CHAPITRE 8

RISQUES DE FRAUDE ET CONTRÔLES

Objectifs pédagogiques
Comprendre l’importance de la fraude dans le monde d’aujourd’hui.
Présenter les différentes définitions de la fraude.
Décrire le « Triangle de la fraude » et comprendre les raisons pour lesquel-
les ses trois éléments doivent coexister pour qu’il y ait fraude.
Définir les types de fraude et les facteurs qui induisent un risque de
fraude.
Définir la gouvernance d'entreprise, le management des risques et le
contrôle dans le contexte de la fraude.
Décrire les techniques de prévention, de dissuasion et de détection de la
fraude.
Comprendre le comportement des fraudeurs.
Décrire les responsabilités des auditeurs internes concernant la lutte
contre la fraude.
Comprendre l’évolution des responsabilités de l’audit interne, notam-
ment le recours à des spécialistes de la lutte contre la fraude.

Le terme « fraude » a divers connotations négatives pour la plupart des indivi-

dus. Pour beaucoup, il fait immédiatement penser à un abus de confiance ou à
la découverte d’agissements répréhensibles. Vous avez forcément déjà entendu
quelqu’un utiliser ce terme pour exprimer son indignation : « est-ce que ce n’est
pas de la fraude ? ». La fraude suscite généralement, à juste titre, de l’indigna-
tion, car elle indique une manipulation, une situation dans laquelle des individus
malhonnêtes trompent délibérément des personnes honnêtes. Jusqu’à la fin du
XXe siècle, les experts-comptables parlaient souvent d’« irrégularités compta-
bles ». La fraude dans les états financiers ayant nettement augmenté, en termes
d’incidence et d’effets, il a fallu renoncer aux euphémismes et parler de fraude.

8-1
ENCADRÉ 8-1 NORMES ET MODALITES PRATIQUES D’APPLICATION
PERTINENTES POUR LE CHAPITRE 8

1210 – Compétence
1220 – Conscience professionnelle
2060 – Rapports à la direction générale et au Conseil
2110 – Gouvernance d'entreprise
2120 – Management des risques
2210 – Objectifs de la mission

Modalité pratique d’application 1210-1 : Compétence

Modalité pratique d’application 1210.A1-1 : Recours à des prestataires externes
Modalité pratique d’application 1220-1 : Conscience professionnelle
Modalité pratique d’application 2030-1 : Gestion des ressources
Modalité pratique d’application 2060-1 : Rapports à la direction générale et au conseil

Le risque de fraude reste l’un des plus grands risques auxquels les
organisations contemporaines sont confrontées. Qu’il s’agisse d’une
fraude commise par un membre du personnel, de collusion entre
plusieurs membres du personnel ou d’une fraude commise par un
tiers, il est probable que non seulement l’organisation qui en est
victime subira une importante perte financière, mais également que
sa réputation sera fortement entachée. Dans de nombreux cas, la
fraude dans une société cotée entraîne rapidement une nette baisse
du cours de Bourse et de la capitalisation boursière et peut être le
signe avant-coureur de difficultés financières. Il semble effective-
ment exister une corrélation entre la fraude et les difficultés finan-
cières : la fraude peut engendrer des difficultés financières, mais
il est fréquent que celles-ci favorisent la fraude. La fraude ayant
de graves conséquences économiques, la direction et les organes
de direction s’attachent de plus en plus à élaborer des contrôles
et des programmes anti-fraude concernant l’activité principale, la
conformité aux règles et le marché sur lequel opère l’organisation.
Ce recentrage général sur la gouvernance d'entreprise est motivé
par la prise de conscience du fait qu’une information financière
frauduleuse peut rapidement conduire à la disparition d’une orga-
nisation.

Ce chapitre compare les différentes définitions de la fraude afin d’en

illustrer ses diverses perceptions. Puis il s’intéresse au « Triangle
de la fraude », qui permet de comprendre les principaux facteurs
qui sont en général réunis pour qu’une fraude soit commise. Il
énonce également les principes fondamentaux d’un programme de
prévention et de détection de la fraude. Une bonne connaissance
de ces principes permet de bien définir le rôle que l’audit interne
peut jouer dans ce type de programme. L’analyse montre ensuite
comment un programme de prévention et de détection de la fraude
8-2
peut soutenir la structure de gouvernance d’une organisation. Cet
aspect conduit tout naturellement à examiner l’importance d’une
évaluation des risques de fraude et la façon dont cette évaluation
permet à une organisation d’élaborer des contrôles de détection et
de prévention. Enfin, ce chapitre explore les répercussions de la
fraude sur le rôle et les priorités de l’audit interne. Les Normes
internationales de l’IIA pour la pratique professionnelle de l’audit
interne (les Normes) font plusieurs fois référence aux responsabili-
tés de l’audit interne en ce qui concerne la fraude.

LA FRAUDE DANS LES ENTREPRISES AUJOURD’HUI

La fraude ne se limite pas à certains pays ou à certains secteurs.

Elle peut toucher n’importe quelle organisation, n’importe quand.
Les grands scandales financiers qui ont éclaté aux États-Unis
(affaires Enron et WorldCom, en particulier), en Europe (Parmalat,
Ahold ...) et notamment en France (Société Générale) ont fait la une
des journaux dans le monde entier. Ils ont non seulement coûté des
milliards de dollars aux investisseurs, mais aussi largement érodé
la confiance dans les marchés financiers du monde entier. Cette
situation a conduit notamment à l’adoption de la loi Sarbanes-Oxley
Act (2002) aux États-Unis, à la loi pour la Sécurité Financière, LSF
(2003) en France, et au renforcement du CRBF 97-02 en 2009 pour
les états financiers. Ces textes sont destinées à améliorer la gouver-
nance d'entreprise et restaurer la confiance des investisseurs dans
les marchés financiers.

Depuis 2002, l’intérêt porté à l’amélioration de la gouvernance

d'entreprise s’accroît sur l’ensemble du globe, et des pays tels que
le Royaume-Uni, la France et l’Allemagne (ainsi que l’Europe,
d’une manière générale), le Canada, l’Indonésie, l’Afrique du Sud,
l’Australie­, l’Inde et le Japon se dotent de nouvelles règles. Le chapi-
tre 3, « La gouvernance d'entreprise », analyse l’importance d’une
gouvernance solide, et l’annexe 3-B, « Synthèse des codes de gouver-
nement d’entreprise adoptés dans les autres pays », résume un grand
nombre de codes de gouvernance. À l’évidence, cette tendance est
motivée par la nécessité de préserver la confiance des marchés en
traitant et en réduisant directement le risque d’information finan-
cière frauduleuse. L’encadré 8-2 présente des exemples de types de
fraude qui ont poussé ces pays à améliorer la gouvernance d'entre-
prise.

