Fiche de révision : Gestion du contrôle interne et certification

📋 Plan du Cours

1. Missions partagées du DCF
2. Maîtrise des risques et certification
3. Fondements du contrôle interne
4. Cadre juridique du contrôle interne
5. Approche par processus
6. Cartographie et analyse des risques
7. Moyens de maîtrise des processus
8. Principes de la certification des comptes
9. Champ de la certification
10. Méthodologie de validation et certification
11. Dossier de clôture et programmes de travail

📖 1. Missions partagées du DCF

🔑 Notions clés & Définitions

• Séparation des pouvoirs : Le principe distingue l’ordonnateur et le comptable, ce qui structure les responsabilités dont celles du DCF.
• Maîtrise des risques : Domaine de responsabilité partagée du DCF avec le Directeur, centré sur la prévention et le traitement des risques financiers et juridiques.
• Validation et certification des comptes : Domaine de responsabilité partagée du DCF avec le Directeur, lié aux exigences de validation et de certification des comptes.
• Responsabilité financière des gestionnaires publics : Régime issu de la réforme entrée en vigueur le 01/01/2023, qui renforce la responsabilité et change la répartition des responsabilités en cas de pertes.

📝 Points essentiels

• Le DCF a des missions basées sur la séparation ordonnateur/comptable et voit son positionnement évoluer dans le temps.
• Le DCF exerce désormais 2 domaines en responsabilité partagée avec le Directeur : maîtrise des risques et validation/certification des comptes.
• Avec la RFGP (entrée en vigueur le 01/01/2023), la responsabilité n’est plus uniquement sans faute du DCF : elle peut impliquer le Directeur, le DCF et/ou leurs délégataires en cas de faute.
• En 1993, le cadre prévoit que Directeur et DCF conçoivent et mettent en œuvre un plan de contrôle interne pour pallier les risques financiers inhérents à l’activité de l’organisme.

💡 Astuce mémo

DCf = 2 piliers : Maîtrise des risques + Certification des comptes. (Et la responsabilité bascule avec la RFGP au 01/01/2023.)

📖 2. Maîtrise des risques et certification

🔑 Notions clés & Définitions

• Certification des comptes : Processus d’évaluation des comptes qui impose un niveau d’exigence accru du contrôle interne, pour sécuriser la fiabilité et la conformité des opérations.
• Plan de contrôle unique : Dispositif unifié de contrôle interne conçu et mis en œuvre conjointement pour couvrir l’ensemble des activités et prioriser les actions selon la criticité des risques.

📝 Points essentiels

• Depuis 1993, le directeur et le DCF doivent concevoir et mettre en œuvre un plan de contrôle interne pour pallier les risques financiers inhérents à l’activité de l’organisme.
• Depuis 2007, le contrôle interne couvre aussi les risques de non-qualité, de fraude et les risques des opérations réalisées par des délégataires, avec un volet spécifique sur les procédures informatiques.
• Depuis 2013, la maîtrise des activités repose sur une démarche structurée incluant cartographie des risques, plan national annuel, audits, dispositif de maîtrise des systèmes d’information et bilan annuel de maîtrise.
• Avec l’entrée en vigueur de la RFGP au 01/01/2023, la responsabilité du DCF en cas de pertes financières n’est plus sans faute : une faute du directeur, du DCF ou de leurs délégataires peut être en cause.
• Le plan de contrôle unique 2022-1283 (1er janvier 2023) place le risque au centre, prévoit une stratégie commune D/DCF fondée sur la criticité et impose plans d’actions, évaluation périodique, documentation et traçabilité.

💡 Astuce mémo

RFGP 2023 = on passe du sans faute au avec faute (Directeur/DCF/délégataires) : le risque devient le cœur du dispositif.

