Le nouveau modèle des trois lignes est plus adapté aux nouvelles réalités

L’IIA Global a rendu public en juillet dernier son nouveau Modèle des Trois Lignes. Une avancée positive et significative, qui insiste notamment sur la « flexibilité », le rapprochement de la 1ère et 2ème Lignes et s’appuie sur une plus grande clarté du schéma explicatif.
Jean-Marie Pivard, Président de l’IFACI, revient sur les principales évolutions du modèle, plus adapté selon lui aux nouvelles réalités réglementaires.

L’IIA a publié le 20 juillet dernier le nouveau modèle des Trois Lignes (voir encadré). Qu’en retenez-vous ?

Jean-Marie Pivard : Le modèle des lignes de maîtrise tel que nous le connaissions a plus de 10 ans et il était effectivement nécessaire de le faire évoluer. Historiquement, ce modèle est un élément très important de la relation entre nos professions et nos parties prenantes. La modélisation est très utile pour comprendre le rôle de chacun et leur positionnement dans la gouvernance de l’entreprise. Il constituait à l’époque une grande avancée et tout le monde s’est appuyé depuis sur ce document.

Mais à part les secteurs bancaires et des assurances, qui sont particulièrement réglementés, et où l’ancien modèle reste aujourd’hui appliqué de façon très stricte, l’organisation des « 3 lignes de maîtrise » bien distinctes les unes des autres correspond moins à la situation actuelle. Dans la plupart des structures, on se focalise sur les synergies qui se sont de plus en plus développées entre auditeurs internes, contrôleurs internes et managers des risques.

Il n’était plus forcément adapté aux petites structures ?

J-M.P. : On peut dire ça, effectivement... Ce qui est important de garder en tête, c’est que généralement, les plus petites structures (ETI, PME), s’intéressent aux métiers du contrôle et de l’audit, très souvent, parce qu’elles y sont contraintes. Sous un angle conformité au départ (loi Sapin 2, RGPD...), elles découvrent ensuite l’intérêt d’une organisation globale et efficace des dispositifs de gestion des risques, de contrôle et de gouvernance. Vous vous rendez compte que les 8 piliers de la loi Sapin 2 imposent notamment une obligation de vigilance et la mise en place d’alertes qui doivent forcément être traitées ! Donc, par des professionnels, indépendants... souvent les auditeurs. Auparavant, seuls les groupes cotés étaient concernés. Aujourd’hui le seuil des entreprises concernées est beaucoup plus bas : à partir de 500 salariés et 100 millions de CA.

Les entreprises ont dû s’adapter, malgré des difficultés souvent financières pour mettre en place ces dispositifs stricts. Nous avons d’ailleurs reçu beaucoup d’appels à l’IFACI d’entreprises nous demandant de les aider. Le nouveau modèle, par ses apports de flexibilité, par la précision des rôles et responsabilités, des interactions entre les parties prenantes... peut aider ces petites structures à définir ce qui leur convient le mieux : tant vis-à-vis de la règlementation que de leurs objectifs !

Le CEO de l’IIA, Richard Chambers, présente ce modèle comme étant « davantage une évolution naturelle du Modèle connu des Trois Lignes de Maîtrise qu’une véritable révolution ». Est-ce une vision que vous partagez ?

J-M.P. : Tout à fait et c’est une satisfaction. Il confirme la pertinence du modèle et le fait évoluer en le clarifiant, en le simplifiant et en l’adaptant aux réalités déjà bien présentes pour nos membres.

Si le nouveau modèle rapproche les deux premières lignes, il insiste à plusieurs reprises sur l’indépendance que doit conserver l’audit interne. Cette stricte séparation est-elle toujours nécessaire ?

J-M.P. : C’est fondamental. L’auditeur interne doit pouvoir rester indépendant et impartial. Il doit conserver son esprit critique et faire preuve de technique, de rigueur et surtout de courage. Le courage de dire les choses. Mais vous pouvez garder votre indépendance même s’il y a des rapprochements entre les différentes fonctions ! Il est important de mettre en place des dispositifs pour garantir cette indépendance, des « garde-fous » en quelque sorte.

Par ailleurs, il est aussi important que quelqu’un puisse donner un avis indépendant sur l’organisation. Les règles de la profession le prévoient : tous les 5 ans au maximum, il faut un avis externe. C’est d’ailleurs ce que fait très bien IFACI certification, qui vient certifier que vous êtes bien conforme aux normes professionnelles internationales. C’est très important pour rassurer la gouvernance sur l’indépendance et le professionnalisme du département d’audit interne.

Concrètement, le modèle des 3 lignes, et plus particulièrement son schéma explicatif, parlait assez bien à tous. Êtes-vous satisfait du nouveau schéma ? Pensez-vous qu’il va être utile pour expliquer le rôle de l’audit au sein de l’entreprise ?

J-M.P. : Oui, le schéma permet une bonne entrée en matière, notamment pour les petites entreprises qui découvrent le sujet. Il reste très pédagogique, même pour les plus grandes structures, où nous avons encore régulièrement affaire à des opérationnels qui méconnaissent encore le rôle de l’audit interne.

L’IFACI promeut la « création de valeur » des fonctions d’audit interne, de contrôle interne et de gestion des risques. En quoi ce nouveau modèle permet-il d’illustrer la création de valeur ?

J-M.P. : Dans ce nouveau modèle, l’accent est mis sur le rôle de nos métiers dans la création de valeur, en plus de sa protection. C’est bien. Indispensable, même de le rappeler à nos parties prenantes qui sont aujourd’hui très nombreuses (internes, externes, salariés, top management, clients, partenaires, fournisseurs, opérateurs publics, banques, actionnaires, fonds d’investissements, etc.). D’ailleurs, le modèle y fait référence, lorsqu’il parle du devoir de redevabilité étendu de la Gouvernance. Ceci dit, si cela est une nouveauté pour le modèle, il me semble que c’est déjà une réalité bien acquise de tous. En revanche, la complexité à venir porte d’après moi, sur la notion même de valeur. Aujourd’hui on parle de valeurs, au pluriel. Ou de valeur globale et intégrée ! Il faut pouvoir démontrer de la performance globale d’une organisation, être transparent sur la gestion financière et extra-financière, de l’ensemble des capitaux qui composent ce processus de valeur. L’audit interne et le contrôle interne ont un rôle très important dans la fiabilisation de ces processus. Donc, création de valeur oui, mais créateur de confiance sur l’ensemble des valeurs, encore mieux !

On vous sent engagé dans ce nouveau défi... comment cela se concrétise pour l’IFACI ?

J-M.P. : Concernant le nouveau modèle, nous l’appuyons et nous sommes convaincus qu’il va dans le bon sens, sur ces nouvelles questions.
Nous en parlons d’ailleurs beaucoup avec les autres instituts européens qui partagent notre vision. Sinon, en France, nous travaillons avec la CNCC (Compagnie Nationale des Commissaires aux Comptes) et la Chaire Audencia « Performance Globale Multi-capitaux », pour contribuer aux débats en cours sur ces questions. Il s’agit de partenariats stratégiques pour nous.