Les référentiels du contrôle interne

1.Introduction

Les principaux référentiels du contrôle interne, dont il est fait déjà fait mention dans l’introduction de ce rapport, sont :

• La roue de Deming
• Le COSO
• Le COBIT
• ITIL
• La famille des normes ISO/IEC 27k

« Un référentiel est une collection de bonnes pratiques sur un sujet donné. Lorsque celui-ci fait l’objet d’une large diffusion et qu’il est reconnu par le marché, on parle alors de standard. Les référentiels doivent être perçus comme une boîte à outils de laquelle l’entreprise extrait la bonne pratique dont elle a besoin pour résoudre un problème donné ou pour répondre à un besoin (ex : ITIL pour la gestion de la production). »

(Les référentiels de la DSI, Etat de l’art – Usages et bonnes pratiques, CIGREF octobre 2009, page 9).

Le référentiel se trouve à la croisée des chemins de différents types de documents dont :

• la norme
• le standard
• la nomenclature
• la procédure
• la méthodologie

La roue de Deming défend l’idée du principe d’amélioration continue (cycle vertueux). Ce principe se retrouve très fréquemment dans divers référentiels de gestion managériale dont notamment celles abordées dans ce rapport.

Le COSO est la méthodologie « père » du contrôle interne, elle a pris naissance dans le monde de la finance et des activités comptables. COSO se trouve être à l’origine d’un autre référentiel, le COBIT. Le COBIT est à l’informatique ce que COSO est à la finance.

ITIL pour sa part reprend quasi les mêmes thématiques que le COBIT mais avec un objectif différent, celui de la gestion de l’informatique côté production (côté utilisateurs). ITIL se situe entre le service informatique et l’usager, tandis que le COBIT fait l’interface entre le service informatique et le management, la DG.

La famille des normes ISO/IEC 27k et particulièrement la norme ISO/IEC 27k2 traite de questions de sécurité. Cette norme propose un ensemble de bonnes pratiques en matière de sécurisation des actifs d’un service informatique. Elle est bien évidement internationalement reconnue et sert de référentiel pour de nombreuses organisations souhaitant se rassurer sur la fiabilité et l’efficience pérenne de ses partenaires « business ». Par exemple, un organisme public qui fait héberger ses données, voire ses applications, dans un « data center (le cloud)» doit se rassurer que la société propriétaire du « data center » gère convenablement ses données et surtout qu’elle ne tombera pas en faillite dans l’année qui suit avec le risque de définitivement disparaître dans la « nature » (avec ou sans les données de l’organisation).

Le diagramme ci-dessous présente une cartographie des référentiels utilisés dans les services informatiques, et ce vu sous trois angles (d’où, les trois tableaux), celui :

• du pilotage
• de l’opérationnel
• du support.

Cette observation montre à quel niveau peuvent agir les différents référentiels et de quelle manière ils se rencontrent, parfois en se complétant, parfois faisant en partie double emploi.

1.La roue de Deming

1.1.Plan – Do – Check – Act : PDCA

(Source : http://www.kaizen-skills.ma/pdca-la-roue-de-deming/)

La roue de Deming (William Edwards Deming, 1900 – 1993) a été élaborée dans les années 1950 à la demande des autorités japonaises dans le but de mettre en place une nouvelle méthodologie de management qui permettrait aux entreprises japonaises de se réconcilier, au lendemain de la deuxième guerre mondiale, avec le succès commercial qu’elles connaissaient. Succès commercial encore probant aujourd’hui. Pour la petite histoire, les Etats Unis d’Amérique ont compris les vertus de cette méthodologie que plusieurs dizaines années plus tard.

Le principe de cette méthode est de créer un cercle vertueux se décomposant en quatre phases : Plan – Do –Check – Act, d’où le PDCA. La roue une fois lancée ne doit pas s’arrêter de tourner, répétant à l’infini les quatre phases dans une recherche d’amélioration continue.

Le « Plan » correspond à la phase, comme son nom l’indique, de planification, de prévision des opérations formulée dans un cahier des charges qui précise notamment le début et la fin de la mise en œuvre de l’activité et son coût. La phase « Plan » peut se résumer à la phrase : « je dis ce que je vais faire ».

La seconde étape du cycle correspond au « Do », il s’agit de la réalisation de l’œuvre. Cette phase commence toujours par une phase de test. La phase « Do » peut se résumer à la phrase : « je fais ce que j’ai dit ».