📖 3. Fondements du contrôle interne

🔑 Notions clés & Définitions

• Contrôle interne : Le contrôle interne est un dispositif mis en œuvre par le Directeur, le directeur comptable et financier et le personnel pour fournir une assurance raisonnable sur l’atteinte des objectifs opérationnels, financiers et de conformité.
• Coresponsabilité Directeur et DCF : La coresponsabilité désigne l’implication conjointe du Directeur et du DCF dans la conception et la mise en œuvre du dispositif de contrôle interne pour maîtriser les risques.
• Décret 2013-917 du 14 octobre 2013 : Le décret 2013-917 rend obligatoire un dispositif de contrôle interne national opposable à tous les organismes du réseau et impose des obligations de maîtrise.
• Décret 2022-1283 du 30 septembre 2022 : Le décret 2022-1283 renforce le cadre de la responsabilité partagée et place le risque au cœur du dispositif de maîtrise, avec une logique de convergence des démarches.
• Assurance raisonnable : L’assurance raisonnable est le niveau d’assurance recherché par le contrôle interne sur la réalisation des objectifs malgré l’existence de risques et de limites.

📝 Points essentiels

• Le décret 2013-917 du 14/10/2013 rend obligatoire un dispositif national de contrôle interne opposable et en confie la coresponsabilité au Directeur et au DCF pour maîtriser les risques de toute nature, notamment financiers.
• Le décret 2013-917 impose notamment une cartographie des risques, un plan national annuel de maîtrise interne, des audits, un dispositif de maîtrise des risques des systèmes d’information et un bilan annuel de maîtrise.
• Le décret 2022-1283 du 30/09/2022 clarifie que le contrôle interne s’insère dans une stratégie globale de maîtrise des risques au-delà de la seule conformité des comptes.
• Le dispositif issu du décret 2022-1283 vise une conception et une mise en œuvre conjointes, un dispositif unique couvrant l’ensemble des activités, avec hiérarchisation des risques et priorisation proportionnée des contrôles.
• Le dispositif de contrôle interne prévoit une évaluation périodique de l’effectivité et de l’efficacité des moyens, une documentation périodique et une traçabilité des acteurs et opérations.

💡 Astuce mémo

2013 = obligations nationales (carto, plan annuel, audits, SI, bilan) ; 2022 = risque au centre + stratégie globale + co-conception D/DCF.

📖 4. Cadre juridique du contrôle interne

🔑 Notions clés & Définitions

• Décret de 2022 : Le décret de 2022 encadre la mise en place d’un plan de contrôle unique pour construire un dispositif de maîtrise cohérent entre ordonnateur et comptable.
• Lois de financement 2006-2007 : Les lois de financement de 2006 et 2007 instaurent l’obligation de mettre en œuvre un plan de lutte contre la fraude dans tous les régimes et toutes les branches.
• CODAF : Le CODAF est un comité départemental anti-fraude qui regroupe au niveau local des acteurs institutionnels et opérationnels pour coordonner la lutte contre la fraude.
• COG : Les COG intègrent la lutte contre la fraude dans le pilotage de la sécurité sociale.
• PSSI : La PSSI est la politique de sécurisation du système d’information déployée dans chaque organisme pour encadrer la protection des données et des traitements.

📝 Points essentiels

• Depuis le décret de 2022, le plan de contrôle unique vise à partager et compléter les actions de contrôle entre ordonnateur et comptable pour couvrir les risques.
• Les lois de financement de la sécurité sociale 2006 et 2007 imposent un plan de lutte contre la fraude dans tous les régimes et toutes les branches.
• Depuis 2010, les CODAF sont présidés par le préfet et le procureur de la République au niveau départemental.
• La lutte contre la fraude fait partie intégrante des COG.
• Le plan de contrôle interne et le plan de contrôle du DCF doivent définir la stratégie de lutte contre les fraudes internes et externes.

💡 Astuce mémo

Repères chronologiques : 2006-2007 plan fraude, 2010 CODAF, 2022 plan de contrôle unique.

