Le contrôle interne au travers des représentations que s’en font les dirigeants de groupes du CAC 40 

Introduction

Les nouvelles obligations légales posées par la loi SOX (Sarbanes Oxley) ou la LSF (Loi de sécurité financière) induiraient-elles une modification de la définition et de la place organisationnelle du contrôle interne (Cappelletti, 2004) ? Le contrôle interne s’est d’abord constitué comme un dispositif destiné à prévenir les erreurs et les fraudes dans le domaine comptable. Cet aspect est prépondérant jusqu’aux années soixante-dix (Bénédict & Kéravel, 1990). À partir de cette date, le contrôle interne revêt des ambitions plus globales puisque l’Ordre des experts-comptables français le définit en 1977 comme l’ensemble des sécurités contribuant à une meilleure maîtrise de l’entreprise. L’analyse lexicale des rapports des dirigeants sur le contrôle interne, institués par la LSF, devrait permettre d’apporter des éléments de réponse en précisant la définition et la place assignée au concept de contrôle interne dans les entreprises françaises. Ce travail de recherche a ainsi une finalité exploratoire. Son objectif est d’analyser les enjeux et les modalités opératoires d’une nouvelle pratique, imposée par le législateur : l’obligation pour le dirigeant de rédiger un rapport sur le contrôle interne. Cet impératif légal permet d’expliciter le concept de contrôle interne, jusqu’ici polysémique et aux contours flous. Il fournit des indications utiles à répondre aux questions suivantes : comment les dirigeants définissent-ils le contrôle interne ? Quels contours lui confèrent-ils ? Plus précisément, notre recherche devrait notamment permettre de faire surgir les liens qui sont établis par les dirigeants, entre d’une part la comptabilité et le contrôle interne, et d’autre part, la démarche de maîtrise des risques et le contrôle interne.

Dans un premier temps, nous reviendrons sur la brève histoire de cette pratique, en examinant à la fois ses fondements juridiques et les quelques travaux déjà publiés sur la question. Dans un deuxième temps, nous nous pencherons sur les principales conceptions du contrôle interne telles qu’elles émergent de la littérature académique et professionnelle. Ce sera là  l’occasion de démontrer la pertinence de notre projet, et de poser les questions de recherche susceptibles de conduire notre exploration. Celle-ci sera l’objet d’une troisième partie, au cours de laquelle nous détaillerons nos choix de méthodologie et les problèmes rencontrés avant de dépouiller le contenu lexical des rapports. Il sera alors temps de conclure en montrant de quelle manière les discours des dirigeants sur le contrôle interne permettent d’éclairer celui-ci sous un angle nouveau. Ces conclusions sont nécessairement provisoires, d’autant plus que la nature émergente de ce champ devrait induire d’autres travaux. Nous éviterons de prendre position dans les échanges parfois polémiques entre les émetteurs et les instances de régulation. Cette posture épistémologique ne prive cependant pas notre analyse de sa pertinence. L’objectif est de contribuer à une meilleure connaissance des pratiques en la matière. 

On aura donc compris que cet article n’a pas de vocation normative. Il ne préconise en aucun cas ce que devraient contenir les rapports, et ne jugera jamais de la cohérence ou de la pertinence des propos qui y sont tenus. Notre ambition est, en revanche, de fournir une vision plus complète quant à ce que représente le contrôle interne pour les dirigeants d’entreprises, en nous centrant sur le marché français.[1] 

[1] En conséquence, nous n’analyserons pas ici le « rapport sur le rapport », à savoir les observations exigées au commissaire aux comptes quant au rapport sur le contrôle interne rédigé par le dirigeant. 

Partie I : de l’obligation d’expliciter le contrôle interne 

Plutôt que de compiler diverses définitions théoriques du contrôle interne, nous préférons illustrer la complexité de ce concept en pointant les décalages entre les législations américaines et françaises. Nous commencerons par présenter d’une manière synthétique la conception américaine du contrôle interne portée par la loi Sarbanes-Oxley (dorénavant SOX). Puis nous détaillerons l’article 117 de la Loi de Sécurité Financière (dorénavant LSF), qui est central pour notre propos dans la mesure où notre analyse concerne les entreprises cotées sur le marché français. Enfin nous dresserons une rapide revue de la littérature.

