifs quand les informations portant sur le sujet considéré, préparées conformément à ceux-ci, n’omettent pas de facteurs pertinents qui pourraient raisonnablement affecter des décisions de(s) utilisateur(s) ciblé(s) faites sur la base de cette information portant sur le sujet considéré ;
  • la fiabilité : des critères fiables donnent lieu à des conclusions cohérentes lorsqu’ils sont utilisés et examinés de la même manière, par un autre auditeur, dans des circonstances similaires ;
  • la neutralité : des critères neutres donnent lieu à des informations portant sur le sujet considéré qui sont exempts de tout parti pris comme il se doit dans les circonstances de la mission ;
  • l'intelligibilité : des critères intelligibles donnent lieu à des informations portant sur le sujet considéré qui peuvent être comprises par le(s) utilisateur(s) ciblé(s) ;
  • l'utilité : des critères utiles donnent lieu à des observations et à des conclusions qui répondent aux besoins en matière d’information de(s) utilisateur(s) ;
  • la comparabilité : des critères comparables sont en cohérence avec ceux qui sont utilisés dans les audits de conformité d’autres entités ou activités similaires et avec ceux qui ont été utilisés dans des audits de conformité précédents de l’entité auditée ;
  • l'acceptabilité : des critères acceptables sont ceux qui sont acceptés par les experts indépendants dans le domaine, les entités auditées, le législateur, les médias, et le grand public ;
  • la disponibilité : les critères sont disponibles pour le(s) utilisateur(s) ciblé(s) de sorte qu’ils comprennent la nature du travail d’audit réalisé et les fondements du rapport d’audit.  

2.67.    Une fois que les critères appropriés ont été identifiés selon les caractéristiques énoncées ci-dessus, ils doivent ensuite être rendus opérationnels de manière appropriée pour les circonstances particulières de chaque audit de manière à pouvoir atteindre des conclusions significatives. Si, au cours de l’exécution de l’audit, l’auditeur identifie des violations de critères d’audit appropriés autres que les critères identifiés dans la phase de planification, il est de sa responsabilité de faire un rapport sur ces violations

H.    ÉTAPE 8 : CONCEPTION DE LA STRATéGIE ET DU PLAN D’AUDIT

H.1.    Sous-ÉTAPE 1 : Conception de la stratégie d’audit

2.68.    Les ISSAI 400/56, 4000/137 et suivants traitent de la conception de la stratégie d’audit.

2.69.    La planification de l’audit doit comporter une discussion entre les membres de l’équipe d’audit, afin d’élaborer une stratégie globale et un plan d’audit. 

2.70.    L’auditeur ayant pour objectif de recueillir des éléments probants suffisants et appropriés concernant les risques de non-conformité évalués, celui-ci doit concevoir à la phase de planification des procédures à suivre lors de la collecte de ces éléments probants. La définition de ces procédures se traduit sous formes d’instructions que le chef de mission donne à l’équipe, à de niveaux différents et leur nature, le calendrier et leur étendue peuvent varier d’un audit à l’autre. 

2.71.    En s’appuyant sur l’évaluation des risques associés aux activités stratégiques et opérationnelles de l’entité auditée, l’auditeur sera en mesure de décider de l’approche d’audit appropriée pour répondre aux risques importants ou significatifs. Dans la pratique, il s’agit pour l’’auditeur d’établir un lien entre les risques identifiés et la stratégie d’audit. 

2.72.    La stratégie d’audit doit faire l’objet d’un document écrit et les principaux éléments d’informations en relation qu’elle peut contenir sont :

  • l’objectif poursuivi par l’audit, le sujet considéré, la portée, les critères et d’autres caractéristiques de l’audit de conformité prenant en compte le mandat de l’ISC ; 
  • le type de mission (mission d’attestation ou mission d’appréciation directe) ; 
  • le niveau d’assurance devant être fourni ; 
  • la composition de l’équipe d’audit et l’organisation des travaux, comprenant tous besoins d’experts, et les dates du contrôle qualité ; 
  • la communication avec l’entité auditée et/ou avec les personnes chargées de la gouvernance ; 
  • les responsabilités en matière de notification, ainsi que l’identité des personnes à qui la notification s’adresse, le moment où la notification devra avoir lieu, et la forme de cette notification ; l’évaluation du caractère significatif ;
  • les risques ;
  • les contrôles de substances retenus ;
  • les tests de contrôle retenus ;
  • les méthodes de collecte possibles ;
  • les contraintes ;
  • le calendrier.

Outil à utiliser 7 : Feuille de travail sur la  présentation de la stratégie d’audit. (annexes n°8.1 : Stratégie d’audit  et annexe n°8.2 : Feuille de travail sur la présentation de la stratégie d’audit).

H.2.    Sous-ÉTAPE 2 : élaboration du plan d’audit

2.73.    L’élaboration du plan d’audit est énoncée par les ISSAI 400/56, 4000/137 et suivants.

2.74.    La stratégie et le plan d’audit doivent faire l’objet d’un document écrit. 

2.75.    Un plan de l’audit de conformité comporte les principales informations suivantes :  

  • la nature, le calendrier et l’étendue des procédures des audits planifiés ;
  • une évaluation du risque et des contrôles internes pertinents pour l’audit ; 
  • les domaines ou axes de contrôle, les méthodes d’audit conçues comme réponses aux risques ;
  • les preuves d’audit potentielles devant être collectées pendant l’audit. 

Outil à utiliser 8 : Feuille de travail sur le plan d’audit. (annexes n°9.1 : Feuille de travail sur le plan d’audit et annexe n°9.2 : feuille de travail sur le plan d’audit (instructions détaillées)).

2.76.    La planification n’est pas une phase isolée de l’audit, mais un processus continu et itératif.