La troisième phase « Check » consiste en l’implémentation de point de contrôle de conformité de ce qui a été entrepris dans le cadre des deux premières phases. Il s’agit de vérifier que les ressources mises en œuvre (le « Plan ») et que le niveau de conformité des résultats obtenus répond correctement aux ce qui est attendu. La phase « Check » peut se résumer à la phrase : « je contrôle ce que j’ai fait ».

La quatrième étape « Act » vise à réduire l’écart éventuel entre ce qui a été planifié et ce qui été constaté dans la troisième phase. C’est également à ce stade qu’il est pertinent d’intégrer au projet des points d’amélioration. Cette étape redéfinit le projet en cours et le nouveau plan qui l’accompagne. La phase « Act » peut se résumer à la phrase : « je corrige et j’améliore ».

Ainsi la roue tourne.

La roue de Deming s’accompagne d’un système formel avec des procédures claires et précises, d’audits réguliers et de toute la documentation nécessaire au projet.

1.2.Les sept maladies mortelles de l’entreprise

La roue de Deming est plus qu’une philosophie de travail mais une philosophie de management. Elle vise à le transformer au sein des organisations dans lesquelles elle s’applique.

Selon Deming, les entreprises souffrent de sept maladies mortelles :

• Manque de prévision sur les produits et services qui maintiendront les activités de l’entreprise sur le marché
• Trop d’importance donnée au bénéfice à court terme sous la pression des banquiers, des investisseurs et des propriétaires
• Focalisation sur une évaluation sur base du mérite et de l’efficacité individuels
• Trop de mobilité au niveau des cadres dirigeants
• Une gestion de l’entreprise essentiellement basée sur les chiffres facilement visibles au détriment des chiffres inconnus ou inconnaissables
• Coût médicaux excessifs (surmenage, épuisement professionnel, épidémie …)
• Coûts exagérés pour les frais d’avocats et de garanties

Deming préconise donc aux entreprises :

• constamment améliorer ses produits et services
• les cadres dirigeants doivent rester attentifs à l’émergence d’une nouvelle ère économique et ils ont la responsabilité de conduire le changement avec détermination
• intégrer la qualité dès la conception et la fabrication du produit
• chercher à réduire le coût total plutôt que par partie, regrouper le minimum de fournisseurs par article et établir des relations à long terme de loyauté et de confiance
• améliorer constamment les processus de production
• cultiver le leadership, les directions doivent aider le personnel à mieux remplir leur mission
• la crainte n’est pas un levier d’amélioration
• décloisonner les départements, l’entreprise est une équipe
• oublier le mythe du zéro défaut
• éliminer les quotas de production et toutes formes de direction par les chiffres
• restaurer la fierté au travail
• développer des programmes de formation et encourager l’amélioration personnelle
• tout le personnel de l’entreprise est agent de transformation et d’amélioration

2.Le COSO

2.1.Présentation générale du COSO

“Committee Of Sponsoring of the Treadway Commission.”

L’objectif du COSO est l’évaluation de l’efficacité du contrôle interne au sein des organisations. Son adoption généralisée au sein des organisations a largement été favorisée par la « loi Sarbanes-Oxley ».

« Aux États-Unis, la loi de 2002 sur la réforme de la comptabilité des sociétés cotées et la protection des investisseurs est une loi fédérale, votée par le congrès, imposant de nouvelles règles sur la comptabilité et la transparence financière. Elle fait suite aux différents scandales financiers révélés dans le pays aux débuts des années 2000, tels ceux d'Enron et de Worldcom. Le texte est couramment appelé « loi Sarbanes-Oxley », du nom de ses promoteurs : le sénateur Paul Sarbanes et le député Mike Oxley. Ce nom peut être abrégé en « SOX », « Sarbox », ou « SOA ». »

(Source : http://fr.wikipedia.org/wiki/Loi_Sarbanes-Oxley).

Le référentiel repose sur trois principes de base :

• il définit le contrôle interne comme un processus qui s’intègre à tous les niveaux de l’organisation, il constitue un moyen et non une fin en soi
• le contrôle interne procure une assurance raisonnable, non absolue, que les processus et procédures de l’organisation sont respectés afin qu’ils atteignent leurs objectifs respectifs
• le contrôle interne doit être conçu en regard de la réalisation effective des objectifs de l’organisation (nécessité de pertinence)

COSO définit les cinq piliers du contrôle interne (COSO 1) afin d’optimiser et de veiller au bon déroulement des opérations, mais aussi de veiller à la fiabilité des informations financières et à la conformité aux normes, aux règlements et aux législations auxquels l’organisation est soumise. COSO utilise la représentation cubique pour illustrer sa démarche.