Sarbanes-Oxley (2002)

Soucieux de favoriser la fiabilité de l’information financière dans un contexte généralisé de suspicion, le législateur américain a décidé de renforcer les exigences imposées aux entreprises en matière de contrôle interne. La loi SOX a ainsi imposé aux entreprises cotées sur le marché américain de publier un rapport sur les procédures de contrôle interne en matière comptable et financière (article 404). La charge de la rédaction de ce rapport incombe au management opérationnel, en l’espèce à la direction générale et à la direction financière. Les dirigeants des sociétés cotées aux états-Unis doivent désormais s’engager sur la qualité du contrôle interne et s’assurer de l’accessibilité des informations opportunes diffusées aux marchés par l’intermédiaire d’un rapport. La loi SOX va au-delà de la Foreign Corrupt Practices Act de 1977 qui imposait déjà aux entreprises cotées de mettre en place un système de contrôle interne adéquat. Mais celle-ci ne précisait ni ses modalités de mise en œuvre, ni les conditions opérationnelles d’un contrôle efficace. La loi SOX constitue une loi de rupture par rapport à la tradition américaine basée sur l’autorégulation des marchés et des professionnels (Conac, 2003). Le contrôle interne a pour finalité de fournir une assurance raisonnable quant à l’exécution correcte des décisions managériales et à la conformité des états financiers aux principes comptables en vigueur. Tirant les leçons des affaires Enron ou Worldcom, le législateur américain entend favoriser la fiabilité de l’information financière en renforçant la responsabilité des dirigeants. C’est pourquoi la loi SOX se révèle pointilleuse en imposant aux sociétés cotées aux états-Unis non seulement une description mais également une évaluation de leurs procédures de contrôle interne concernant les informations comptables et financières. Dans leur démarche, les entreprises doivent en outre se fonder sur un référentiel reconnu. Le COSO (Committee Of Sponsoring Organizations) est mentionné par l’autorité des marchés américains, la SEC, comme le modèle à privilégier. Nous aurons l’occasion de revenir plus en détails sur ce référentiel dans la seconde partie de cet article.

La LSF (2003)

Le législateur français a suivi l’exemple du législateur américain en mettant à la charge du président du conseil d’administration (ou du président du conseil de surveillance) l’obligation de rédiger un rapport sur le contrôle interne. Ce rapport devra être lui-même être l’objet d’un autre rapport rédigé par le commissaire aux comptes. L’article 117 de la LSF prévoit ainsi : « Le Président du conseil d’administration rend compte dans un rapport joint au rapport mentionné aux articles L. 225-100, L. 225-102, L. 225-102-1 et L. 233-26 des conditions de préparation et d’organisation des travaux du conseil ainsi que des procédures de contrôle interne mises en place par la société. » Si l’objectif global de la LSF est assez proche de la loi SOX, sa philosophie se révèle spécifique. L’ambition du législateur français est plutôt d’inciter les entreprises françaises à s’engager dans une démarche dynamique d’amélioration du contrôle interne et de leur gestion des risques. Les manipulations comptables détectées dans certaines entreprises françaises à l’instar de Vivendi ou de Marionnaud  semblent en effet sans aucune commune mesure avec les scandales financiers qui se sont produits aux états-Unis. C’est pourquoi le rapport d’information du Sénat rédigé par Philippe Marini présente le rapport sur le contrôle interne comme un « outil méthodologique » (p. 125). Au contraire le législateur américain a fait le choix d’une « régulation par la peur » en imposant des règles plus strictes et fortement sanctionnées en cas de manquement (Conac, 2003). Ainsi l’approche de la LSF est à la fois plus globale et plus floue. Elle est plus globale dans la mesure où le rapport doit rendre compte des procédures de contrôle interne dans son ensemble sans se limiter aux seules procédures de fiabilisation des informations financières. Et elle est également plus floue car elle ne définit ni le référentiel utilisable ni la démarche concrète de mise en œuvre de ce rapport. Le silence du législateur français en ce qui concerne les sanctions éventuelles s’appliquant aux entreprises qui s’abstiendraient de produire un tel rapport a en outre alimenté un débat relatif à l’effectivité de cette disposition.

Revue de littérature sur les premiers rapports publiés en 2004

Quelques rares études commencent à s’intéresser aux rapports sur le contrôle interne publiés par les entreprises cotées françaises (Le Maux, Alloul, 2005, Deloitte, 2005). Ces études soulignent d’une manière convergente l’extrême hétérogénéité des rapports diffusés. Elles révèlent également que de nombreux rapports ne comprendraient pas de signature des dirigeants, ce qui pourrait suggérer de leur part un refus d’engager leur responsabilité face au contenu de ces rapports qui seraient quasi-exclusivement descriptifs et se centreraient sur la notion de risque. Il est envisageable que les sociétés cotées ne souhaitent pas se prononcer et communiquer sur l’état de leur contrôle interne dans la mesure où elles redoutent une réaction négative du marché.

