Code de pratique du CIIA : un nouveau repère pour l'audit interne

Un code refondu, aligné sur les nouveaux standards

Il est explicitement conçu pour s'articuler avec les nouvelles GIAS, entrées en application en janvier 2025, avec l'IPPF de l'IIA, et avec la version révisée du UK Corporate Governance Code (code britannique de gouvernance d'entreprise). Le Code est fondé sur des principes — 37 principes répartis en neuf domaines — et s'applique avec proportionnalité, selon la taille, le profil de risque et la complexité de l'organisation. Il ne constitue pas une norme contraignante : c'est un étalon de bonnes pratiques, que les prestataires d'évaluation qualité externe (External Quality Assessment, EQA) utilisent comme référence.

Ce que porte le Code : de la couverture à l'impact

Le Code déplace l'attention de la conformité vers l'impact. Plusieurs orientations méritent d'être retenues :

• Un périmètre défini par les risques d'entreprise. L'audit interne forme son propre jugement sur la couverture pertinente, en fonction de la stratégie et du profil de risque ; son point de vue est éclairé, mais non déterminé, par celui du management, de la fonction risques ou des régulateurs.
• Un plan d'audit dynamique. Le plan, approuvé par le comité d'audit, est révisé en continu pour intégrer les risques émergents et les événements imprévus.
• Un reporting consolidé et une opinion annuelle. Au moins une fois par an, l'audit interne formule une opinion d'ensemble sur l'efficacité du dispositif de gouvernance, de gestion des risques et de contrôle — ainsi que sur le respect de l'appétence au risque — assortie d'une analyse des causes profondes des faiblesses significatives.
• Une indépendance renforcée du responsable de l'audit interne. Le Code confie au président du comité d'audit la nomination, la fixation des objectifs, l'évaluation, la rémunération et, le cas échéant, la révocation du responsable de l'audit interne (Chief Audit Executive, CAE) ; au-delà de sept ans d'ancienneté, un réexamen annuel de son indépendance est attendu.
• Des moyens à la hauteur des risques. Le CAE rend compte régulièrement de l'adéquation des compétences et du budget ; le comité d'audit approuve ce budget et indique, dans le rapport annuel, s'il l'estime suffisant.

Protéger la valeur — et contribuer à la créer

La finalité assignée à l'audit interne mérite d'être précisée. Selon le Code, elle consiste d'abord à aider le conseil d'administration et la direction à protéger les actifs, la réputation et la pérennité de l'organisation. Les GIAS retiennent une formulation plus large : l'audit interne renforce la capacité de l'organisation à créer, protéger et pérenniser de la valeur.

De la couverture par entité à la couverture par les risques

Le Code conforte un déplacement méthodologique de fond : passer d'un plan couvrant systématiquement l'ensemble des entités auditables à un plan piloté par les risques les plus significatifs pour l'entreprise. L'audit interne n'a pas à couvrir chaque année l'intégralité de son périmètre ; il concentre ses travaux là où le risque est le plus élevé et conçoit son plan pour soutenir l'opinion annuelle d'ensemble. Cette approche, qui aligne les travaux d'audit sur le niveau et l'évolution des risques, suppose un plan actualisé en continu et une cartographie des risques régulièrement mise à jour.

Quelle portée pour une fonction d'audit interne luxembourgeoise ?

Le Code vise le Royaume-Uni et l'Irlande ; il n'a aucune valeur réglementaire au Luxembourg. Trois raisons en font néanmoins une référence utile pour les acteurs de la Place :

• Les GIAS, sur lesquelles le Code s'appuie, s'imposent aux auditeurs internes affiliés à l'IIA partout dans le monde, y compris au Luxembourg.
• La Commission de Surveillance du Secteur Financier (CSSF) impose déjà une fonction d'audit interne à certaines des entités qu'elle régule — établissements de crédit et entreprises d'investissement, gestionnaires de fonds d'investissement alternatifs (AIFM), professionnels du secteur financier (PSF), établissements de paiement — avec des exigences d'indépendance, de rattachement à l'organe de direction ou au comité d'audit et de planification fondée sur les risques.
• Le Code offre un vocabulaire commun et une grille de maturité que l'on peut utiliser comme miroir d'auto-évaluation, sans se substituer aux obligations locales.

Le Code constitue donc une référence de bonnes pratiques, et non une obligation supplémentaire.

Comment s'en servir concrètement

• Cartographier ses pratiques actuelles au regard des neuf domaines du Code, pour repérer les écarts de maturité.
• Réexaminer la charte d'audit interne : mandat, indépendance, rattachement, responsabilités éventuelles sur d'autres fonctions de contrôle.
• Objectiver le plan d'audit : point de départ « risques d'entreprise », révision continue, validation par le comité d'audit.
• Structurer le reporting vers une opinion annuelle d'ensemble, appuyée sur une analyse des causes profondes.
• Documenter l'adéquation des ressources et des compétences aux risques les plus significatifs.

Écueils fréquents

• Traiter le Code comme une simple liste de vérification de conformité, alors qu'il appelle un jugement professionnel appliqué avec proportionnalité.
• Le confondre avec une norme contraignante — ou, à l'inverse, l'écarter au motif qu'il n'est pas applicable localement.
• Conserver un plan « par entités » qui dilue l'effort au lieu de le concentrer sur les risques majeurs.
• Réduire la finalité de l'audit interne à la seule protection, en négligeant sa contribution à la décision et à la création de valeur.

L'approche ARCAD

ARCAD accompagne les fonctions d'audit interne — en place, en assistance ou en externalisation — pour transformer ces référentiels en pratiques utiles : diagnostic de maturité, refonte de la charte et du plan fondé sur les risques, structuration du reporting et de l'opinion annuelle, évaluation qualité. La démarche d'ARCAD privilégie un audit interne indépendant et pragmatique, qui protège la valeur autant qu'il éclaire les décisions.