En bref : Le contrôle interne désigne les processus, règles et procédures conçus par la direction pour assurer la fiabilité de l’information financière (manuel des normes d’audit PME, § 3.3.1). Le droit commun des sociétés ne l’impose pas en bloc à toutes les entreprises, mais la loi 9-88 en impose des briques : pièce justificative (art. 1), manuel d’organisation comptable au-delà de 10 000 000 DH de chiffre d’affaires annuel (art. 4), inventaire annuel (art. 5), conservation dix ans (art. 22). L’auditeur évalue vos contrôles à chaque mission ; leur qualité oriente l’étendue de ses travaux.
Vous avez reçu des remarques de votre commissaire aux comptes ou de votre groupe sur vos procédures. Voici la grille de lecture de l’auditeur, ce que la loi exige vraiment, les contrôles clés par cycle et une méthode pour traiter les faiblesses relevées. Le rôle d’ensemble du CAC est décrit dans notre guide du commissariat aux comptes au Maroc.
Ce que les normes d’audit appellent contrôle interne
Le manuel des normes d’audit PME publié par l’Ordre des experts-comptables (octobre 2019) donne une définition opérationnelle. Le contrôle interne « se réfère à des processus, des règles et des procédures conçues par la direction pour assurer la fiabilité des informations financières et la préparation des états financiers, conformément au référentiel comptable applicable » (§ 3.3.1).
Le manuel le découpe en cinq composants : environnement du contrôle, évaluation des risques, activités de contrôle, information et communication, pilotage. C’est cette grille que l’auditeur applique à votre entreprise.
Deux idées du manuel comptent pour un directeur financier :
- Le contrôle interne existe toujours. « Quelle que soit la taille de l’entité, il y a toujours une certaine forme de contrôle interne, telle que la compétence du propriétaire-dirigeant » (§ 3.3.1). Il peut être informel ; il reste un contrôle interne.
- Seuls les contrôles pertinents pour l’audit intéressent l’auditeur. Il évalue les contrôles qui atténuent les risques d’anomalies significatives dans les états de synthèse, par fraude ou par erreur. Les autres peuvent être exclus de son champ (§ 3.3.1).
Pourquoi l’auditeur évalue vos contrôles et ce que cela change
Une obligation dans toutes les missions
Selon le manuel, l’auditeur doit obtenir une connaissance du contrôle interne « pour toutes les missions d’audit », y compris lorsqu’il choisit une approche entièrement substantive (§ 3.3.1). Cette connaissance lui sert à évaluer le risque résiduel d’anomalies significatives et à concevoir ses procédures complémentaires. La nature, le calendrier et l’étendue de ces procédures sont fonction des risques évalués (§ 3.4).
Le risque inhérent (activité, fraude) est réduit par vos contrôles ; ce qui reste est le risque résiduel. Moins vos contrôles atténuent le risque, plus l’auditeur doit le couvrir par ses propres vérifications.
Les quatre étapes de l’évaluation
Le manuel décrit quatre étapes (§ 3.3.2) : identifier les risques à atténuer ; vérifier que les contrôles conçus peuvent prévenir, ou détecter et corriger, une anomalie significative ; vérifier qu’ils fonctionnent ; documenter leur fonctionnement (qui contrôle, où, à quelle fréquence, avec quel document produit).
Deux phrases du manuel méritent d’être affichées au service comptable. Les demandes d’informations auprès de la direction, « à elles seules, ne sont pas suffisantes ». Et « une description documentée des contrôles non mis en œuvre (même s’ils sont bons), ou ne fonctionnant pas, n’a pas de valeur pour l’audit » (§ 3.3.2).
Ce que l’auditeur fait quand les contrôles manquent
Lorsque peu de contrôles existent, l’auditeur examine s’il peut répondre aux assertions par des contrôles de substance, ou si l’absence de contrôles empêche d’obtenir des éléments probants suffisants. Des craintes sur la fiabilité des enregistrements peuvent le conduire à modifier son rapport, voire à se retirer (§ 3.3.1). Les erreurs qui aboutissent à une réserve sont décrites dans notre article sur les erreurs comptables qui déclenchent des réserves du CAC.