L’étude de Deloitte fait cependant état d’une amélioration de la qualité des rapports entre 2003 et 2004. Tandis que les rapports 2003 étaient purement descriptifs, les rapports 2004 seraient caractérisés par une évolution vers une démarche plus évaluative. Sans préciser concrètement la méthode d’analyse retenue, le cabinet Deloitte constate que l’épaisseur des rapports aurait augmenté entre 2003 et 2004, passant de 5,5 à 6,8 pages en moyenne pour les sociétés du SBF 120. En dehors de ces études à caractère plutôt normatif, il n’y a pas à notre connaissance de travail d’analyse systématique du contenu des rapports. Le présent travail pourrait ainsi préfigurer une recherche longitudinale d’analyse de contenu. 

Le contrôle interne : un champ multidimensionnel

Si le législateur a pris la précaution de ne pas s’engager dans une définition par trop précise de la notion de contrôle interne, la littérature académique et professionnelle contient de multiples définitions. L’une de ces conceptions mérite une attention particulière, de par le succès qu’elle rencontre : le COSO. Ce groupe de réflexion a été constitué aux états-Unis en 1985. Il a développé un référentiel méthodologique d’analyse du contrôle interne, édité en France en 1992, sous le titre « La pratique du contrôle interne ». Le COSO définit le contrôle interne, décrit ses composantes et fournit des critères par lesquels les systèmes de contrôle peuvent être évalués. Le contrôle interne y est défini comme un processus mis en œuvre par le conseil d’administration, les dirigeants et les salariés afin de fournir une assurance raisonnable quant à la réalisation et l’optimisation des opérations, la fiabilité des opérations financières et la conformité aux lois et règlements. Selon ce référentiel (voir figure 2), le contrôle interne peut être représenté comme une mise en synergie de cinq dimensions : l’environnement, l’évaluation des risques, les activités de contrôle, l’information et la communication et le pilotage. Chacune de ces dimensions se déclinant sur chaque activité et fonction de l’entreprise. Le référentiel du COSO coexiste avec d’autres conceptions concurrentes telles que le COBIT (Control Objectives for Information and related Technology) ou le SAC (System of Auditability and Control).à ce jour, il n’existe pas de modèle du contrôle interne d’inspiration française. Cependant, des groupes de travail sont à l’œuvre au sein d’organismes tels que l’Académie des sciences comptables, l’AMF, la CNCC ou l’IFACI. D’autre part, de nombreux auteurs se sont intéressés à la question. Certains (Pigé 1997) insistent sur le caractère délégataire du contrôle interne qui consiste à s’assurer de la bonne application des décisions prises en amont : « le contrôle interne permet de s’assurer que les salariés qui représentent l’entreprise vis-à-vis de l’extérieur agissent dans l’intérêt de l’entreprise. Il permet de vérifier que la coordination hiérarchique, formelle et informelle fonctionne correctement et assure une coordination efficace entre les individus. Il garantit que les décisions prises par les dirigeants sont mises en œuvre par l’ensemble des salariés de l’entreprise » (pp. 5-6). Une telle conception est évidemment très large, et l’on remarquera au passage qu’elle n’accorde pas d’emblée un rôle spécifique à la dimension financière ou comptable. On trouve une autre conception étendue chez Bouquin (1998), qui reprend le triptyque cher à Anthony[1] : le contrôle stratégique, le contrôle de gestion, le contrôle opérationnel (ou d’exécution). Le contrôle interne serait la somme de ces trois segments, ce qui renvoie également à une conceptualisation hiérarchique et délégataire du système de contrôle. À l’instar d’Ouchi (1979), Bouquin parle également de « contrôle organisationnel » qui « peut être renforcé par des mécanismes informels comme la culture d’entreprise » (Bouquin 1998, p. 37). En ce sens, on peut s’interroger sur les limites du contrôle interne. Ces définitions sont tellement larges qu’il est possible de se demander qu’est-ce qui ne serait pas du contrôle interne. Ebondo & Pigé tranchent d’une manière originale : «  l’activité de contrôle interne apparaît comme constitutive de l’organisation dans sa différence par rapport au marché » (Ebondo 2002, p. 52). Le contrôle est un outil de réduction des coûts de transaction, outil qui tendrait à se renforcer naturellement dans une entreprise très intégrée, mais dont les limites deviendraient floues dès lors que les opérations d’externalisation conduisent à des business models interorganisationnels.

[1] R.N. Anthony, harvardien considéré comme un père fondateur du contrôle de gestion, ne parlait pas du contrôle interne stricto sensu, mais de « systèmes de planification et de contrôle » (Planning and Control Systems). Voir  notamment la mise à jour de son cadre conceptuel (Anthony, 1988).