2.2.Représentation cubique du COSO

(Source : http://www.tbs-sct.gc.ca/pol/doc-eng.aspx?id=17174§ion=text)

La combinaison des cinq composants de contrôle, des trois objectifs de contrôle et des différents niveaux de structure organisationnels de responsabilité constitue les trois axes d’analyse du contrôle interne au sein de l’organisation.

L’environnement de contrôle reprend globalement tout ce qui de l’ordre de l’éthique et des valeurs partagées au sein de l’organisation, en ce compris :

• les savoir-faire et les compétences
• l’implication et le soutien apportés par le conseil d’administration et la direction générale à la démarche du contrôle interne
• la philosophie du management et son mode de structuration
• la délégation de pouvoir et des responsabilités
• la politique en matière de développement des ressources humaines
• la culture du risque

L’évaluation du risque constitue la deuxième composante du cube. COSO insiste sur le fait que cette évaluation puisse être réalisée en tenant compte de l’importance et de la fréquence du risque considéré.

Les contrôles sont définis comme des règles et des procédures mises en œuvre pour traiter les risques. Le contrôle interne est un dispositif concret et factuel.

L’information et la communication au sein de l’organisation doivent être sans cesse améliorés et optimalisés.

Le pilotage constitue le contrôle du contrôle interne dont la responsabilité incombe principalement à l’audit interne de l’entreprise.

2.3.COSO versus COSO 2

Au vu des trente dernières années d’évolution du contexte économique et des lois financières, les responsables d’organisations ont souhaité renforcer leur système de gestion des risques et de bonne gouvernance. C’est ainsi qu’est apparu, en 2004, la nouvelle version du COSO : COSO 2. Les deux versions se complètent.

COSO 2 introduit l’idée d’opportunité lorsqu’un événement imprévu impacte positivement l’entreprise. Jusqu’ici, COSO envisageait ce type d’événement que lorsque l’impact en était négatif.

COSO 2 introduit également la notion d’appétence au risque, c’est-à-dire quel est le niveau de risque auquel l’organisation est prête à faire face et quel est son seuil de tolérance face à des variations acceptables du niveau de risque dans l’appétence définie.

COSO 2 prend en compte les objectifs stratégiques de l’organisation en plus des objectifs opérationnels.

COSO 2 ajoute trois composantes de contrôle supplémentaires :

• la fixation des objectifs dans la perspective d’identifier les événements nuisibles à leur atteinte
• l’identification des événements de types risque et opportunité
• le traitement des risques

COSO 2 propose une dimension d’analyse supplémentaire afin de développer une maîtrise des risques à tous les niveaux de l’organisation.

(Source : http://www.bpms.info/levolution-du-referentiel-coso-du-controle-interne-au-management-des-risques/)

3.Le COBIT

“Control Objectives for Information and related Technology.”

Le COBIT est un ensemble d’outils (guide, indicateurs…) à destination du service informatique (SI) lui permettant de contrôler dans quelle mesure il est en cohérence avec les objectif et la stratégie de l’organisation. Le COBIT est publié depuis 1996 par l’« Information System Audits and Control Association » (ISACA).

Le COBIT permet au SI :

• de s’aligner sur les métiers de l’organisation
• d’apporter une plus-value aux métiers de l’organisation
• de gérer les ressources avec un maximum d’efficience
• de faire de la gestion de risque

Pour ce faire, le COBIT se déploie de manière cyclique :

• il doit comprendre la stratégie de l’entreprise et les objectifs métiers
• il doit traduire les objectifs métiers en objectifs informatiques
• les objectifs informatiques donnent lieu à la création de processus informatiques
• il doit mesurer les effets de ces processus sur les objectifs précédemment définis

Les acteurs de l’organisation impliqués dans la démarche COBIT sont :

• les directions générales : soutiennent l’investissement et veille à ce qu’ils produisent de la valeur, mais aussi vérifie que le bon équilibre entre risque et investissement soit conservé
• les directions métiers : donnent l’assurance sur la bonne gestion des contrôles du service informatique
• les directions informatiques : donnent aux métiers les services informatiques qui leurs permettent, dans la ligne stratégique de l’organisation, de bien contrôler et gérer leurs propres ressources et services
• les auditeurs : donnent des conseils au management sur les contrôles internes et la gouvernance des SI

Le COBIT est divisé en 34 processus répartis entre quatre domaines de responsabilités :

• Planifier et organiser (10 processus)
• Mettre en place ou acquérir et implémenter (7 processus)
• Faire fonctionner ou délivrer et supporter (13 processus)
• Surveiller et évaluer (4 processus)

Ce modèle doit donner une vision complète de l’activité informatique. Via le COBIT, l’organisation doit être en mesure d’estimer les ressources nécessaires au bon déroulement des processus informatiques.