L’Association of Certified Fraud Examiners (ACFE) même une

enquête semestrielle auprès de ses membres et rédige un rapport
à la nation sur la fraude et les abus dans les entreprises (Report to
the Nation on Occupational Fraud and Abuse). Bin que ce rapport
soit largement axé sur les États-Unis, il donne des indications sur
l’impact de la fraude dans le monde de l’entreprise d’aujourd’hui.
Son édition 2008 s’appui sur des données compilées à partir de
959 cas de fraude sur le lieu de travail, dans un large éventail de
secteur étudiés entre janvier 2006 et février 2008. De son côté, le

8-3
ENCADRÉ 8-2
EXEMPLES DE FRAUDES DANS LE MONDE

L’affaire SATYAM en Inde

En janvier 2009, B. Ramalinga Raju, président de Satyam Computer Systems, une grande
entreprise mondiale d’externalisation de technologies basée en Inde 1, a fait des révélations
publiques surprenantes. Non seulement il a révélé que son groupe avait gonflé des chiffres
pendant une longue période, mais il a également déploré que, malgré des efforts concertés
pour truquer les comptes, il subsistait des différences entre le bénéfice réel et celui compta-
bilisé. Les révélations de M. Raju, qui dirigeait depuis une vingtaine d’années une entreprise
ayant pour clients plus de 100 des sociétés du classement Fortune 500 et qui, leader de son
secteur, représentait l’Inde au Forum économique mondial de Davos, ont soulevé des ques-
tions peu confortables à propos de la gouvernance d'entreprise en Inde.

Le CBI, Central Bureau of Investigation de ce pays, l’équivalent du Federal Bureau of Investiga-

tion (FBI) des États-Unis pense que M. Raju, deux de ses frères et quatre cadres de Satyam ont
commis une fraude en établissant plus de 7 000 fausses factures et en créant des douzaines de
faux relevés bancaires afin de gonfler le résultat de Satyam. Tout a commencé en décembre
2008, lorsque M. Raju a cherché à diversifier les activités de son groupe en rachetant Maytas
Properties et Maytas Infra, deux entreprises dirigées par ses fils (N.B. : Maytas est l’anagramme
de Satyam et « Satyam » signifie « la vérité » dans plusieurs langues de l’Inde). Dans le monde,
un certain nombre d’investisseurs institutionnels ont fustigé cette stratégie impudente, qui
consistait à intimider le Conseil d’administration de Satyam pour qu’il se plie à la volonté
de son président (la plupart des administrateurs avaient démissionné avant les aveux de M.
Raju).

Le CBI a affirmé 2 que les deux auditeurs, S. Gopala Krishnan et Srinivas Talluri, entre-temps
suspendus, la division indienne de PricewaterhouseCoopers (PwC), avaient reçu des banques
de Satyam des certificats de dépôt présentant « des écarts considérables par rapport aux chif-
fres fournis par la direction du groupe ». Les auditeurs ont néanmoins certifié les comptes
truqués. MM. Krishnan et Talluri sont aujourd’hui en prison à Hyderabad, ainsi que d’autres
inculpés.

En outre, le CBI affirme que ces auditeurs ont reçu pour les travaux d’audit qu’ils ont effec-
tués pour Satyam une rémunération correspondant à plusieurs fois le prix du marché. Depuis
janvier, un certain nombre d’investisseurs, furieux, exigent de savoir pourquoi les auditeurs
n’ont pas décelé une fraude aussi systématique, qui a ébranlé la confiance dans les autorités de
contrôle indiennes. Il est intéressant de noter qu’en Inde, la presse n’a encore jamais évoqué
l’existence d’un service d’audit interne chez Satyam Computer Services.

D’autres affaires dans le monde

Il existe d’autres exemples notables de fraude financière massive dans le monde. On peut
notamment citer la fraude commise à la Bank of Credit and Commerce International (BCCI),
au Royaume-Uni, celle portant sur plusieurs milliards de dollars chez Parmalat, le géant italien
des produits laitiers, les retraitements permanents des comptes de Nortel Networks, l’une des
plus grandes entreprises du Canada, qui a fini par déposer son bilan en janvier 2009, des pots-
de-vin « d’une ampleur et d’une portée géographique sans précédent » versés en Allemagne
par le groupe Siemens à des fonctionnaires partout dans le monde, la facilitation de l’évasion
fiscale pour des clients d’UBS Suisse, le plus important gérant mondial de fonds de clients
fortunés (N.B. : La soustraction fiscale n’est pas illégale en Suisse), l’implication du géant néer-
landais de l’alimentation, Royal Ahold NV, dans une vaste manipulation de résultats financiers
et dans une fraude de grande ampleur portant sur des titres ; et les états financiers frauduleux
établis pendant des années par Kanebo, grand groupe japonais de cosmétiques et de textiles.

En France, la société Générale a annoncé en Janvier 2008, avoir été victime, de la part de l’un
de ses traders Jérôme Kerviel, d’une fraude sur des produits dérivés qui lui a valu une perte de
4,9 milliards d’euros. Le trader sera jugé en 2010 pour abus de confiance, faux et usage de faux,
ainsi qu’introduction frauduleuse de données dans un système de traitement automatisé.

1
Le groupe Satyam emploie quelque 53 000 personnes et est coté en Bourse à Bombay,
Amsterdam et New York.
2
Les références au rapport du CBI portant sur Satyam ont été supprimées du bulletin d’infor-
mation en ligne envoyé aux membres de l’Institute of Chartered Accountants of India (avril
2009).

8-4
cabinet d’audit PWC réalise régulièrement des enquêtes sur la
fraude en France, en Europe et dans le reste du monde, dont la
dernière édition a été publiée en 2007 (enquête Française) et en
2009 (enquête mondiale).
Corruption
Les principaux enregistrements de ces études sont résumés Acte par lequel un
ci-après. individu exerce
une influence
Types de fraude. Selon l’étude de l’ACFE, les types de fraude indue (pot-de-vin,
les plus courants sont la corruption (27% des cas) et la factura- délit d’initié ou
tion frauduleuse (24%). Ce chapitre décrira plus loin les différen- conflit d’intérêts,
tes formes de fraude. La fraude dans les états financiers est la par exemple), lors
plus coûteuse : elle représente une perte médiane de 2 millions d’une transaction
commerciale,
de dollars.
afin d’en tirer un
Selon PWC (2009), le détournement d’actifs est la première caté- avantage pour
gorie en France (30%), suivi par la contrefaçon (15%). Viennent lui-même ou pour
quelqu’un d’autre,
ensuite les fraudes comptables (10%) et la corruption (3%).
en violation de
ses obligations
Entreprises concernées. Selon l’étude PWC, la fraude touche vis-à-vis de son
toutes les catégories d’entreprises mais plus l’entreprise est employeur ou
grande, plus les risques de fraudes sont importants ? C’est la des droits de
contrepartie inévitable d’une organisation plus complexe, avec quelqu’un d’autre.
des processus et des systèmes interconnectés, où les failles
potentiellement exploitables par des fraudeurs sont naturelle-
ment plus nombreuses.
Aucun secteur n’est épargné par la fraude, bien que certains
secteurs semblent plus exposés que d’autres. Dans le monde
57% des entreprises appartenant aux secteurs de l’assurance et
de la distribution et de la consommation ont déclaré avoir été
victimes de fraudes au cours des deux dernières années contre
seulement 27% dans le secteur pharmaceutiques. C’est égale-
ment la secteur de l’assurance qui supporte le coût des fraudes
aérées le plus élevé, avec un coût total moyen par entreprise sur
les deux dernières années qui s’élève à 3,2 millions d’euros, à
comparer à une moyenne mondiale, tous secteurs.