Ce que la loi impose réellement
Ni la loi 9-88 sur les obligations comptables, ni les lois 17-95 et 5-96 sur les sociétés n’imposent à toutes les entreprises un dispositif de contrôle interne au sens large. Les secteurs régulés (banque, assurance, sociétés cotées) obéissent en outre à leurs règles propres. Plusieurs obligations légales en constituent pourtant le socle.
| Obligation | Texte | Portée |
|---|---|---|
| Chaque écriture précise l’origine, le contenu, l’imputation du mouvement et la référence de sa pièce justificative | Art. 1, loi 9-88 | Tous les commerçants |
| Manuel décrivant l’organisation comptable | Art. 4, loi 9-88 | Chiffre d’affaires annuel supérieur à 10 000 000 DH |
| Inventaire des actifs et passifs au moins une fois par exercice, à la fin de celui-ci | Art. 5, loi 9-88 | Tous les commerçants |
| Livre d’inventaire (bilan et compte de produits et charges) | Art. 6, loi 9-88 | Tous les commerçants |
| Livre-journal et livre d’inventaire cotés et paraphés par le greffier | Art. 8, loi 9-88 | Sauf personnes physiques visées à l’art. 1 |
| Conservation des documents comptables et pièces justificatives pendant dix ans ; documents tenus sans blanc ni altération | Art. 22, loi 9-88 | Tous les commerçants |
| Comité d’audit chargé du suivi de l’efficacité des systèmes de contrôle interne, d’audit interne et, le cas échéant, de gestion des risques | Art. 106 bis, loi 17-95 | SA dont les actions sont inscrites à la cote de la bourse |
Le contenu et la mise à jour du manuel de l’article 4 sont développés dans notre article sur le manuel de procédures comptables.
Le commissaire aux comptes exerce sa mission « à l’exclusion de toute immixtion dans la gestion » (art. 166, loi 17-95) : il ne conçoit pas vos contrôles, il les évalue, et porte à la connaissance du conseil les irrégularités et inexactitudes découvertes (art. 169-3°).
Les composantes pratiques d’un contrôle interne
Les activités de contrôle d’une PME tiennent en cinq familles :
- Séparation des tâches. Celui qui autorise n’exécute pas, n’enregistre pas et ne détient pas l’actif.
- Autorisations. Seuils de signature écrits et liste des signataires bancaires à jour.
- Rapprochements. Un solde comptable est rapproché d’une source indépendante, et l’écart est expliqué.
- Protection des actifs. Accès physiques et informatiques restreints, inventaires.
- Documentation. Chaque contrôle laisse une trace : visa, date, nom, écarts traités.
Avant de choisir les contrôles, identifiez les risques par cycle. La méthode est détaillée dans notre article sur la cartographie des risques.
Les contrôles clés par cycle
Pour chaque cycle : le risque principal, le contrôle clé et la preuve que l’auditeur demandera. À adapter à votre activité.
| Cycle | Risque | Contrôle clé | Preuve à conserver |
|---|---|---|---|
| Achats | Facture payée sans commande ni réception, fournisseur fictif | Rapprochement commande / bon de réception / facture avant mise en paiement ; création des fournisseurs par une personne qui ne paie pas | Dossier par facture avec les trois pièces visées ; journal des créations et modifications de fiches fournisseurs, notamment des RIB |
| Ventes | Livraison non facturée, avoir injustifié, créance douteuse non suivie | Rapprochement bons de livraison / factures ; avoirs autorisés par un responsable distinct du commercial ; revue mensuelle de la balance âgée | Séquence des factures et des bons de livraison sans trou ; avoirs signés ; balance âgée commentée |
| Trésorerie | Paiement non autorisé, détournement, écart bancaire non expliqué | Double signature au-delà d’un seuil ; rapprochement bancaire mensuel préparé par une personne qui ne paie pas et revu par une autre | État de rapprochement signé et daté par compte ; liste des signataires ; relevés de caisse contrôlés |
| Paie | Salarié fictif, rémunération modifiée sans décision | Entrées, sorties et changements de salaire validés par écrit ; revue des écarts de masse salariale d’un mois sur l’autre | Contrats et avenants ; état des variations visé ; rapprochement paie / comptabilité / déclarations sociales |
| Stocks | Écart entre stock physique et stock comptable, vol, stock obsolète | Inventaire physique de fin d’exercice (art. 5, loi 9-88) avec comptage contradictoire ; accès restreint aux magasins | Instructions d’inventaire ; fiches de comptage signées ; état des écarts et de leur traitement ; liste des articles dépréciés |
| Immobilisations | Bien cédé ou mis au rebut toujours à l’actif, dépense de charge immobilisée | Autorisation des investissements ; fichier des immobilisations rapproché du grand-livre ; inventaire physique périodique | Décisions d’investissement ; fichier rapproché ; procès-verbal d’inventaire ; justificatifs de sortie |
| Clôture | Écriture manuelle non justifiée, provision omise, cut-off erroné | Revue des écritures manuelles et des écritures de fin d’exercice par un second niveau ; check-list de clôture | Écritures de clôture avec pièce et visa ; tableau des provisions ; balance justifiée compte par compte |
Pour les immobilisations, voir notre guide de l’inventaire physique des immobilisations ; pour la clôture, notre checklist de clôture comptable annuelle. Pour la trésorerie et les achats, le manuel range le manque de procédures de contrôle interne adéquates parmi les facteurs d’opportunité de fraude ; voir notre article sur l’audit de fraude au Maroc.
