Risque inhérent versus risque lié au contrôle

Comment les deux risques se séparent réellement

Le risque inhérent ne signifie pas « le risque est élevé parce que rien ne fonctionne dans cette boîte ». Il signifie : avant même que vous regardiez le moindre contrôle, l'assertion porte une probabilité d'erreur en raison de sa nature. Un crédit impôt recherche basé sur une interprétation fiscale nouvelle aura un IR élevé qu'il existe ou non un comité de revue interne. Selon l'ISA 315.25(b), vous évaluez l'IR en tenant compte de l'entité, de l'environnement, du secteur et de la nature de l'assertion elle-même. Pas des contrôles. Jamais des contrôles.

Le risque de contrôle, lui, est la probabilité que les contrôles internes échouent. Trois modes d'échec. Le contrôle peut ne pas exister du tout. Il peut exister mais être mal conçu (un seuil d'approbation à 500 000 EUR alors que 80 % des opérations sont en-dessous, une fréquence trimestrielle pour un risque mensuel). Il peut être bien conçu mais mal appliqué (les approbations existent dans le système, personne ne les revoit). Selon l'ISA 330.7, si vous testez l'efficacité opérationnelle d'un contrôle, vous pouvez vous y appuyer pour réduire le CR. Si vous ne testez pas, ou si vos tests échouent, vous procédez à des tests de détail substantifs complets.

Là où le jugement intervient : ces deux dimensions sont indépendantes en théorie et se composent en RMM (risque d'anomalies significatives). Sur les dossiers que nous voyons, elles se confondent dans une note unique pré-remplie par l'outil méthodologique, et personne ne reconstruit la séparation au moment de la revue.

La distinction compte parce que le risque de non-détection se calcule par couches. ISA 320.9 : risque de non-détection = risque d'audit acceptable ÷ (IR × CR). Si vous évaluez les deux à élevé sans discrimination, votre marge d'erreur substantive disparaît. Si vous les confondez à « modéré/modéré » au doigt mouillé, votre dossier ne tient pas en revue.

Ce que les contrôles de la H2A trouvent dans les dossiers

La H2A a publié en 2024 une note d'observation sur l'évaluation des risques dans les missions non-EIP de petite et moyenne taille. Le constat principal n'est pas que les CAC notent mal. Le constat est qu'ils ne notent qu'une fois : une seule case par compte, libellée « risque de compte », qui agrège ce que la NEP 315 demande de séparer. La justification, quand elle existe, est circulaire. « Le risque inhérent est élevé parce que les contrôles sont faibles. » « Le risque de contrôle est élevé parce que la matière est complexe. » La cause et l'effet sont inversés.

Chez nos clients en revue qualité, nous trouvons trois variantes du même problème. Première variante, la grille d'évaluation est remplie au tampon en début de dossier et jamais réexaminée. Deuxième variante, l'IR est calé sur le risque de l'année précédente sans réévaluation des facteurs entité-secteur-assertion. Troisième variante, le CR est noté « élevé » par défaut pour éviter d'avoir à tester les contrôles, ce qui donne l'illusion d'une approche prudente alors qu'elle masque l'absence de travail.

Ce que la circularité masque diffère de ce qu'elle prétend mesurer. Elle masque le risque de revue, pas le risque d'audit. Un dossier circulaire passe en revue interne parce que la cohérence apparente des notes désamorce les questions. Il ne passe pas en contrôle qualité externe sérieux. Il ne tient pas devant un litige.

Pourquoi la méthodologie pousse à l'effondrement

Trois pressions structurelles produisent la circularité, et aucune n'est la faute du senior qui remplit la grille.