📖 5. Approche par processus

🔑 Notions clés & Définitions

• Risque inhérent : Le risque inhérent (ou brut) est le risque identifié avant application des moyens de maîtrise, coté au niveau national.
• Risque résiduel : Le risque résiduel (ou net) est le risque qui subsiste après application des moyens de maîtrise, coté au niveau local.
• Plan de maîtrise des risques : Le plan de maîtrise des risques formalise les actions à mettre en œuvre pour limiter les risques résiduels à un niveau acceptable.
• Moyens de maîtrise : Les moyens de maîtrise sont les dispositifs humains, techniques et organisationnels qui réduisent l’exposition aux risques et sont évalués par familles.

📝 Points essentiels

• La démarche d’analyse des risques pour piloter l’approche par processus comprend identification et évaluation des risques, évaluation des moyens de maîtrise associés, puis élaboration du plan de maîtrise des risques.
• Le profil de risques d’une activité sert de base aux actions visant à réduire ou supprimer les risques résiduels non acceptables en l’état via des plans de maîtrise des risques.
• Les risques « prioritaires » sont choisis à partir de la matrice des risques et des orientations validées conjointement par le Directeur et le DCF.
• Le niveau de risque évoluant, une actualisation régulière s’appuie notamment sur la documentation conforme, l’existence d’améliorations, la conformité des contrôles et la présence d’indicateurs de pilotage.
• Les activités de maîtrise sont réalisées à tous les niveaux et à divers stades des processus métier, y compris via les systèmes d’information.

💡 Astuce mémo

IDÉP : Identifier risques, Définir moyens, Écrire le plan (puis réduire le résiduel).

📖 6. Cartographie et analyse des risques

🔑 Notions clés & Définitions

• Rapport de cotation de risque : Le rapport de cotation de risque documente l’évaluation du niveau de risque et permet d’apprécier le degré de maîtrise global par risque spécifique.
• Matrice des risques : La matrice des risques sert à classer les risques et à sélectionner les risques à piloter en s’appuyant sur des orientations validées.

📝 Points essentiels

• La démarche d’analyse des risques comprend trois étapes : identifier et évaluer les risques, identifier et évaluer les moyens de maîtrise, puis élaborer le plan de maîtrise.
• Le risque s’évalue au regard des moyens de maîtrise et comporte 6 grandes familles de moyens de maîtrise.
• L’efficacité globale des familles de moyens de maîtrise est évaluée sur une échelle définie afin de mesurer le niveau de maîtrise.
• L’actualisation est nécessaire car le niveau de risque associé aux activités évolue, ce qui impose une évaluation périodique.
• Les risques à piloter ou risques prioritaires sont identifiés à partir de la matrice des risques et des orientations validées conjointement par le Directeur et le DCF.

💡 Astuce mémo

Brut au national (inhérent) puis reste au local (résiduel) : on compare le avant/après maîtrise.

📖 7. Moyens de maîtrise des processus

🔑 Notions clés & Définitions

• Documentation de contrôle : Un dispositif de moyens qui formalise les règles et informations nécessaires au pilotage et à l’exécution des contrôles au sein du réseau.
• Responsabilités partagées : Un cadre d’organisation qui explicite qui fait quoi pour sécuriser l’activité quotidienne et assurer le pilotage du contrôle interne.
• Contrôles permanents de 1ère ligne : Des contrôles intégrés au travail, réalisés par les acteurs opérationnels pour réduire le risque avant la finalisation des opérations.
• Contrôles de 2ème ligne : Des contrôles de surveillance réalisés hors du cœur d’exécution, visant une assurance raisonnable sur la conformité et le traitement des opérations.
• Contrôles périodiques de 3ème ligne : Des contrôles indépendants et périodiques qui évaluent l’effectivité, l’efficacité et la pertinence du système de maîtrise des risques.