À retenir :
- L’inventaire des actifs et passifs au moins une fois par exercice est une obligation légale (art. 5, loi 9-88).
- Les pièces justificatives se conservent dix ans (art. 22, loi 9-88).
La petite structure où la séparation des tâches est impossible
Le manuel le reconnaît : dans les petites entités, le faible nombre d’employés peut limiter la séparation des tâches et la documentation écrite. Le contrôle interne y « découle souvent de l’environnement de contrôle » (§ 3.3.1).
Le manuel ajoute que « la participation active du propriétaire-dirigeant peut atténuer certains risques découlant d’un manque de séparation des tâches dans une petite entité ; cela peut toutefois accroître d’autres risques, comme le risque de contournement des contrôles » (§ 5.3).
En pratique, avec deux ou trois personnes au service financier, construisez des contrôles compensatoires :
- Le dirigeant signe, la comptable prépare. Aucun paiement sans la signature d’une personne qui n’a pas saisi l’opération.
- Le dirigeant revoit ce qu’il ne prépare pas. Relevés bancaires reçus directement par lui, rapprochements visés chaque mois, liste des virements comparée aux factures.
- Les écarts sont tracés. Une revue sans trace écrite ne vaut pas preuve pour l’auditeur.
- Les contrôles du dirigeant sont eux-mêmes visibles. Comme le risque de contournement augmente, les opérations qu’il initie lui-même (avances, frais, opérations avec des parties liées) passent par une validation documentée, par un associé ou par le conseil selon votre organisation.
Pour le directeur financier qui arrive dans une structure de ce type, ces quatre points passent avant la rédaction de procédures.
Comment traiter les faiblesses relevées par l’auditeur
Ce que l’auditeur vous communique
Selon le manuel (§ 4.1), des déficiences peuvent apparaître à tout moment de la mission. Si une insuffisance est évaluée comme significative, l’auditeur doit d’abord en discuter avec la direction, puis la communiquer par écrit aux personnes constituant le gouvernement d’entreprise, en temps opportun. Le caractère significatif s’apprécie par jugement professionnel, selon la probabilité de survenance d’une anomalie et son ampleur potentielle ; si l’anomalie s’est produite, selon son impact.
Si la déficience touche la conduite ou la compétence du propriétaire-dirigeant lui-même, il n’existe pas de destinataire de niveau approprié dans l’entité : l’auditeur doit alors reconsidérer sa capacité à poursuivre la mission (§ 4.1).
Ce que l’auditeur regardera l’année suivante
Dans sa partie consacrée aux recommandations, le manuel prévoit que l’auditeur peut tenir compte des mesures prises par la direction à l’égard des déficiences relevées, et notamment se demander « si et comment ces mesures ont été mises en œuvre », et si elles ont été évaluées par la fonction d’audit interne (§ 5.3). Votre réponse à la lettre de déficiences sera donc relue.
Pour chaque point, répondez par écrit : constat, mesure retenue, responsable, date. Si vous écartez une recommandation, motivez-le et indiquez le contrôle compensatoire.
