# Conduire un audit étayé

Risques & Méthodes. Ressource gratuite du site. Édition du 21 octobre 2026.

Relier chaque conclusion à un critère et à des éléments vérifiables.

## Poser une question d'audit

Définir le résultat à évaluer et les risques associés. Une question précise oriente les entretiens, les données et les tests. Elle évite l'accumulation de documents sans lien avec la conclusion attendue.

En pratique : Les paiements sont-ils autorisés par une personne habilitée avant leur exécution, sur le périmètre du semestre ?

## Définir le critère

Identifier la règle applicable et sa version. Vérifier qu'elle concerne les opérations étudiées. Lorsque le critère repose sur un objectif de gestion, expliciter les hypothèses et les attentes. Cette transparence facilite le dialogue contradictoire.

En pratique : Une procédure exige une validation préalable. Le test recherche la date de validation et la date d'exécution.

## Comprendre la population

Préciser la période, les systèmes et les exclusions. Rapprocher les extractions à une source de référence lorsque c'est possible. Une sélection bien conçue sur une population incomplète peut produire une conclusion trompeuse.

En pratique : Une extraction de paiements doit inclure les opérations manuelles si elles entrent dans le périmètre de la mission.

## Choisir les dossiers pour une raison

Une sélection ciblée recherche des mécanismes à risque. Une démarche statistique vise une inférence définie et exige un plan adapté. Le choix dépend de l'objectif. Consigner la méthode et ses limites avant de commenter un taux observé.

En pratique : Tester les plus gros montants éclaire une exposition financière, sans représenter automatiquement les petits paiements.

## Relier les preuves

Comparer entretiens, documents et traces opérationnelles. Analyser les contradictions au lieu de retenir la source la plus commode. Documenter ce qui est établi, ce qui reste incertain et ce qui n'a pas pu être testé.

En pratique : Un responsable décrit un contrôle quotidien. Les journaux et les dossiers montrent les dates où son exécution est vérifiable.

## Écrire un constat actionnable

Décrire l'écart sans jugement sur les personnes. Indiquer le périmètre et la méthode. Rechercher une cause étayée et expliquer la conséquence possible. Une recommandation utile vise le mécanisme qui produit l'écart et laisse au management la responsabilité de son plan.

En pratique : Un accès trop large peut être traité par une révision des rôles et un contrôle périodique des exceptions.

## Vérifier les suites

Suivre les actions selon leur risque, leur échéance et les preuves attendues. Distinguer une mesure annoncée, installée et opérationnelle. En cas de retard ou de traitement insuffisant, documenter la situation et appliquer le circuit d'escalade prévu.

En pratique : Après modification d'un circuit de validation, tester des opérations nouvelles pour vérifier que le contrôle fonctionne.

## Flashcards

Question : Critère d'audit

Réponse : Référence utilisée pour apprécier une situation : exigence applicable, règle interne, objectif ou pratique retenue et explicitée. Sans critère, le jugement peut devenir arbitraire.

Question : Population

Réponse : Ensemble des éléments concernés par l'objectif du test et la période définie. Sa complétude est vérifiée avant de sélectionner un échantillon.

Question : Échantillon ciblé

Réponse : Sélection fondée sur des caractéristiques ou des risques précis. Elle aide à étudier des anomalies, mais ne permet pas à elle seule de généraliser statistiquement leur fréquence.

Question : Preuve pertinente

Réponse : Élément qui répond à la question du test. Un document peut être authentique mais ne pas concerner le critère, la période ou le périmètre examinés.

Question : Preuve fiable

Réponse : Élément dont la provenance, l'intégrité et les conditions de production inspirent une confiance justifiée. La fiabilité s'apprécie selon le contexte, sans classement automatique absolu.

Question : Constat

Réponse : Écart étayé entre une situation observée et un critère. Un constat utile précise son périmètre, ses causes établies, ses conséquences possibles et ses limites.

Question : Objectivité

Réponse : Capacité à porter un jugement professionnel impartial. Les intérêts personnels, les responsabilités antérieures et les pressions doivent être identifiés et traités.

