Le titre prête à confusion : le contrôleur interne ne contrôle pas les salariés, et il n’est ni auditeur interne ni commissaire aux comptes. Son métier consiste à concevoir, documenter et faire vivre les contrôles qui permettent à une entreprise de maîtriser ses risques : qu’une facture ne soit pas payée deux fois, qu’un stock ne disparaisse pas sans être constaté, qu’un salarié ne puisse pas à la fois créer un fournisseur et valider son paiement. Il travaille dans une direction financière, une direction des risques ou une direction de la conformité, au contact des opérationnels. Cet article décrit qui fait quoi entre contrôle interne et audit, les processus passés en revue, les livrables du métier, le référentiel COSO expliqué simplement, les profils recrutés et les mots qui comptent sur un CV.
Contrôle interne, audit interne, audit externe : qui fait quoi
Trois fonctions s’intéressent au contrôle interne d’une entreprise, chacune à sa place. L’IFACI, l’institut français de l’audit et du contrôle internes, les présente à travers le modèle des trois lignes de maîtrise.
La première ligne : les opérationnels. Les équipes achats, ventes, logistique, paie ou trésorerie exécutent les contrôles au quotidien : rapprochement d’une facture avec le bon de commande, validation d’un paiement, comptage d’un stock.
La deuxième ligne : les fonctions de pilotage des risques et du contrôle. C’est ici que se trouve le contrôleur interne, aux côtés de la gestion des risques et de la conformité. Il conçoit les contrôles, aide les opérationnels à les appliquer, vérifie qu’ils fonctionnent et pilote les plans d’action.
La troisième ligne : l’audit interne. Rattaché au plus haut niveau, souvent au comité d’audit, l’audit interne évalue de manière indépendante l’ensemble du dispositif, par des missions ponctuelles, et émet des recommandations.
À l’extérieur : le commissaire aux comptes. Il certifie les comptes et, à ce titre, évalue le contrôle interne qui concourt à l’information financière. Il communique ses constats dans une lettre de recommandations, mais ne fait pas partie du dispositif.
En résumé : le contrôleur interne construit et anime ; l’auditeur interne évalue ; l’auditeur externe s’appuie sur le dispositif pour certifier les comptes.
Les processus passés en revue
Le contrôleur interne travaille par processus. Les plus courants dans une entreprise industrielle ou de distribution :
- achats et paiements : création des fournisseurs, commandes, réception, rapprochement facture et commande, validation des paiements ;
- ventes et encaissements : création des clients, conditions tarifaires, facturation, avoirs, recouvrement ;
- stocks : entrées et sorties, inventaires, écarts, dépréciations ;
- paie et ressources humaines : entrées et sorties de personnel, variables de paie, accès aux données ;
- trésorerie : pouvoirs bancaires, rapprochements, virements ;
- clôture comptable : écritures manuelles, revues analytiques, justification des comptes ;
- systèmes d’information : gestion des accès, séparation des tâches dans l’ERP, gestion des changements.
Dans une banque ou une assurance, les processus et les risques sont propres au secteur (octroi de crédit, lutte contre le blanchiment, souscription) et le cadre réglementaire est plus contraignant.
Matrices de contrôles et tests : le cœur du métier
Le quotidien d’un contrôleur interne s’organise autour de quelques livrables, qui font la matière de son CV.
La cartographie des risques. Avec les directions concernées, le contrôleur interne identifie les risques de chaque processus et les cote, généralement en impact et en probabilité. La cartographie est mise à jour chaque année et présentée à la direction générale ou au comité d’audit.
Les narratifs et logigrammes de processus. Ils décrivent qui fait quoi, avec quel outil, à quel moment. C’est la base pour repérer où un contrôle manque.
La matrice risques-contrôles. Pour chaque risque, elle indique le contrôle qui le couvre, son propriétaire, sa fréquence, son caractère manuel ou automatique, et la preuve attendue. Une matrice bien faite est utilisable par un opérationnel qui la découvre.
Les tests de conception et d’efficacité. Le test de conception vérifie que le contrôle, tel qu’il est décrit, couvrirait bien le risque ; le test d’efficacité vérifie, sur un échantillon de cas réels, qu’il a été effectivement appliqué. Par exemple : sur un échantillon de paiements, vérifier que chacun a été validé par une personne habilitée, différente de celle qui a saisi la facture.
Les campagnes d’autoévaluation. Dans les groupes, les filiales évaluent elles-mêmes leurs contrôles à partir d’un questionnaire, et le contrôleur interne vérifie ensuite une partie des réponses sur pièces.
Les plans d’action. Chaque faiblesse relevée donne lieu à une action, avec un responsable et une échéance. Le contrôleur interne en suit la mise en œuvre et rend compte de l’avancement.
