Frédéric Bernard est Docteur ès sciences, ancien auditeur IHEST (promotion Desroches Noblecourt), diplômé ESCP, CESA HEC, Mastère Spécialisé de l’École centrale de Marseille. Il est ancien chargé de cours à l’ESG, NEGOSUP et Centrale Marseille ou il a enseigné le marketing achats, la stratégie et le contrôle interne. Il a occupé pendant trois ans le poste de Président et d’enseignant-chercheur au Centre d’Étude et de Recherche Économique de Marseille dans le domaine des sciences de l’information et de la commu nication. Il est actuellement Directeur Général Délégué au sein de la mutuelle UMC où il est notamment en charge de la supervision du dispositif de contrôle interne. Frédéric Bernard a occupé de nombreuses fonctions de Direction dans les secteurs de la mutualité et de l’assurance ou il a développé des démarches complètes de maîtrise des risques.
Rémi Gayraud, Certified Fraud Examiner, Directeur de la Formation de l’Association des Certified Fraud Examiner en France et intervenant à l’ESCP Europe. Après avoir exercé des responsabilités opérationnelles en finance, en France et à l’étranger en tant qu’Auditeur Interne senior et Directeur Administratif & Financier sur le Moyen-Orient chez SANOFI, il a créé avec 2 associés, CBA Management, cabinet spécialisé en Gouvernance, Risques et Contrôle Interne (GRC), Systèmes d’Information (Aligner la stratégie des systèmes d’information aux objectifs business), Performance Opérationnelle et Fraude Interne. CBA Management a rejoint le 6e réseau mondial d’audit et de conseil.
Laurent Rousseau, Diplômé des Arts et Métiers, est spécialisé dans le conseil aux entre prises devant répondre aux nouvelles réglementations (Sarbanes Oxley, Loi de Sécurité Financière, décret du 13 mars 2006, Solvabilité II…). Ancien collaborateur de CBA Management et conseiller indépendant intervenant pour le groupe Ansemble partenaire du réseau Eurus, 3e groupement national de cabinets indépendants d’expertise comptable et d’audit en France. Il a tour à tour occupé des fonctions opérationnelles puis mana gériales dans le domaine financier (comptabilité, contrôle de gestion et audit) au sein de la Mutualité Fonction Publique Services. Il a notamment assuré la formation au contrôle interne de plus de 400 opérationnels. Il a obtenu le certificat de spécialisation en Gestion de Patrimoine du CESB Paris.
Les auteurs peuvent être contactés à l’adresse suivante : controle-interne@maxima.fr

infos/nouveautés/catalogue : www.maxima.fr
images
8, rue Pasquier, 75008 Paris
Tél. : + 33 1 44 39 74 00 - Fax : + 33 1 45 48 46 88
© Maxima, Paris, 2013.
Tous droits de reproduction, de traduction et...

Préface

Alors que le contrôle interne fait l’ouverture des journaux télévisés et la une de la presse économique la plus réputée, c’est avec un grand honneur que j’ai répondu positivement à la demande de Rémi Gayraud et Frédéric Bernard de préfacer la nouvelle édition de ce manuel de contrôle interne.

En effet, les déficiences de contrôle interne, dont l’une des principales banques françaises a été victime, nous conduisent assez logiquement à mettre en avant ce thème trop souvent en retrait au sein de nos entreprises et organisations.

Le trait ne doit pas être forcé mais le constat s’impose : le contrôle interne ne peut plus se limiter à quelques bonnes paroles et engagements de principes relayés dans un rapport sur le contrôle interne trop souvent perçu comme une obligation de communication. L’obligation n’est pas tant d’émettre un rapport que de mettre en place...

Introduction

Pourquoi une nouvelle édition du livre sur le Contrôle Interne et quel est l’intérêt d’une telle démarche pour les entreprises ?

Avec la Loi de Sécurité Financière (LSF) en France et Sarbanes-Oxley aux États-Unis, exigeant un renforcement de la transparence et du contrôle au sein des entreprises, force est de constater qu’il existe un regain d’intérêt pour le Contrôle Interne, et plus particulièrement pour démontrer à tout protagoniste (management, actionnaires, commissaires aux comptes, autorités de bourse) que le dispositif existant est efficace : opérations maîtrisées à tous les niveaux et pour toutes les activités, états financiers fiables et reflétant la réalité économique de l’entreprise.

Ce regain d’intérêt s’appuie sur la mise en place depuis 5 à 6 ans de nouveaux textes réglementaires tels que le décret du 13 mars 2006 dans le domaine de l’assurance, du 19 mai 2008 en mutualité, le Cadre de Référence de l’Autorité des Marchés Financiers du 22 janvier 2007 revu et augmenté en juin 2010, la loi du 3 juillet 2008, l’ordonnance du 8 décembre 2008 et Solvabilité II sans oublier les démarches volontaristes au sein des organisations.