La première est l'outil. Les méthodologies les plus répandues pré-remplissent IR et CR dans le même écran, avec des menus déroulants Bas/Modéré/Élevé, et une seule zone de justification commune. La séparation existe en théorie ISA, pas en ergonomie logicielle. La deuxième est le budget temps. Évaluer IR et CR séparément pour quinze comptes significatifs prend une demi-journée de plus qu'une note unique. Sur une mission EC à 8 000 EUR de honoraires, cette demi-journée n'existe pas. La troisième est le calendrier de revue. Les associés revoient l'évaluation du risque en novembre ou décembre, au moment où redéfaire la grille coûterait deux jours de senior et ferait sauter le forfait. La grille passe.

Voici la perversité du système. La méthodologie récompense l'effondrement et punit la séparation. Aucune intention malveillante. Le logiciel produit ce qu'on lui demande de produire, et le budget temps verrouille le comportement. Pour moi, c'est là que se joue l'inspection : pas dans la malhonnêteté des CAC, mais dans le fait que la défense « j'ai suivi la méthodo » est devenue compatible avec une évaluation du risque vide. Le bouclier méthodologique protège la circularité parce que la circularité est inscrite dans le bouclier lui-même.

Ceci pose problème parce que l'évaluation du risque n'est pas un livrable de conformité. C'est l'outil qui détermine où vous allouez vos heures de test substantif. Une grille circulaire ne dit rien sur la quantité ou la nature des tests à faire. Elle ne fait que ratifier un plan d'audit déjà décidé par habitude. Et c'est un problème parce que la documentation circulaire échoue précisément au moment où elle devrait servir : quand un litige ou un contrôle qualité demande pourquoi vous avez testé tel compte de telle façon.

Exemple pratique : Établissements Mécaniques Genève S.à.r.l.

Client : Société de tuyauterie industrielle suisse, FY2024, chiffre d'affaires CHF 28 M, rapportage IFRS.

Assertion : Créances clients au bilan : CHF 6,8 M.

Étape 1 : Évaluer le risque inhérent. La base de clients comprend 180 clients, dont cinq représentent 60 % du solde. Trois clients opèrent dans le secteur de la construction (cyclique, défaillances fréquentes). Deux clients ont retardé les paiements l'année dernière. L'entité n'a pas de système d'évaluation de solvabilité formalisé. Le secteur du bâtiment a enregistré six insolvabilités majeures dans la région au cours des deux derniers trimestres.

Documentation : IR moyen-élevé. Justification : concentration de clients, secteur cyclique avec volatilité de solvabilité élevée. L'absence d'outil d'analyse de solvabilité augmente l'IR sur l'exhaustivité et l'évaluation des créances douteuses.

Étape 2 : Identifier et tester les contrôles sur les créances clients. Vous identifiez trois contrôles clés : - Rapprochement mensuel des comptes clients avec le grand livre (contrôle des détails). - Rapport mensuel de vieillissement des créances examiné par le directeur financier (contrôle analytique). - Approbation préalable de chaque vente supérieure à CHF 250 000 par le responsable crédit (contrôle préventif).

Vous testez l'efficacité de ces contrôles. Le rapprochement existe mais aucune exception n'a été documentée au cours des 12 derniers mois. Le rapport de vieillissement existe mais l'examen par le directeur financier n'est pas documenté (signatures, commentaires, actions correctives). L'approbation préalable s'applique à deux des cinq plus gros clients seulement ; les trois autres dépassent le seuil sans approbation documentée.

La norme dit qu'un contrôle ne fonctionne que s'il y a preuve d'exécution. Dans les dossiers que nous voyons, un rapprochement qui n'a généré aucune exception en 12 mois est presque toujours du tampon. Soit le contrôle est parfait (statistiquement improbable), soit personne ne le teste réellement. Notre conclusion : CR élevé, parce qu'un contrôle qui ne génère jamais d'exception sur 12 mois consécutifs est plus probablement un rituel administratif qu'une vérification.

Documentation : Résultats des tests de contrôle internes. CR élevé. Justification : un contrôle ne fonctionne que s'il y a preuve d'exécution. Le rapprochement n'a pas d'exceptions documentées (preuve d'examen insuffisante). L'examen du vieillissement n'est pas documenté (pas de preuve d'exécution). L'approbation préalable ne s'applique que partiellement (conception inadéquate).

