La communication de l’audit interne avec le conseil d’administration ne se résume pas à la présentation trimestrielle du plan d’audit et des rapports de mission. Elle détermine la manière dont les travaux sont compris, utilisés et, in fine, la valeur que l’organisation attribue à la fonction.
Les Normes internationales de l’audit interne en font un fil conducteur. La communication n’y est pas traitée comme une étape du processus d’audit, mais comme une dimension qui traverse l’ensemble des activités de la fonction, de la construction du plan jusqu’au suivi des recommandations.
Pour le directeur de l’audit interne, l’enjeu est double : transmettre une information utile à la décision, et construire dans la durée une relation de confiance avec le conseil d’administration et le comité d’audit.
Ce que vous allez trouver dans cet article
Cet article revient sur les exigences des Normes en matière de communication avec le conseil d’administration et le comité d’audit. Il détaille les registres formels et informels à mobiliser, les principaux obstacles qui freinent le dialogue, ainsi que l’apport des outils numériques et de l’intelligence artificielle pour rendre l’information plus fraîche et plus exploitable.
📢 Pourquoi la communication conditionne la valeur de l’audit interne
L’impact de l’audit interne dépend autant de la qualité de ses travaux que de sa capacité à les faire comprendre. Un constat pertinent mal restitué produit peu d’effets. À l’inverse, une analyse bien cadrée, transmise au bon interlocuteur au bon moment, oriente une décision.
C’est précisément le sens que les Normes internationales de l’audit interne donnent à la communication : un vecteur de valeur, et non un simple exercice de reporting. Elle permet à l’audit interne de fournir des informations et des analyses qui alimentent la gouvernance et la prise de décision.
Cette exigence s’inscrit dans une évolution plus large du métier. Le rôle du directeur de l’audit interne se déplace progressivement vers une lecture prospective des risques et une posture de conseil auprès des instances de gouvernance. Or cette posture ne peut s’installer sans un dialogue nourri avec le conseil d’administration et le comité d’audit.
À retenir : la communication n’est pas accessoire au travail d’audit, elle en est une composante à part entière. La valeur perçue de la fonction se joue largement dans la qualité de ses échanges avec le conseil.
Les Normes invitent ainsi les responsables de l’audit interne à favoriser une communication, formelle comme informelle, qui permette une compréhension mutuelle sur cinq registres :
- les intérêts et préoccupations de l’organisation
- les méthodes d’identification et de gestion des risques, et l’assurance apportée sur ces dispositifs
- les rôles, responsabilités et opportunités de collaboration entre les parties concernées
- les exigences réglementaires applicables
- les processus significatifs de l’organisation, dont le processus de communication financière
👉 Ce que les Normes stipulent en matière de communication
Les Normes fixent des exigences précises sur les sujets à porter devant le conseil d’administration ou le comité d’audit, ainsi que sur la fréquence de ces échanges. Elles ne se contentent pas de définir les obligations du DAI : elles précisent également les conditions que la direction générale et le conseil doivent réunir pour que la fonction puisse remplir son mandat.
Le domaine III, « Gouvernance de la fonction d’audit interne », est explicite sur ce point. Si le DAI veille au respect des Normes, les activités du conseil d’administration et de la direction générale sont essentielles pour permettre à l’audit interne d’accomplir sa mission.
Le principe 8, « Surveillance du conseil », précise que cette surveillance de l’efficacité de la fonction suppose une communication collaborative et interactive entre le conseil d’administration et le directeur de l’audit interne, ainsi qu’un soutien du conseil pour garantir que la fonction dispose de ressources suffisantes pour remplir son mandat.