Question : Indépendance de l'audit interne

Réponse : Positionnement et conditions de fonctionnement permettant à l'audit interne d'exercer ses responsabilités sans interférence indue. Elle complète l'objectivité individuelle.

Question : Cause et symptôme

Réponse : Le symptôme est l'écart visible. La cause explique sa production. Une signature absente est un symptôme, une validation non intégrée au processus peut être une cause à vérifier.

Question : Clôture d'une action

Réponse : Décision fondée sur des éléments montrant que l'action convenue a été mise en œuvre. Selon le risque, un test vérifie aussi que le résultat attendu est obtenu.

## QCM corrigés

Quel document permet le mieux de reproduire un test d'audit ?

A. Une conclusion seule
B. Un dossier indiquant le critère, la population, la sélection, les travaux et les preuves
C. Le calendrier des réunions
D. La présentation de l'audité

Réponse : B. La traçabilité relie l'objectif au résultat. Un autre professionnel doit comprendre le travail réalisé et les limites de la conclusion sans devoir reconstituer toute la démarche.

Un échantillon de 20 dossiers a été choisi uniquement parmi les anomalies signalées. Peut-on estimer le taux d'anomalie de toute la population avec ce seul test ?

A. Oui, en multipliant par 100
B. Oui, si les dossiers sont récents
C. Non, cette sélection ciblée n'est pas représentative par construction
D. Oui, car 20 suffit toujours

Réponse : C. Une sélection ciblée peut comprendre les causes et les mécanismes. Elle ne permet pas, à elle seule, une extrapolation statistique à la population entière.

Un auditeur vient de concevoir le contrôle qu'il doit évaluer. Quel risque faut-il examiner ?

A. Un risque d'autoévaluation affectant son objectivité
B. Un risque de change
C. Un risque de rotation des stocks
D. Aucun, puisqu'il connaît le sujet

Réponse : A. La connaissance du sujet est utile, mais l'évaluation de son propre travail crée une menace pour l'objectivité. La situation doit être signalée et des mesures adaptées organisées.

Quel constat est le plus précis ?

A. Le service ne travaille pas bien
B. Le contrôle est mauvais
C. La procédure semble imparfaite
D. Sur 30 paiements sélectionnés, 5 ne portent pas la validation prévue avant exécution

Réponse : D. Le constat précis indique un critère, un périmètre et un résultat observable. Il faut ensuite expliquer les limites de sélection, les causes et le risque associé.

Sur 60 dossiers testés, 9 présentent le même défaut de preuve. Quel taux observé obtient-on ?

A. 9 %
B. 15 %
C. 6,7 %
D. 60 %

Réponse : B. 9 ÷ 60 = 15 %. Il s'agit du taux observé dans les dossiers testés. La possibilité de généraliser dépend de la méthode de sélection et du plan d'échantillonnage.

Quelle formulation constitue une recommandation vérifiable ?

A. Faire plus attention
B. Être excellent
C. Attribuer un validateur distinct et tester son activation sur les nouveaux paiements avant la date convenue
D. Améliorer globalement le processus

Réponse : C. La recommandation décrit un résultat observable. Le management précise le plan d'action, le responsable et l'échéance. La vérification porte ensuite sur la mise en œuvre et son effet.

Une déclaration orale contredit les journaux du système. Que faire ?

A. Analyser la divergence et rechercher des éléments complémentaires
B. Choisir toujours la déclaration orale
C. Supprimer les journaux
D. Conclure immédiatement à une fraude

Réponse : A. Les sources peuvent avoir des limites : périmètre des journaux, paramétrage, mémoire de l'interlocuteur. La divergence doit être examinée, sans conclusion prématurée.

Un responsable déclare son action terminée. Quelle suite d'audit est adaptée ?

A. Clôturer automatiquement
B. Attendre sans suivre
C. Modifier la date initiale pour supprimer le retard
D. Vérifier les éléments de mise en œuvre selon la méthode de suivi et le risque

Réponse : D. Une déclaration de réalisation ne démontre pas nécessairement l'exécution ni l'efficacité. Le suivi s'appuie sur des pièces et, selon l'enjeu, un nouveau test.

