Par Jean-Max Balabo MOTEMA, Titulaire d’une Licence en Droit, Candidat Assistant à la Faculté de Droit de l’Université de Kinshasa et Responsable du Contrôle Interne de l’IMF ProcFin S.A
De nos jours, il est de plus en plus difficile de voir les institutions financières s’en passer du service de contrôle interne permanent. Le rôle que joue ce service au sein d’une institution financière devient incontournable et tend à le greffer au panthéon des services indispensables pour la bonne marche et le développement de sociétés œuvrant dans le secteur bancaire. Investir dans le secteur financier apporte certainement des revenus, mais à la hauteur du risque que représente ce secteur dont les activités ne quittent pas les loupes omniprésentes du régulateur. La réglementation et la régulation de ce secteur est abondante et très rigoureuse, en raison de la sensibilité des opérations qui s’y effectuent, susceptibles d’impacter négativement sur l’économie nationale d’un pays. Dans ce contexte de complexité d’activités, chaque institution financière doit se doter d’un dispositif efficace du contrôle interne pour lui permettre d’atteindre les objectifs qu’elle se fixe à court, moyen et long terme.
Le contrôle interne dans le temps
L’influence et la progression fulgurante de la notion du contrôle interne ne font bon ménage avec le vieux temps, car elle est récente. En bon antipode de la fraude, la notion du contrôle interne a commencé petit à petit à se développer vers les années 1977 aux Etats-Unis d’Amériques avec la publication d’une loi antifraude dite « Foreign Corrupt Pratices Act », qui exigeait aux entreprises de mettre en place le programme du contrôle interne dans le but précis de prévenir et détecter les fraudes afin de sauvegarder les ressources de l’entreprise. Dans cette même perspective, le 25 juillet 2002 une nouvelle loi américaine encore plus stricte dite « Loi Sarbannes-Oxley » fut adoptée à la quasi-unanimité des sénateurs américains promulguée par le président George W. Bush le 30 juillet de la même année, permet de renforcer le contrôle des comptabilités concernant les sociétés côtées aux Etats-Unis, dans l’optique de favoriser la transparence financière. Elle traitait notamment, l’obligation de la certification des compte (états financiers), la mise en place du comité d’audit et les règles d’audit, … et oblige la mise en œuvre du contrôle interne s’appuyant sur les référentiels du COSO.
En effet dans ce voyage de temps, en 1992 les travaux du COSO (commettee of sponsoring organisations of the tradeway commission) ont abouti à un premier rapport sur la pratique du contrôle interne, qui étale le cadre général de mise en place d’un système efficace du contrôle interne et la façon dont il peut être amélioré et renforcé. Il s’agit de ce cadre qui constitue la base du développement de la notion du contrôle interne moderne.
Actuellement, le contrôle interne s’est fondamentalement imposé de façon particulière dans le secteur financier, et se trouve soutenu par des textes légaux et règlementaires qui encadrent, régulent et organisent son champ d’intervention. Très dynamique, le contrôle interne ne cesse de s’adapter à l’évolution du monde des affaire et des nouvelles technologies principalement dans le secteur bancaire.
En ce sens, il convient à présent de lever tout équivoque sur la notion contrôle dans ses différentes sphères ou niveaux.
Contrôle interne : échelle à trois niveaux
Tout organisation qui aspire à l’atteinte de ses objectifs avec succès doit se doter d’un système ou dispositif de contrôle interne qui favorise la conscience professionnelle et par conséquent la maximisation de la production. Pour en arriver là, les membres de l’organisation dans l’ensemble sont appelés à s’imprégner de la culture du contrôle interne dans leurs comportements vis-à-vis du monde extérieur, et chacun en ce qui le concerne dans l’exécution de ses tâches. La notion du contrôle interne est avant tout généralisante et renvoie à un sens d’un soutien ou support collectif axé sur la préservation des acquis de l’organisation. Le contrôle interne dans le secteur bancaire se structure à trois niveaux. Il y a d’abord un contrôle interne de premier niveau, ensuite un contrôle interne de deuxièmes niveaux et finalement un contrôle interne de troisième niveau appelé aussi périodique ou audit interne.
