Contrôle interne et audit interne

Ce que la réglementation vous impose

Banque, services de paiement et services d’investissement

Arrêté du 3 novembre 2014 modifié (version en vigueur depuis le 2 août 2026). Pour les assureurs, voir plus bas. Ces textes sont des obligations légales et réglementaires ; les normes professionnelles citées en fin de section n’en sont pas.

1. Piloter. Le contrôle interne comprend notamment une organisation claire des rôles et responsabilités, une organisation comptable, des systèmes de mesure et de surveillance des risques, un système de documentation et d’information des dirigeants effectifs, de l’organe de surveillance et de l’ACPR, et une organisation de la gestion du risque informatique (art. 3). Il a pour objet, depuis le 2 août 2026, de vérifier que les risques significatifs sont correctement identifiés, évalués et déclarés aux dirigeants effectifs et à l’organe de surveillance (art. 11). L’organe de surveillance examine, au moins deux fois par an, l’activité et les résultats du contrôle interne (art. 252). Chaque niveau de contrôle a un responsable, et un dirigeant effectif répond de la cohérence et de l’efficacité du contrôle permanent de deuxième niveau comme du contrôle périodique (art. 16 et 17).
2. Organiser trois niveaux de contrôle distincts, adaptés à votre taille, à la nature et à la complexité de vos activités (art. 12), avec une stricte indépendance entre les unités qui engagent les opérations et celles qui les valident (art. 14, désormais étendu aux fonctions de contrôle interne).
3. Contrôle de premier niveau. Il est assuré par des agents exerçant des activités opérationnelles, qui identifient les risques induits par leur activité et respectent les procédures et les limites fixées (art. 12, a, et art. 13).
4. Contrôle permanent de deuxième niveau. Il est assuré par des agents exclusivement dédiés à la gestion des risques, y compris le risque de non-conformité : fonction de vérification de la conformité, fonction de gestion des risques ou unités indépendantes dédiées. Ils vérifient que le premier niveau a identifié et géré ses risques (art. 12, b, et art. 16).
5. Contrôle périodique (troisième niveau). Il est assuré par la fonction d’audit interne, composée d’agents distincts de ceux des deux premiers niveaux, qui n’est associée à aucune autre ligne d’activité ni fonction de contrôle et qui examine de manière indépendante la mise en œuvre de la stratégie risques (art. 12, c). Un responsable de l’audit interne est désigné (art. 17). Les moyens doivent permettre un cycle complet d’investigations de l’ensemble des activités en cinq ans au plus, avec un programme de missions établi au moins chaque année. Depuis le 2 août 2026, la faculté de confier contrôle permanent et contrôle périodique à une seule personne est fermée aux établissements de crédit et aux entreprises d’investissement de classe 1 bis (art. 18).
6. Rendre compte. Un rapport sur les conditions dans lesquelles le contrôle interne est assuré est élaboré au moins une fois par an (art. 258) ; son contenu est précisé à l’art. 259, qui inclut notamment un inventaire des enquêtes de contrôle périodique et la classification des risques de blanchiment. Les rapports issus des contrôles sont communiqués aux dirigeants effectifs et à l’organe de surveillance (art. 257). Un rapport sur les rémunérations est transmis à l’ACPR (art. 266).

Assurance (Solvabilité II)

Les entreprises d’assurance et de réassurance mettent en place un système de gouvernance qui comprend quatre fonctions clés (gestion des risques, vérification de la conformité, audit interne, actuarielle) et élaborent des politiques écrites, notamment sur le contrôle interne et l’audit interne (C. assur., art. L. 354-1). La fonction d’audit interne évalue l’adéquation et l’efficacité du système de contrôle interne, de manière objective et indépendante des fonctions opérationnelles (C. assur., art. R. 354-5).

Le dispositif LCB-FT n’est pas un silo

L’arrêté du 6 janvier 2021 prévoit que le dispositif LCB-FT s’intègre dans le dispositif de contrôle interne de l’organisme, et confie le contrôle périodique LCB-FT au responsable de l’audit interne. Voir le domaine LCB-FT.

Recommandations et normes volontaires

Les orientations de l’EBA sur la gouvernance interne et le modèle COSO sont des références de bonne pratique, sans valeur de loi. Les normes de l’IIA, relayées en France par l’IFACI, structurent la pratique des auditeurs internes ; elles ne s’imposent qu’à ceux qui s’en réclament.