Contrôle interne du cycle achats-fournisseurs : évaluation et recommandations
La société Distribo SARL, grossiste alimentaire à Lubumbashi, réalise 12 milliards CDF de chiffre d'affaires avec 14 salariés. Vous intervenez pour une mission d'évaluation du contrôle interne du cycle achats-fournisseurs. Vos entretiens et tests révèlent que : (1) le responsable des achats négocie les conditions, sélectionne les fournisseurs et valide lui-même les bons de commande ; (2) la réception des marchandises est assurée par le magasinier qui appose un cachet « reçu conforme » sur le bon de livraison, mais aucune comparaison n'est faite avec le bon de commande ; (3) le comptable enregistre les factures sur présentation du bon de livraison, sans rapprochement avec le bon de commande ; (4) les paiements sont préparés par le comptable et signés électroniquement par le gérant, qui approuve en moyenne 40 paiements par jour sans pièce justificative ; (5) un accès générique « admin » partagé permet de modifier les fichiers fournisseurs et les coordonnées bancaires.
1. Identifiez les faiblesses du contrôle interne, classez-les par cycle fonctionnel et précisez les risques de fraude ou d'erreur associés.
Read the worked answer
1. Séparation des tâches - achats. Le cumul négociation / sélection / validation par une même personne supprime la segregation of duties. Risque : favoritisme, commissions occultes, surfacturation, fournisseurs fictifs ou liés à un salarié.
2. Réception. L'absence de rapprochement bon de livraison / bon de commande empêche de détecter des livraisons non commandées ou partielles. Risque : réception de marchandises non commandées, pertes de marchandises, litiges fournisseurs.
3. Comptabilisation. L'enregistrement sans rapprochement avec la commande et sans contrôle du prix ni du calcul rompt la chaîne « commande → réception → facture → paiement ». Risque : factures fictives, double paiement, erreurs de prix.
4. Paiement. Un gérant qui signe 40 paiements par jour sans pièce justificative rend le contrôle inopérant : le signataire ne peut exercer aucun contrôle effectif. Risque majeur de détournement (paiements à des tiers, coordonnées bancaires modifiées).
5. Sécurité des systèmes. Un compte générique partagé interdit toute traçabilité (impossibilité d'imputer une action à une personne) et permet la modification des coordonnées bancaires des fournisseurs - schéma classique de fraude au faux fournisseur / fraude au président.
Synthèse. Les risques se cumulent : la fraude peut se produire et n'être détectée par personne. Le contrôle interne est inefficace sur ce cycle.
2. Proposez un plan de remédiation hiérarchisé et expliquez comment vous testeriez son efficacité.
Read the worked answer
Plan de remédiation (par ordre de criticité) :
- Sécurité et traçabilité (immédiat). Supprimer les comptes génériques, créer des comptes nominatifs avec mots de passe individuels, restreindre la modification des coordonnées bancaires à un double profil, journaliser toutes les modifications. Contrôle : revue des logs et des habilitations.
- Paiements (sous 30 jours). Instaurer un contrôle par échantillonnage : le signataire ne valide qu'après vérification de la chaîne complète (commande, réception, facture, rapprochement bancaire). Fixer un seuil de délégation et un plafond de paiements à signer par jour. Contrôle : test d'un échantillon de 30 paiements, recherche de la pièce justificative.
- Séparation des tâches (sous 60 jours). Dissocier la sélection des fournisseurs (achats), la réception (magasin) et la comptabilisation (comptabilité). Formaliser une matrice des pouvoirs. Contrôle : revue de la matrice et entretiens.
- Rapprochement commande / réception / facture (sous 90 jours). Mettre en place un contrôle à trois voies avec blocage du paiement en cas d'écart. Contrôle : test de conformité sur un échantillon.
Modalités de test d'efficacité :
- Tests de conformité : vérifier que la procédure est appliquée sur un échantillon (attributs attendus : signature, rapprochement, pièce justificative) ;
- Tests substantifs : rapprochement du solde fournisseurs avec les confirmations externes, analyse des paiements inhabituels, recherche de doublons ;
- Tests de contournement : tenter d'accéder au compte admin, vérifier la possibilité de modifier un IBAN sans validation ;
- Indicateurs : délai moyen de traitement, taux d'écarts détectés, nombre de modifications d'IBAN par mois.
Conclusion. Le contrôle interne ne pourra être considéré comme fiable qu'après une période d'observation ; en attendant, l'auditeur doit augmenter la part des contrôles substantifs et alerter la direction par écrit.