Celles-ci n’ont pas attendu les nouvelles réglementations pour mettre en place les fondements d’un environnement de contrôle. Cette nécessité s’est imposée de manière plus pointue encore lorsqu’il s’agit de groupes dont les organisations et les activités sont de plus en plus complexes.

En effet, dans un contexte de mondialisation croissante, les grands acteurs économiques se doivent aujourd’hui de penser à l’échelle mondiale quand il s’agit d’asseoir leur position dans n’importe quels industries ou secteurs que ce soit. Ce postulat entraîne pour les groupes français de modeler leur organisation de manière flexible et décentralisée afin d’offrir une réelle efficacité lorsqu’il s’agit de gérer des centaines d’entités juridiques à travers le monde et de jongler avec des organisations matricielles de plus en plus complexes impliquant de multiples strates dans les processus de décision. Une nécessaire subsidiarité,...

I •

Les concepts essentiels
du contrôle interne permanent

I.1 Éléments de définition du contrôle interne

I.1.1 Les approches dites « classique » et « actuelle » du Contrôle Interne

Le terme Contrôle Interne est la traduction littérale de l’expression anglosaxonne : « Internal Control » (ou Business Control pour les Américains) dans lequel le verbe « to control » signifie conserver la maîtrise de la situation alors qu’en français le mot « contrôle » est davantage compris comme le fait d’exercer une action de surveillance sur quelque chose pour l’évaluer.

Nous vous proposons donc la définition suivante du Contrôle Interne au sens « classique » : le Contrôle Interne est un ensemble de dispositifs ayant pour but, d’un côté d’assurer la protection, la sauvegarde du patrimoine et la qualité de l’information, de l’autre d’assurer l’application des instructions de la Direction et de favoriser l’amélioration des performances.

L’« Internal Control » se traduit dans les faits par deux aspects complémentaires :

• un état d’esprit dont la responsabilité incombe à toute personne exerçant quelque autorité dans l’organisation : planifier les tâches, organiser les responsabilités, conduire les opérations et en contrôler la bonne marche ;

• un ensemble de moyens, mesures et méthodes pour y parvenir.

Deux grandes catégories de contrôles sont reprises au travers de cette approche classique :

• les contrôles administratifs ou opérationnels dont le but est, pour la Direction, de s’assurer de l’atteinte des objectifs fixés à l’aide de pratiques permettant d’accroître l’efficacité dans toutes les fonctions de l’entreprise. Ces pratiques devront être appliquées par du personnel compétent et dont les opérations devront être supervisées et contrôlées ;

• les contrôles comptables ou financiers qui se caractérisent par une organisation et des procédures directement liées à la préservation des actifs et à la fiabilité des états financiers.

À notre avis, l’approche « actuelle » du contrôle interne correspond à la définition proposée par le CNCC (Compagnie Nationale des Commissaires aux Comptes) qui reflète le mieux l’approche actuelle.

« Les procédures de Contrôle Interne impliquent : le respect des politiques de gestion, la sauvegarde des actifs, la prévention et la détection des fraudes, l’exactitude et l’exhaustivité des enregistrements comptables, l’établissement en temps voulu d’informations comptables et financières stables. » (Norme CNCC 2-301 « Évaluation du risque et Contrôle Interne », para 08, Référentiel normatif CNCC, juillet 2003.)

L’approche actuelle est donc plus large que l’approche classique car :

• le Contrôle Interne est abordé en termes de processus et plus seulement en termes de techniques et de dispositifs de sécurité ;

• elle replace l’ensemble du personnel de l’entreprise au cœur du Contrôle Interne.

I.1.2 Le modèle proposé par le COSO

À la suite d’une série de faillites « anormales » aux États-Unis dans les années 80, une commission, sous la responsabilité du sénateur Treadway, entreprend une étude sur un cadre de contrôle. Ce travail aboutit en 1992 au premier instrument de Contrôle Interne : le COSO. La question élémentaire de ce modèle est « comment faire pour maîtriser au mieux ses activités ? ».

Le COSO propose la définition du Contrôle Interne suivante :

Le Contrôle Interne est un processus mis en œuvre par le Conseil d’Administration, les dirigeants et le personnel d’une organisation, destiné à fournir une assurance raisonnable quant à la réalisation des objectifs suivants :

• la réalisation et l’optimisation des opérations,

• la fiabilité des informations financières,

• la conformité aux lois et aux réglementations en vigueur.

Ainsi le Contrôle Interne n’offre pas de garantie absolue car il ne permet pas de réaliser complètement les objectifs fixés par les responsables d’une organisation, mais fournit uniquement « une assurance raisonnable » quant à l’atteinte de ces objectifs.

En ce sens, nous pouvons ajouter que le Contrôle Interne ne rend pas la fraude impossible, ce n’est qu’un moyen préventif de la limiter au maximum ou de la découvrir aussitôt que possible.