📝 Points essentiels

• Les moyens de maîtrise s’appuient sur la documentation, la connaissance des responsabilités, un pilotage avec moyens et indicateurs, une priorisation des contrôles et des modalités d’échantillonnage partagées, ainsi qu’une politique de sécurité informatique, un dispositif anti-fraude et des audits.
• La 1ère ligne de maîtrise vise la réduction du risque et la sécurisation du processus avec des contrôles permanents réalisés au plus près de la réalisation, donc à priori par l’ordonnateur et le DCF.
• La 2ème ligne couvre le risque avec des contrôles de fond et de forme, réalisés sur une partie du processus et en dehors de l’exécution, donc à posteriori par l’ordonnateur et le DCF.
• La 3ème ligne correspond à des contrôles périodiques issus de dispositifs internes indépendants, dont l’audit interne et la Validation des Comptes, pour évaluer la qualité du système.
• En cas de résultats dégradés, l’organisme analyse les causes, recherche des solutions, les met en œuvre et mesure l’effet avant d’actualiser le plan de contrôle et les dispositifs locaux.

💡 Astuce mémo

1ère ligne : réduire (a priori) ; 2ème : surveiller (à posteriori) ; 3ème : auditer (périodique).

📖 8. Principes de la certification des comptes

🔑 Notions clés & Définitions

• Indépendance : Principe de la certification où la Cour et ses membres disposent d’une liberté d’appréciation pour conduire les contrôles et former leurs conclusions.
• Contradiction : Principe de certification imposant que les constats et observations soient soumis aux responsables concernés, puis rendus définitifs après prise en compte de leurs réponses.
• Collégialité : Principe de certification où les principales étapes conduisent à une délibération par une formation de magistrats, dont un assure le rôle de contre-rapporteur.
• Opinion modifiée : Opinion écrite et motivée de la Cour pouvant être adaptée selon les constats, après collecte d’éléments pour obtenir une assurance raisonnable.

📝 Points essentiels

• La Cour formule une opinion écrite et motivée, indépendante, fondée sur des travaux d’audit visant une assurance raisonnable sur la conformité des états financiers aux règles comptables applicables.
• La contradiction signifie que les observations et recommandations ne deviennent définitives qu’après examen des réponses des responsables et, si nécessaire, après audition.
• La collégialité fait examiner et délibérer le rapport d’instruction et le rapport définitif par une formation d’au moins trois magistrats, avec un contre-rapporteur.
• Le rapport de certification s’appuie notamment sur la norme ISA 705 (révisée) relative à l’expression d’une opinion modifiée par l’auditeur indépendant.
• Une anomalie significative correspond à un désaccord sur les comptes (écart de montant, classement, présentation ou informations vs normes comptables applicables).
• Une insuffisance d’éléments probants correspond à une limitation des travaux d’audit, avec soit absence d’éléments pour juger le caractère significatif, soit présence d’écarts entre opérations réalisées et celles qui auraient dû être comptabilisées.

💡 Astuce mémo

Indépendance–Contradiction–Collégialité = les 3 C : décider librement, répondre aux contrôlés, délibérer à plusieurs.

📖 9. Champ de la certification

🔑 Notions clés & Définitions

• Régime général de sécurité sociale : Les comptes certifiés concernent le régime général de sécurité sociale pour l’exercice considéré dans le rapport annuel de la Cour.
• Régularité, sincérité, image fidèle : Les comptes sont évalués au regard de leur régularité, de leur sincérité et de l’image fidèle donnée du résultat, de la situation financière et du patrimoine.
• 10 jeux de comptes : La Cour certifie les comptes via dix ensembles comptables distincts intégrant recouvrement, branches et comptes des organismes nationaux.
• Caisse nationale de solidarité pour l’autonomie : La branche autonomie est représentée uniquement par la CNSA, dont les comptes figurent dans le champ des dix jeux certifiés.
• Opérations de certification sur l’exercice 2022 : La Cour rend compte, pour l’exercice 2022, des vérifications menées en vue de certifier les comptes présentés dans le rapport annuel.

📝 Points essentiels

• La Cour certifie, dans son rapport annuel, la régularité, la sincérité et l’image fidèle du résultat, de la situation financière et du patrimoine du régime général pour l’exercice 2022.
• Les vérifications certifiantes portent sur 10 jeux de comptes, incluant l’activité de recouvrement et les branches maladie, AT-MP, famille, vieillesse, ainsi que la branche autonomie.
• Les comptes de l’activité de recouvrement et des branches maladie, AT-MP, famille et vieillesse résultent de la combinaison des comptes des organismes nationaux et locaux.
• Les comptes de la branche autonomie correspondent à la seule CNSA, organisme unique de cette branche.
• Les Urssaf recouvrent des cotisations, contributions et impôts/taxes affectés ainsi que des produits divers, pour 430,7 Md€ en 2022.
• Les charges du régime général atteignent 556,2 Md€ en 2022, en incluant celles financées par des tiers.