Contrôle interne de premier niveau
Il s’agit ici du contrôle interne effectué par l’ensemble du personnel de l’organisation ou mieux collectif. Car pour atteindre les objectifs au sein d’une institution financière, le concours de tout agent est indispensable. Il s’agit d’un véritable travail de fourmis, le contrôle de base. Par la négligence d’une seule personne, le fruit de l’effort collectif peut s’écrouler en un clin d’œil.
Ainsi, les préposés aux activités opérationnelles effectuent le contrôle interne de premier niveau en travaillant conformément aux prescrits de politiques et procédures misent en place par l’organisation ainsi que la règlementation en vigueur.
A titre illustratif, le contrôle qu’effectue un caissier en fin de journée, pour s’assurer qu’il n’a pas commis d’erreurs liées aux transactions qu’il a passé pendant la journée. Ce contrôle consiste en un rapprochement entre le journal de transactions, opération par opération, avec les pièces comptables qui en sont les soubassements. Déjà à ce niveau, les éventuelles erreurs commises durant la journée susceptibles d’entrainer une perte financière à l’institution ou de compromettre la qualité du service peuvent être corrigées. Les contrôles qui se font également au niveau des services clientèle, commerciale, comptabilité et tant d’autres entrent dans ce cadre. Les différentes vérifications qu’effectuent les préposés à la clientèle renfermées dans le processus KYC (know your customer) est une forme de contrôle interne qui prévient l’institution financière de nombreux risques de non-conformité liés à l’identification des potentiels clients.
D’aucuns n’ignorent qu’une mauvaise identification des clients expose l’institution à des conséquences néfastes qui peuvent occasionner des pertes financières énormes ou d’autres sanctions. Le filtrage lors de l’entrée en relation avec les potentiels nouveaux clients est très important en ce sens qu’il établit le profil du client pour un bon suivi de ses transactions, écarte les mauvais clients se trouvant sur la liste noire ou qui n’ont satisfaits aux exigences du KYC. Si ce processus se trouve être poreuse, le risque est que l’institution financière peut nouer inconsciemment des relations d’affaires avec notamment les délinquants financiers ou les personnes (morales ou physiques) économiquement sanctionnées. Un tel scénario ne reste pas sans conséquences sur les revenus de l’institution. Car si un délinquant financier (personne se trouvant sur la liste noire parce qu’indexée par l’autorité de régulation pour radiation) qui a échappé à ce contrôle arrive à obtenir un crédit, la probabilité de n’est pas honoré son engagement est élevée ; Quand un tel client sera en retard de remboursement, l’institution sera obligée de constituer la provision, qu’elle puise dans ses revenus, conformément à la règlementation. Il s’agit bien ici d’une perte financière éventuelle résultant d’une défaillance de contrôle.
Le contrôle interne de premier niveau est aussi celui hiérarchique. Les superviseurs des différents départements ont une obligation de suivi, de contrevérification et de validation des travaux effectués par les agents sous leur supervision. C’est ainsi que pour limiter certains risques opérationnels au niveau de la caisse, le caissier initie tout simplement la transaction pour un certain montant, et son superviseur qui peut être chef de caisse ou chef d’agence, doit faire une seconde vérification des pièces liées à la transaction et approuver afin que la transaction aboutisse. Il s’agit là de ce qu’on appelle le système d’approbation « INPUTER et AUTHORIZER ».
La séparation des tâches est, elle aussi un moyen efficace du contrôle interne. Elle permet à éviter certaines erreurs et à prévenir la fraude. Le cumule des tâches est généralement dangereux en ce sens qu’une seule personne qui exécute des tâches successives de l’initiation à l’aboutissement d’une opération sans interférence ou intervention d’une autre personne dispose d’énormes possibilités d’abus. Il appert dans cette optique que les standards conviennent de la gestion des accès dans la chambre forte soit l’œuvre pluripersonnelles. Car l’intervention d’une seule personne constitue un risque majeur. Il va sans dire que l’idée derrière la séparation des tâches est d’assurer la protection des actifs de l’organisation. Il est plus facile par exemple pour un agent de frauder seul du fait qu’il dispose des habilitations nécessaires pour perpétrer, que la fraude qui se fait en corréité entre différents intervenants dans un processus.
