1 - Analyse critique de l’article 57 de la loi 2022-08


Auteur : Monsieur Mor Badiane TINE :
Consultant international,certifié ISO 31000 Senior Lead Risk Manager, expert en gouvernance d’entreprise, cartographie et management des risques, contrôle interne

• Membre fondateur et premier Président de 1991 à 1993 de l’ISACI (Institut sénégalais des Auditeurs et Contrôleurs internes ou IIA-Sénégal) et actuel Président de son Comité des Sages.
• Membre fondateur et actuel Président du Comité des Sages de l’UIAI-AO (Union des Instituts d’Audit interne de l’Afrique de l’Ouest)

I. Contenu de la loi

La loi d’orientation 2022-08 du 19 avril 2022 relative au secteur parapublic stipule ce qui suit à son article 57 traitant du contrôle interne :

« Les entités du secteur parapublic instituent en leur sein un dispositif de contrôle interne et disposent d'un manuel de procédures dont l'application fait l'objet d'un suivi permanent par un Auditeur interne et d'une évaluation permanente par l'organe délibérant. »
« L'organe délibérant de chaque entité du secteur parapublic adopte et met en place un dispositif de contrôle interne destiné à fournir une assurance raisonnable quant à la réalisation, entre autres, des objectifs suivants :

• la conformité des procédures internes aux lois et règlements en vigueur ;
• le respect de la réglementation en vigueur ;
• l'exécution et l'optimisation des opérations ;
• la fiabilité des informations financières et comptables. »

« Chaque entité du secteur parapublic :

• procède à la cartographie des risques ;
• adopte un référentiel de contrôle interne (RC) en vue du management des risques identifiés. »

II. Cadre d’analyse et référentiels internationaux

Si l’on fait une analyse critique de cet article 57 de la loi d’orientation 2022-08 du 19 avril 2022 on constate qu’il pose des bases solides relative au contrôle interne dans le secteur parapublic en mettant le doigt sur des notions clés de la gouvernance. C’est une avancée notable qu’il convient de saluer.
Mais, comme toute œuvre humaine, il est perfectible. Dans ce cadre, nous pouvons noter qu’il confond parfois des notions de conception, de mise en œuvre et de suivi en mélangeant subtilement les rôles classiques de la gestion et de la gouvernance, ce qui peut effectivement faire sourciller un professionnel du domaine.

Une analyse critique de cet article 57 confrontée aux normes et bonnes pratiques internationales (notamment le cadre COSO et les normes de l'IIA - Institute of InternalAuditors) fait apparaître des imperfections que l’entreprise du secteur parapublic doit savoir gérer en respectant l’esprit noble de la loi tout en veillant à éviter les conflits d’intérêt que peut rencontrer l’Auditeur interne.
En revanche, le législateur aborde de manière très pertinente la définition du contrôle interne en prenant en considération aussi bien l’aspect conceptuel que l’application pratique. Néanmoins, il restreint à tort l’objectif de fiabilité des informations à celui uniquement des informations financières et comptables.

Cette analyse s’appuie principalement sur les principes de gouvernance reconnus, le référentiel COSO, les normes internationales de l’IIA et le modèle des Trois Lignes. Elle vise à distinguer les responsabilités de conception, de mise en œuvre, de supervision et d’assurance indépendante afin d’éviter les confusions de rôles susceptibles d’affaiblir le dispositif de contrôle interne.
 

II.1.Rappel du modèle des Trois Lignes de l’IIA

Pour mener l’analyse de l’article 57 de la loi d’orientation, il nous semble utile derappeler le modèle des Trois Lignes de l’IIA(anciennement « Trois Lignes de Maîtrise ») et de clarifier le rôle de l'Audit interne en considération de ce modèle.
Pour rappel, ce modèle sépare nettement :

• La 1^ère ligne : Les équipes opérationnelles (qui exécutent les procédures et gèrent les risques au quotidien) ;
• La 2^ème ligne : Les fonctions de support et de surveillance (le Risk Management, le Contrôle interne, la Conformité) qui apportent l'expertise et conçoivent les manuels et les outils ;
• La 3^ème ligne :L'Audit interne, qui est totalement indépendant des deux premières et qui fournit une assurance objective à l'organe délibérant.