Le COSO découpe les éléments du Contrôle Interne en 5 parties :

• environnement de contrôle,

• évaluation des risques,

• activités de contrôle,

• information et communication,

• pilotage.

imagesRemarque

Le « COSO 2 » est une étude réalisée aux États-Unis à la suite de Sarbanes-Oxley Act (SOX). Il ne propose pas un référentiel de Contrôle Interne (à l’instar du COSO) mais un modèle de gestion des risques. Il s’appuie sur le COSO comme référentiel de Contrôle Interne.

images Environnement de contrôle

L’environnement de contrôle constitue la base de la construction du Contrôle Interne COSO. Cette notion d’environnement de contrôle implique une éthique et une politique générale sensibilisée au contrôle.

L’éthique se diffuse grâce à un conseil d’administration et un management conscients de la nécessité de montrer l’exemple (intégrité) et de déployer une culture de l’entreprise valorisant le besoin de contrôle auprès du personnel.

Une politique s’appuie sur des normes et procédures appropriées, sur un code de conduite valorisant l’adhésion aux valeurs de l’organisation, sur une conception des systèmes et une exploitation quotidienne adaptées à l’organisation et sécurisées, et sur des valeurs humaines.

images Évaluation des risques

L’évaluation des risques réside dans la détection et l’analyse des facteurs susceptibles de perturber la réalisation des objectifs. C’est un processus continu et répétitif.

Les risques couverts sont aussi bien internes qu’externes, avec une attention particulière aux risques spécifiques et aux changements.

La finalité est d’aboutir à une gestion des risques. Cette gestion présuppose la classification en deux grandes catégories : le risque non acceptable et le risque acceptable et résiduel.

L’étape préliminaire et obligatoire à l’évaluation des risques est la définition des objectifs.

images Activités de contrôle

Les activités de contrôle sont le contrôle de la mise en application des normes et des procédures définies par la direction et le management dans la dynamique de la maîtrise des risques.

On peut décliner les activités de contrôle en plusieurs catégories :

• contrôle détectif / contrôle préventif,

• contrôle informatique / contrôle manuel,

• contrôle hiérarchique / contrôle opérationnel.

Une attention particulière sera apportée aux activités informatiques de contrôle. Un exemple de référentiel de Contrôle Interne sur les systèmes d’information avec la formalisation de points de contrôle, de risques associés et de bonnes pratiques est proposé dans le chapitre VII.7.

images Information et communication

L’information doit être pertinente, précise, exacte, en temps voulu et diffusée au bon destinataire. Sa circulation doit être multidirectionnelle (descendante, ascendante et transversale), et intégrer les informations externes.

La communication est l’outil indispensable pour la transmission de l’information – notamment les directives de la Direction Générale – et ses caractéristiques essentielles sont l’efficacité et la clarté.

images Pilotage

Le système de pilotage permet de valider que le Contrôle Interne est efficace. Il doit intégrer le traitement des faiblesses de Contrôle Interne détectées dans le but de renforcer l’atteinte des objectifs.

Ce système permet au management d’assumer son rôle de maître d’œuvre du dispositif de Contrôle Interne.

Cas pratique d’application au sein d’une société industrielle

Une société, acteur majeur sur son marché, « la distribution », a réalisé un diagnostic sur son environnement de Contrôle Interne afin de rédiger son rapport LSF.

Cette société s’appuie sur une organisation décentralisée, une responsabilisation de ses dirigeants et des modes de gestion différents.

Il ressort de ce diagnostic les dysfonctionnements énumérés ci-dessous.

Absence :

• d’acteur fédérateur au siège et de leader du pilotage pour assurer l’harmonie...

II •

Origine et enjeux
de la gouvernance

II.1 Historique du concept

L’origine du mot est grecque kubernân, il signifie piloter un navire ou un char. Il fut utilisé pour la première fois par Platon pour désigner le fait de gouverner les hommes. Il a donné naissance au verbe latin gubernare. Le mot latin a engendré en Français les notions de gouverner, gouvernement, gouvernance, etc.

Le mot anglais « governance » est apparu dans les années 1990 par des économistes dans le cadre des dérives du système boursier.

Il est également utilisé à cette période par certaines institutions internationales (ONU, Banque mondiale et FMI). Il s’agit de désigner « l’art ou la manière de gouverner », mais avec le souhait de séparer le terme du gouvernement en tant qu’institution, la gouvernance dépasse dans cette optique le simple gouvernement ou président ou chambre des députés… En utilisant restaurant un vocable peu usité, on souhaite promouvoir un nouveau mode de gestion des affaires publiques fondé sur la participation de la société civile à tous les niveaux (national, mais aussi local, régional et international).

Le concept s’inscrit dans une constellation d’idées liées à la mondialisation. Ce serait un processus d’organisation et d’administration des sociétés humaines, dans le respect et l’épanouissement de leurs diversités.

À cette notion s’ajoute celle de « développement durable » apparue dans les années 70. La gouvernance allant au delà du simple gouvernement a pour objectif de promouvoir cette démarche globalisante, intégrant dans les calculs ce qui est oublié (détérioration d’éléments vitaux comme les espèces) et donc contraignant chacun à assumer une juste part du fardeau. Le développement doit intégrer l’idée des générations futures.