L’intervention des unités opérationnelles dans la consolidation du dispositif du contrôle interne est indispensable. Sans une collaboration saine reposant sur la conscience professionnelle entre les départements spécifiques dédiés au contrôle interne et ceux opérationnels, il est difficile d’avoir un dispositif efficace du contrôle interne. Les analyses du contrôle de deuxième et troisième niveau débouchent formellement par des recommandations qui doivent être implémentées avec la collaboration directe des départements ou unités opérationnels au sein de l’institution financière.
Contrôle interne de deuxième niveau
C’est le contrôle interne proprement dit. Ce niveau de contrôle renvoie aux activités de contrôle effectuées par les préposés au contrôle interne, c’est-à-dire les contrôleurs internes membres du service, département ou direction de contrôle interne selon le cas. Dans le cadre de cette analyse, c’est ce niveau de contrôle qui est centre de notre réflexion. Nous nous réservons donc de toucher le fond du contrôle de deuxième niveau sur ce point d’autant plus que le développement sera fait dans les lignes qui suivent.
Contrôle interne de troisième niveau (ou contrôle périodique)
C’est la dernière ligne de défense pour la préservation des actifs de tout institution financière, qui se situe au sommet de la pyramide. Il s’agit du dernier rempart du système du contrôle interne qui est par ailleurs l’audit interne. L’intervention de l’audit interne est ponctuelle ou périodique et l’approche utilisée par l’audit interne diffère de celle du contrôle interne de deuxième et premier niveau. L’audit interne vient évaluer l’efficacité du dispositif du contrôle au sein d’une organisation. Il ne s’agit pas seulement du contrôle interne du deuxième niveau, mais plutôt du dispositif du contrôle interne dans son ensemble qui implique tout le personnel en commençant par le contrôle du premier niveau. C’est une fonction de l’entreprise composée d’un groupe de personnes compétentes qui évaluent le respect des procédures ainsi que la gestion des risques au sein de l’organisation, dans une optique d’amélioration sur base des recommandations formulées. C’est ainsi qu’on parle de l’audit de régularité qui met l’accent sur le respect des textes et l’audit de performance pour mesurer les résultats, apprécier l’efficacité d’un processus et évaluer la pertinence dans l’atteinte des objectifs.
Il importe de préciser aussi que l’audit peut être interne, tout comme il peut être externe. L’audit interne est celui réalisé par un agent membre de l’organisation, à titre de profession pour assurer la maîtrise des activités. Les activités de l’auditeur interne se fondent sur un programme d’audit pré établi. Ses conclusions sont exposées et exploitées lors du comité d’audit et les recommandations font l’objet d’un suivi permanent par la direction générale à travers le contrôle interne pour implémentation. En d’autres termes, l’auditeur interne effectue le contrôle des activités à travers des vérifications approfondies assorties d’analyses et délivre à l’organisation qui l’emploie une assurance sur le degré de maîtrise et ses opérations et des conseils pour les améliorer.
L’audit externe quant à lui est réalisé par les agents d’une société d’experts en audit indépendant. L’intervention de l’audit externe est généralement liée à une obligation légale de certification des états financiers. Cependant, l’audit externe peut être sollicité pour mener une investigation spontanée et spécifique en cas de besoin. Il peut par ailleurs viser une direction spécifique de l’institution financière et c’est dans ce contexte qu’on parle à titre d’exemple de l’audit de l’Information Technologie (I.T).
L’audit, soit-il interne ou externe fait partie du système du contrôle interne et concours par conséquence, d’une manière ou d’une autre à la prévention des risques de pertes financières, et donc par ricochet à la sauvegarde des actifs d’une institution financière.
Aperçu controversé du contrôle interne proprement dit
Le contrôle interne proprement dit est le contrôle interne de deuxième niveau, qui est souvent considéré malencontreusement au système du contrôle interne, qui est globalisant. A titre illustratif, il est difficile pour les communs de mortel d’admettre que le responsable hiérarchique d’un service fait du contrôle interne, de premier niveau et l’auditeur fait du contrôle interne mais de troisième niveau, puisqu’ils sont tous impliqués dans le système et le dispositif du contrôle interne.