Étape 3 : Ajuster votre stratégie de test de détail substantif. Vous avez déjà un IR moyen-élevé (client concentré, secteur volatile). Vous avez maintenant un CR élevé (contrôles faibles ou mal appliqués). Cela signifie que vous ne pouvez pas réduire votre test de détail substantif en invoquant l'efficacité des contrôles. Vous testez directement le résultat.

Pour chaque client en retard, vous demandez une confirmation externe directe. Pour les trois gros clients sans approbation préalable, vous examinez les contrats, les bons de livraison et l'historique de paiement. Pour la provision pour créances douteuses, vous recalculez l'allocation au lieu de vous fier au rapport de vieillissement seul.

Documentation : Stratégie de tests de détail substantifs. ISA 330 exige que vous ajustiez l'étendue et la nature de vos tests substantifs si le CR est élevé. IR moyen-élevé + CR élevé = aucune réduction du risque de non-détection acceptable. Procédures renforcées justifiées.

Conclusion : Une évaluation IR élevée seule ne vous oblige pas à tester les contrôles. Une évaluation CR élevée signifie que les contrôles existants ne vous aideront pas. Vous testez l'assertion directement. La distinction change votre engagement, pas votre conclusion sur l'existence d'une anomalie.

Le contre-argument : « la séparation est académique en mid-tier »

Voici un argument honnête contre tout ce qui précède. Sur un dossier EC à 8 000 EUR avec quinze comptes significatifs, séparer formellement IR et CR est un exercice théorique. Le résultat opérationnel sera le même. Vous testerez de toute façon en substantif. Pourquoi imposer une discipline documentaire qui ne change rien aux procédures ?

J'avoue que cet argument me parle, mais la réponse est qu'elle change ce qui se passe quand quelque chose tourne mal. Sur un litige cinq ans plus tard, sur un contrôle H2A, sur une revue d'associé entrant, la grille séparée permet de reconstruire le raisonnement. La grille circulaire ne le permet pas. La discipline documentaire est une assurance, pas une amélioration de la procédure du jour. Et parce que le coût marginal de la séparation (vingt minutes par compte significatif) est dérisoire face au coût d'une mise en cause civile, le calcul tient même en mid-tier.

Sur le terrain, deux associés peuvent légitimement diverger. Associé A teste les contrôles sur les créances clients de Mécaniques Genève parce que tester un contrôle qui marche réduit le substantif et tient en revue qualité (logique d'efficience long-terme). Associée B saute directement au substantif parce que le portefeuille est trop concentré pour faire confiance à un contrôle préventif partiel et que tester cinq factures de plus coûte moins cher que tester un contrôle (logique d'efficience court-terme). Les deux positions sont défendables. Ce qui n'est pas défendable, c'est la note circulaire qui n'a pris ni l'une ni l'autre des décisions et les présente comme la même.

Nous voyons aussi une variante plus problématique du même clivage. Associé A gonfle l'IR à « élevé » sur tous les comptes pour pouvoir invoquer une approche substantive et sauter le test des contrôles dans le classeur. Associée B refuse, citant l'intégrité méthodologique : un IR sincèrement élevé partout vide la notion de discrimination du risque. Nous prenons parti pour B. L'inflation systématique de l'IR n'est pas une approche prudente, c'est une stratégie d'évitement maquillée. Elle réussit en revue interne et échoue en inspection H2A.

Ce que les CAC et les EC confondent

- Tier 1 : Les inspections de la H2A ont identifié que de nombreux dossiers évaluent IR et CR comme un concept unique (« risque de compte »), sans distinguer les facteurs inhérents aux assertions de ceux relatifs à la conception des contrôles. Cela conduit à une documentation circulaire (« le risque inhérent est élevé parce que les contrôles sont faibles ») qui confond cause et effet et masque les défaillances réelles de contrôle.