Plan d’action en 90 jours : une méthode
La méthode ci-dessous est une proposition d’organisation, non une exigence des normes.
| Période | Actions | Livrable |
|---|---|---|
| Jours 1 à 15 | Classer les remarques par cycle et par gravité ; un responsable par point | Tableau de suivi des déficiences |
| Jours 16 à 30 | Par cycle : risque, contrôle clé, preuve attendue ; vérifier le seuil de l’art. 4 de la loi 9-88 | Matrice risques et contrôles |
| Jours 31 à 60 | Mettre en place les contrôles manquants (seuils de signature, rapprochements, revue des tiers, check-list de clôture) | Procédures courtes, modèles de visa |
| Jours 61 à 75 | Exécuter les contrôles sur un mois complet | Dossier de preuves du mois test |
| Jours 76 à 90 | Revue par une personne indépendante du cycle ; réponse écrite | Réponse point par point, datée |
Préparez vos preuves dans le format de l’étape 4 du manuel : qui, où, quelle fréquence, quel document (§ 3.3.2). Le calendrier de la mission et les pièces demandées sont détaillés dans notre article sur la préparation de l’intervention du commissaire aux comptes. Le déroulement d’une mission légale ou contractuelle est présenté sur la page audit et commissariat aux comptes.
Points de vigilance
- Procédure n’est pas contrôle. Sans trace d’exécution, le contrôle n’a pas de valeur pour l’audit (§ 3.3.2 du manuel).
- Seuil de l’art. 4 de la loi 9-88. Au-delà de 10 000 000 DH de chiffre d’affaires annuel, le manuel d’organisation comptable est obligatoire.
- Contournement par la direction. La supervision du dirigeant compense le manque de séparation des tâches mais accroît ce risque (§ 5.3).
- Sociétés cotées. Le comité d’audit rend compte régulièrement au conseil de l’exercice de ses missions (art. 106 bis, loi 17-95).
Questions fréquentes
Une loi impose-t-elle un dispositif de contrôle interne à toutes les sociétés marocaines ?
Non : ni la loi 9-88, ni les lois 17-95 et 5-96 sur les sociétés n’imposent un dispositif d’ensemble à toutes les sociétés. La loi 9-88 impose des obligations qui en font partie (pièces justificatives, inventaire annuel, conservation dix ans, manuel d’organisation comptable au-delà de 10 000 000 DH de chiffre d’affaires, art. 4). La loi 17-95 confie au comité d’audit des sociétés cotées le suivi de l’efficacité du contrôle interne (art. 106 bis).
Pourquoi le commissaire aux comptes évalue-t-il notre contrôle interne ?
Selon les normes d’audit PME (§ 3.3.1), il doit le connaître dans toutes les missions pour évaluer le risque d’anomalies significatives et concevoir ses procédures complémentaires. Si les contrôles sont fiables, il peut les tester ; sinon, il s’appuie davantage sur des contrôles de substance.
Comment séparer les tâches avec deux personnes au service comptable ?
Séparez au minimum l’autorisation des paiements de leur exécution et de l’enregistrement, et confiez au dirigeant la revue des rapprochements et des listes de paiements. Le manuel relève que la participation active du propriétaire-dirigeant peut atténuer le manque de séparation des tâches, tout en accroissant le risque de contournement des contrôles (§ 5.3).
Une procédure écrite suffit-elle à l’auditeur ?
Non. Selon le manuel (§ 3.3.2), une description documentée de contrôles non mis en œuvre ou ne fonctionnant pas n’a pas de valeur pour l’audit, et les demandes d’informations auprès de la direction ne suffisent pas. Il faut une trace du contrôle effectué : visa, date, écart traité.
Que faire d’une déficience significative relevée par l’auditeur ?
L’auditeur doit d’abord en discuter avec la direction, puis la communiquer par écrit aux personnes constituant le gouvernement d’entreprise (§ 4.1). Répondez point par point avec un responsable, une mesure et une date ; l’auditeur peut examiner si et comment ces mesures ont été mises en œuvre lors de la mission suivante (§ 5.3).
LIRE ÉGALEMENT :
- Manuel de procédures comptables
- Cartographie des risques : ce qu’il faut savoir
- 5 erreurs comptables qui déclenchent des réserves du CAC