Les sujets qui font l’objet d’une communication structurée au conseil ou au comité d’audit couvrent notamment :
- le plan d’audit interne : périmètre, priorités, couverture des risques et arbitrages retenus, communiqué chaque année et actualisé en cours d’exercice
- les ressources et le budget de la fonction : effectifs, compétences, moyens techniques, ainsi que tout écart susceptible de compromettre la réalisation du plan
- les révisions significatives de la charte d’audit interne, qu’elles portent sur le mandat, le positionnement ou les droits d’accès
- les atteintes à l’indépendance et à l’objectivité, les restrictions de périmètre et les conflits d’intérêts, à communiquer sans délai
- les résultats des missions : constats significatifs, recommandations et suivi des plans d’action
- la performance de la fonction : indicateurs de suivi, résultats des évaluations qualité et conformité aux Normes
La fréquence des communications formelles s’aligne sur le calendrier des réunions du conseil d’administration ou du comité d’audit, le plus souvent au moins une fois par trimestre, complétée par des échanges intermédiaires lorsque le contexte l’exige.
Bon à savoir : la fréquence dépend de la maturité et du profil de risque de l’organisation. Une entreprise technologique en forte croissance appelle des points plus rapprochés qu’une structure stable, exposée à un éventail de risques émergents plus restreint.
🤝 Communication formelle et informelle : deux registres complémentaires
Limiter la relation avec le conseil aux séances plénières trimestrielles prive l’audit interne d’une partie de son utilité. Les Normes et les pratiques observées convergent sur la nécessité de combiner plusieurs registres.
Les séances à huis clos
L’échange avec le comité d’audit hors présence de la direction générale est un mécanisme central. Il permet au DAI de s’exprimer librement sur les sujets sensibles : difficultés d’accès à l’information, tensions sur le périmètre d’audit, risques que la direction ne traite pas de manière adéquate. Sans cet espace, le conseil risque de ne recevoir qu’une information filtrée.
Les Normes insistent sur l’existence de voies de remontée claires lorsqu’un risque ne peut pas être résolu au niveau de la direction générale.
Les échanges informels
Les points de contact entre deux réunions (un appel avec le président du comité d’audit, un échange préparatoire avant une séance, un déjeuner de travail) jouent un rôle que les séances formelles ne remplissent pas. Ils permettent de tester une lecture, de signaler un sujet émergent avant qu’il ne devienne un point d’ordre du jour, et de construire la confiance interpersonnelle sur laquelle repose la crédibilité de la fonction.
L’alignement avec la direction générale
Indépendance ne signifie pas isolement. L’audit interne doit également entretenir une communication continue et productive avec la direction générale et les directions métiers. Les dirigeants doivent savoir ce que l’audit interne s’apprête à présenter au conseil et comprendre son raisonnement.
Arriver devant le comité d’audit avec une préoccupation majeure sans avoir travaillé en amont un plan d’action et des priorités avec les parties prenantes concernées met tout le monde en difficulté, y compris l’audit interne, dont la recommandation perd en portée opérationnelle.
À retenir : trois registres sont à activer en parallèle, les communications formelles prévues par les Normes, les séances à huis clos avec le comité d’audit, et les échanges informels entre les réunions.
🚧 Les obstacles à une communication efficace
Certaines configurations organisationnelles rendent le dialogue structurellement plus difficile. Les identifier permet d’agir sur les causes plutôt que sur les symptômes.
Une indépendance insuffisamment garantie
Le rattachement fonctionnel de l’audit interne au comité d’audit, doublé d’un rattachement administratif à la direction générale, conditionne la liberté de parole du DAI. Lorsque le rattachement fonctionnel se fait au directeur général, la capacité à tenir des conversations franches avec le comité d’audit s’en trouve mécaniquement contrainte. L’indépendance est la condition d’un accès non restreint et non filtré au conseil et au comité d’audit.
Des attentes mutuelles jamais explicitées
Chaque partie doit comprendre ce que l’autre peut apporter et ce qu’elle attend d’elle. Faute d’avoir posé et discuté ces attentes, la relation devient transactionnelle : l’audit interne transmet des documents, le conseil en prend acte, et la valeur se perd dans l’exercice.
Un conseil insuffisamment impliqué
Lorsque le conseil perçoit l’audit interne comme une obligation de conformité à cocher plutôt que comme un partenaire de gouvernance, il devient difficile de faire passer des analyses de fond. Un conseil réellement engagé interroge les constats, demande des approfondissements, et s’intéresse en continu à l’évolution des compétences et des ressources nécessaires à la fonction.
