Le plan d’audit est le document qui définit, sur plusieurs années, les missions que la fonction d’audit interne réalisera au sein d’un organisme : thématiques retenues, ordre de priorité, calendrier et ressources. Pour les organismes d’assurance et les mutuelles, il constitue l’un des livrables attendus de la fonction clé audit interne, et un outil de dialogue avec la gouvernance.
Encore faut-il le construire méthodiquement. ce programme ne se reconduit pas d’une année sur l’autre : il se justifie, risque par risque. Cet article revient sur sa finalité, son cadre et les bonnes pratiques de construction que nous appliquons chez Coexell Conseils.
Qu'est-ce qu'un plan d'audit interne ?
L’audit interne réalise des contrôles de manière périodique, à l’inverse du contrôle interne, dont les contrôles sont dits permanents. Cette périodicité implique nécessairement des choix : quels processus auditer, à quelle fréquence, avec quel niveau de priorité ?
C’est là qu’intervient le plan d’audit. Les thématiques qu’il couvre sont par nature très variées : efficacité des processus, conformité aux lois et règlements, ou domaines techniques comme l’informatique ou l’actuariat. Les textes Solvabilité II* et les attentes du régulateur (ACPR**) prévoient que la fonction d’audit interne établit et tient à jour un plan d’audit pluriannuel, fondé sur une méthode d’appréciation des risques, couvrant l’ensemble des activités de l’organisme et soumis à l’examen des instances de gouvernance. Dans la pratique, ce pogramme est triennal et réactualisé chaque année.
Un plan d’audit complet précise, pour chaque mission, son objectif, son périmètre, son calendrier de réalisation et les ressources mobilisées. Une simple liste de thèmes ne constitue donc pas un plan d’audit.
* Solvabilité II
** ACPR
Pourquoi fonder le plan d'audit sur les risques ?
Ce document doit pouvoir être expliqué et défendu devant les instances de gouvernance — comité d’audit, direction effective, conseil d’administration — et, le cas échéant, devant le régulateur. Cette capacité de justification repose sur un socle objectif : la cartographie des risques, la stratégie et l’actualité de l’organisme.
Fonder le plan sur les risques présente trois avantages concrets :
- Une couverture démontrable : chaque mission répond à un risque identifié, à une exigence réglementaire ou à un enjeu stratégique documenté ;
- Des priorités arbitrables : face à des ressources nécessairement limitées, la criticité des risques fournit un critère de hiérarchisation objectif et partageable ;
- Un plan vivant : un risque nouveau, un incident ou une évolution du contexte peut être intégré en cours d’année, de manière tracée.
À l’inverse, reconduire chaque année le même programme conduit à un décalage progressif entre les missions réalisées et les risques réellement encourus.
Comment construire un plan d'audit : Les 7 bonnes pratiques
1. Partir des risques, pas du plan précédent. La cartographie des risques, la stratégie poursuivie, les transformations en cours et les évolutions réglementaires doivent guider la sélection des thématiques. La reconduction du programme antérieur ne constitue pas une méthode.
2. Adopter un horizon triennal. Un plan sur trois ans donne une trajectoire à la fonction d’audit, permet de vérifier la couverture de l’univers d’audit dans le temps et rassure les instances sur la logique d’ensemble. Il est réexaminé chaque année.
3. Relier le plan à la stratégie de l’organisme. Lancement d’une nouvelle offre, changement d’outil, externalisation, fusion : les projets structurants doivent être intégrés à l’univers d’audit. Consulter les membres de la gouvernance en amont permet aussi de les impliquer — ils seront les premiers destinataires des missions à venir.
4. Tenir compte des audits précédents. Des recommandations critiques ou durablement en retard peuvent justifier une nouvelle intervention sur un périmètre déjà audité. Le plan d’audit s’articule ainsi avec le dispositif de suivi des recommandations*.
5. Définir précisément chaque mission. Objectif, périmètre, calendrier, ressources : ces quatre éléments rendent le plan pilotable et permettent d’en suivre l’exécution au fil de l’année.
6. Intégrer les thématiques imposées. Certains audits répondent à des attendus réglementaires explicites — audit LCB-FT tous les cinq ans, audit du système de gouvernance, etc. Ils structurent le calendrier et doivent être positionnés dès la construction du plan.
7. Conserver une capacité d’adaptation. Incident majeur, risque émergent, demande du régulateur : le plan doit pouvoir évoluer en cours d’année. Tout report, ajout ou suppression de mission est alors justifié et partagé avec les instances de gouvernance.
* Suivi des recommandation
En résumé
- Le plan d’audit est un programme pluriannuel — en pratique triennal — de missions d’audit interne, fondé sur une appréciation des risques et présenté à la gouvernance.
- Il n’est ni la reconduction du plan précédent, ni une simple liste de thèmes : chaque mission est définie par un objectif, un périmètre, un calendrier et des ressources.
- Il reste évolutif : tout ajustement en cours d’année est possible, à condition d’être justifié et tracé.
Un plan d’audit bien construit est donc un plan assez structuré pour donner une trajectoire à la fonction d’audit, et assez vivant pour rester aligné avec les risques réels de l’organisme. Au-delà de la conformité, il fait de l’audit interne un véritable outil de pilotage au service de la gouvernance.
Chez Coexell Conseils, nous accompagnons les organismes d’assurance et les mutuelles dans la construction de leur plan d’audit interne* — de l’analyse des risques à la présentation du plan aux instances — ainsi que dans la conduite de leurs missions d’audit.