💡 Astuce mémo

3R pour 3 états : Régularité, sincérité, image fidèle → Résultat, situation financière, patrimoine, sur 10 jeux de comptes.

📖 10. Méthodologie de validation et certification

🔑 Notions clés & Définitions

• Indicateurs de risque financier résiduel : Indicateurs de contrôle interne qui mesurent le risque financier restant après supervision de l’ordonnateur et contrôle du directeur comptable et financier.
• Balance d’inventaire balance 13 : Document préparé pour l’exercice qui consolide la balance et sert de base centrale d’examen pour le certificateur ou le valideur avant l’arrêté des comptes.
• Opinion du valideur : Appréciation formulée sur des comptes arrêtés, pouvant aller jusqu’à la validation sans réserve, la validation avec réserves ou le refus de valider.
• Instance délibérante : Organe qui approuve les comptes après présentation des éléments permettant d’éclairer la décision, une fois l’opinion du directeur comptable et financier national obtenue.

📝 Points essentiels

• La certification s’appuie sur l’efficacité du contrôle interne pour prévenir, détecter et corriger les anomalies affectant les comptes.
• Pour mesurer l’efficacité du contrôle interne, la Cour s’appuie sur des indicateurs de risque financier résiduel établis à partir d’un échantillon d’opérations représentatif.
• L’indicateur de fréquence correspond au pourcentage d’opérations vérifiées où subsiste au moins une erreur de portée financière.
• Le taux d’incidence financière rapporte la somme des montants d’erreurs au montant total des prestations de l’échantillon, afin d’extrapoler ensuite le montant global des erreurs.
• Le processus de validation des comptes comporte notamment l’établissement des comptes, l’examen avec demandes de rectification, l’arrêt par le directeur, l’opinion du directeur comptable et financier national, puis l’approbation par l’instance délibérante après l’obtention de l’opinion.
• Le refus d’approbation de l’instance délibérante n’est possible qu’à la majorité des deux tiers et entraîne seulement une publication des comptes comme non approuvés.

💡 Astuce mémo

EEAOA : Établit les comptes → Examine et demande des rectifications → Arrête → Opinion du DDCF national → Approbation par l’instance délibérante.

📖 11. Dossier de clôture et programmes de travail

🔑 Notions clés & Définitions

• Dossier de clôture : Le dossier de clôture regroupe les travaux permettant d’organiser et d’analyser les comptes en cycles, afin d’avoir une vision d’ensemble cohérente à la clôture annuelle.
• Cycle ou processus : Un cycle/processus est un regroupement par fonction des comptes du bilan et du compte de résultat, pour traiter des ensembles homogènes comme Achats-Personnel-Trésorerie.
• Feuille maîtresse : La feuille maîtresse est un découpage de la balance générale en groupes homogènes de comptes pour suivre l’évolution des montants et s’assurer que tout est couvert par un cycle.
• Programme de travail : Le programme de travail liste les contrôles à réaliser sur un cycle/processus, à la clôture et aussi en cours d’exercice, pour garantir des règles de justification communes.
• Circularisation : La circularisation consiste à demander à un tiers lié à l’organisme de confirmer des informations ou soldes à la clôture, afin d’obtenir une preuve externe.

📝 Points essentiels

• Un cycle/processus du dossier comprend une feuille maîtresse, une revue analytique et un programme de travail.
• Un programme de travail couvre des contrôles à effectuer à la clôture mais aussi pendant l’exercice pour standardiser justification et contrôle.
• La circularisation vise notamment à confirmer l’existence d’opérations en solde à la clôture et des informations comme personne habilitée ou existence de contentieux.
• Les réponses obtenues par circularisation ont une force probante et permettent de vérifier la réalité d’opérations ou de soldes comme les charges à payer.
• La revue analytique explique et chiffre les variations de la feuille maîtresse via données agrégées, faits marquants puis analyse chiffrée des évolutions.