Importance de la fraude. La fraude est l’un des risques

majeurs pour l’entreprise : l’étude publié par PWC en 2007 indi-
que que 40% des entreprises françaises ont été victimes d’actes
de criminalité économique au cours des deux années précé-
dentes, contre 43% au cours des deux années précédentes. Ce
pourcentage est supérieur à la moyenne constatée en Europe
de l’Ouest (38%), mais aussi à celle constatée dans le monde
(43%).
La fraude a fait perdre aux entreprises américaines 7% de leur
chiffre d’affaires annuel : ramenées aux prévisions du produit
intérieur but (PIB) des Etats-Unis pour 2008, les pertes impu-
tables à la fraude avoisinent au total 994 milliards de dollars
(ACFE), avec une perte médiane de 175 000 dollars. En France,
les entreprises ont estimé en 2007 (PWC) avoir perdu en
8-5
Signaux moyenne 2,8 millions d’euros au cours des deux années précé-
d’alerte les plus dentes du fait de fraudes (contre 1,6 millions d’euros en Europe
fréquents de l’Ouest et de 1,7 millions dans le monde), principalement en
• Le fraudeur vit
raison du coût plus important des contrefaçons en France du fait
au-dessus de ses de la prédominance d’article de luxe contrefaits.
moyens Le coût moyen direct dépend de la nature des fraudes perpé-
• Il a des
trées. Selon l’étude mondiale PWC (2009, p.10), en effet le coût
difficultés
financières des fraudes comptables est en moyenne plus élevé que celui des
• Il subit des détournements d’actifs : les fraudes comptable ont couté plus
pressions d’un million de dollars dans 25% des cas reportés alors que ce
excessives chiffre n’est que de 17% pour ce qui concerne le détournements
de la part de d’actifs. Les pertes subies par les entreprises en cas de fraude
l’organisation sont d’autant plus importantes que les sommes perdues sont
rarement récupérées dans leur totalité : seulement 22% des
entreprises parviennent à récupérer plus de 60% des sommes
perdues et , dans seulement 62% des cas, aucun montant n’est
récupéré.
Et au-delà du coût direct, la découverte d’une fraude peut avoir
d’autres conséquences collatérales affectant, entre autres, la
réputation ou la marque, le cours de la bourse, les relations d’af-
faires de l’entreprise ou celles avec les autorités de régulation,
ainsi que le moral des employés et, surtout, le temps perdu.

Profil des fraudeurs. Selon l’étude mondiale PWC (2009),

53% des fraudes constatées ont été commises par des fraudeurs
internes à l’entreprise. Le portrait robot du fraudeur est (PWC
2007) celui d’un homme (dans 93% des cas), âgé en moyenne de
40 ans, qui occupe dans près de 55% des cas une position élevée
dans la hiérarchie (top management dans 29% des cas ou middle
management dans 26% des cas). Il travaille dans l’entreprise
depuis 9 ans, mais dans 20% des cas, il est arrivé dans l’entre-
prise au cours des deux années précédentes. Mais le profil des
fraudeurs reste, en réalité, difficile à dessiner.

Importance des dispositifs anti-fraude. Il est fréquent

qu’une fraude soit commise dans une entreprise pendant
plusieurs années avant d’être découverte. D’après l’étude ACFE,
il s’écoule généralement deux ans entre le moment où une fraude
commence et le moment où l’organisation qui en est victime la
découvre.
Selon ACFE, le manque de contrôles adéquats est le plus souvent
cité (35%) comme facteur ayant permis une fraude. Viennent
ensuite l’absence de vérification par la direction (17%) et le
contournement des contrôles en place (17%).
Il est beaucoup plus probable de détecter une fraude dans une
entreprise grâce à un informateur que par les audits, les contrô-
les ou d’autres moyens. En effet, selon l’étude ACFE, 46% des
cas de fraude sont détectés via des informations provenant de
salariés, de clients, de fournisseurs ou d’autres sources. Mais,

8-6
 selon l’étude mondiale PWC (2009, p.11), le poids des dispositifs Fraude
de contrôle et de prévention (audits inopinés, dispositifs d’alerte Tout acte illégal
éthique, programme de sensibilisation à la fraude, audit interne caractérisé par
ou d’un département d’enquête sur la fraude,…) s’est accru la tromperie, la
puisque, en 2009, ceux-ci permettent de détecter quasiment dissimulation
une fraude sur deux dans le monde (au total 46% contre 34% ou la violation
en 2007). de la confiance.
Les fraudes sont
Il est ici essentiel de souligner qu’aucune organisation n’est à l’abri perpétrées par
des personnes et
de la fraude. Celle-ci peut toucher aussi bien les grandes organi-
des organisations
sations que les petites, et n’importe quel pays et secteur d’activité. afin d’obtenir
Tant que les organisations se composent d’êtres humains avec leurs de l’argent, des
fragilités inhérentes, le risque de fraude est réel. Des études récen- biens ou des
tes montrent par ailleurs que le risque est accru en contexte de crise services, d’éviter
car les facteurs de pression sur les salariés sont plus nombreux et un paiement ou la
les opportunités plus grandes (réductions des effectifs, attention du perte de services
management absorbée sur la survie de l’entreprise,...).1 2 ou de s’assurer
un avantage
personnel ou
DÉFINITIONS DE LA FRAUDE commercial.

Même si la plupart des individus comprennent globalement ce

qu’est la fraude et peuvent probablement en donner un ou plusieurs
exemples, il n’est pas très facile de la définir. La plupart des fraudes
étant des actes condamnés par la loi, il convient de commencer par
une définition juridique. L’encadré 8-3 donne une définition prove-
nant du Black’s Law Dictionary, le dictionnaire juridique le plus
utilisé aux États-Unis. Bien que certains des termes qu’il contient
puissent différer de ceux utilisés tout au long de ce chapitre, il est
lui aussi axé sur les agissements permettant à un individu d’en
exploiter un autre.

