Un dirigeant nous appelait récemment parce que sa marge brute avait perdu quatre points en dix-huit mois, sans qu'aucune décision commerciale ne l'explique. L'origine tenait à trois choses banales : des remises accordées sans validation, un fournisseur créé et payé par la même personne, et des stocks jamais comptés depuis deux ans.
Aucune de ces situations n'est une fraude spectaculaire. Ce sont des défaillances de contrôle interne, invisibles individuellement, coûteuses ensemble. C'est exactement ce qu'un audit interne va chercher.
01Audit interne, audit légal, contrôle interne : ne pas confondre
La confusion est permanente, et elle conduit des dirigeants à croire qu'ils bénéficient d'une couverture qu'ils n'ont pas.
| Contrôle interne | Audit interne | Commissariat aux comptes | |
|---|---|---|---|
| Nature | Un dispositif permanent de l'entreprise | Une mission d'évaluation périodique | Une mission légale de certification |
| Au service de qui | De la direction | De la direction | Des associés et des tiers |
| Caractère | Permanent | Facultatif | Obligatoire selon la forme et le seuil |
| Ce qu'il produit | Des procédures et des contrôles | Des constats et des recommandations | Une opinion sur les comptes |
Trois conséquences pratiques. L'audit interne ne certifie rien : il ne remplace pas le commissaire aux comptes lorsque celui-ci est obligatoire — toute société anonyme, et toute SARL au-delà de 50 millions de dirhams de chiffre d'affaires. Il ne vous met pas non plus en conformité : il vous dit où vous ne l'êtes pas. Et il travaille pour vous, non pour vos actionnaires minoritaires ou votre banque, ce qui change complètement le ton et le contenu de ses conclusions.
Un contrôle interne solide réduit le coût de votre audit légal
Les honoraires d'un commissaire aux comptes reposent sur un budget-temps : le nombre d'heures nécessaires aux diligences. Lorsque le contrôle interne est fiable, l'auditeur peut s'appuyer dessus et réduire ses tests substantifs. À l'inverse, un contrôle interne défaillant l'oblige à tout reprendre manuellement. L'audit interne se paie donc partiellement en économie sur l'audit légal. Voir notre page commissaire aux comptes à Casablanca.
02Quand une PME en a réellement besoin
Pas toutes, pas tout le temps. Six situations le justifient réellement.
- Une croissance rapide des effectifs. Au-delà d'une vingtaine de personnes, le dirigeant cesse de tout voir. Les procédures informelles ne suivent plus.
- L'ouverture d'un second site ou d'une filiale, qui crée une distance physique avec l'exploitation.
- L'entrée d'un investisseur ou la préparation d'une cession : la due diligence de l'acquéreur trouvera ce que vous n'avez pas cherché.
- Une anomalie inexpliquée — érosion de marge, écarts d'inventaire récurrents, trésorerie qui ne suit pas le résultat.
- Le départ d'une personne-clé qui centralisait l'information et les accès.
- Un dirigeant éloigné — non-résident ou multi-sites — qui pilote sans signaux informels.
À l'inverse, une entreprise de cinq personnes où le dirigeant signe tout et connaît chaque client n'a pas besoin d'un audit interne. Elle a besoin de procédures écrites, ce qui n'est pas la même chose ni le même budget.
03La cartographie des risques, premier livrable
Un audit interne ne commence pas par des tests, il commence par une hiérarchisation. Auditer tout, c'est n'auditer rien : le budget se dilue sur des zones sans enjeu pendant que le risque réel reste ouvert.
La cartographie croise deux dimensions pour chaque processus : la probabilité qu'une défaillance survienne, et son impact si elle survient. Elle produit un classement, et ce classement dicte le plan d'audit.
| Zone | Ce qu'elle appelle |
|---|---|
| Probabilité forte, impact fort | Action immédiate. C'est là que commence la mission. |
| Probabilité faible, impact fort | Un contrôle de détection et un plan de réaction écrit. |
| Probabilité forte, impact faible | Une automatisation ou une simplification du processus. |
| Probabilité faible, impact faible | Surveillance périodique. Ne consommez pas de budget dessus. |
Le travail se fait avec les opérationnels, pas contre eux. Ce sont eux qui savent où le processus se contourne — et ils le disent, à condition que la démarche ne soit pas présentée comme une chasse aux responsables.