II.2.Principes de répartition des responsabilités

À la lumière de ces référentiels, la conception et la mise en œuvre du dispositif de contrôle interne relèvent principalement de la Direction générale et du management, tandis que l’organe délibérant exerce une responsabilité d’orientation, d’approbation et de supervision. L’Audit interne, pour sa part, doit conserver une position indépendante afin d’évaluer périodiquement l’efficacité du dispositif sans se substituer aux fonctions opérationnelles.

III. Analyse critique structurée

 

III.1.Suivi permanent par l’Auditeur interne et évaluation permanente par l’organe délibérant

Constat. La formulation de l’article 57 entretient une ambiguïté entre le suivi opérationnel continu, la supervision de haut niveau et l’assurance indépendante apportée par l’Audit interne.
Nous pensons que les rédacteurs de la loi ont prisici une liberté sémantique par rapport aux standards internationaux.

• Le « suivi permanent » par l’Auditeur interne

Selon la théorie et les bonnes pratiques, l'Auditeur interne ne fait pas de suivi permanent au sens opérationnel. Le suivi permanent (ou contrôle de premier et second niveaux) incombe au management (les opérationnels). L'Auditeur interne n’intervient que de manière périodique et ponctuelleen troisième position (selon un plan d'audit approuvé) pour évaluer si ce suivi fait par le management est efficace. Si l'Auditeur interne fait un suivi permanent, il devient juge et partie et perd son indépendance.
En lisant entre les lignes du législateur, il faut comprendre « permanent » au sens de « La fonction d'Audit interne est permanente au sein de la structure » et non « l'Auditeur surveille chaque transaction en temps réel ».
 

• « L’évaluation permanente » par l'Organe délibérant

Selon également la théorie et les bonnes pratiques, le terme « permanent »semble fort. Un Conseil d'administration ou Conseil de Surveillance (organe délibérant) se réunit quelques fois par an. Il ne peut pas évaluer de manière permanente. Son rôle est de s'assurer, lors de ses sessions, que le management a bien mis en place les outils de contrôle et de recevoir les rapports d'audit.
En clair, c'est une obligation de surveillance de haut niveau (supervision), que les rédacteurs de la loi qualifient improprement d’« évaluation permanente ».
 

III.2.Rôle de l’organe délibérant dans l’adoption et la mise en place du dispositif

Constat. La loi semble attribuer à l’organe délibérant une responsabilité de mise en place qui relève, en pratique, de la Direction générale et du management.

Ici aussi, il semble y avoir une confusion : l’organe délibérant ne met pas en place le dispositif de contrôle interne, mais il doit l’adopter sur proposition de la Direction générale
En effet, selon les standards de saine gouvernance (comme le COSO) :

• Le rôle de l'organe délibérant est de fixer la « tonalité au sommet » (Tone at the top). C'est lui qui valide les grandes politiques, le référentiel de contrôle interne choisi, et la cartographie des risques majeurs. Mais il ne conçoit pas les fiches de postes, ne paramètre pas les logiciels comptables et ne rédige pas les manuels de procédures.
• Il revient à la Direction générale et à ses collaborateurs (le management)deconcevoir, de mettre en œuvre, de déployer et de faire vivre le dispositif de contrôle interne au quotidien.

En écrivant que l'organe délibérant met en place, le législateur semble chercher avant tout à responsabiliser juridiquement les administrateurs. La loi semble vouloir signifier que l’organe délibérant est le responsable ultime devant l'État. Si le dispositif est défaillant, les administrateurs ne pourront pas se dédouaner en déclarant qu’ils ne savaient pas et que c'est la Direction Générale qui gère. Dans cet esprit, la loi se veut en droite ligne avec les normes et les bonnes pratiques internationales en matière de gouvernance d’entreprise en soulignant la responsabilité fiduciaire des administrateurs.