II.2 La gouvernance d’entreprise

La gouvernance d’entreprise est l’ensemble des organes et règles de décision, d’information, de transparence et de surveillance permettant aux ayants droit et partenaires d’une institution, de voir leurs intérêts respectés et leurs voix entendues dans le fonctionnement de celle-ci.

En France, c’est la loi du 3 juillet 2008 portant diverses dispositions d’adaptation du droit des sociétés au droit communautaire (dite « loi DDAC ») vient renforcer les lois NRE et sécurité financière. Elle augmente les obligations de transparence des sociétés en matière de gouvernement d’entreprise et de contrôle interne. Ainsi, les articles L. 225-37 et L. 225-68 du Code de commerce prévoient que le président de conseil d’administration ou du conseil de surveillance, de sociétés faisant appel public à l’épargne, doit établir un rapport rendu public précisant :

– la composition, les conditions de préparation et d’organisation des travaux du conseil et les procédures de contrôle interne ;

– le code de gouvernement d’entreprise auquel la société a choisi de se référer ou, à défaut, les règles retenues par cette société en complément des exigences requises par la loi ;

– les modalités particulières relatives à la participation des actionnaires à l’assemblée générale.

La gouvernance d’entreprise est donc basée sur une transparence accrue des décisions, des qualités de chacun, des acteurs de la décision et des comptes eux-mêmes.

II.3 La gouvernance imposée par les lois et les réglementations

Dans un contexte de globalisation croissante, les grands acteurs économiques se doivent aujourd’hui de penser à l’échelle mondiale quand il s’agit d’asseoir leur position dans n’importe quels industries ou secteurs que ce soit. Ce postulat entraîne pour les groupes français de modeler leur organisation de manière flexible et décentralisée afin d’offrir une réelle efficacité lorsqu’il s’agit de gérer des centaines d’entités juridiques à travers le monde et de jongler avec des organisations matricielles de plus en plus complexes impliquant de multiples strates dans les processus de décision.

Une nécessaire subsidiarité, reposant sur la délégation des pouvoirs et la responsabilisation à différents niveaux de l’organisation, s’accompagne systématiquement de mesures et de dispositifs de contrôle pour s’assurer justement que les pouvoirs et les opérations délégués obéissent aux règles et entrent dans un cadre qui a été préalablement fixé.

Dans le cadre de la gouvernance, le législateur qu’il soit américain ou européen a depuis la fin des années 1990 cherché à définir les règles et principes qui régissent la gestion d’entreprise.

La « corporate governance » (cf. supra), concept défini par les...

III •

L’analyse des risques

III.1 Qu’est-ce qu’un risque ?

Dans le chapitre I, nous avons donné au Contrôle Interne la définition suivante :

« Le Contrôle Interne est une démarche permanente de détermination des risques ayant pour objectif la maîtrise permanente des activités. »

Il s’agit donc d’identifier les risques auxquels sont confrontées les organisations pour être en mesure de les gérer.

D’une façon théorique la notion de risque peut se décrire de la façon suivante :

Le risque est la possibilité qu’un événement se produise et ait une incidence défavorable sur la poursuite et/ou l’atteinte des objectifs et/ou sur les actifs de l’entreprise. L’événement doit être potentiel et sa potentialité de survenance doit être évaluée.

La gestion des risques suit quatre phases :

• l’identification des menaces,

• la hiérarchisation des risques identifiés,

• le traitement des risques,

• la mise en adéquation de la responsabilité de leur gestion.

III.1.1 Typologie des risques

L’éventualité de survenue d’un risque repose sur l’existence de causes potentielles qui pèsent de fait sur les organisations. Comme l’indique la figure « Typologie des risques » à la page suivante, nous avons choisi dans notre méthodologie de classer ces menaces/risques selon deux origines et trois grandes catégories :

• celles dues au hasard : aléas naturels,

• celles dues à l’homme : erreurs et malveillance (externe et interne).

III.1.2 Niveaux de risque

Les risques peuvent être de différents niveaux :

III.1.3 La méthode de classement des risques en risques majeurs, courants et de non-qualité

La prise en compte de ces menaces permet d’identifier avec les acteurs concernés des scénarios de risques. En effet, nous verrons un peu plus loin que la découverte des risques et des scénarios associés se fait à l’aide des séances dite de créativité avec les collaborateurs de chaque entité étudiée. L’objectif, comme nous l’avons déjà explicité, est de faire en sorte que chacun des acteurs soit capable de gérer ses propres risques, là où il est pour ce qui le concerne et en toutes circonstances.

Typologie des risques d’après leurs causes

Les aléas naturels

Les erreurs

La malveillance

Catastrophes naturelles :

– éruption volcanique,

– tremblement de terre,

– inondation, avalanche,

– glissement de terrain,

– orage (perturbations – électromagnétiques, foudre),

– cyclone, raz de marée,

– pollution naturelle (organique,

biologique, etc.).

