Le lecteur pardonnera l’absence dans cet article d’exemples trop précis ou d’illustrations trop concrètes. La déontologie à laquelle l’audit est soumis ne le permet pas ; y déroger mettrait en péril la confiance des audités.

L’audit interne est généralement perçu, à juste titre, comme un rejeton du monde de la finance. Il est aussi l’objet d’une confusion, plus récente, avec les cabinets d’audit externe, voire les « boîtes de conseil ». Il est ainsi appréhendé comme un outil de l’entreprise tourné vers la performance économique. Pourtant, l’évolution, l’élargissement de cette pratique pourrait conduire nos décideurs à davantage exploiter cette approche qui, fondamentalement, consiste à maîtriser des risques et non pas seulement à mesurer des écarts. D’autant que l’audit interne, par sa connaissance intime de l’organisation et de ses acteurs, rend bien d’autres services aux audités et à leurs chefs.

• Origines d’un malentendu

Apparu dans le monde de l’assurance peu après la crise de 1929, l’audit se structure pendant la Seconde Guerre mondiale aux États-Unis avec la création de l’Institute of Internal Auditors. Il lui faudra trente ans pour traverser l’Atlantique et s’imposer aux entreprises européennes à travers la quatrième directive européenne relative à la comptabilité des sociétés de capitaux (1978). Il connaît plusieurs regains d’intérêt au gré des accidents majeurs de la Bourse, le plus connu étant certainement la faillite du géant Enron coté au New York Stock Exchange. L’audit fait son entrée dans la sphère publique en France au début des années 2000, en premier lieu pour assurer la conformité, la régularité et la performance des comptes publics. Ainsi évoque-t-il fortement la conformité à la norme, comptable d’abord, le règlement, les indicateurs de performance et l’efficience.

Rien de très militaire dans tout cela, penserez-vous. En 2011, un décret interministériel conduit toutefois le ministère de la Défense, probablement un peu contraint, à créer et à organiser son audit interne. Le chef d’état-major des armées (cema) dispose depuis lors de sa division « audit », majoritairement constituée de commissaires des armées, mais aussi d’officiers des armées de terre, de l’air et de l’espace, de la marine et de personnels civils de la Défense – on y place ceux parmi les plus prometteurs.

Dans le monde civil, le champ d’application de l’audit s’adapte ensuite, progressivement, aux besoins plus vastes des organisations, y compris publiques, et s’étend hors du domaine financier. Il est aujourd’hui profondément ancré dans la gestion des ressources humaines, des opérations (au sens de l’entreprise), de la logistique et des systèmes d’information, la culture de l’audit et du contrôle interne1. Et le militaire dans tout ça ? Quel décalage avec le contexte actuel du retour à la guerre de haute intensité en Europe… Nos logothètes militaires ont-ils vraiment besoin d’un nomophylax gardien, voire promoteur, d’une norme byzantine, à l’heure où l’objectif collectif est de simplifier ?

Encore aujourd’hui, en dépit des mutations de l’audit – la greffe est fragile, il faut le reconnaître – ,le chef d’état-major des armées tient à disposer d’un outil d’audit interne qui lui soit directement rattaché. Ainsi la division audit des armées conduit-elle ses missions sur l’ensemble du périmètre du cema, à quelques exceptions près (nucléaire, opérations). Il s’agit, pour les auditeurs, de « couvrir » l’ensemble des risques inhérents aux activités placées sous sa responsabilité.

En d’autres termes, en fonction de priorités définies par le cema et son risk manager, l’officier adjoint du major général des armées (oamga), une équipe d’audit devra donner l’« assurance raisonnable » que les risques résultant des activités des armées, des directions et des services ne se matérialiseront pas. On parle bien d’une forme de garantie : si, après un audit, les « voyants sont au vert », le commandement pourra, l’esprit libre, ne plus se soucier d’un risque d’échec. Si le directeur de l’audit interne engage sa responsabilité sur l’assurance qu’il a donnée, alors l’activité considérée sera, raisonnablement, réputée maîtrisée. C’est cela le cœur de métier : donner à un commandement quitus de la maîtrise de son activité et de ses processus. L’auditeur s’engage au profit du commandement et de l’audité.

• Proposer une prise de risque

Au reste, pratique normée, objective et indépendante, portant souvent sur des matières arides, il faut bien reconnaître que l’audit ne fait pas vibrer la fibre militaire. Confondu avec le travail des cabinets privés d’audit externe, il peut susciter une certaine curiosité, souvent empreinte d’une dose de défiance. Le « chronométreur »2 arrive rarement au meilleur moment, mais toujours en escadrille. Et le « militaire opérationnel » oppose vite au « militaire auditeur » une incompatibilité essentielle entre ses activités opérationnelles et les attendus de l’audit. Ainsi la maîtrise des risques inhérents à ses actions ne serait pas une matière que l’audit est en mesure d’appréhender. Gageons, au reste, que plus personne, en matière d’opérations, ne se contentera de préjuger que l’intendance suivra : quels risques accepter en matière de soutien santé, de logistique opérationnelle, de ressources humaines pour des métiers critiques… ?