04Les cinq cycles à examiner en priorité
Dans une PME, cinq cycles concentrent l'essentiel du risque financier.
| Cycle | Risque dominant | Le contrôle qui le couvre |
|---|---|---|
| Ventes et clients | Remises accordées hors barème, factures non émises, créances non relancées | Grille tarifaire validée, revue mensuelle de la balance âgée |
| Achats et fournisseurs | Fournisseur fictif, double paiement, prix non négocié | Validation des créations de fournisseur, rapprochement commande / bon de réception / facture |
| Trésorerie et banque | Décaissement non autorisé, changement de coordonnées bancaires frauduleux | Double signature au-delà d'un seuil, contre-appel avant tout changement de RIB |
| Paie et personnel | Salarié maintenu après son départ, RIB modifié sans validation, heures non justifiées | Revue trimestrielle de l'effectif déclaré, validation RH des modifications bancaires |
| Stocks et immobilisations | Écarts non expliqués, démarque, actifs disparus ou inutilisés | Inventaire physique annuel en présence d'un tiers, suivi des écarts |
Un sixième cycle s'est imposé ces dernières années : l'environnement informatique. Gestion des accès, comptes nominatifs, traçabilité des écritures, sauvegardes testées. Nous le traitons en détail dans notre article sur la cybersécurité et l'audit financier.
05Le test de séparation des tâches
Le principe fondateur du contrôle interne tient en une phrase : aucune personne ne doit pouvoir engager, exécuter et contrôler la même opération. Voici comment le vérifier sur le cycle achats, en trente secondes.
Dans une structure de dix personnes, la séparation parfaite est impossible — et personne ne vous demandera de recruter pour l'obtenir. Elle se remplace par des contrôles compensatoires : validation du dirigeant sur les créations de fournisseur, rapprochement bancaire transmis mensuellement à quelqu'un qui ne saisit pas, revue périodique des paiements par bénéficiaire.
La confiance n'est pas un contrôle
« Je lui fais entièrement confiance » est la phrase que nous entendons juste avant de découvrir un problème. Elle n'est pas fausse : la plupart des collaborateurs sont honnêtes. Mais un dispositif de contrôle ne protège pas seulement l'entreprise de ses salariés — il protège aussi les salariés du soupçon. Un comptable qui manipule seul les paiements sera le premier suspecté au moindre écart, même s'il n'y est pour rien.
06La fraude en PME : les schémas réels
Oubliez les détournements sophistiqués. Dans une PME, la fraude suit presque toujours l'un de ces cinq schémas, et tous exploitent une faiblesse de procédure plutôt qu'une compétence technique.
- Le fournisseur fictif — créé, facturé et payé par la même personne, souvent pour des prestations immatérielles difficiles à contester.
- La fraude au changement de RIB — un e-mail crédible demandant de modifier des coordonnées bancaires avant un paiement attendu.
- Le détournement d'encaissements — espèces ou chèques non remontés, masqués par des avoirs ou des passages en pertes.
- La paie — salarié fantôme, ou coordonnées bancaires d'un salarié réel modifiées.
- La démarque interne — sur les stocks, révélée uniquement par un inventaire physique sérieux.
Le facteur commun de ces cinq schémas est l'absence de regard croisé. Aucun ne résiste à un contrôle compensatoire correctement placé, et aucun ne suppose d'investissement significatif pour être neutralisé.
Vos cinq cycles ont-ils été revus cette année ?
Cartographie des risques, test de séparation des tâches et recommandations hiérarchisées : nous intervenons en amont de la clôture, quand les corrections sont encore possibles.
07Le déroulé d'une mission
- Cadrage. Définition du périmètre, des attentes de la direction et des livrables. Une mission sans périmètre écrit dérive systématiquement.
- Prise de connaissance. Entretiens avec les opérationnels, lecture des procédures existantes, observation des flux réels — souvent différents des flux théoriques.
- Cartographie des risques. Hiérarchisation et validation avec la direction du plan d'audit qui en découle.
- Tests. Vérification sur pièces et sur échantillons que les contrôles annoncés existent et fonctionnent.
- Restitution. Présentation des constats à la direction, avec discussion contradictoire avant finalisation.
- Plan d'action. Recommandations hiérarchisées, avec un responsable et une échéance pour chacune.
La sixième étape est celle qui décide de l'utilité de tout ce qui précède. Un rapport sans plan d'action nommé et daté finit dans un tiroir.
08Ce qui distingue un rapport utile
| Un rapport inutile | Un rapport utile |
|---|---|
| Énumère des constats sans les hiérarchiser | Classe les constats par criticité, et l'assume |
| Recommande « de renforcer les procédures » | Décrit le contrôle à mettre en place, qui l'exécute et à quelle fréquence |
| Ignore la taille de l'entreprise | Propose des contrôles compensatoires réalistes pour l'effectif disponible |
| Est remis et refermé | Fait l'objet d'un point de suivi à trois ou six mois |
Demandez à votre prestataire, avant de signer, à quoi ressemblera le rapport et s'il inclut un suivi. La réponse vous en apprendra plus que n'importe quelle plaquette.
LEMBRA CONSEIL, cabinet inscrit à l'Ordre des Experts-Comptables du Maroc, conduit des missions d'audit interne et de revue de contrôle interne pour des PME casablancaises, en complément de ses missions de certification. Découvrez notre offre d'audit et de commissariat aux comptes.