Il existe de nombreuses autres définitions de la fraude, qui expri-

ment à la fois le point de vue des auditeurs internes et celui des
auditeurs externes. Les organisations qui représentent les audi-

ENCADRÉ 8-3
UNE DEFINITION QUI FAIT AUTORITE

La fraude est un terme juridique et nécessite souvent une détermination juridique des faits. La
définition large qu’en donne le Black’s Law Dictionary est donc peut-être la plus pertinente dans
ce contexte :
“[Fraud is] a generic term, embracing all multifarious means which human ingenuity can devise,
and which are resorted to by one individual to get advantage over another by false suggestions or
by suppression of truth, and includes all surprise, trick, cunning, dissembling, and any unfair way by
which another is cheated … Elements of a cause of action for “fraud” include false representation

Anglais
of a present or past fact made by defendant, action in reliance thereupon by plaintiff, and damage
resulting to plaintiff from such misrepresentation.”

Source : Black’s Law Dictionary. 1979, p. 594.

8-7
 teurs, ainsi que les professionnels de la lutte contre la fraude, ont
cherché à définir la fraude et à délimiter les rôles et les responsabi-
lités de leurs membres respectifs. . En 2008, l’Institute of Internal
Auditors (IIA), l’American Institute of Certified Public Accountants
(AICPA) et l’Association of Certified Fraud Examiners (ACFE) ont
élaboré ensemble une note d’orientation intitulée Business Risk
of Fraud: A Practical Guide (le Fraud Guide). Cette publication
énonce cinq grands principes pour la gestion du risque de fraude
et recommande des méthodes permettant au Conseil, à la direction
générale et aux auditeurs internes de lutter contre la fraude dans
l’entreprise. Elle est le fruit de deux années de travaux d’un groupe
d’action, qui a rassemblé plus de 20 spécialistes de l’identification,
de la réduction et de l’examen des risques de fraude. Cette note
d’orientation contient la définition suivante :
Une fraude est tout acte intentionnel ou toute omission inten-
tionnelle ayant pour but de tromper autrui, et qui entraîne
une perte pour la victime et/ou un avantage pour le frau-
deur 3 .

Les principaux points essentiels de cette définition seront analysés

plus en détail tout au long de ce chapitre. Cependant, chacun des
organismes qui ont participé à la rédaction du présent ouvrage a sa
propre définition, qui correspond à sa vision de la fraude. Ces diffé-
rentes définitions sont présentées dans l’encadré 8-4.

ENCADRÉ 8-4
DIFFERENTES DEFINITIONS DE LA FRAUDE

L’Institute of Internal Auditors (IIA)

(extrait du Glossaire des Normes de l’IIA, qui font partie du Cadre de référence international des
pratiques professionnelles de l’audit interne) et qui sont reprises par l’Institut Français de l’Audit
et Contrôle Interne (IFACI) :
« Tout acte illégal caractérisé par la tromperie, la dissimulation ou la violation de la confiance
sans qu’il y ait eu violence ou menace de violence. Les fraudes sont perpétrées par des person-
nes et des organisations afin d’obtenir de l’argent, des biens ou des services, ou de s’assurer un
avantage personnel ou commercial. »

L’American Institute of Certified Public Accountants (AICPA)

(traduction d’un extrait du Statement on Auditing Standard 99) :
« La fraude est un acte intentionnel qui se traduit par des anomalies graves dans les états finan-
ciers audités. [Il existe] deux types d’anomalies graves : […] des anomalies résultant d’informa-
tions financières frauduleuses et des anomalies résultant d’un détournement d’actifs. »

Association of Certified Fraud Examiners (ACFE)

(extrait traduit de l’édition 2007 du Report to the Naon on Occupational Fraud)
« Cas dans lequel une personne profite de sa situation professionnelle à des fins d’enrichisse-
ment personnel, par un usage abusif délibéré ou une utilisation inappropriée des ressources
ou des actifs de l’organisation qui l’emploie. »

Compagnie Nationale des Commissaires aux Comptes (CNCC)

(extrait de la NEP 200)
« La fraude se distingue de l’erreur par son caractère intentionnel. »

8-8
La définition retenue par l’IIA est probablement la plus large :
« Tout acte illégal caractérisé par la tromperie, la dissimula-
tion ou la violation de la confiance ». Cette définition cadre
avec le rôle étendu de l’audit interne au sein d’une organisa-
tion. La définition de l’IIA énumère ensuite les catégories de
fraudeurs et les avantages potentiels que leurs agissements

ENCADRÉ 8-5
LES AUDITEURS EXTERNES ET LA LUTTE CONTRE LA FRAUDE

AUX ÉTATS-UNIS

Sociétés cotées aux États-Unis – Le Public Company Accounting Oversight Board (PCAOB)
publie des normes qui contiennent des recommandations pour l’émission d’avis sur les états
financiers des sociétés cotées aux États-Unis. En ce qui concerne la fraude, ces normes indi-
quent que l’auditeur a la responsabilité de planifier et de réaliser l’audit de manière à obtenir
une assu­rance raisonnable quant à l’absence, dans les états financiers, d’anomalies importan-
tes dues à une erreur ou à une fraude (AU Section 110.02, Responsibilities and Functions of the
Independent Auditor). Les normes du PCAOB traitent plus spécifiquement de la fraude dans l’AU
Section 316, Consideration of Fraud in a Financial Statement Audit, qui se fonde sur la norme
Statement­ of Auditing Standard (SAS) 99. Voir ci-dessous pour les recommandations spécifi-
ques énoncés dans la norme SAS 99.

Sociétés non cotées aux États-Unis – La compétence du PCAOB se limite aux audits réalisés
pour des sociétés cotées aux États-Unis. Les sociétés non cotées continuent de se conformer
aux normes de l’AICPA. La norme SAS 99, Consideration of Fraud in a Financial Statement Audit,
indique que :
« Les auditeurs [externes] doivent planifier et mener des audits pour obtenir une assu-
rance raisonnable quant à l’absence d’anomalies graves, imputables à une erreur ou à
une fraude, dans les états financiers ». Plus précisément, la norme SAS 99 formule les
recommandations suivantes pour les auditeurs (externes) aux États-Unis :
Se recentrer sur la sensibilisation au problème de la fraude et sur le scepticisme profes­sionnel
Encourager la discussion entre les membres de l’équipe chargée de la mission d’audit
(« brainstorming »)
Collecter les informations nécessaires à l’identification du risque d’anomalies graves impu-
tables à une fraude
Synthétiser les éléments de fraude identifiés et ce que l’auditeur prévoit de faire
Imposer des procédures d’audit empêchant la direction de passer outre les contrôles inter-
nes
Évaluer les résultats de l’audit Présentation
Signaler les cas de fraude à la direction, au comité d’audit et à d’autres intervenants d’états
Sociétés non basées aux États-Unis – L’International Auditing and Assurance Standards Board financiers
(IASB) a publié la norme International Standard on Auditing (ISA) 240, The Auditor’s Responsi- frauduleux
bility Relating to Fraud in an Audit of Financial Statements, qui indique que « lorsque l’auditeur
planifie et effectue l’audit afin de ramener le risque d’audit à un niveau acceptable, il doit pren- Actes comprenant
dre en compte les risques d’anomalies graves, dues à une fraude, dans les états financiers ». La la falsification des
norme ISA 240 formule des recommandations supplémentaires analogues à celles de la norme
états financiers
SAS 99 ci-dessus.
d’une organisation
En France : la norme d’exercice professionnel NEP 240, adaptatoin de la norme ISA 240 (cf. ci (par exemple une
dessus) a été publié au Journal officiel du 3 Mai 2007. surestimation du
chiffre d’affaires
Elle vise les fraudes susceptible d’entraîner des anomalies significatives dans les comptes, à
savoir les actes intentionnels portant atteinte à l’image fidèle des comptes (...) et le détourne-
ou une sous-
ment d’actifs. En plus des dispositions prévues aux normes ISA, elle inclut aussi deux spécifici- estimation du
tés légales propres au contexte frausers : l’obligation pour les auditeurs internes de révéler au passif et des
procureur de la république tout fait délictueux et de déclarer à la justice (via le service TRACFIN) charges).
tout soupçon de sommes provenant d’activités illégales, de corruption, ou de terrorisme.