Dans la pratique, le constat fait est que au sein de certaines institutions financières où l’environnement du contrôle interne est faible, plusieurs contrôles de premier niveau ne sont pas réalisés de façon systématique, ceux hiérarchiques par exemple, sous prétexte que c’est le travail du contrôle interne de deuxième niveau.
Ainsi, la conscience commune et l’engagement de l’ensemble du personnel dans l’appropriation du contrôle interne qui est l’œuvre de tout le monde, est la meilleure recette pour faire assoir un système efficace de contrôle interne, mettre à l’abri du risque les ressources de l’institution et garantir la pérennité et le développement de l’organisation.
L’unité de contrôle interne de deuxième niveau n’étant pas un service opérationnel de production, elle est quelques fois négligée par les dirigeants des institutions financières. Certains d’entre eux estiment sournoisement que c’est une charge inutile, de payer quelqu’un qui se limite à effectuer les contrôles sans rien produire.
Cette négligence se manifeste très souvent lorsqu’une nouvelle institution ouvre les portes, il est rare de compter les préposés au contrôle interne parmi les premiers agents à être engagés. Le contrôle interne est souvent le dernier service à mettre en place, dans la majorité des cas plusieurs années après le démarrage des activités.
Les institutions financières qui empruntent cette logique se rattrapent généralement après deux hypothèses : lorsque le régulateur leur contraint d’avoir un service de contrôle interne ou encore lorsque les conséquences de la non maitrise et suivi des risques commencent à se faire sentir (cas de fraudes, détérioration du portefeuille crédit etc…). Dans la deuxième hypothèse, le contrôle intervient en sapeur-pompier, et il est souvent plus difficile de propager la culture du contrôle qui n’existait pas au départ et de faire adhérer l’ensemble du personnel. Cette dernière hypothèse est très fréquente, cependant s’il faut évaluer les coûts, les pertes qu’enregistrent les institutions financières qui négligent le service contrôle interne au départ, sont souvent supérieures aux charges qu’elles auraient engagées en mettant en place un service de contrôle interne permanent. C’est ce que nous appelons décoller en toute sureté.
La conception du contrôle interne de deuxième niveau comme charge inutile est illusionniste. En effet, le contrôle interne a pour rôle de sécuriser la production et cette activité contribue grandement au résultat de profitabilité de l’institution. Derrière le travail de contrôle, se cache une production passive d’autant plus que les actifs non sécurisés peuvent être mal gérés et ne pas profiter à l’institution suite à une fraude ou une pénalité dont l’existence du service de contrôle interne pouvait empêcher survenance. En outre, le service du contrôle interne en soit est une pression morale pour l’ensemble du personnel, qui ne se verront plus dans un environnement favorable ou prédisposer à la fraude, à l’abus des ressources de l’institution, à la commission des erreurs suite à la négligence ou à la violation des politiques et procédures. En ce sens, un dispositif efficace du contrôle interne permanent contribue également à l’amélioration de performance ou rendement de chaque agent au sein de l’institution.
Les composantes du contrôle interne proprement dit
Ici, il s’agit du contrôle interne proprement dit, celui de deuxième niveau. Il est question d’un package de trois composantes : la fonction contrôle permanent, la fonction conformité (compliance) et la fonction gestion des risques. Toutes ces trois fonctions ont pour objectif de préserver les ressources de l’institution contre les risques de tout genre en les mitigeant et l’accompagnant dans l’atteinte des objectifs assignés en toute sécurité.
Contrôle interne permanent des activités opérationnelles
Le contrôle interne permanent est une fonction du contrôle interne de deuxième niveau, qui veille en permanence sur le bon déroulement des activités opérationnelles conformément aux politiques, procédures internes ainsi que les standards admis dans la pratique. Cette fonction est indispensable, s’étend sur l’ensemble de toutes les activités et doit couvrir tous les services de l’institution. Les contrôleurs interne interviennent pour s’assurer que les contrôles de premier niveau sont effectués correctement et que les risques sont maitrisés.
