Capitaliser sur l'expérience pour s'adapter à l'audit à distance

Depuis bientôt deux ans, nos métiers se trouvent confrontés à une situation inédite : l‘impossibilité de réaliser la plupart des missions en étant au contact des audités. La distance au sein des équipes des audits a constitué une nouvelle composante à intégrer. Or, effectuer des audits à distance a généré bien des difficultés pour la profession… compensées dans certains cas par quelques opportunités. Les experts Mazars des métiers de la maîtrise des Risques se sont penchés sur le sujet lors de la conférence de l’IFACI en novembre dernier, en posant notamment deux questions : « Comment s’est-on adapté ? » et « Sur quoi a-t-on capitalisé ? ». Ils ont depuis travaillé sur l’ensemble des questions et remarques formulées lors de cet événement. Voici, en exclusivité pour l’IFACI, la synthèse de leurs travaux.

Lors de la dernière conférence, de nombreux auditeurs internes ont fait part de leurs difficultés depuis le début de la crise sanitaire et plus particulièrement pendant les périodes de confinement : perte d’interaction avec les équipes liée à l’éloignement de l’entreprise, dimensionnement des audits revu à la baisse, maturité digitale hétérogène, lien de confiance plus difficile à établir à distance, augmentation de la charge de travail, plus grande difficulté à capter les signaux faibles… Et même si quelques opportunités sont apparues, comme la possibilité de  se concentrer sur l’ajustement et la mise à jour des  process et méthodes, de généraliser l’usage d’outils communs ou encore de renforcer les liens entre les métiers acteurs de la maîtrise des risques, ce sont malgré tout, les facteurs de complexité qui ont logiquement marqué les esprits pendant cette période.

« Nous avons classé les différents sujets évoqués par les participants à l’atelier en quatre catégories : organisation, outils, méthodes et technologies, » explique Bertrand de Puybaudet, Senior Manager, Risk – Internal Audit & Control – Business Continuity Advisory chez Mazars, « en demandant de répondre à la question : quels sont, selon vous, les méthodes, pratiques ou usages sur lesquels l’audit à distance devrait capitaliser ? ». Les personnes présentes ont ainsi pu proposer en direct, via la plateforme en ligne Klaxoon, toutes les suggestions tirées de leur expérience personnelle. En sont ressorties de nombreuses idées, synthétisées aujourd’hui par Mazars en autant d’éléments de réponse.

Aspects organisationnels

La première catégorie concerne les aspects organisationnels. À partir des retours des participants à l’atelier, 4 éléments clés caractérisent clairement l’audit avec la généralisation du travail à distance : l’adaptabilité, l’autonomie, l’agilité et la disponibilité. Le fait que les audits soient devenus hybrides a également largement été souligné par les participants. Pour Bertrand de Puybaudet, rien d’étonnant à cela : "par la force des choses, une dualité avec des phases terrain et distancielles a été imposée par la situation, qui semble aujourd’hui tout à fait pérenne, et sur laquelle il ne faut plus hésiter à capitaliser ».

« Adaptabilité, autonomie, agilité et disponibilité »

Autre point important évoqué, le recours plus fréquent à une personne de confiance : « À distance, on s’appuie davantage sur ce que les anglo-saxons appellent un Single point of contact (SPOC), » explique-t-il, « un relais important à entretenir au sein des équipes ». 

Enfin, si l’augmentation de la charge de travail a été largement notée lors de l’atelier, beaucoup estiment que doit être préservé un « droit à la déconnexion », ce qui n’a pas toujours été le cas selon l’expert de Mazars : « Les changements organisationnels ont eu comme revers de la médaille d’être parfois sur-sollicité ». Un facteur à surveiller.

Les outils

En ce qui concerne les outils, ils ont bien entendu joué un rôle central depuis le début de la crise sanitaire. Qu’il s’agisse des outils de communication à distance, comme Teams par exemple, qui ont « été boostés lors des mois écoulés et se sont avérés extrêmement utiles pour la fonction d’audit », ou des outils d’analyse de données et de data visualisation. D’autant plus importants, souligne Bertrand de Puybaudet, que ces derniers offrent « la possibilité de traiter plus de données, de mieux les comprendre, de mieux les exploiter, et surtout de mieux les valoriser. Une pratique qui s’est clairement démocratisée ».