8-9
Exemples de peuvent leur permettre d’obtenir. Là encore, il apparaît clai-
détournement rement que l’IIA a une conception large du rôle des auditeurs
d’actifs internes dans une organisation. Nombre d’aspects de cette
• Vol
définition seront examinés plus loin dans ce chapitre.
• Abus de biens
sociaux La définition proposée par l’AICPA est beaucoup plus étroite, ce qui
• Malversation n’est pas surprenant. Elle est spécifiquement axée sur les anoma-
lies qui résultent d’une information financière frauduleuse ou d’un
détournement d’actifs. Étant donné que les auditeurs externes
se concentrent sur l’audit des états financiers, qui est désormais
étendu, à l’audit du contrôle interne portant sur l’information
financière, il n’est pas surprenant que l’AICPA débatte du concept
de fraude en évaluant sa relation avec les états financiers d’une
organisation et ses effets sur ses comptes. L’enca­dré 8-5 énumère
les normes auxquelles les auditeurs externes doivent se référer.

Les états financiers falsifiés contiennent des anomalies ou des omis-

sions intentionnelles de montants ou des informations destinées à
tromper les utilisateurs. En raison de ces indications erronées ou
de ces omissions, la présentation de ces états financiers n’est pas
conforme, dans ses principaux aspects, aux principes comptables
applicables (selon les normes IFRS ou les normes comptables loca-
les). Des informations financières frauduleuses peuvent résulter
des opérations suivantes :
Manipulation, falsification ou modification des documents comp-
tables ou des pièces justificatives à partir desquels les états
financiers sont élaborés.
Présentation inexacte, ou omission intentionnelle, dans les états
financiers, d’événements, de transactions, ou d’autres informa-
tions importantes.
Mauvaise application intentionnelle des principes comptables
concernant les montants, la classification, le mode de présenta-
tion ou la communication.

Les inexactitudes découlant d’un détournement d’actifs sont liées

au vol d’actifs d’une organisation, qui se traduit par la présenta-
tion d’états financiers non conformes aux normes applicables, pour
tous les aspects importants. On peut, par exemple, détourner des
actifs en volant des recettes ou des actifs ou en faisant en sorte
que l’enti­té paie des biens ou des services qu’elle n’a pas reçus.
Le détournement d’actifs peut s’accom­pagner de documents ou de
pièces comptables mensongers ou trompeurs, de la suppression de
preuves, résultant éventuellement d’un contournement du contrôle
interne. Les fraudeurs agissent souvent en collusion avec d’autres
salariés ou avec des tiers.

La définition retenue par l’ACFE est axée sur la fraude dans l’entre-
prise, c’est-à-dire sur le lieu de travail. Ce type de fraude recouvre
divers agissements répréhensibles de salariés, de cadres ou de diri-
geants. Il peut s’agir d’un simple vol dans la caisse ou d’une fraude
8-10
complexe telle que la présentation d’états financiers mensongers.
Quatre éléments semblent caractériser l’incidence d’une fraude
dans les entreprises.
Un tel acte :
Est clandestin c’est-à-dire secret.
Constitue un manquement aux obligations du fraudeur vis-à-vis
de l’organisation qui en est la victime.
Est commis dans le but de procurer un avantage financier, direct
ou indirect, au fraudeur.
Représente pour l’organisation qui emploie le fraudeur un coût
en termes de perte d’actifs, de recettes ou de réserves.

Le système de classification des fraudes et abus dans les entrepri-

ses établi par l’ACFE décrit trois grands types de fraude : les états
financiers falsifiés, qui résultent généralement d’une falsification
des comptes d’une organisation (par exemple, pour surestimer le
chiffre d’affaires et sous-estimer les engagements et charges) ; le
détournement d’actifs, qui résulte du vol ou de l’utilisation abusive

APERÇU DU SYSTEME DE CLASSIFICATION DES FRAUDES ET

ENCADRÉ 8-6
ABUS DANS LES ENTREPRISES ETABLI PAR L’AFCE
1. Manipulation intentionnelle des états financiers, qui peut entraîner :
a. la comptabilisation inappropriée du chiffre d’affaires
b. la comptabilisation inappropriée de charges
c. l’établissement d’un bilan qui ne reflète pas les montants réels, y compris en ce qui
concerne les réserves
d. la dissimulation d’informations financières ou le maquillage d’informations financières
e. la dissimulation d’un détournement d’actifs
f. la dissimulation de recettes ou de dépenses non autorisées
g. la dissimulation d’une acquisition, d’une cession ou d’une utilisation d’actifs non autori-
sée
2. Détournement :
a. d’actifs corporels par :
i. des salariés
ii. des clients
iii. des fournisseurs
iv. d’anciens salariés ou des tiers
b. D’actifs incorporels
c. D’opportunités commerciales exclusives
3. Corruption, notamment :
a. des pots-de-vin et cadeaux à
i. des personnes morales
ii. des personnes physiques
iii. des fonctionnaires
b. l’acceptation de pots-de-vin, de dessous-de-table ou de cadeaux
c. l’aide et la complicité dans une fraude commise par des tiers (clients, fournisseurs…)

Source : Managing the Business Risk of Fraud: A Practical Guide, IIA, AICPA et ACFE, p. 24.

8-11
 d’actifs d’une organisation (par exemple, l’écrémage des recettes, le
vol dans les stocks ou une fraude portant sur la paie) ; et la corrup-
tion, qui consiste, pour les fraudeurs, à exercer une influence indue
lors d’une transaction commerciale afin d’en tirer un avantage pour
eux-mêmes ou quelqu’un d’autre (par exemple, pots-de-vin, délits
d’initié ou conflits d’intérêts), en violation de leurs obligations vis-à-
vis de leur employeur ou des droits de quelqu’un d’autre. L’encadré
8-6 présente ce système de classification.