- Tier 2 : L'ISA 315.32 exige une évaluation du CR sur la base des contrôles que la direction a réellement conçus et mis en œuvre. Beaucoup d'équipes évaluent le CR en supposant que les contrôles énumérés dans la documentation de la direction existent et fonctionnent, sans tester cette hypothèse avant l'évaluation initiale. La norme dit que l'évaluation préalable repose sur une compréhension obtenue par questions, observations et inspection des éléments probants (ISA 315.8). Dans les dossiers que nous voyons, la compréhension repose sur le narratif de l'année précédente, recopié sans relecture critique.

- Tier 3 : Une lacune documentaire courante est l'absence de lien explicite entre le CR et la stratégie de test de détail substantif. Si vous évaluez le CR à élevé, votre papier de travail de test de détail substantif doit énoncer comment cette évaluation a affecté l'étendue, la nature et le calendrier de vos procédures. Beaucoup de dossiers contiennent une évaluation de risque à élevé mais des tests de détail substantif inchangés (même population, même seuil, même sélection analytique). Le seuil n'a pas bougé. La population a changé. Personne ne l'a noté.

Risque inhérent versus risque de contrôle

Quand la distinction compte dans votre engagement

Vous pilotez une mission d'audit de fin d'exercice et vous procédez à l'évaluation du risque. Vous avez identifié une classe d'opérations hautement complexe : les contrats de location selon l'IFRS 16. L'entité n'a jamais appliqué l'IFRS 16 auparavant (IR élevé par nature). Vous découvrez aussi que le responsable du traitement de la location a suivi une formation IFRS 16 en interne et que chaque contrat est examiné par le contrôleur de gestion avant la comptabilisation (contrôles existants suggérant un CR moyen à faible).

Vous testez l'efficacité opérationnelle du contrôle d'examen. Vous examinez cinq contrats et constatez que le contrôleur de gestion a documenté son examen, posé des questions sur les termes d'option de rachat et réservé son approbation jusqu'à clarification. L'une des questions a conduit le responsable de la location à reclasser un contrat d'une location-financement en location simple, réduisant un actif de droit d'utilisation de CHF 400 000.

Conclusion : IR élevé (IFRS 16 complexe, première application). Mais CR faible à moyen (le contrôle d'examen fonctionne réellement ; vous avez observé une correction substantielle basée sur ce contrôle). Vous pouvez donc réduire votre risque de non-détection acceptable et ajuster votre stratégie de test de détail substantif en conséquence. Vous testez toujours les contrats, mais vous pouvez vous appuyer sur le contrôle pour certains éléments (vérifier que les conditions de chaque contrat sont correctement documentées) et consacrer davantage de ressources à d'autres (évaluer si les reclassifications dues aux options de rachat ont été capturées de manière exhaustive).

C'est précisément le scénario où la séparation des deux risques produit une décision d'audit différente. Si vous aviez collapsé les deux à « élevé » au doigt mouillé, vous testiez tout le portefeuille de contrats en substantif et vous brûliez le forfait. La séparation vous a fait gagner deux jours de senior et un meilleur dossier.

Termes connexes

- Risque d'audit : Le risque ultime que vous exprimez une opinion incorrecte. C'est la destination ; IR et CR sont les chemins.

- Risque de non-détection : Le risque que vos procédures substantives ne détectent pas une anomalie existante. C'est le levier que vous ajustez en augmentant l'étendue, la nature ou le calendrier de vos tests.

- Évaluation du risque : Le processus global d'identification et d'évaluation d'IR et de CR sur toutes les assertions. La NEP 315 en gouverne la procédure.

- Contrôles clés : Les contrôles que vous identifiez comme directement pertinents pour les assertions où l'IR est élevé. Ce sont les contrôles que vous décidez de tester.

- Risque significatif : Une assertion où l'IR est si élevé que vous appliquez automatiquement une approche substantive renforcée, quel que soit le CR.

- Éléments probants : Les éléments probants que vous rassemblez pour soutenir votre évaluation de l'IR et votre test de l'efficacité du contrôle.

---