Accidents :

– de travail,

– de transport (terrestre, maritime, aérien, fluvial),

– incendie,

– dégât des eaux,

– chute,

– court-circuit,

– explosion,

– bris de machine, d’outillage,

– de climatisation, de chauffage,

Pannes :

– franche de matériel,

– latente (dysfonctionnements),

– de fluide (alimentation, conversion),

– de réseau (téléphone, télécom, etc.),

– dégradation rapide des performances (temps de réponse, taux d’interruptions, etc.),

– vice caché,

– « bogue » de constructeur de logiciel,

– suite modification des normes

techniques.

Aléas conjoncturels :

– baisse de la demande,

– hausse imprévue de la demande.

Défaillances en matière de personnel :

– maladie contagieuse (incapacité temporaire),

– décès,

– intoxication (alimentaire, chimique, etc.),

– démission, départ en retraite de personnel ou stratégique (unitaire, massif).

– Erreurs de saisie (mauvaise saisie, oubli, etc.).

– Erreurs de transmission (courrier,

télécom, etc.).

– Erreurs d’application de la réglementation.

– Erreurs de manipulations.

Sabotages :

– de biens matériels

(immeubles, mobilier,

informatique, etc.),

– des données (dossiers manuels ou

informatiques, etc.),

– des programmes

informatiques,

– gaspillages (temps perdu, fournitures, etc.).

Agressions :

– verbales envers le

personnel,

– physiques du personnel en vue de voler des valeurs.

Vols :

– vols de biens matériels,

– fraudes par accumulation progressive ou gros détournement.

Atteintes à la

confidentialité :

– vol de données,

– consultation illicite d’informations,

– copie illicite de données,

– piratage informatique.

Enfin, les risques issus des scénarios recensés sont évalués et classés en trois catégories (majeurs, courants et non-qualité) sur la base de deux critères traditionnels en analyse de risque :

• la gravité du risque qui mesure les conséquences pour l’entreprise,

• la probabilité de réalisation du risque qui détermine le taux d’occurrence,

Le résultat du produit « gravité x probabilité » donne ce que l’on nomme l’espérance mathématique de la gravité (ou criticité). La criticité d’un risque est donc un indicateur de l’acuité du risque.

Comme l’indiquent les tableaux suivants, une échelle à quatre niveaux est utilisée pour chaque critère (gravité et probabilité), qui permet le classement des risques dans les trois catégories énoncées (cf. Fig. 3) :

• risques majeurs,

• risques courants,

• risques mineurs ou de non-qualité.

Échelle de cotation de la gravité du risque

4

Inadmissible

Met l’équilibre de l’entreprise en cause, voire sa survie.

3

Vraiment grave

Ne met pas vraiment l’entreprise en péril complet mais très grave et doit impérativement être traité.

2

Relativement grave

Ne peut être toléré que dans un premier temps, à titre provisoire.

1

Gênant

Porte à conséquence, mais reste tolérable.

0

Insignifiant

Sans aucune conséquence remarquable.

Une fois les risques identifiés en fonction de leur enjeu, nous pouvons ensuite les classer et les prioriser à travers la matrice de vulnérabilité qui reprend les critères de gravité et de fréquence. On obtient le graphique ci-après.

Échelle d’évaluation de la probabilité de réalisation du risque

4

C’est très possible

Cela arrivera sûrement à court ou moyen terme.

3

C’est bien possible

Cela arrivera certainement un jour ou l’autre.

2

On ne peut pas dire que ce soit raisonnablement impossible

Techniquement possible.

1

Raisonnablement impossible

Il est possible que cela puisse se produire un jour.

0

Strictement impossible

Cela n’arrivera jamais.

III.1.4 Le traitement du risque

L’intérêt du rappel de la définition du « risque » est de montrer la continuité quasi insécable dans les processus d’analyse.

Il est purement artificiel de ne s’intéresser qu’à une seule catégorie de risques, car cela reviendrait à poser comme acquis la classification hiérarchique des risques qui résulte justement de cette analyse. On ne peut pas rationnellement juger d’un risque sur la base d’à priori.

À cette morphologie du risque, on associe plusieurs grands types d’actions :

• agir sur la probabilité et mettre en place des actions de Prévention,

• diminuer l’impact du risque (la gravité) en mettant en place des actions de Protection,

• agir à la fois sur la probabilité et la gravité,

• supprimer le risque et donc annuler la probabilité d’occurrence,

• financer le risque par une assurance (transfert du risque à un tiers).

L’objectif est de réduire les menaces « brutes » pour arriver à un risque résiduel le plus faible possible.