Le recours à des serveurs sécurisés s’est également étendu : « L’accès à la data étant rendu un peu plus délicat, ces serveurs – voire des data lakes - sont devenus indispensables pour déposer des données et les partager, et permettre aux auditeurs de mener leurs investigations sans pour autant déranger à chaque fois les environnements de production ».

« La possibilité de traiter plus de données, de mieux les exploiter et surtout de mieux les valoriser »

Autre point avancé par les participants, la nécessité de renforcer les phases amont des audits : « En s’appuyant davantage et en capitalisant, notamment, sur tous les environnements de contrôle existants - les outils et reporting du contrôle de gestion et du contrôle interne, qui existent déjà de façon permanente - cela va alléger les phases terrain et permettre de gagner en pertinence et en précision ».

Enfin, il est apparu nécessaire d’encourager l‘utilisation des outils de planification d’audits : « Ils permettent de mieux suivre et piloter les audits dans des périodes où les équipes sont éclatées et où l’on n’est pas directement sur place, avec souvent plusieurs missions à mener de front », précise Bertrand de Puybaudet.

Les méthodes

Les méthodes ont également évolué au cours des deux années écoulées. Des auditeurs internes ont évoqué l’idée de réaliser de véritables pré-audits. « Une suggestion qui rejoint celle de renforcer les phases amont évoquées auparavant, en répartissant différemment les travaux », explique-t-on chez Mazars. Globalement, la plus grande complexité des missions effectuées en distanciel, avec moins de temps pour faire les choses, a poussé chacun à envisager des solutions pour gagner en efficacité, en essayant de standardiser les programmes de travail, par exemple, ou de se concentrer sur des audits ciblés ou encore des audits "flash" : « Il est difficile pendant cette période de passer beaucoup de temps sur des audits longs, de 2 ou 3 mois, qui avec le distanciel perdent en dynamique », observe encore Bertrand de Puybaudet. Même objectif en tentant de mettre en parallèle les audits afin de mutualiser les analyses en les déployant sur plusieurs missions en même temps. Par exemple un audit achat déployé sur une entité, étendu finalement sur plusieurs autres.

De nombreux intervenants ont aussi évoqué le besoin de soutien pour animer avec la plus grande efficacité des audits à distance, via des formations notamment, permettant de les aider à maintenir le lien avec les audités, et qui relèvent en fait des soft skills. Prévoir quelques minutes d’échange informels avec les audités est par exemple apparu comme très important : « Avant de commencer à entrer dans le vif du sujet, surtout à distance, consacrer quelques minutes à la prise de contact avec de simples questions du type « comment allez-vous ? ». D’autant plus lorsque le lien de confiance, essentiel à la fluidité du partage d’information entre auditeurs et audités, est altéré par la distance: « Le fait de ne pas être au contact peut peser sur la confiance. Solliciter systématiquement un partage d’écran permet de gommer un peu les effets du distanciel ». Autre écueil du "tout à distance", la perte des signaux faibles, que les auditeurs aguerris ont l’habitude de capter lors des phases terrains et qui sont porteurs de précieuses informations pour guider et nourrir les audits.

« Prévoir quelques minutes d’échange informels avec les audités est apparu comme très important »

Les particularismes locaux ont également constitué des freins lors des missions à distance, « certains pays, comme la Chine ou les États-Unis, étant très protectionnistes ce qui a pu complexifier l’accès aux données depuis un territoire distant », rappelle le cabinet Mazars. Autant de difficultés qui nécessitent, de l’avis général, un pilotage plus fin des missions, avec des points d’avancement encore plus réguliers avec les équipes.

Technologies

Dans la catégorie technologies, deux points ont surtout attiré l’attention. D’abord la nécessité d’encourager les passerelles entre les environnements SI, « afin de démultiplier les capacités d’analyse de données et éviter ainsi d’être face à des environnements trop cloisonnés qui limitent les possibilités de recoupement », explique Bertrand de Puybaudet. Mais aussi celle de trouver des solutions pour les audits à priori incompatibles avec le distanciel : « Organiser des visites de locaux en réalité virtuelle, avoir recours à des caméras embarquées, à des drones… Des technologies qui ne sont pas nouvelles mais qui peuvent dans certains cas s’appliquer au monde de l’audit ».