📅 Repères chronologiques

📊 Tableaux de synthèse

Lignes de maîtrise des risques

⚠️ Pièges & confusions fréquents

1. Confondre séparation ordonnateur/comptable (structure des responsabilités) avec la RFGP : la RFGP fait passer à une responsabilité avec faute en cas de pertes.
2. Croire que le contrôle interne vise seulement la conformité des comptes : le cours insiste sur la maîtrise globale des activités et des risques (pas uniquement “comptes”).
3. Inverser l’a priori/a posteriori : la 1ère ligne est a priori (au plus près de l’exécution) et la 2ème ligne est a posteriori (surveillance hors exécution).
4. Oublier que la 3ème ligne est indépendante et périodique : elle relève notamment de l’audit interne et de la Validation des Comptes.
5. Mélanger risque inhérent et risque résiduel : l’inhérent est côté au national avant maîtrise, le résiduel est côté au local après maîtrise.
6. Penser que le plan de contrôle unique remplace toute action locale sans complément : il peut être complété par des contrôles locaux issus de constats (audits, VDC, Cour).
7. Confondre certification et validation : la certification est une opinion de la Cour des comptes sur la régularité/sincérité/image fidèle, tandis que la validation locale est arrêtée/opinée par les acteurs nationaux puis approuvée localement.

✅ Checklist Examen

1. Expliquer en quoi la séparation des pouvoirs ordonnateur/comptable structure les missions propres du DCF et son évolution au fil du temps.
2. Décrire les 2 domaines de responsabilité partagée du DCF avec le Directeur : maîtrise des risques et validation/certification des comptes.
3. Citer l’effet de la RFGP entrée en vigueur au 01/01/2023 sur la responsabilité en cas de pertes (sans faute du seul DCF → avec faute du Directeur/DCF/délégataires).
4. Rattacher les jalons réglementaires : 1993 (plan de contrôle interne), 2007 (extension aux risques + fraude + délégataires), 2013 (cartographie, plan national annuel, audits, SI, bilan annuel), 2022 (plan de contrôle unique).
5. Définir le contrôle interne et son objectif d’assurance raisonnable sur la réalisation des objectifs (opérations, fiabilité financière, conformité).
6. Pour le plan de contrôle : distinguer plan de contrôle (initial) et plan de contrôle unique (décret 2022) et rappeler la logique “coconstruction” Ordonnateur/Comptable.
7. Définir l’approche par processus (processus vs procédure) et expliquer pourquoi elle sert de base à la maîtrise des risques.
8. Décrire la démarche d’analyse des risques en 3 étapes et préciser la différence risque inhérent (national) / risque résiduel (local) ainsi que les 6 familles de moyens de maîtrise.
9. Expliquer comment les risques prioritaires sont identifiés (matrice des risques + orientations validées conjointement par le Directeur et le DCF) et comment s’opère l’actualisation du plan.
10. Présenter les “lignes” de maîtrise (1ère/2ème/3ème) avec moment (a priori/a posteriori), acteurs (ordonnateur+DCF vs audit/VDC) et objectif.
11. Expliquer les principes de certification des comptes (indépendance, contradiction, collégialité) et distinguer anomalie significative vs insuffisance d’éléments probants.
12. Décrire la méthodologie de certification : rôle du contrôle interne + indicateurs de risque financier résiduel (fréquence, taux d’incidence, extrapolation) et la logique de l’échantillon.
13. Décrire le processus de validation des comptes : rôle du Directeur comptable et financier national, établissement/arrêt/opinion/approbation et les formes possibles de l’opinion du valideur.
14. Réciter le dossier de clôture : cycle/processus, feuille maîtresse, revue analytique (3 temps) et programme de travail incluant la circularisation (objectif et force probante).