III.1.5 La mise en adéquation de la gestion des risques avec l’échelle des responsabilités

Lorsque les risques ont été hiérarchisés, le travail n’est pas pour autant terminé car il est nécessaire de déterminer qui, dans la hiérarchie, sera chargé de mettre en place les actions de maîtrise des risques. Pour ce faire, ce sont les enjeux inhérents aux risques qui sont associés aux niveaux de responsabilités existants dans la structure concernée. Nous illustrons ce principe à l’aide du tableau (cf. figure 4) où les actions de maîtrise des risques majeurs de niveau 4 sont initiées et pilotées par la Direction et ainsi de suite jusqu’aux risques de non qualité de niveau 1 qui peuvent être gérés par les employés directement. Bien entendu, il s’agit d’une technique à adapter dans chaque entreprise en fonction de l’organisation adoptée.

III.1.6 La distinction Risque Brut / Risque Net / Risque Résiduel

Dans toute démarche d’analyse des risques et pour chaque typologie d’organisation, la qualification...

IV •

La gestion du risque de fraudes

Selon l’étude réalisée par PWC, 6e édition « Global Economic Crime Survey 2011 », la fraude gagne du terrain.

La fraude demeure un enjeu majeur pour les entreprises puisqu’une entreprise sur trois interrogée dans le monde (34 %) dit avoir été victime d’une fraude au cours des douze derniers mois, près d’une entreprise sur deux en France (46 %). Ces résultats marquent une progression de la fraude par rapport à la précédente étude de 2009 de respectivement + 4 points dans le monde et de + 17 points en France.

La fraude et les montages qu’elle suscite ont bien évolué depuis une trentaine d’années. La répartition de la population en terme de fraude peut se scinder ainsi :

• vingt pour cent des personnes frauderaient quoiqu’il arrive,

• vingt pour cent ne frauderaient jamais,

• les soixante pour cent restant basculeraient ou non vers la fraude en fonction de la nature et de la robustesse du contrôle.

La situation économique actuelle et l’ambiance délétère incitent cette population des soixante pour cent à passer à l’acte.

Il est à noter que l’étude de PWC met en évidence un lien important entre la taille de l’entreprise et l’occurrence de la fraude :

• une entreprise de plus de mille employés sur deux (54 %) a été victime d’une fraude au cours des douze derniers mois, soit une progression de huit points par comparaison à 2009, ce chiffre atteignant même 67 % pour la France.

Ce pourcentage tombe à moins d’une entreprise sur trois (29 %) pour les structures comprenant de 200 à 1 000 employés et à moins d’une sur cinq (17 %) pour les structures de moins de 200 employés1.

IV.1 La fraude interne : un risque mal connu et une notion récente

La fraude interne est une notion nouvelle ; on assimilait la Gestion des Risques essentiellement aux aléas naturels ou aux risques technologiques majeurs, depuis peu on s’oriente vers une émergence des risques associés à des opérateurs intentionnels avec la notion de malveillance et de la fraude interne.

L’enjeu est de taille car on ne lutte plus contre des aléas naturels ou des erreurs non volontaires mais contre l’intelligence humaine.

Nous retiendrons la définition telle que proposée par l’Association of Certified Fraud Examiners :

La fraude interne est l’utilisation de son propre emploi afin de s’enrichir personnellement tout en abusant ou en détournant délibérément les ressources ou les actifs de l’entreprise.

Du comptable au PDG, les ruses de l’arnaqueur sont multiples. Certaines fonctions s’y prêtent plus que d’autres : PDG, directeur financier ou informatique, chef comptable ou analyste programmeur, agent de change ou professionnel de l’immobilier… mais la liste n’est pas exhaustive.

De même, au niveau des complices, on trouve souvent des experts comptables, des commissaires aux comptes, des notaires ou autres experts.

Surtout ne pas se fier aux apparences, le fraudeur n’est pas le monstre froid qui ne dit jamais bonjour et qui travaille sans cesse jusqu’à des heures tardives.

Les motivations du fraudeur sont multiples. Un homme qui subit des revers professionnels, qui se démotive ou vit un échec familial sera plus sensible aux sirènes de la fraude. Une entreprise dont l’organisation générale manque de rigueur et dont les résultats sont déficitaires, est vulnérable. Celle dont la déontologie professionnelle est floue risque de le payer cher.

L’environnement humain et organisationnel pèse lourd dans l’origine d’une fraude. C’est lui qui va créer l’opportunité ou la motivation du délit. Si l’opportunité précède la motivation, il arrive que le fraudeur attende des mois ou des années pour en tirer parti.

La fraude interne aux entreprises, commence par la petite indélicatesse.

Qui peut se prétendre à l’abri de la « gratte » ? Appels téléphoniques personnels fréquents, pillage de l’armoire à fournitures à chaque rentrée scolaire ou photocopies du mémoire de maîtrise du fils étudiant : les occasions sont innombrables, et à l’extrême, cela aboutit à de véritables détournements.