Fraude en Au niveau international, la norme qui énonce des recommandations

entreprise à l’intention des auditeurs est l’International Standard on Auditing
(ISA) n° 240, The Auditor’s Responsibility Relating to Fraud and
• Fraude sur le Error in an Audit of Financial Statements, publiée par l’Internatio-
lieu de travail
nal Federation of Accountants (IFAC). Elle a été transposée en droit
• Falsification
d’états financiers français via la NEP 240 (voir encadré 8-6). Même si cette norme
• Détournement s’appli­que principalement aux auditeurs externes, son contenu et
d’actifs les recommandations qu’elle contient intéressent aussi les audi-
• Corruption teurs internes. En outre, étant donné que la fraude, le gaspillage
et les abus préoccupent aussi beaucoup les pouvoirs publics, les
Gover­nmental Auditing Standards des États-Unis (le Yellow Book),
consacrent plusieurs de leurs sections aux responsabilités des audi-
teurs internes des administrations publiques.

Chacune de ces définitions de la fraude correspond aux priorités

de l’organisme professionnel qui l’a élaborée. Cependant, dans la
mesure où ces organismes ont œuvré ensemble pour publier le
Fraud Guide, la définition utilisée dans ce guide, en particulier
celle indiquant que « la fraude est tout acte intentionnel ou toute
omission intentionnelle ayant pour but de tromper autrui, et qui
entraîne une perte pour la victime et/ou un avantage pour le frau-
deur », servira de base de discussion tout au long de ce chapitre.
Il s’agit d’une définition simple, mais détaillée, qui jette les fonde-
ments des principes et autres recommandations énoncés dans le
Causes à Fraud Guide.
l’origine de la
fraude (triangle LE TRIANGLE DE LA FRAUDE
de Cressey)
Le « Triangle de la fraude » de Cressey (1986) constitue un cadre
• Perception d’un
besoin ou d’une
conceptuel important. Il s’inspire de ce que les policiers et enquê-
pression teurs ont coutume d’appeler « les moyens, les motivations et l’oppor­
• Perception d’une tunité  ». Imaginé par le sociologue Donald Cressey et largement
opportunité diffusé par l’ACFE, le Triangle de la fraude se compose de trois
• Justification éléments : la perception d’incitations/de pressions, la perception
rationnelle d’une opportunité et la justification rationnelle du comportement
frauduleux (encadré 8-7).

Le Triangle de la fraude met en évidence les trois éléments que l’on

peut qualifier de « causes à l’origine de la fraude », qui sont toujours
présents, quel que soit le type de fraude. Les fraudeurs veulent se
soustraire à des pressions, réelles ou perçues, visant à leur faire
obtenir un résultat (ce qui les incite par exemple à maquiller les
8-12
 ENCADRÉ 8-7
LE TRIANGLE DE LA FRAUDE

Pe
rce
lle

pt
ne

io
ion

nd
r at

’un
on

eo
at i

pp
fic

or
sti

tu
Ju

nit
é
Perception d’un besoin (d’une pression)
Source : Cressey, D.R., Other People’s Money: A Study in the Social Psychology of Embezzlement (Glencoe, Illinois,
The Free Press, 1986).

chiffres lorsqu’ils ne peuvent pas atteindre les objectifs). Ils doivent

percevoir une opportunité évidente afin de perpétrer la fraude
facilement (par exemple, personne ne surveille le magasin, une
confiance aveugle est accordée au salarié), et surtout, ils ont besoin
de justifier leur acte pour le rendre acceptable à leurs yeux. Cette
justification rationnelle leur permet de croire qu’ils n’ont rien fait
de mal et qu’ils sont « des gens comme les autres ». Plus précisé-
ment, les fraudeurs doivent être en mesure de se justifier leurs
actes à eux-mêmes, ce qui constitue un mécanisme psychologique
leur permettant de faire face à l’inévitable « dissonance cognitive »
(c’est-à-dire le conflit entre leur impression d’être honnête et la
nature frauduleuse de leurs actes ou comportements). Ils ont besoin
d’excuses, par exemple :
Tout le monde le fait, et je fais comme tout le monde.
J’ai pris de l’argent dans la caisse, mais ce n’était qu’un
« emprunt » temporaire. Je rendrai l’argent lorsque j’aurai gagné
au casino/aux courses.
Mon patron ne me paie pas suffisamment, et donc je mérite ces
« primes », qui ne sont qu’une rémunération raisonnable que
l’entreprise peut certainement se permettre.
Je ne fais de mal à personne. En fait, c’est pour la bonne
cause !
Ce n’est pas très grave.

Prenons deux exemples : l’employé d’un magasin de meubles qui

vole dans le stock peut profiter de la faiblesse du contrôle interne
(perçue comme une opportunité), a besoin de meubler son nouvel
appartement « gratuitement » (il perçoit une pression de la part
de son épouse) et il se justifie en se disant que les autres employés
du magasin volent aussi probablement (que ce soit vrai ou non).
Dans le cas d’une fraude perpétrée par le management, la pression
8-13
 perçue peut concerner la réalisation des objectifs de résultat, qui
sera assortie de primes généreuses, l’opportunité peut résider dans
la faiblesse des activités de contrôle sur l’information financière ou
la passivité du comité d’audit, et la justification peut être du type
« c’est dans l’intérêt de l’organisation, et donc je peux utiliser les
réserves pour surmonter un passage à vide temporaire ». Bien que
le Triangle de la fraude constitue un outil conceptuel convaincant,
il existe d’autres facteurs, tels que l’avidité et le goût de la posses-
sion matérielle, la volonté de prendre sa revanche et de faire payer
l’organisation pour des injustices perçues, ou une attitude du type
« attrapez-moi si vous pouvez ».

De même, l’environnement et la culture de l’organisation peuvent

entrer en jeu. Par exemple, le manque d’exemplarité de la direction,
qui se manifeste par l’inertie ou une réticence à agir, par l’ignorance
délibérée ou une simple réprimande, et l’absence de poursuites lors
de fraudes antérieures peuvent contribuer à la probabilité d’une
fraude. Les facteurs comportementaux sont analysés plus en détail
dans la suite de ce chapitre.