Le référentiel COSO expliqué simplement
Le référentiel le plus utilisé au monde pour le contrôle interne est celui du COSO, dont l’IFACI a publié la traduction française. Il définit le contrôle interne comme un processus mis en œuvre par la gouvernance, la direction et les salariés pour fournir une assurance raisonnable quant à l’atteinte d’objectifs liés aux opérations, au reporting et à la conformité.
Le COSO décrit cinq composantes, qui forment une grille d’analyse simple :
- l’environnement de contrôle : la culture, l’intégrité, l’organisation et les responsabilités ;
- l’évaluation des risques : identifier et analyser ce qui peut empêcher d’atteindre les objectifs, y compris la fraude ;
- les activités de contrôle : les contrôles eux-mêmes, manuels ou automatiques ;
- l’information et la communication : faire circuler les bonnes informations aux bonnes personnes ;
- le pilotage : évaluer en continu le dispositif et corriger les défaillances.
En France, l’Autorité des marchés financiers a publié un cadre de référence sur les dispositifs de gestion des risques et de contrôle interne, recommandé aux sociétés cotées, qui s’articule avec ces principes. Les filiales de groupes cotés aux États-Unis appliquent en outre les exigences de la loi Sarbanes-Oxley sur le contrôle interne de l’information financière.
Profils recrutés et évolutions
Les profils les plus fréquents :
- les anciens auditeurs externes, après deux à cinq ans de cabinet, qui connaissent l’évaluation du contrôle interne des cycles et la rédaction de recommandations ;
- les diplômés de masters d’audit, de comptabilité-contrôle-audit ou d’écoles de commerce avec une spécialisation en audit et contrôle, pour des postes juniors ;
- des comptables ou contrôleurs de gestion qui connaissent bien les processus de l’entreprise.
Les évolutions :
- responsable du contrôle interne d’un groupe, puis directeur du contrôle interne ou des risques ;
- passage à l’audit interne, pour une approche plus transversale et indépendante : le profil correspondant est présenté sur la page exemple de CV d’auditeur interne 🔗, qui décrit la conduite de missions selon les normes de l’IIA ;
- retour vers la finance opérationnelle (contrôle financier, poste de responsable comptable) avec une forte culture des processus.
Les mots qui comptent sur un CV de contrôleur interne
Un recruteur qui lit un CV de contrôleur interne cherche des livrables, un périmètre et un référentiel. Les termes qui reviennent dans les offres sont assez stables :
- cartographie des risques, matrice risques-contrôles, contrôles clés ;
- tests de conception et d’efficacité, autoévaluation, plans d’action ;
- séparation des tâches, gestion des accès, ERP ;
- COSO, cadre de référence de l’AMF, Sarbanes-Oxley pour les filiales de groupes américains ;
- deuxième ligne de maîtrise, comité d’audit, reporting.
Mais ces mots ne valent que s’ils sont portés par des faits. Comparez :
- Avant : « Mise en place et suivi du contrôle interne. »
- Après : « Construction des matrices risques-contrôles de 9 processus (135 contrôles clés documentés) et pilotage de deux campagnes d’autoévaluation par an dans 14 filiales européennes. »
L’exemple de CV de contrôleur interne applique ces principes à un profil venu de l’audit externe. Pour préparer l’étape suivante, notre article sur les questions d’un entretien en contrôle interne regroupe les questions par thème, et la méthode du CV d’audit rappelle comment valoriser une expérience de cabinet. Pour la mise en forme, l’éditeur de CV structure ces informations et produit un PDF lisible par les logiciels de tri des recruteurs, qui filtrent souvent sur ces termes précis.
Sources
- IFACI, contrôle interne : tout ce que vous devez savoir 🔗 et synthèse du référentiel intégré de contrôle interne COSO 🔗.
- Autorité des marchés financiers, cadre de référence des dispositifs de gestion des risques et de contrôle interne 🔗.
- Onisep, fiche métier auditeur interne 🔗.
Questions fréquentes
Quelle différence entre contrôleur interne et contrôleur de gestion ?
Le contrôleur de gestion pilote la performance (budgets, écarts, rentabilité) ; le contrôleur interne s’assure que les processus sont maîtrisés et que les risques sont couverts par des contrôles. Les deux travaillent souvent dans la même direction financière.
Faut-il une certification pour être contrôleur interne ?
Ce n’est pas obligatoire. Les formations de l’IFACI et les certifications de l’IIA sont appréciées, surtout pour évoluer vers l’audit interne ou vers un poste de responsable.
Le contrôle interne existe-t-il dans les PME ?
Oui, mais souvent sans poste dédié : le responsable financier ou le responsable comptable en assure le rôle. Les postes de contrôleur interne se trouvent surtout dans les ETI, les groupes et les secteurs réglementés.
Un junior peut-il commencer directement en contrôle interne ?
C’est possible, notamment après un master spécialisé et un stage dans une direction du contrôle interne. Beaucoup d’employeurs préfèrent toutefois un premier passage en audit externe.