## Cas pratiques

### Solstice Services : les validations absentes

Cas fictif. Une mission examine 2 000 paiements du premier semestre. L'auditeur sélectionne les 40 paiements les plus élevés. Sur ces 40 dossiers, 8 ne contiennent pas la validation exigée avant exécution. Les 40 paiements représentent 35 % du montant total payé. L'équipe envisage d'écrire : « 20 % de tous les paiements sont irréguliers et 35 % du risque est couvert ». Aucun test n'a encore été réalisé sur les autres paiements.

Calculer le taux observé et corriger les formulations proposées.

Définir les travaux complémentaires.

Rédiger un constat factuel et une piste d'action.

Corrigé

Limiter la conclusion au travail réalisé

8 ÷ 40 = 20 % des dossiers sélectionnés n'ont pas de validation disponible. La sélection des montants les plus élevés est ciblée : on ne peut pas en déduire que 20 % des 2 000 paiements présentent le défaut. La couverture de 35 % du montant n'est pas une mesure de 35 % du risque, lequel dépend aussi des mécanismes, des bénéficiaires et des contrôles.

Compléter le programme

Vérifier la complétude de la population, rechercher les validations dans les autres systèmes et distinguer absence de preuve et validation réellement absente. Examiner la cause des 8 écarts. Concevoir un test complémentaire sur les autres paiements, avec une sélection adaptée à l'objectif et à la généralisation recherchée.

Rédiger et traiter

Constat proposé : sur les 40 paiements les plus élevés du semestre, 8 ne disposent pas, dans les pièces consultées, de la validation préalable prévue par la procédure. Le défaut expose à des paiements non autorisés. Si la cause est confirmée, intégrer un blocage avant exécution et un circuit d'exception contrôlé. Fixer responsable, échéance et test de clôture.

À retenir : La portée d'une conclusion ne doit jamais dépasser la portée des preuves.

### Équinoxe : une recommandation close trop vite

Cas fictif. Un audit a demandé la suppression rapide des accès des salariés sortants. Le plan d'action prévoit un flux automatisé entre les ressources humaines et l'application, sous la responsabilité de la DSI. À l'échéance, la DSI transmet une capture montrant que le flux existe. Un nouveau test sur les 12 départs du mois trouve 3 comptes encore actifs cinq jours après le départ. Le métier n'a validé aucun besoin temporaire pour ces comptes.

Décider si la capture suffit à clôturer l'action.

Calculer le taux observé et préciser sa portée.

Proposer une suite proportionnée.

Corrigé

Distinguer installation et fonctionnement

La capture montre un paramétrage ou l'existence d'un flux, mais pas son bon fonctionnement sur les départs réels. Les 3 comptes actifs contredisent l'objectif opérationnel. L'action ne doit pas être déclarée efficace sur cette seule pièce.

Quantifier sans extrapoler

3 ÷ 12 = 25 % des départs testés présentent un compte encore actif à cinq jours. Le résultat concerne le mois et l'application examinés. Il ne décrit pas nécessairement tous les comptes de l'entreprise. Il faut aussi vérifier les autres systèmes et l'utilisation éventuelle des accès.

Organiser la réponse

Faire traiter les comptes actifs selon le processus autorisé, comprendre les erreurs du flux et prévoir un contrôle compensatoire jusqu'à correction. Le suivi reste ouvert avec une nouvelle échéance convenue et une escalade adaptée au risque. Un test ultérieur sur une population de départs pertinente doit démontrer le résultat attendu.

À retenir : Une preuve de paramétrage n'est pas une preuve de résultat.

## Sources

IIA · Global Internal Audit Standards : https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/

IIA · Audit Sampling : https://internalauditor.theiia.org/en/articles/2022/april/audit-sampling/

IIA · Indépendance et objectivité : https://internalauditor.theiia.org/en/voices/2025/april/on-the-frontlines-independence-and-objectivity-in-auditing/