L’essentiel
- Le contrôle interne couvre l'ensemble de l'organisme : souscription, sinistres, provisions, placements, réassurance, distribution, informatique, comptabilité.
- Il s'organise en trois niveaux : contrôles opérationnels, contrôle permanent et conformité, audit interne.
- Les procédures écrites ne suffisent pas ; ce qui compte est la séparation des tâches, la compétence des équipes, la détection des incidents et leur correction.
- Le dispositif doit être proportionné aux risques ; proportionné ne veut pas dire absent.
- Plusieurs réglementations imposent leur propre volet de contrôle interne : lutte contre le blanchiment, DORA, protection des données, distribution d'assurances.
De quoi parle-t-on
Le contrôle interne n'est pas une fonction spécifique de l'entreprise mais une préoccupation : disposer des sécurités adéquates dans la conduite de toutes les opérations. Le service dédié, lorsqu'il existe, a pour objet de s'en assurer ; il n'en est pas le dépositaire unique.
La pratique française reste plus contextuelle que procédurale. Les procédures sont souvent écrites après coup, pour répondre à des demandes extérieures aux services qu'elles régissent, et servent peu à l'encadrement du travail quotidien. Le dispositif repose alors autant sur la compétence et l'expérience des personnels, sur la séparation effective des tâches et sur des modes opératoires éprouvés que sur les documents. Un contrôle interne ne se juge donc jamais sur ses procédures seules.
L'organisation usuelle distingue trois niveaux :
- les contrôles de premier niveau, exercés par les opérationnels et leur hiérarchie dans le cours des opérations ;
- le contrôle permanent de deuxième niveau, avec la fonction de vérification de la conformité et la fonction de gestion des risques ;
- l'audit interne, troisième niveau, indépendant, qui évalue l'adéquation et l'efficacité de l'ensemble.
Ce que prévoient les textes
- Directive 2009/138/CE, article 46 (système de contrôle interne et fonction de vérification de la conformité) ; règlement délégué (UE) 2015/35, articles 266 (système de contrôle interne) et 270 (fonction de vérification de la conformité).
- Code des assurances, articles L. 354-1 et R. 354-1 et suivants ; code de la mutualité, articles L. 211-12 et suivants ; code de la sécurité sociale, articles L. 931-7 et suivants.
- Lutte contre le blanchiment des capitaux et le financement du terrorisme : code monétaire et financier, articles L. 561-1 et suivants, notamment L. 561-32 sur le dispositif de contrôle interne, et arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment et de gel des avoirs.
- Règlement (UE) 2022/2554 (DORA) : cadre de gestion du risque lié aux technologies de l'information, gestion des incidents, tests de résilience, risque lié aux prestataires tiers.
- Règlement (UE) 2016/679 (protection des données) ; directive (UE) 2016/97 (distribution d'assurances) pour la gouvernance des produits et la surveillance des réseaux de distribution.
Zones d'attention
- une cartographie des risques théorique, jamais rapprochée des incidents réellement survenus ;
- un plan de contrôle permanent sans résultats formalisés ni suivi des anomalies jusqu'à leur correction ;
- une séparation des tâches insuffisante dans les petites équipes : souscription et règlement, ordonnancement et paiement, saisie et validation ;
- des délégataires de gestion et des courtiers gestionnaires contrôlés sur pièces seulement, sans contrôle sur place ni revue de dossiers ;
- des objectifs et des incitations commerciales sans critère de qualité, contraires à la maîtrise des opérations ;
- des habilitations informatiques trop larges, sans blocage des pouvoirs d'engagement ni journalisation ;
- des incidents et des erreurs non recensés, et des provisions pour litiges constituées tardivement ;
- une fonction de conformité cantonnée à la lutte contre le blanchiment ou absorbée par la direction juridique ;
- un audit interne sans plan pluriannuel fondé sur les risques, ni suivi de la mise en œuvre des recommandations.
Les questions à se poser
- Pour chacun de nos processus majeurs, qui contrôle quoi, à quelle fréquence, et où sont les preuves ?
- Quels incidents avons-nous connus au cours des douze derniers mois, comment ont-ils été détectés et corrigés ?
- Quelles tâches incompatibles sont réunies entre les mêmes mains, et par quoi compensons-nous ?
- Nos délégataires ont-ils fait l'objet d'un contrôle sur place depuis moins de deux ans ?
- Le plan d'audit interne couvre-t-il nos zones à risque, et les recommandations sont-elles suivies jusqu'à leur clôture ?
- Le conseil reçoit-il une synthèse annuelle du contrôle interne qu'il peut discuter ?
- Le dispositif de lutte contre le blanchiment et le cadre DORA sont-ils intégrés au contrôle permanent ou vivent-ils à part ?
Ce que le cabinet apporte
- diagnostic du dispositif de contrôle interne et de sa proportionnalité aux risques ;
- cartographie des risques opérationnels et plan de contrôle permanent ;
- prise en charge externalisée de la fonction d'audit interne ;
- contrôle des délégataires de gestion et des intermédiaires.