Entre la « gratte » et les détournements financiers sophistiqués, une nouvelle fraude se développe de façon préoccupante : celle que permet, parfois à grande échelle, la généralisation des connexions informatiques, télématiques et téléphoniques. À partir d’un seul poste de travail, en particulier dans les nouvelles configurations clients/serveurs, un individu peut avoir accès à de nombreuses applications et bases de données.

De l’ajout de faux clients ou fournisseurs dans les fichiers informatiques aux fausses écritures, la liste est longue des détournements possibles.

Certaines activités sont notoirement touchées par des abus de tous types.

• En premier lieu la distribution où est née l’expression « démarque inconnue » pour désigner les marchandises qui disparaissent dans la nature. Elle représente entre 1 % et 2 % du chiffre d’affaires des magasins, dont la moitié serait imputable aux salariés. La distribution a le mérite de parler ouvertement du phénomène et de le chiffrer.

• Même attitude dans l’informatique : le Club de la Sécurité Informatique Français (Clusif) évaluait déjà le montant des fraudes à environ 245 millions d’euros.

• Banques et compagnies d’assurances constituent les deux cibles préférées des aigrefins. D’abord parce que c’est là qu’on trouve le plus d’argent, ensuite parce que la masse est telle que les détournements souvent mineurs passent inaperçus, même s’ils sont très rémunérateurs pour le fraudeur.

La belle machine mise au point par les escrocs met parfois du temps avant de dérailler. Une vingtaine d’ingénieurs et de cadres supérieurs de la compagnie d’assurances américaine Equity Funding Insurance ont détourné 2 milliards de dollars en créant 64 000 clients fictifs ; pendant six ans, ils ont opéré en toute impunité. Rien n’empêche de penser que les plus belles escroqueries n’ont jamais été découvertes.

Autres exemples de fraudes

Source : Fraude : cela n’arrive pas qu’aux autres, L’entreprise nº 201, juin 2002.

images Le cas particulier du blanchiment d’argent

Selon une étude menée par Revue Banque nº 670 de juin 2005, les experts s’accordent à dire que l’activité de blanchiment d’argent dans le monde représente des flux financiers annuels compris entre 600 et 1 500 milliards de dollars.

Dans ce contexte, la lutte anti-blanchiment d’argent entre désormais dans le cadre général du risque de non-conformité, donc de fraude potentielle.

En matière de réglementation, les premières dispositions spécifiques françaises intégrées dans le Code de la santé publique, datent de 1987.

Néanmoins, depuis une dizaine d’année, les dispositifs juridiques ont été renforcés, notamment sous l’impulsion des États.

L’une des résultantes est la création en 1989 du groupe d’Action Financière (le GAFI), un organisme intergouvernemental appelé à concevoir des stratégies de lutte contre le blanchiment de capitaux et le financement du terrorisme, et qui a publié dans cet objectif de nombreuses recommandations : 40 pour le blanchiment et 9 pour le terrorisme.

En France, c’est Tracfin (traitement du renseignement et actions contre les circuits financiers clandestins) qui est en charge de vérifier et contrôler les déclarations de soupçons venant des établissements financiers.

En d’autres termes, le blanchiment d’argent est devenu en quelques années, suite aux déréglementations bancaires, une fraude particulière sur laquelle il faut être désormais très vigilant. De plus en plus, les établissements financiers créent des fonctions de compliance-officers pour détecter et superviser les processus qui peuvent financer le terrorisme et favoriser le blanchiment de capitaux. En développant une approche par les risques, la troisième directive européenne va alors dans le bon sens car elle incite les banques et tous les établissements financiers à adapter leur organisation et leurs systèmes de détection et de pilotage de lutte anti-blanchiment au type de clientèle et à la nature des opérations.

Les obligations de vigilance (le « know your customer ») visent en particulier les entrées en relation sans contact physique, les relations de correspondance bancaire, les personnes politiquement exposées et également le contrôle des chèques.

Dès que les « professionnels du chiffre et du droit » soupçonnent ou ont des raisons suffisantes de soupçonner une opération ou une tentative de blanchiment de capitaux, ils ont l’obligation de faire une déclaration de soupçon à la cellule de renseignement financier. L’obligation de déclaration d’une activité criminelle, au sens de la directive, porte sur les opérations et sommes qui proviennent d’activités illicites : le trafic de stupéfiants, le terrorisme, les atteintes aux intérêts financiers des Communautés européennes, la corruption et les activités criminelles organisées. Par conséquent, tous les délits économiques et financiers entrent dans le champ de la déclaration de soupçons puisque ceux-ci encourent une peine de prison de 5 ans d’emprisonnement, y compris la fraude fiscale.

Pour gérer ces risques particuliers, les établissements financiers à travers les directions d’audit ou les compliance-officers, ont mis en place des outils d’analyse simples et facilement auditables.

Deux types d’outils sont utilisés :

• les outils qui détectent les opérations atypiques par rapport à un profil de client ou à un historique d’opérations ;

• les outils, plus sophistiqués, qui utilisent des moteurs statistiques mettant en évidence les opérations qui s’écartent d’une moyenne statistique pour un client donné ou un type de clientèle2.

