L’audit interne est de plus en plus sollicité pour éclairer les décisions en amont, accompagner les transformations et répondre aux situations de crise. Pour rendre compte de cette évolution, KPMG et l’IFACI ont mené une réflexion conjointe en s’appuyant sur des ateliers menés avec des adhérents IFACI et sur un benchmark auprès de 39 directions de l’audit interne. Ce travail a donné naissance à un livre blanc* consacré aux missions de conseil et aux missions spéciales. Antoine de Sars, Partner KPMG Advisory France, présente les grandes lignes de ce travail.
Pourquoi avoir choisi de travailler sur un livre blanc consacré aux missions de conseil et aux missions spéciales ?
Antoine de Sars : En 2025, l’IIA a mis à jour les Normes définissant le cadre de fonctionnement de l’audit interne. Cette nouvelle version des Normes a confirmé l’intégration des missions de conseil et la réalisation de missions spéciales. Le moment nous semblait donc bien choisi pour clarifier la différence entre les missions de conseil, les missions spéciales et les missions d’assurance, ces dernières restant la fonction régalienne de l’audit interne. Au-delà du partage de clés de lecture, nous nous sommes fixés comme objectifs d’identifier les opportunités associées à ces évolutions ainsi que les défis à relever. Cela nous a permis de dégager des solutions concrètes pour faciliter l’intégration de ces missions dans le quotidien des fonctions d’audit et en faire un levier de création de valeur pour les directions générales.
En quoi les missions de conseil et les missions spéciales prennent-elles une place croissante dans l’audit interne ?
A.dS. : Ces missions ont toujours occupé une place importante dans les organisations. Mais cette place s’accentue aujourd’hui, pour deux raisons principales. D’abord, les organisations sont en recherche de ROI tangibles. Donner une assurance reste la vocation première de l’audit interne, mais aider à maximiser la création de valeur est devenu tout aussi fondamental pour les directions générales. Ensuite, les crises se multiplient, les évolutions réglementaires s’accélèrent, et les directions générales, les COMEX et les conseils d’administration ont plus que jamais besoin d’un éclairage prospectif sur les tendances et les risques à venir pour éclairer leur prise de décision.
Comment les missions de conseil transforment-elles la relation entre l’audit interne et les dirigeants ?
A.dS. : La fonction d’audit interne reste, et restera, rattachée au conseil d’administration et à son comité d’audit. Cependant, elle s’ouvre de plus en plus aux directions métier et opérationnelles, à travers plus d’échanges au niveau du Codir et du COMEX, pour mieux capter leurs besoins et leurs enjeux. Là où l’audit interne, centré sur l’assurance, répond surtout à un plan d’audit relativement rigide, avec des niveaux de couverture sur trois à cinq ans, les missions de conseil et les missions spéciales s’inscrivent dans un temps plus court. Elles exigent davantage d’agilité et répondent à des enjeux plus immédiats, en particulier pour les missions spéciales. C’est cette perception du temps qui évolue, en même temps que se renforce la communication avec les fonctions opérationnelles.
Les missions de conseil sont-elles compatibles avec l’indépendance de l’audit interne ?
A.dS. : Une mission de conseil ne se substitue en aucun cas au management de l’organisation. Un auditeur qui la réalise ne prendra jamais de décisions managériales, ni n’exercera d’activité opérationnelle. Pour garantir l’indépendance sur le terrain, plusieurs leviers existent. Je pense par exemple à une matrice d’incompatibilité qui peut fixer des règles de décision : si une direction demande une mission de conseil sur un thème déjà couvert par une mission d’assurance, la matrice permet de trancher. Le staffing des missions est un autre levier : une personne ayant réalisé la mission d’assurance ne doit pas enchaîner sur la mission de conseil correspondante.
Où se situe la frontière entre conseil et management ?
