Conformité & Gouvernance
Fonction d’audit interne en externalisation ou en co-sourcing : plan d’audit fondé sur les risques, vérifications des processus et des contrôles, recommandations exploitables et reporting aux organes de direction. Un dispositif permanent sans les coûts fixes d’une structure interne.
Ce que nous faisons
Nous reconstituons l’ensemble des processus, des sociétés et des systèmes auditables et les évaluons par niveau de risque et de matérialité avec le management : c’est la base pour décider où concentrer les vérifications.
Nous préparons le plan pluriannuel et le plan annuel conformément aux Normes mondiales d’audit interne de l’IIA et les soumettons à l’approbation du conseil d’administration, avec l’appui du comité de contrôle et des risques lorsqu’il existe.
Nous conduisons des audits opérationnels, de conformité, financiers, informatiques et de processus, y compris sur les fournisseurs critiques : analyse documentaire, entretiens, tests des contrôles, échantillonnage et recherche des causes racines.
Chaque constat est classé par gravité et accompagné d’une recommandation exploitable, avec un responsable et une échéance. Nous suivons la mise en œuvre des plans d’action et en rendons compte aux organes de direction.
Nous rédigeons des rapports clairs pour le conseil d’administration, le comité de contrôle et des risques, le Collegio sindacale (le collège des commissaires aux comptes de droit italien) et la direction : synthèse des constats, appréciation globale du système de contrôle, priorités.
Nous rédigeons la charte d’audit et les procédures d’audit interne, définissons les KPI de la fonction et le programme d’assurance qualité exigé par les Normes mondiales d’audit interne, afin que le travail soit vérifiable.
L’audit interne est la fonction qui fournit au conseil d’administration et aux organes de direction une appréciation indépendante et objective de l’efficacité des processus de gouvernance, de gestion des risques et de contrôle. La référence professionnelle est constituée par les Normes mondiales d’audit interne (Global Internal Audit Standards) de l’Institute of Internal Auditors, en vigueur depuis 2025. Elles ont remplacé les éléments obligatoires du précédent International Professional Practices Framework (Standards, code de déontologie et Core Principles) et fixent des exigences en matière d’indépendance, de planification fondée sur les risques, de communication des résultats et de qualité de la fonction. Pour la conception du système de contrôle interne, le modèle de référence reste le cadre COSO, complété par le COSO ERM pour la gestion des risques d’entreprise. Le Three Lines Model de l’IIA précise enfin le rôle de l’audit interne comme troisième ligne, distincte des rôles de première et de deuxième ligne (gestion opérationnelle, risk management et conformité) qui restent du ressort du management.
En Italie, la fonction est prévue par le Code de gouvernance d’entreprise pour les sociétés cotées qui y adhèrent et par les réglementations sectorielles applicables aux banques, aux assurances et aux intermédiaires financiers. Pour toutes les autres entreprises, l’impulsion vient du code civil italien. L’art. 2086, alinéa 2, impose à l’entrepreneur qui opère sous forme sociétaire ou collective des dispositifs organisationnels, administratifs et comptables adaptés à la nature et à la taille de l’entreprise, notamment en vue de la détection précoce de la crise et de la perte de continuité d’exploitation (décret législatif italien 14/2019, code de la crise d’entreprise). L’art. 2381 demande aux organes délégués de les mettre en place et au conseil d’administration d’en apprécier l’adéquation. Sans vérification indépendante des processus, cette appréciation repose surtout sur les informations fournies par ces mêmes organes délégués : l’audit interne la corrobore par des éléments recueillis sur le terrain.
Nous assurons la fonction en externalisation, en en assumant l’entière responsabilité opérationnelle, ou en co-sourcing, aux côtés d’une structure interne qui a besoin de compétences spécialisées ou de capacité complémentaire. Dans les deux cas, le mandat est formalisé dans une charte d’audit approuvée par le conseil d’administration : le document définit le périmètre, les pouvoirs, les lignes de reporting et les règles d’indépendance. Pour les sociétés cotées, le Code de gouvernance d’entreprise italien admet expressément que la fonction soit confiée, en totalité ou par segments d’activité, à un prestataire externe présentant des garanties suffisantes de professionnalisme, d’indépendance et d’organisation, le choix devant être motivé dans le rapport sur le gouvernement d’entreprise.
Nous partons de l’univers d’audit : la liste raisonnée des processus, des sociétés, des systèmes et des fournisseurs susceptibles d’être audités. Nous l’évaluons par niveau de risque avec le management, en réutilisant les analyses déjà disponibles pour ne pas demander deux fois les mêmes éléments. En découlent le plan pluriannuel et le plan annuel soumis au conseil d’administration.