III.3.Conformité des procédures et respect effectif de la réglementation

Constat. La distinction opérée par la loi peut apparaître comme un doublon, mais elle permet aussi de séparer la conformité formelle des procédures et leur application effective sur le terrain.
À première vue, et en considération de la formulation des objectifs du contrôle interne par le COSO, on a l'impression que la loi fait un doublon entre le premier point de la loi (la conformité des procédures internes aux lois et règlements en vigueur) et le deuxième (le respect de la réglementation en vigueur).
Cependant, si l'on regarde de près la formulation de la loi, on peut y voir une nuance subtile mais cruciale entre la conception institutionnelle et l'application opérationnelle, deux aspects que le COSO regroupe sous la bannière unique de la « Conformité » (Compliance).

Pour rappel, le COSO définit le contrôle interne comme « un processus mis en œuvre par le conseil, le management et les collaborateurs d’une entité, destiné à fournir une assurance raisonnable quant à la réalisation d’objectifs liés aux opérations, au reporting et à la conformité ».

Le législateur sénégalais semble avoir voulu éviter un piège classique du contrôle interne : celui où une organisation affiche des manuels de procédures magnifiques et parfaitement conformes à la loi (point 1 de sa définition du contrôle interne), mais où le respect sur le terrain (point 2) laisse beaucoup à désirer. En séparant les deux, la loi semble vouloir forcer les auditeurs et les contrôleurs à évaluer à la fois le papier et les actes, c'est-à-dire l’adéquation de la conception des procédures et l’efficacité de leur mise en œuvre.
 

III.4.Fiabilité des informations limitée aux volets financier et comptable

Constat. L’article 57 retient une conception restrictive de la fiabilité de l’information, alors que les référentiels actuels couvrent également les informations non financières, internes et externes.
Il est vrai que la première version du COSO de 1992 avait restreint la fiabilité des informations à son volet purement comptable, influencée en cela par le fait que les préoccupations premières de l’époque étaient de circonscrire les fraudes fréquentes sur les états financiers des sociétés cotées en bourse.

Mais la version actuelle du COSO datant de 2013 avait élargi cette fiabilité à des informations également non financières. En effet, les objectifs liés au reporting concernent, selon cette version de 2013, le reporting interne et externe, financieret extra-financier. Ils peuvent viser la fiabilité, le respect des délais, la transparence ou d’autres exigences des régulateurs, des organismes de normalisation reconnus oudes instructions internes.


Or, la loi 2022-08 vise comme quatrième objectif du contrôle interne exclusivement la fiabilité des informations financières et comptables, sans l’étendre aux informations non financières.
Pourtant, on peut citer comme exemples de données non financières ceux suivants, entre autres, pouvant viser la fiabilité, le respect des délais, la transparence :

• Les indicateurs de performance commerciale : part de marché, progression des ventes par région ou par segment, etc.
• Le niveau de satisfaction des clients / usagers :Indice de fidélité des clients/usagers, taux de satisfaction des clients/usagers, temps d'attente moyen avant d’être mis en contact avec un conseiller ou un support, taux de réclamations résolues au premier contact.
• Les indicateurs de qualité : Taux de défectuosité des produits ou des services, taux de panne des équipements critiques, ou temps moyen de résolution des incidents techniques.
• La gestion des ressources humaines : Taux de rotation du personnel, taux d'absentéisme, nombre d'heures de formation dispensées par employé, ou résultats des enquêtes de climat social.
• Etc.

IV. Conclusion et recommandation opérationnelle

Au terme de cette analyse, les imperfections relevées ne remettent pas en cause l’intérêt de l’article 57de la loi d’orientation 2022-08 du 19 avril 2022, mais appellent une interprétation rigoureuse afin de préserver l’équilibre entre responsabilité de gouvernance, responsabilité managériale et indépendance de l’Audit interne.

L’article 57 force le trait pour contraindre les structures parapubliques à se doter d'outils rigoureux. En pratique, pour respecter l'esprit de la loi sans violer les normes professionnelles, l'organe délibérant approuve (adopte) et mandate la Direction Générale pour exécuter (mettre en place), pendant que l'Audit interne valide de manière indépendante que tout fonctionne comme prévu.