Indicateurs de qualité d'audit

Fonctionnement

L'ISA 220.13 exige que chaque cabinet d'audit identifie les domaines de risque élevé sur ses missions et établisse des contrôles correspondants. ISQM 1.17 dépasse cela : les contrôles eux-mêmes doivent être mesurables. Un indicateur de qualité d'audit quantifie si un contrôle fonctionne réellement.
Prenons un exemple concret. Un cabinet établit un contrôle : « le responsable de mission reverra tous les éléments probants significatifs avant signature ». C'est énoncé comme une politique. Mais comment sait-on si cela se produit ? Par quel mécanisme le suivez-vous ? ISQM 1 exige un indicateur : peut-être un test trimestriel montrant que 100 % des éléments probants d'une classe définie (anomalies > 50 % du seuil de performance, re-procédures après rejet) ont effectivement reçu une approbation documentée du responsable de mission avant la signature du rapport. Si le test révèle 85 %, vous avez un indicateur qui vous dit que le contrôle s'érode. Vous pouvez alors intervenir.
ISQM 1.18 identifie deux catégories. Les indicateurs d'efficacité opérationnelle mesurent si le contrôle fonctionne en temps opportun (ex : % de dossiers revus dans les délais). Les indicateurs d'efficacité du contrôle mesurent si le contrôle produit le résultat qu'il est censé produire (ex : % de dossiers où une anomalie significative a été identifiée avant signature).
L'élément le plus fréquemment manquant dans les dossiers d'audit est le seuil d'action ou la réaction définie. Un indicateur sans réaction n'est qu'un nombre. Un indicateur avec une réaction définie (si nous passons sous 90 %, nous augmentons la revue ; si trois missions consécutives manquent le seuil, l'associé responsable doit intervenir) est un outil de gestion réel.

Exemple pratique : Élaboration et suivi d'un indicateur de qualité

Client : Société française de conseil en ingénierie, chiffre d'affaires 28 M EUR, IFRS, trois associés auditeurs.
Contexte : Le cabinet constate que sur les dix derniers dossiers, deux ont présenté des défaillances dans l'évaluation du risque de fraude (checklist NEP 240 incomplète, facteurs de risque identifiés mais non documentés).
Étape 1 : identifier le domaine de risque
Le risque identifié est : « Évaluation incomplète du risque de fraude à la planification. »
Documentation du papier de travail : Procédure du cabinet pour l'année 2025, section Contrôles de qualité. Domaine de risque enregistré dans le portefeuille de missions à risque élevé.
Étape 2 : concevoir le contrôle
Le contrôle énoncé : « Une revue formelle du questionnaire d'évaluation du risque de fraude NEP 240 et de la documentation de soutien sera effectuée par un tiers (auditeur ne figurant pas dans l'équipe de mission) avant la fin de la phase de planification. »
Documentation : Procédure de contrôle de qualité intégrée dans le checklist de planification du cabinet.
Étape 3 : définir l'indicateur
L'indicateur quantifiable : « Pourcentage de missions où le questionnaire NEP 240 a reçu une approbation documentée d'un tiers (signature, date, commentaires spécifiques, pas seulement une coche) avant la date de lancement de l'audit de la phase substantielle. »
Cible : 100 % des missions pour les clients à risque élevé (définis comme : secteurs à fraude élevée, soldes complexes, changements de personnel de direction, antécédents de corrections tardives).
Documentation : L'indicateur, la cible et la population cible sont enregistrés dans le portefeuille de risque du cabinet à compter du Q1 2025.
Étape 4 : recueillir et évaluer les données
Le cabinet teste, au Q1 2025, 12 missions classées à risque élevé. Résultats :
Résultat : 75 % de conformité stricte. 91 % si vous acceptez un délai de 10 jours après le lancement.
Documentation du papier de travail : Matrice de test d'indicateur de qualité. Résultats enregistrés dans le portefeuille de missions à risque. Signature du tiers qui a effectué le test et de l'associé responsable de la qualité.
Étape 5 : déclencher la réaction
Le seuil était 100 %. Le résultat était 75 %. Cet écart déclenche la réaction convenue : réunion des associés auditeurs pour identifier les obstacles (surcharge de travail du personnel tiers, confusion sur qui approuve, délais du client), ajustement de la charge de travail du tiers au Q2, ou ajustement du modèle d'approbation (peut-être un associé moins occupé approuvera le Q2).
Documentation : Rapport d'écart au portefeuille de risque. Mesures correctives convenues et assignées avec dates cibles.
Conclusion : Ce cycle mesurable (identifier le risque → concevoir un contrôle → quantifier l'indicateur → tester → réagir) transforme une politique énoncée en un outil de gestion fonctionnelle. Sans l'indicateur mesuré, le cabinet n'aurait jamais su que 25 % de ses missions à risque élevé violaient sa propre politique de revue.

• Missions 1-9 : 100 % conformité (questionnaire NEP 240 approuvé par un tiers avant la phase substantielle)
• Missions 10-11 : approbation, mais datée APRÈS le lancement de la phase substantielle (décalage de 5 et 8 jours respectivement)
• Mission 12 : approbation présente, mais par un associé non spécialisé sans commentaires spécifiques (checkbox uniquement)

Ce que les réviseurs et praticiens comprennent mal

• Tier 1 : Constat d'inspection: La plupart des cabinets documentent des politiques de contrôle de qualité (« le responsable de mission reverra les éléments probants ») sans établir d'indicateurs mesurables qui prouvent que le contrôle fonctionne. Les inspections NBA et AFM identifient régulièrement des contrôles énoncés sans mécanismes de suivi ou d'évaluation. ISQM 1.17 exige que les contrôles soient mesurables.
• Tier 2 : Erreur pratique normalisée: Établir un indicateur sans définir d'action corrective préalable. Un indicateur sans seuil et sans réaction est une métrique sans purpose. ISQM 1.20 exige que le cabinet définisse les étapes à suivre si un indicateur révèle une défaillance.
• Tier 3 : Pratique documentée incomplète: Confondre les indicateurs d'efficacité opérationnelle (le contrôle est-il appliqué à temps) avec les indicateurs d'efficacité du contrôle (le contrôle produit-il le résultat attendu). Un contrôle appliqué à temps peut ne pas fonctionner réellement. Les deux métriques sont nécessaires.

Termes connexes

---

• Contrôle de qualité: Infrastructure globale pour assurer la qualité de la mission. Les indicateurs en sont les métriques mesurables.
• ISQM 1: Norme qui exige que les contrôles soient mesurables et que le cabinet établisse des indicateurs.
• ISA 220: Norme sur le contrôle de qualité des missions d'audit. Les indicateurs soutiennent le respect des exigences de l'ISA 220.13 à 17.
• Domaines de risque élevé: Les domaines où le risque de non-détection est élevé ; exigent des indicateurs et des contrôles correspondants.
• Documentation des éléments probants: Les indicateurs mesurent souvent la qualité de la documentation.
• Matérialité de performance: Un seuil établi à la planification ; les écarts par rapport à ceux-ci sont souvent des métriques d'indicateur de qualité.