L’auditeur serait là pour prévenir les risques, par application du principe de précaution, alors que l’opérationnel prendrait des risques de manière maîtrisée. Cette apparente contradiction est pourtant un profond malentendu. Car l’auditeur, au-delà de formuler l’assurance raisonnable que le risque est maîtrisé, doit surtout permettre au commandement de déterminer, en connaissance de cause, quel est son degré d’appétence au risque. Quelle prise de risque consent-il dans la conduite de ses activités ? L’audit est avant tout une « approche par le risque ». L’auditeur, dans le fond, interroge l’audité sur le risque acceptable au regard à la fois des objectifs qu’a fixés le commandement et du dispositif de maîtrise nécessaire. Auditer impose d’engager un dialogue dense et précis avec les acteurs du processus audité.

Pour bien comprendre l’approche par le risque au cœur de l’audit interne, il faut également revenir à un autre malentendu, évoqué plus haut : le contrôle interne n’est pas… un contrôle. Il s’agit en fait d’un anglicisme – traduction imparfaite d’internal control – qu’il serait plus exact de nommer « dispositif de maîtrise des activités »3. Un ensemble d’actions de maîtrise en continu, et non pas un contrôle a posteriori. La perfection n’étant pas de ce monde, la question ainsi posée revient à fixer le degré de maîtrise raisonnable, c’est-à-dire à décider du poids du dispositif de maîtrise de l’activité, de la rigueur de la norme4 que l’on doit imposer à l’organisation au regard du risque que l’on juge acceptable. Autrement dit, l’auditeur mesure certes l’écart par rapport à une norme, mais va au-delà en jugeant l’adéquation de la norme au regard des objectifs du commandement. Le critère de proportionnalité est primordial. Le « ni trop ni trop peu » est sa préoccupation constante, et pour cela aussi le dialogue est primordial.

• L’auditeur, héraut de la bonne pratique

Aussi, lorsqu’un auditeur recommande de formaliser – souvent par une note (norme honnie !) – un dispositif de maîtrise de l’activité, c’est que la « culture orale » est trop importante, que les services ne coopèrent pas, se méconnaissant mutuellement, ou encore que le rythme effréné des réformes n’en a tout simplement pas laissé le temps au commandement. Il n’a pu coucher sur le papier ces règles et les bonnes pratiques identifiées par l’expérience, toutes destinées à atteindre les objectifs collectifs dont il est le dépositaire. Or la parole s’envole et les écrits… permettent de s’assurer que nos successeurs ou collaborateurs n’auront pas à tout découvrir sur le tas. Souvent, d’ailleurs, un audit consiste aussi à faire écrire les bonnes pratiques professionnelles observées chez les audités.

L’auditeur observe ce qui fonctionne autant que ce qui ne fonctionne pas. Il n’est pas rare qu’il propose un changement à un audité après avoir observé une bonne pratique chez un autre, ou qu’il apprenne à deux audités d’une même organisation qu’ils partagent un même besoin, une même préoccupation, et qu’ils gagneraient à communiquer. C’est finalement un acteur, souvent inattendu mais toujours apprécié, de décloisonnement de la communication interne de l’organisation. Là aussi réside la plus-value de l’audit.

Proportionnalité et juste suffisance sont, on l’a vu, les critères cardinaux de l’action correctrice. L’auditeur interne, qui connaît le milieu et sa culture, sait que l’acceptabilité du contrôle est primordiale et qu’une norme disproportionnée sera rejetée, jamais appliquée. S’il recommande de formaliser une note (« alourdir encore ! », objecte l’audité) ou de créer un système d’information (« un de plus ! »), c’est que cela est véritablement indispensable à la maîtrise du risque.

• Un diagnostic indépendant, mais par un intime de l’organisation

L’auditeur interne des armées est le produit de l’organisation pour laquelle il œuvre. Il s’en extrait certes temporairement – c’est ce que signifie « activité indépendante » – afin de pouvoir livrer son jugement sans risquer de froisser – principalement les chefs ! Il doit en connaître la culture, en comprendre la sociologie, sans que cela le bride dans l’expression de ses constats, aussi frappants soient-ils.

Afin de procéder à un diagnostic objectif, tourné vers le cœur de l’organisation, à tous ses niveaux, il l’« auscultera » soigneusement (audit provient du latin audire : « écouter », « entendre », mais aussi « apprendre »). Ou plutôt, pour filer la métaphore médicale, il en réalise une irm. Il dressera une description détaillée de l’activité auditée, à la fois « systémique » et en détail. Il mesurera, par prélèvements, les écarts entre les résultats observés et ceux visés.

Toujours à travers un dialogue nourri avec les acteurs de l’organisation, l’auditeur écartera toute ambiguïté causale : délai entre cause et conséquence, causes multiples, enchaînement de causes. Il porte sa réflexion sur la recherche de la cause racine, celle dont la correction assurera un fonctionnement optimal, celle sur laquelle il faut et il suffit d’agir pour éviter que le risque se matérialise à nouveau si l’échec est survenu. Il peut aussi s’agir d’une cause d’échec putatif, dans un futur possible – il faut alors se « projeter ».

