Le suivi des recommandations d’audit consiste à vérifier, dans la durée, que les actions décidées sont réalisées, documentées et contribuent à réduire les risques identifiés. Il ne se limite donc pas à faire passer une ligne au statut « clôturée » : il doit permettre de comprendre ce qui a changé, ce qui reste à faire et quel niveau de risque demeure.
Pour être utile, le dispositif associe les responsables opérationnels, qui mettent en œuvre les actions, l’audit interne, qui en suit l’avancement et apprécie les éléments communiqués, et la gouvernance, qui arbitre les situations importantes. Voici sept pratiques pour structurer ce suivi sans en faire un exercice punitif.
Qu’est-ce que le suivi des recommandations d’audit ?
Une recommandation répond à un constat d’audit et à un risque identifié. Son suivi relie ce constat aux mesures retenues par le management, à leur calendrier, aux preuves de mise en œuvre et, lorsque cela est pertinent, à la vérification de leur efficacité.
Les rôles doivent rester lisibles : le responsable opérationnel porte le plan d’action et son exécution ; l’audit interne suit les engagements, vérifie les éléments disponibles et signale les points de vigilance ; les instances de gouvernance disposent d’une vision consolidée pour prendre les décisions nécessaires. Cette répartition préserve l’indépendance de l’audit tout en responsabilisant les acteurs concernés.
Pourquoi une recommandation déclarée « clôturée » ne suffit-elle pas ?
Une action peut être réalisée sans traiter complètement la cause du problème. Une procédure a pu être mise à jour, par exemple, sans que sa diffusion, son application ou les contrôles associés soient vérifiés. À l’inverse, une action peut être en retard alors que le risque a été temporairement réduit par une mesure compensatoire.
Le statut administratif ne renseigne donc pas, à lui seul, sur le résultat obtenu. Un suivi utile distingue l’avancement de l’action, la qualité des preuves, l’efficacité de la réponse et le risque résiduel. Il aide ainsi à éviter deux écueils : clôturer trop tôt une recommandation, ou maintenir un retard sans décision ni analyse de ses conséquences.
Comment organiser un suivi fiable ? 7 pratiques
1. Centraliser les informations dans un registre partagé. Pour chaque recommandation, consigner le constat d’origine, le niveau de priorité, l’action retenue, le responsable, l’échéance, l’état d’avancement et les justificatifs. Un référentiel unique réduit les versions concurrentes et facilite les mises à jour.
2. Prioriser selon le risque, pas seulement selon la date. Les recommandations les plus sensibles doivent rester visibles, même si leur échéance est encore éloignée. La criticité, l’exposition de l’organisme et les éventuelles dépendances entre actions aident à orienter l’attention et les ressources.
3. Décrire une action vérifiable. « Renforcer le contrôle » est trop général pour être suivi. Il est préférable de préciser le résultat attendu, les étapes utiles, le responsable et une échéance réaliste. Lorsque plusieurs équipes interviennent, clarifier les contributions attendues évite que l’action reste sans porteur effectif.
4. Conserver des éléments de preuve adaptés. Une recommandation ne peut pas être évaluée sur la seule déclaration « action réalisée ». Selon le sujet, les justificatifs peuvent être une procédure actualisée, une trace de contrôle, un échantillon de dossiers vérifiés ou un compte rendu de déploiement. Les preuves doivent démontrer l’action, sans créer une collecte disproportionnée.
5. Vérifier l’efficacité, pas uniquement l’exécution. La question n’est pas seulement « l’action a-t-elle été mise en place ? », mais aussi « répond-elle au problème observé ? ». Une vérification proportionnée peut porter sur l’application de la nouvelle mesure, sa répétition dans le temps ou l’évolution d’un indicateur pertinent. Lorsque ce contrôle relève du dispositif de suivi, il doit être planifié et tracé.
6. Réévaluer le risque et traiter les retards explicitement. Si l’échéance est dépassée, le responsable explique le blocage, propose une nouvelle date et précise les mesures temporaires prises. Si le risque demeure important, il doit être rendu visible et, le cas échéant, porté à l’arbitrage de l’instance compétente. Une acceptation du risque résiduel doit être explicite, motivée et documentée selon les règles de l’organisme.
7. Présenter une information utile à la gouvernance. Un tableau de bord peut distinguer les recommandations émises, clôturées, en cours et en retard, en faisant ressortir les niveaux de priorité et les évolutions depuis la précédente présentation. Le taux de clôture est un repère, pas une conclusion : il doit être rapproché des actions critiques encore ouvertes, des retards récurrents et des risques résiduels.
La discussion d’un constat sert d’abord à en vérifier l’exactitude : date, périmètre, donnée utilisée, règle ou procédure concernée. Elle permet également de recueillir les explications et les éléments de contexte. Si un fait est inexact ou incomplet, l’auditeur peut le corriger ; si les parties ne partagent pas la même analyse, le rapport peut rendre compte de cette divergence de manière équilibrée.
La confiance ne signifie pas que l’auditeur renonce à son jugement. Elle repose sur une démarche transparente, des critères cohérents et des conclusions étayées. En retour, cette méthode facilite l’appropriation des constats et rend les échanges plus utiles pour toutes les parties.
En résumé
- Un suivi efficace relie chaque recommandation à une action, un responsable, une échéance et des éléments de preuve.
- La clôture suppose de vérifier que l’action est réalisée et, lorsque cela est pertinent, qu’elle produit l’effet attendu.
- Les retards et les risques résiduels doivent rester visibles afin que les responsables et la gouvernance puissent décider en connaissance de cause.
- La mise en œuvre appartient aux responsables opérationnels ; l’audit interne suit les engagements et apporte une appréciation indépendante.
Le suivi transforme ainsi les constats d’audit en améliorations observables. Il ne s’agit pas de rechercher un taux de clôture maximal, mais de s’assurer que les réponses retenues sont adaptées et que les risques qui subsistent sont connus et arbitrés. Il s’articule avec le plan d’audit interne et la conduite des missions d’audit.
Chez Coexell Conseils, nous accompagnons les organismes d’assurance et les mutuelles dans la structuration de leur dispositif de suivi des recommandations d’audit, en tenant compte de leur organisation, de leur gouvernance et de leurs enjeux de maîtrise des risques.
* plan d’audit interne
** conduite des missions d’audit
*** dispositif de suivi des recommandations d’audit