Quelques signaux d’alerte méritent d’être surveillés :
- des ordres du jour de comité d’audit qui n’accordent à l’audit interne qu’un créneau résiduel
- l’absence de séance à huis clos régulière
- des rapports transmis mais jamais discutés
- aucun échange entre le DAI et le président du comité d’audit en dehors des réunions
- des demandes de ressources jamais arbitrées explicitement
🤖 IA et outils numériques : rendre l’information plus fraîche et plus lisible
Les technologies transforment autant la production des travaux d’audit que leur restitution.
Côté production, l’analyse de données et l’automatisation permettent de synthétiser de grands volumes d’information et de faire ressortir les préoccupations principales. L’analyse prédictive contribue à identifier les risques en évolution et à formuler des recommandations actionnables. L’IA agentique commence à être mobilisée sur les tests de contrôle et le travail de terrain, tandis que l’IA et l’automatisation accélèrent la construction du plan d’audit.
Côté restitution, l’apport est peut-être plus déterminant encore. Les tableaux de bord en temps réel permettent de porter à la connaissance des administrateurs les risques émergents et les faiblesses de contrôle au moment où ils apparaissent, et non à l’issue d’un cycle de reporting trimestriel. Le dialogue se déplace alors : au-delà des risques, il devient possible d’aborder les opportunités et les mesures d’atténuation.
Cette dynamique rejoint plus largement les enjeux d’intelligence artificielle et de digitalisation de la fonction. Des solutions comme GAIA, l’intelligence artificielle développée par l’IFACI pour accompagner les auditeurs internes dans leurs missions, illustrent cette intégration progressive.
Bon à savoir : un tableau de bord ne remplace pas un jugement d’auditeur. Sa valeur tient à la sélection des indicateurs présentés au conseil et à la capacité du DAI à expliquer ce qu’ils signifient, et ce qu’ils ne disent pas.
🔥 Gestion des risques : s’impliquer sans perdre son indépendance
La communication avec le conseil porte de plus en plus sur le dispositif de management des risques de l’organisation (ERM). L’audit interne n’en est pas responsable, mais il peut évaluer les efforts réalisés en la matière et apporter de la valeur en vérifiant les risques identifiés et le caractère approprié de l’appétence au risque retenue.
Cette implication soulève une question d’équilibre. Deux garde-fous sont généralement retenus pour la préserver :
- des structures hiérarchiques clairement définies, qui établissent sans ambiguïté les lignes de rattachement et les pouvoirs au sein de l’organisation
- des fonctions délimitées de manière indépendante, avec des rôles et responsabilités distincts, explicitement attribués
La valeur de l’ERM est renforcée lorsque tous les acteurs de la gestion des risques, y compris l’audit interne, y jouent un rôle actif, à condition que chacun sache où s’arrête son périmètre. Les travaux annuels Risk in Focus, publiés par l’IFACI et l’ECIIA, constituent à cet égard une base de dialogue utile avec le conseil sur les priorités de risque.
En résumé
La communication de l’audit interne avec le conseil d’administration est un déterminant direct de la valeur de la fonction. Les Normes internationales de l’audit interne en font une exigence structurante, avec des sujets, une fréquence et des responsabilités partagées entre le DAI, la direction générale et le conseil.
Trois leviers ressortent :
- combiner les registres : communications formelles, séances à huis clos, échanges informels entre les réunions
- expliciter les attentes mutuelles pour sortir d’une relation transactionnelle
- exploiter les outils numériques pour livrer une information plus fraîche et plus lisible aux administrateurs
Reste une condition préalable : une indépendance réellement garantie par le rattachement fonctionnel au comité d’audit. Sans elle, aucune des bonnes pratiques évoquées ne produit pleinement ses effets.
Cet article s’appuie sur la publication « Elevating Internal Audit Communication With the Board ».