(Source : http://www.afai.fr/index.php?m=29)

« En conclusion, parmi les avantages à adopter le CobiT comme cadre de gouvernance des SI on peut citer :

• un meilleur alignement de l’informatique sur l’activité de l’entreprise du fait de son orientation métier,
• une vision compréhensible par le management de ce que fait l’informatique,
• une attribution claire de la propriété et des responsabilités, du fait de l’approche par processus,
• un préjugé favorable de la part des tiers et des organismes de contrôle,
• une bonne compréhension de toutes les parties prenantes grâce à un langage commun,
• le respect des exigences du COSO pour le contrôle de l’environnement informatique. »

(Source : http://www.afai.fr/index.php?m=29)

COBIT 5 est sorti en avril 2012 et succède à la version 4.1. La version 5 élargit le champ d’action de la version 4.1 et propose de nouveaux processus qui permettent d’effectuer une gestion beaucoup plus complète du SI. COBIT 5 cherche par-là à s’émanciper d’autres référentiels tel ITIL ou CMMI en proposant des moyens de diagnostic, d’évaluation, de déploiement et d’amélioration, seul et sans autre référentiel en appui. Par exemple, il propose une liste de 440 produits de sorties types contre 130 pour COBIT 4.1.

4.ITIL

« Information Technology Infrastructure Library »

4.1.Présentation générale du référentiel ITIL

ITIL a été mis en place par l’Organisation du Commerce Britannique en 1988, elle est à la base la norme BS15000, la première norme de gestion informatique formelle et internationale.

L’objectif d’ITIL est d’offrir un ensemble de bonnes pratiques (conseils et recommandations) rassemblé dans huit livres (ITIL version v2) afin de fournir un service de qualité aux utilisateurs et clients du système d’information.

La liste des livres est la suivante :

• Service support : gestion des incidents et support aux utilisateurs
• Service delivery : contrôle des coûts et gestion des niveaux de services, mise en production et gestion des configurations
• Security management : gestion de la sécurité
• Software asset management : gestion des logiciels applicatifs, pilotage des applications et comment les rendre plus performantes
• ICT Infrastructure management : mettre en place un SI performant dans le profil des objectifs stratégiques (outils de production, infrastructure réseau, outil de surveillance et de sauvegarde)
• Application management : contrôle du cycle de développement et de support d’un logiciel
• Planning to implement service management
• The business perspective

Le diagramme ci-dessous présente les différents domaines de gestion encadrée par le référentiel ITIL :

• Gestion des processus métier
• Gestion des utilisateurs
• Gestion des changements
• Gestion des incidents
• Gestion financière
• Gestion des niveaux de service et de disponibilité
• Gestion des releases
• Gestion des configurations
• Gestion des Problèmes et erreurs connues

(Source : http://www.leveder.fr/C-est-quoi-ITIL_a237.html)

La version 3 d’ITIL a été présentée en Juin 2007. Selon Sharon Taylor, architecte en chef, la version 3 se focalise, entre autres, sur le cycle de vie du service. ITIL version 3 comporte désormais 5 livres principaux :

• Service Strategy

1. Définition stratégique
2. Gestion financière
3. Gestion du portefeuille de services (catalogue de services)
4. Gestion de la demande

• Service Design

1. Gestion de niveau de service
2. Gestion de la capacité (alignement de la capacité à la demande)
3. Gestion de la disponibilité
4. Gestion de la sécurité
5. Gestion des fournisseurs
6. Gestion du catalogue de services
7. Coordination de la conception des services

• Service Transition

1. Gestion des actifs et des configurations
2. Gestion des changements
3. Gestion des mises en production et des déploiements
4. Gestion de la connaissance
5. Planification et support à la transition
6. Évaluation
7. Validation et tests

• Service Operation

1. Référence au « service level agrement » (accord de niveau de service)

• Continual Service Improvement

1. Amélioration permanente des services

(Source : http://www.docstoc.com/docs/117082752/itil-v3-process-model-(PDF)).

5.ISO/IEC 27k

La présentation de la famille des normes ISO/IEC 27 k fait l’objet d’une approche approfondie dans le chapitre qui suit et qui lui est dédié (chapitre 5). C’est le référentiel adopté par le BIRB pour la mise en œuvre de sa politique de sécurité de l’information et du contrôle interne.