8 nov. 2026
Dans une petite entité publique ou une unité de projet de quelques personnes, le contrôle interne a mauvaise réputation. Il évoque d’épais manuels de procédures, des formulaires en trois exemplaires et des signatures que personne ne lit. Quand le manuel est copié sur celui d’une grande administration, l’équipe découvre vite qu’elle ne peut pas l’appliquer, et commence à le contourner. L’entité a alors la paperasse d’un dispositif de contrôle sans la protection.
Une approche proportionnée part de l’autre bout : quelques risques qui comptent vraiment, et quelques contrôles réellement exécutés.
Partir des risques, pas du manuel
Avant d’écrire la moindre procédure, listez ce qui pourrait nuire gravement à l’entité : un paiement pour un service jamais rendu, un marché attribué sans mise en concurrence, de la trésorerie ou du matériel qui disparaît, une échéance manquée envers un partenaire financier. Une demi-journée d’atelier avec les personnes qui conduisent les processus suffit généralement à repérer la dizaine de risques qui méritent l’attention.
Quelques contrôles solides plutôt que beaucoup de contrôles faibles
Pour chaque risque important, un ou deux contrôles bien placés valent mieux qu’une longue liste de vérifications. Un paiement n’est libéré que si la preuve de livraison est jointe et vérifiée par une autre personne que celle qui a commandé. Le rapprochement bancaire est fait chaque mois et revu par le responsable. Le matériel au-delà d’une certaine valeur est inventorié et compté une fois par an. Ces contrôles sont simples, mais ils doivent être exécutés à chaque fois.
La séparation des tâches dans une petite équipe
L’objection classique est qu’une équipe de quatre personnes ne peut pas séparer toutes les tâches. C’est vrai, et ce n’est pas exigé. L’essentiel est qu’aucune personne ne puisse mener seule une opération sensible de bout en bout sans que quelqu’un d’autre la voie. Quand les rôles ne peuvent pas être séparés, des contrôles compensatoires prennent le relais : une revue mensuelle des paiements par le coordonnateur, une seconde signature au-delà d’un seuil, un regard indépendant sur les relevés bancaires.
La preuve qu’un contrôle a été exécuté
Un contrôle qui ne laisse aucune trace ne peut pas être montré à un auditeur, et il est facilement sauté un jour chargé. La preuve doit rester légère : un visa daté sur le rapprochement, une approbation dans le logiciel comptable, une courte liste mensuelle signée par le relecteur. Son but est d’ancrer le contrôle dans la routine, pas de produire du papier.
Un scénario pour illustrer
Scénario fictif, rédigé à des fins pédagogiques. Une petite agence de douze agents adopte le manuel de procédures de son ministère de tutelle, écrit pour une organisation bien plus grande. En un an, la plupart des formulaires sont remplis après coup, et le comptable prépare et enregistre lui-même les paiements parce que le second signataire est souvent en déplacement. Un audit relève plusieurs paiements sans preuve de livraison. L’agence remplace le manuel par une courte liste de risques clés et huit contrôles, instaure une revue mensuelle des paiements par la directrice et une approbation électronique quand le signataire est absent. L’audit suivant constate des contrôles exécutés et documentés, avec moins de papier qu’avant.
Cinq questions pour votre entité
- Quels sont les dix risques qui nuiraient gravement à l’entité s’ils survenaient ?
- Pour chacun, quel contrôle est réellement exécuté, et par qui ?
- Une personne peut-elle mener seule un paiement de bout en bout ?
- Quels contrôles compensatoires existent là où les tâches ne peuvent pas être séparées ?
- Quelle preuve montre que chaque contrôle clé a été exécuté le mois dernier ?
Pour aller plus loin
Nos programmes Concevoir un dispositif de contrôle interne et Cartographie des risques partent des processus des participants. Pour un regard extérieur sur votre dispositif actuel, voyez nos diagnostics et évaluations.