LES GRANDS PRINCIPES DE LA GESTION DU RISQUE DE

FRAUDE

Le Fraud Guide montre l’importance, pour les organisations, de

déployer des efforts diligents et permanents pour se protéger contre
la fraude. Afin d’appuyer ces efforts, il énonce cinq grands principes
que les organisations peuvent appliquer pour instaurer elles-mêmes
un environnement qui les aidera à gérer le risque de fraude :
Principe 1 : Dans le cadre de la structure de gouvernance de
l’organisation, un programme de gestion du risque de fraude
doit être mis en place, notamment une politique (ou des poli-
tiques) présentée(s) par écrit, afin d’exprimer les attentes
du Conseil et de la direction générale en ce qui concerne la
gestion du risque de fraude.
Principe 2 : L’organisation doit évaluer périodiquement son
exposition au risque de fraude, de manière à identifier des
processus et des événements potentiels dont elle devra atté-
nuer les effets.
Principe 3 : Des techniques de prévention destinées à empê-
cher les fraudes graves doivent être en place, dans la mesure
du possible, afin d’atténuer les conséquences éventuelles sur
l’organisation.
Principe 4 : Des techniques de détection doivent être mises
en place pour déceler les fraudes lorsque les mesures préven-
tives ne sont pas efficaces ou que des risques non réduits se
matérialisent.
Principe 5 : Un processus de communication doit être mis
en place pour permettre l’obtention d’informations sur la
8-14
 fraude potentielle, et il faut coordonner des investigations
et des actions correctives, afin que la fraude potentielle soit
traitée de manière appropriée et rapidement. 4

Les organisations qui ont participé à la rédaction du Fraud Guide

estiment que celui-ci « peut servir à évaluer le programme de gestion
instauré par une organisation pour gérer le risque de fraude, ou à
élaborer un programme s’il n’en existe pas déjà un » 5. Même si
leurs principaux aspects sont détaillés plus loin dans ce chapitre,
ces principes sont résumés ci-après.

Gouvernance du risque de fraude (Principe 1)

Gouvernance
Comme indiqué dans le chapitre 3, « La gouvernance d'entreprise », d'entreprise
il est essentiel que les organisations disposent d’une solide struc- Dispositif
ture de gouvernance pour surveiller le management des risques et comprenant les
autres activités visant à contribuer à la réalisation des objectifs de processus et les
l’entreprise. Il en va de même concernant la fraude : l’organisation structures mis
en place par
doit mettre en place une structure pour veiller à l’identification et
le Conseil afin
à la gestion du risque de fraude. Une gouvernance efficace permet d’informer, de
d’instaurer et gérer un climat d’éthique au sein d’une organisation, diriger, de gérer
ce qui peut aider à prévenir ou à dissuader la fraude. En donnant et de piloter
l’exemple, la direction définit le niveau de tolérance de l’organisa- les activités de
tion vis-à-vis de la fraude. l’organisation en
vue de réaliser ses
Comme le mode de gouvernance analysé au chapitre 3, la gouver- objectifs.
nance du risque de fraude doit en premier lieu relever de l’organe
de direction. Celui-ci peut en effet donner le ton pour la gestion du
risque de fraude, et encourager le management à définir des politi-
ques spécifiques qui encourageront un comportement éthique, ainsi
que la prévention et la détection de la fraude. L’organe de direction
doit aussi veiller à l’efficacité du programme établi par l’organisa-
tion pour gérer le risque. À cette fin, il peut confier à un membre de
l’encadrement la responsabilité de ce programme et lui demander
de lui rendre compte de son efficacité. Les éléments spécifiques d’un
programme de gestion du risque de fraude sont analysés plus loin
dans ce chapitre.
Évaluation des
Évaluation des risques de fraude (Principe 2) risques
Identification
Un programme de gestion du risque de fraude est infructueux si la et analyse (en
direction ne cerne pas tout d’abord les risques de fraude inhérents termes d’impact
auxquels l’organisation est confrontée. Les phases d’évaluation des et de probabilité)
risques de fraude sont analogues à celles suivies pour l’évaluation des risques liés à
du risque de l’entreprise décrites au chapitre 4, « Le management la réalisation des
des risques ». Une organisation doit commencer par identifier les objectifs d’une
organisation,
scénarios de fraude potentiels auxquels elle est susceptible d’être
visant à
vulnérable. Ces scénarios différeront d’une organisation à l’autre, déterminer
en fonction de son modèle économique, du secteur, des zones comment ces
d’implan­tation, de sa culture et d’autres facteurs similaires. Lors- risques doivent
que l’on dresse une liste des scénarios de fraude potentiels, il peut être gérés.

8-15
Traitement des être utile de recueillir des informations auprès des instances de
risques réglementation extérieures, du secteur, des organismes qui formu-
Mesure, ou
lent des recommandations et des associations professionnelles. Le
ensemble de triangle de la fraude décrit dans la section précédente peut guider
mesures, que la le brainstorming portant sur les risques de fraude, et permettre
direction prend notamment de définir les opportunités pouvant donner naissance
pour déployer à ces scénarios. Ainsi, la prise en compte des mesures d’incitation
la stratégie de et des pressions actuelles, ou la connaissance des failles connues
management des de l’accès aux systèmes, peut faciliter l’élaboration d’un scénario de
risques définie. risque de fraude (par exemple, l’encadrement accède aux entrées
Le traitement
des journaux et pour les modifier pour surévaluer le bénéfice et,
des risques
consiste à éviter, ainsi, obtenir une prime de résultat).
réduire, partager
ou accepter les Après avoir identifié les risques de fraude potentiels, il faut évaluer
risques. l’impact et la probabilité de chacun. Il est essentiel de prendre en
compte tous les effets possibles des fraudes, et non leurs seules
conséquences financières. Si la fraude est fréquente, elle peut enta-
cher la réputation d’une organisation ou enfreindre la législation,
même si elle n’entraîne pas toujours des pertes financières impor-
tantes. L’évaluation des risques de fraude constitue une étape
cruciale, car elle permet à l’organisation de déterminer le niveau
des ressources à consacrer à la prévention ou à la détection des
scénarios de fraude identifiés.

Enfin, une organisation doit décider de ce qui doit être fait dans
les différents scénarios de fraude, c’est-à-dire comment traiter les
ris­ques de fraude. Comme pour le traitement des risques décrit au
chapitre 4, les organisations peuvent faire face au risque de fraude
de plusieurs façons : en évitant ce risque, en le partageant, en le
réduisant, en l’acceptant ou en combinant plusieurs de ces options.
Il est fondamental de déterminer une option offrant un bon rapport
coût-bénéfice, qui réduit le risque à un niveau acceptable en tenant
compte de toutes les conséquences possibles.

Prévention et détection de la fraude (Principes 3 et 4)

Un programme de gestion du risque de fraude doit résulter d’un

bon équilibre entre contrôles de prévention et contrôles de détec-
tion. Les contrôles de prévention peuvent porter sur les politiques,
les procédures, la formation et la communication qui visent toutes à
empêcher la fraude. S’ils ne garantissent pas toujours qu’une fraude
sera évitée, ils constituent un premier niveau de défense impor-
tant, qui permet de limiter le risque de fraude. Les contrôles de
prévention, notamment ceux qui reposent sur un solide programme
de sensibilisation au problème de la fraude, peuvent avoir un effet
fortement dissuasif (c’est-à-dire décourager la fraude).