Cette analyse causale, en profondeur, et portant sur l’ensemble d’un processus, écarte souvent la responsabilité unique d’un acteur dans un risque d’échec – l’audité en est alors reconnaissant, car l’auditeur met fin à une suspicion pesante ! Il arrive de pouvoir exonérer un bureau et ses membres, alors que l’opprobre jetée sur eux faisait consensus. À l’inverse, cette analyse peut conduire à saluer l’action d’une équipe, tout en soulignant que les conditions de sa réussite sont inexpliquées ou mal attribuées. Combien de temps le « coup de bol permanent » peut-il conduire au succès ? Analyse plus difficile à entendre pour une équipe qui, généralement, compense des risques systémiques par un investissement personnel très au-delà de la norme, étant ainsi au bord de la rupture sans le savoir.

Le rattachement à une cause erronée est d’ailleurs un risque majeur pour l’auditeur, qui doit tout objectiver sans se laisser orienter par ceux avec lesquels il entretient un échange fécond et tisse des liens. Une auditrice expliquait longuement – et courageusement ! – à un officier général que son souhait, très insistant, de « centraliser » davantage ne permettrait pas d’écarter un risque qu’il jugeait majeur ; elle lui recommandait au contraire de laisser la maîtrise de ce risque aux opérateurs « terrain ». Pas de norme supplémentaire, mais au contraire… de la subsidiarité. Un autre auditeur, sur un sujet d’actualité brûlante, s’opposait – pendant plus de trois heures de debriefing – à un autre officier général, lui soutenant qu’une formalisation accrue de ses activités serait fortement souhaitable.

L’indépendance aide aussi à réunir deux conditions absolument nécessaires à la bonne conduite d’un audit : l’absence de soupçon sur l’origine de la démarche (ce qui est « au départ du coup ») et la garantie de l’absence d’influence sur les travaux (donc la garantie d’objectivité). Elle est indispensable à la confiance que doit inspirer l’auditeur, qui ne peut être soumis à aucune contrainte hiérarchique liée à son grade.

L’indépendance de la division audit de l’état-major des armées, dans des situations parfois tendues, est appréciable, car elle soustrait l’auditeur à la suspicion de l’audité quant à son intention réelle. Mais parfois, en dépit de ses bonnes intentions, il peut déplaire et l’humain prendre le dessus. La faculté d’empathie devient indispensable. Dans une organisation comme celle des armées, où la hiérarchie est souvent perçue comme une science exacte, il faut savoir annoncer le diagnostic avec un tact consommé, surtout quand l’écart d’âge ou de grade est important.

• Un outil indispensable à la transformation

Recommander d’édicter une norme ou de la modifier, même modestement, c’est déjà une invitation à se transformer. Dès lors l’auditeur doit être un peu sociologue. Et en l’espèce, la sociologie des organisations nous apprend qu’il faut partir de ce qui existe pour co-construire le changement avec les autres5. Or, il faut bien l’admettre, il nous est difficile d’accepter que l’amélioration puisse être continue, ne pas dépendre d’une nouvelle orientation, d’un nouveau chef « providentiel ».

L’audit peut, et doit, respecter les principes de changement social. François Dupuy a longuement démontré que l’on ne change pas les organisations par décret6. Et si, pour d’autres, le problème social, défini comme tout problème rencontré par une collectivité humaine7, ne peut être affaire que de normes, c’est bien de la norme comme base des relations entre acteurs dont il s’agit – voilà qui explique l’énigmatique citation introductive de cet article !

Le défaut de diagnostic est identifié par Dupuy comme la principale cause d’émergence d’une organisation théorique sans lien avec la réalité8. Et c’est là un vrai danger pour le commandement, qui peut le « couper de la base ». Souvent l’intelligence de l’acteur est minimisée et peut aboutir à des injonctions contradictoires9 par méconnaissance du contexte dans lequel il agit. Il faut oublier le mirage du one best way10 de Frederick Taylor et prendre acte de la rationalité limitée des acteurs dans le système que l’on décortique.

Aussi faut-il étudier le contexte que l’acteur audité prendra en compte pour se fixer des objectifs réalistes et en déduire sa stratégie, dont les ressorts sont parfois… très humains : ne pas se laisser distraire pour contrôler son volume horaire, ne pas avoir à coopérer, donc cloisonner l’information, tout en déclarant ses actions conformes à la vision de l’organisation, protéger ses collaborateurs, préserver une croyance profonde sur son métier, souvent une vocation dans le milieu militaire11…

L’auditeur interne doit prendre en compte le construit social dans lequel il conduit sa mission, s’efforcer de faire correspondre la norme à la réalité tout en offrant les meilleures chances de succès à l’entreprise collective. Tout cela, il doit le faire sans se laisser ensevelir sous une épaisseur humaine irrésistible, qui l’influencera, malgré tout, toujours un peu, bien loin de toute mesure de performance ou de considération normative. C’est bien là la partie la plus difficile du métier d’auditeur. L’enfer, c’est les autres12 !