Les missions suivent un programme de travail écrit : analyse documentaire, entretiens, reconstitution des processus sur le terrain, tests des contrôles sur des échantillons définis, recherche des causes racines. Les constats sont discutés avec les responsables avant la rédaction du rapport, afin que les recommandations soient exploitables et déjà partagées. Le suivi fait partie du service : nous contrôlons la mise en œuvre des plans d’action et rendons compte périodiquement au conseil d’administration, au comité de contrôle et des risques et au Collegio sindacale, le collège des commissaires aux comptes de droit italien.
Nous soignons particulièrement la coordination avec les autres dispositifs de contrôle (Organisme de surveillance ou OdV, réviseur légal des comptes, DPO, responsables des systèmes de management), afin que les flux d’information s’intègrent et que l’entreprise ne subisse pas de vérifications répétées sur les mêmes processus.
Notre méthode
Nous définissons avec la direction le mandat, le périmètre, les lignes de reporting et la formule de collaboration (externalisation ou co-sourcing) et les formalisons dans la charte d’audit soumise au conseil d’administration.
Entretiens avec les responsables de service, lecture des organigrammes, des procédures et des évaluations de risques existantes (231, protection des données, ISO) : nous en tirons la cartographie des processus auditables, pondérée selon des critères de risque partagés avec la direction.
Nous traduisons les priorités en plan pluriannuel et plan annuel, avec les objectifs, les ressources et le calendrier des missions, et les présentons au conseil d’administration pour approbation, avec l’appui du comité de contrôle et des risques lorsqu’il existe.
Nous menons les missions avec des programmes de travail, des tests et des échantillonnages, discutons les constats avec les responsables et formalisons le rapport avec des recommandations et des plans d’action partagés.
Nous vérifions la mise en œuvre des actions correctives, actualisons le plan à mesure que les risques évoluent et mesurons la fonction au moyen de KPI et d’un programme d’assurance qualité.
Bénéfices
Livrables
Questions fréquentes
Oui, si le conseil d’administration veut une vérification indépendante des processus et des contrôles. Le code civil italien impose à l’entrepreneur qui exerce sous forme sociétaire ou collective de se doter de dispositifs adéquats (art. 2086, alinéa 2) et confie au conseil l’appréciation de leur adéquation (art. 2381, applicable aux S.r.l. par renvoi de l’art. 2475) ; l’audit interne est l’un des outils qui en mesurent l’efficacité. Dans une PME, cela se traduit par quelques missions par an sur les processus qui pèsent le plus : achats et paiements, encaissements, stocks, accès aux systèmes.
En externalisation, nous assurons la fonction dans son intégralité : plan, missions, reporting et suivi, avec un responsable qui rend compte aux organes de direction. En co-sourcing, nous appuyons une fonction interne déjà en place, en apportant des compétences spécialisées (informatique, conformité, secteurs régulés) ou une capacité complémentaire lors des périodes de pointe. La formule la plus adaptée est choisie ensemble.
Ce sont des fonctions distinctes, même si la loi italienne admet certains cumuls : dans les sociétés de capitaux, le Collegio sindacale peut exercer les fonctions d’OdV (art. 6, alinéa 4-bis, du décret législatif italien 231/2001) et le responsable de l’audit interne peut siéger à l’OdV. L’OdV veille sur le Modèle 231, le Collegio sindacale sur la régularité de l’administration et sur les dispositifs (art. 2403 du code civil italien), l’audit interne vérifie processus et contrôles sur mandat du conseil d’administration. Nous coordonnons les plans et les flux d’information pour que chaque organe reçoive les éléments dont il a besoin, sans vérifications redondantes.
Le plan découle de l’évaluation des risques et est approuvé par le conseil d’administration, avec l’appui du comité de contrôle et des risques lorsqu’il existe, et non par le management opérationnel : c’est ce qui protège l’indépendance de la fonction. La fréquence dépend du risque propre à chaque processus ; le plan est revu au moins une fois par an ou en cas d’événement significatif.
Nous séparons les rôles : celui qui a conçu un processus ou un système de management ne le vérifie pas en qualité d’auditeur. Les règles d’indépendance et la gestion des conflits d’intérêts sont inscrites dans la charte d’audit et déclarées aux organes de direction, comme l’exigent les Normes mondiales d’audit interne. Si un conflit n’est pas gérable, nous le signalons avant d’accepter la mission.
Services associés
Modèles d’organisation, de gestion et de contrôle au sens du décret législatif italien 231/2001, évaluation des risques d’infractions sous-jacentes et appui à l’Organisme de surveillance (OdV).
En savoir plusCartographie, analyse et refonte des processus d’entreprise : nous éliminons les gaspillages, réduisons les risques opérationnels et préparons la digitalisation.
En savoir plusConception, mise en œuvre et maintien de systèmes de management certifiables : ISO 9001, 14001, 45001, 27001, 37001, 50001 et les principaux schémas sectoriels et de filière.
En savoir plusParlons-en
Parlez-nous des priorités de votre entreprise : lors d’un premier échange sans engagement, nous analysons le contexte et vous proposons un parcours concret, avec des délais et des résultats mesurables.