Les différentes observations que relève le contrôle interne à chaque revue sont consignées dans un rapport assorti des recommandations, en vue de corriger les défaillances constatées et améliorer l’efficacité du dispositif du contrôle interne.
Le corps de contrôleurs interne travaille en toute indépendance et rend compte à travers le responsable de ce corps à la direction générale.
Cette intervention du contrôle interne permanent contribue fortement à la sécurisation des actifs de l’institution contre différents risques. C’est en cela que nous considérons le contrôle interne comme un bouclier, un gage de protection des actifs.
Contrôle de la conformité
La fonction conformité ou « compliance » est de nos jours incontournable au sein d’une institution financière. Le secteur bancaire étant fortement règlementé, le rôle de la conformité est délicat en ce sens qu’elle aide l’institution financière à ne pas naviguer à contre-courant des exigences légales et règlementaires en vigueur tant nationales, régionales qu’internationales.
La conformité s’attèle donc sur le contrôle de conformité de deuxième niveau afin de s’assurer que tous les risques de non conformités sont maitrisés. Elle s’étend également sur les aspects de lutte contre le blanchiment des capitaux et financement du terrorisme en prenant en charge la sensibilisation de l’ensemble du personnel à travers un programme continue de formation.
Le compliance officer au sein d’une institution financière veille également au respect de certaines mesures de sanctions économiques, prises par certains organismes à l’encontre des personnes tant morales que physiques. Son rôle est également de s’assurer du respect du code de bonne conduite et de l’éthique professionnelle par l’ensemble du personnel au sein de l’institution.
La règlementation en République Démocratique du Congo exige que le responsable de la conformité au sein d’une banque ait un grade élevé, venant juste après celui du Directeur Général, afin de garantir l’indépendance de cette fonction et assurer son influence dans la bonne marche de l’institution.
Les efforts conjugués par cette fonction au sein d’une institution financière ont un impact économique et réputationnel considérable. Ils tendent à préserver les ressources de l’institution contre les éventuelles sanctions financières ou pénalités que l’institution est susceptible de subir pour non-conformité ou violation de la réglementation.
La gestion des risques
La gestion des risques comme fonction du contrôle interne de deuxième niveau occupe une place de choix, dans la structuration d’une institution financière. Le secteur bancaire est fortement exposé à des risques de diverses natures qui sont inhérents à ses activités. Une mauvaise appréciation et gestion de ces risques peut entrainer des conséquences néfastes pour la bonne marche de l’institution.
Cette fonction du contrôle élabore une cartographie des risques globale et fixe les règles d’appréciation des risques en déterminant les risques à prendre et à ne pas prendre. Les risques à prendre doivent être encadrés et atténués par la mise en place d’un dispositif de contrôle afin de ne faire face qu’au risque résiduel.
Dans la pratique, au regard du risque que représente les activités de crédit, cette fonction de gestion des risques est généralement concentrée sur cette activité, au point que certaines institutions nomment ce service explicitement comme étant un service de gestion des risques crédit.
Ainsi, une meilleure maitrise des risques au sein d’une institution résultant de l’activité de ce contrôle de deuxième niveau, épargne l’institution des pertes financières et/ou de risque de mauvaise réputation, contribuant par ricochet à la sauvegarde et l’accroissement des actifs de l’institution.
Conclusion
Somme toute, les lignes ci-dessus démontrent le rôle pertinent que joue aussi bien le système de contrôle interne dans l’ensemble, que le contrôle interne de deuxième niveau en particulier dans la protection et la croissance des actifs d’une institution financière. La petite idée erronée tendant à considérer le contrôle interne comme un service superflu doit quitter la tête des dirigeants des institutions financières au regard du rôle indubitable qu’a ce service et son impact dans l’atteinte des objectifs.
Sur la balance de l’équilibre risque-production, il faudrait trouver le juste milieu pour ne pas mettre toute la charge d’un côté au risque de commettre l’irréparable. La culture de la notion du risque et le contrôle interne permanent efficace sont des alliés indispensables rimant avec le succès de toute institution financière qui se veut pérenne et prospère. Car dit-on, qui veut aller loin, aménage sa monture.