A.dS. : C’est tout simplement la logique du RACI**. Le rôle de la mission de conseil, c’est d’informer. La décision et la responsabilité reviennent toujours à la direction opérationnelle, qui choisit de suivre ou non l’éclairage apporté. L’un des enjeux de la mission de conseil consiste d’ailleurs à bien formaliser les attentes du client interne dès la note de cadrage. Il faut éviter tout malentendu et clarifier en amont le périmètre et le format des livrables attendus : une modélisation de processus cible ? Un benchmark ? Une analyse de coûts ? Etc.
Les missions spéciales : de quoi parle-t-on réellement ?
A.dS. : Le CRIPP ne parle pas de mission spéciale. L’IIA distingue uniquement la mission de conseil et la mission d’assurance, sans tenir compte de l’élément contextuel qui déclenche la mission. La mission spéciale, c’est justement cet élément contextuel : un événement qui déclenche une mission non prévue au plan d’audit, qu’elle soit d’assurance ou de conseil. Un risque émerge, une fraude survient, une crise éclate : cela peut donner lieu à une mission d’assurance, pour en identifier les causes racines, ou à une mission de conseil, pour formuler des recommandations évitant que le risque ne se reproduise. Ces missions, qui par nature ne peuvent être planifiées, représentent environ 30 % des capacités de réalisation, mis en réserve pour intervenir rapidement sur des sujets imprévus.
Quelles sont les conditions de réussite de ces missions ?
A.dS. : La première condition, c’est une gouvernance claire et une communication adaptée, pour faire comprendre aux parties prenantes (conseil d’administration, COMEX, Codir, directions des filiales, etc.) les différences entre assurance et conseil. Il existe aussi un enjeu de structuration des approches, pour permettre aux auditeurs de mener des missions de conseil sans perdre en agilité (le programme et la note de cadrage doivent pouvoir se modifier en cours d’exécution). Les profils des auditeurs internes doivent eux aussi évoluer vers de véritables « auditeurs hybrides », capables de passer d’une casquette assurance à celle du conseil. C’est une réelle opportunité pour les organisations, qui peuvent ainsi former des auditeurs plus complets, capables ensuite d’évoluer vers des directions opérationnelles et pas seulement au sein de la fonction audit. Enfin, les outils comptent : l’intelligence artificielle et l’analyse de données permettent de libérer du temps sur les missions d’assurance (certaines activités peuvent être automatisées) qui peut être affecté à du conseil.
À quoi ressemblera l’équilibre entre assurance, conseil et missions spéciales dans l’audit interne de demain ?
A.dS. : Cela dépend beaucoup des organisations. Pour les missions spéciales, la part restera comprise entre 20 et 30 %, car elles sont imprévisibles par nature, avec un recours possible à des ressources externes lorsque les problématiques sortent du champ d’expertise interne. En ce qui concerne l’articulation entre assurance et conseil, l’objectif généralement visé est d’environ 30 % du plan d’audit consacré au conseil. Mais cela dépend beaucoup de la maturité de l’organisation. Certaines ont développé leur propre cabinet de conseil interne : dans ce cas, l’audit interne fait peu, voire pas, de conseil. À l’inverse, les plus petites structures, ETI et PME, sont souvent hybrides « by design », avec un équilibre proche de 50/50, chaque rapport d’audit intégrant de fait une composante conseil. Les grandes organisations, elles, restent davantage tournées vers l’assurance. La part de conseil assurée par l’audit interne devrait donc y progresser, sauf dans les cas où un département de conseil dédié existe déjà en interne.
Pour conclure, il me semble essentiel de continuer à communiquer sur la vision et la mission des différentes fonctions de maîtrise des risques, dont fait partie l’audit interne, en vulgarisant au maximum les messages pour que les parties prenantes en comprennent la valeur. L’audit interne ne doit pas travailler seul : il s’inscrit dans un écosystème qui comprend le contrôle interne et le risk management. Adossé à un contrôle interne et un risk management solides, il cible mieux les véritables enjeux de l’organisation et maximise sa création de valeur.
* L’audit interne face aux missions « spéciales » et de « conseil »
** RACI (responsible, accountable, consulted et informed) : matrice des responsabilités.