Un exemple dans le secteur de la mutualité :

Les mutuelles, en tant qu’établissements financiers, sont exposées au blanchiment de capitaux et doivent mettre en place des dispositifs de lutte anti-blanchiment. La règlementation à ce sujet ne cesse de se préciser et les dernières évolutions apportées par l’ordonnance du 30 janvier 2009 se présente comme un durcissement des contraintes de fonctionnement et impose une obligation de vigilance renforcée.

1. Qu’est-ce que le blanchiment ?

Le code pénal définit le blanchiment de capitaux de la manière suivante : « Le blanchiment est le fait de faciliter, par tout moyen, la justification mensongère de l’origine des biens ou des revenus de l’auteur d’un crime ou d’un délit ayant procuré à celui-ci un profit direct ou indirect.

Constitue également un blanchiment le fait d’apporter un concours à une opération de placement, de dissimulation ou de conversion du produit direct ou indirect d’un crime ou d’un délit. »

2. Quel est le mécanisme de blanchiment ?

Le but du blanchiment d’argent est d’utiliser des mécanismes financiers pour brouiller l’origine illégale des capitaux. En principe, il se réalise en trois étapes :

1. Le placement qui consiste à utiliser de l’argent sale pour une opération financière ;

2. L’empilage qui consiste à réaliser une multitude d’opérations financières afin de dissimuler l’origine des capitaux ;

3. L’intégration qui correspond au retrait des capitaux blanchis pour une utilisation conventionnelle. Leur origine est justifiée par les établissements financiers utilisés.

3. Les principales techniques auxquelles sont confrontées les mutuelles

Les mutuelles font parties des entreprises qui peuvent être utilisées pour blanchir des fonds. En ce qui concerne la mutualité, les techniques de blanchiment les plus utilisées sont les suivantes :

• La souscription d’une assurance vie (placement) financée avec des capitaux sales, suivie d’une résiliation prématurée (empilage) dans le but de recevoir un remboursement même partiel (intégration) des capitaux initialement invertis ;

• La souscription d’une assurance santé (placement) financée avec des capitaux sales, suivie d’un apport de faux justificatifs médicaux (empilage) puis de demandes de remboursement (intégration).

4. Quels sont les risques encourus par les mutuelles ?

a. Le risque juridique

Selon le chapitre VI du livre V du code monétaire et financier, les mutuelles ont une obligation de vigilance qui leur impose la connaissance de leurs adhérents.

Il est important de noter que l’article 324-1 du code pénal précise qu’apporter concours à un acte de blanchiment est passible de 5 ans d’emprisonnement et de 375 000 € d’amende.

De plus, selon l’article 121-3 du même code, la mutuelle, ou l’un de ses membres, pourra être poursuivie en cas de blanchiment avéré, et ce même si l’infraction est due à une des causes suivantes :

• Imprudence ;

• Négligence ;

• Non-respect d’une obligation de sécurité.

Enfin, le fait pour une mutuelle de ne pas respecter les obligations et les recommandations en matière de lutte anti-blanchiment est passible de sanctions de la part de l’ACP (article L561-2 du code monétaire et financier) allant du blâme à l’interdiction d’exercer.

b. Le risque d’image

La réputation de la mutuelle pourrait aussi subir de lourdes dégradations, en effet un cas avéré de blanchiment peut donner une image négative de la mutuelle et détruire sa crédibilité auprès de ses clients, des autorités, de ses partenaires, etc.

5. Quelles sont les autorités compétentes ?

Les deux principaux organismes concernant la lutte anti-blanchiment au sein des mutuelles sont :

• L’ACP (Autorité de Contrôle Prudentiel) représente l’Autorité de Contrôle des Assurances et Mutuelles. Son rôle est de veiller au respect de la règlementation des sociétés concernées et de leur capacité à tenir leurs engagements auprès des adhérents. Pour remplir sa mission, elle peut réaliser des audits auprès des établissements concernés.

• TRACFIN, l’organisme français chargé d’enquêter sur les circuits financiers clandestins, et auprès duquel les mutuelles doivent déclarer leurs soupçons pesant sur leurs clients, en vertu de l’article L561-15 du Code monétaire et financier.

Les déclarations doivent comporter les éléments suivants :

•...

Remerciements

Nous tenons à remercier toutes les personnes qui nous ont aidé de leurs conseils et les entreprises rencontrées lors de la réalisation de cet ouvrage. Nous avons été particulièrement sensibles aux remarques et suggestions que le cabinet Parme Conseil et les experts du contrôle interne que nous avons pu rencontrer, ont bien voulu nous donner.

Nous voulons également remercier toutes les personnes que nous avons rencontrées dans les entreprises et qui, en nous recevant, ont rendu ce travail possible.

Enfin, nous exprimons notre plus vive gratitude à nos épouses respectives qui ont su faire preuve de patience lors de la rédaction du présent...