Même si, en général, une organisation préfère prévenir la fraude,

ce n’est pas toujours possible. Elle doit donc également s’attacher
à concevoir et appliquer des contrôles de détection efficaces. Qu’ils
soient manuels ou automatisés, ces contrôles doivent détecter rapi-

8-16
dement une fraude déjà commise ou en cours. Ces contrôles peuvent
dissuader la fraude, mais ils ne sont pas conçus pour l’empêcher. Ils
donnent en fait des informations montrant qu’une fraude a eu lieu,
ce qui peut être utile dans le cadre d’une enquête.
Détection de la
Notification d’une fraude, enquête et mesures mises en œuvre fraude
(Principe 5) D’après le Rapport
de l’AFCE, il est
Comme indiqué plus haut dans ce chapitre, le rapport de l’AFCE bien plus probable
indique que les fraudes sont davantage susceptibles d’être détec- de détecter
tées grâce à un informateur que par les audits, les contrôles ou la fraude en
entreprise grâce
d’autres moyens. Il est par conséquent important qu’une organi-
à un informateur
sation dispose d’un système de notification pour faciliter et encou- que par les audits,
rager le signalement de cas de fraude potentiels. Par exemple, un les contrôles ou
dispositif d’alerte professionnelle ou éthique (« whistleblowing », d’autres moyens.
non autorisé en France) permettant de dénoncer des fraudes poten-
tielles constitue un moyen de notification rapide, facilite la collecte
des informations nécessaires à une éventuelle enquête et permet
à l’informateur de garder l’anonymat s’il le souhaite. Ce système
peut être géré par un membre de l’encadrement. La législation
peut également imposer l’instauration d’un mécanisme permettant
d’informer directement le Conseil dans certaines circonstances, si
l’infor­mateur pense que la direction générale risque d’être impli-
quée dans la fraude en question. La légalité de ce type de dispositifs
est encadrée dans de nombreux pays, dont la France (cf. encadré
8-8).

Dès qu’une allégation a été reçue, un processus structuré doit

permettre d’évaluer le cas de fraude potentiel et d’enquêter. Un
processus d’enquête solide peut améliorer les chances de l’organi-
sation de récupérer les sommes perdues et limiter au maximum
la probabilité d’une action en justice. Suivant les circonstances, il
peut être nécessaire de faire appel à un avocat-conseil, interne ou
externe, dans le cadre de l’enquête, ainsi qu’à d’autres fonctions
de l’organisation, telles que les ressources humaines, les systèmes
d’information et l’audit interne. Une approche formelle et struc-
turée pour les investigations et la communication de ses résultats
aidera l’organisation à mener cette enquête rapidement, à obtenir
et gérer les moyens d’appui nécessaires pour faciliter des actions
correctives.

Quelle que soit l’issue de l’enquête (procédure judiciaire, mesu-

res disciplinaires ou inaction), il est essentiel qu’une organisation
dispose de moyens conséquents pour rendre des conclusions à
l’issue­de l’enquête menée. Premièrement, une enquête rapidement
menée permet de lancer une procédure judiciaire ou de prendre
des mesures disciplinaires avant que « la piste ne se refroidisse »
(expression familière souvent employée par les enquêteurs pour
indiquer qu’il devient de plus en plus difficile, à mesure que le
temps passe, de recueillir des preuves, et que celles-ci seront peut-
être moins pertinentes). De surcroît, les personnes impliquées dans

8-17
ENCADRÉ 8-8 La transposition des dispositifs d’alerte éthique
(« whistleblowing ») en France
Le déclenchement d’alerte est le geste accompli par un individu qui est témoin, dans son acti-
vité professionnelle, d’actes illicites et qui, par civisme, décide d’alerter les autorités ayant le
pouvoir d’y mettre fin. Mes anglo-saxons désignent ce geste par l’expression whistleblowing, ce
qui signifie littéralement « donner un coup de sifflet ».
Un tel dispositif a été rendu obligatoire aux États-Unis par la Sarbanes-Oxley Act, pris en 2002.
Il impose aux entreprises cotées en Bourse à New York, et à toutes leurs filiales même étran-
gères, de mettre en place un système de déclenchement d’alerte. Certaines entreprises fran-
çaises ont donc été concernées par ricochet. La procédure est également prévue par certaines
conventions internationales. Par exemple, la Convention des Nations unies contre la corruption
du 31 octobre 2003 (article 33).

Concernant le droit français, ces mécanismes ne sont « ni prévus ni autorisés par le droit du
travail » selon la CNIL. Cependant, un certain nombre de règles de droit français peuvent s’en
rapprocher : obligation faite de tous les fonctionnaires de dénoncer les infractions dont ils ont
connaissance dans le cadre de leur activité ; formes d’alerte prévues par le code du travail en
cas de harcèlement ou de discrimination devant la Haute autorité de lutte contre les discrimi-
nations et pour l’Égalité (HALDE) formes d’alerte prévues dans le domaine bancaire, déclaration
de soupçon de Tracfin (cf. encadré 8-5),… De plus, la loi di 13 Novembre 2007, protège les
salariés qui dénoncent une irrégularité à leur employeur ou à la justice (article L.1161-1 du code
du travail) contre les mesures de rétorsion.

La CNIL, gardienne de la loi « informatique et libertés », était dans un premier temps oppo-
sée aux processus d’alerte éthique dans la mesure où ils instituaient « un système organisé
de délation professionnelle » et risquaient de multiplier les ces de dénonciation calomnieuse.
Néanmoins, elle revint sur sa déclaration en 2005 afin de permettre la mise en conformité
de certaines entreprises françaises concernées avec le Sabanes Oxley Act. Elle adopta ainsi
le 10 novembre 2005, un document d’orientation destiné à encadrer les procédures d’alerte
professionnelle (document d’orientation du 10 novembre 2005) et un régime d’autorité unique
le 8 décembre 2005 (article 25-I.4° de la loi du 6 janvier 1978). Ces dispositifs sont donc envisa-
geables, sous respect d’un certain nombre de conditions destinées à limiter les dénonciations
abusives, dont les principales (pour une présentation complète, voir le site de la CNIL : www.
cnil.fr) sont :
à la porté du dispositif : c’est un dispositif complémentaire, autorisé seulement en cas d’obli-
gation légale de les mettre en place ou du fait de l’existence d’un intérêt légitime du respon-
sable de traitement ;
à son caractère facultatif : il ne fait l’objet que d’une incitation, aucune sanction ne peut être
prise en contre le salarié ;
aux informations obligatoires sur le dispositif : sur les catégories de personnes concernées,
l’identité du responsable, le domaine concerné, les sanctions attachées à son utilisation
abusive ;
au respect des droits d’accès et de rectification : la personne mise en cause doit être infor-
mée de l’enregistrement des données la concernant.
au traitement confidentiel des données : les informations recueillies ne peuvent faire l’objet
d’une communication que si l’enquête l’exige. Si les données ont confiées à un prestataire,
celui-ci doit s’engager à assurer cette confidentialité ;
à la coopération internationale : tout transfert de données personnelles ers un pays hors
Union européenne obéit aux règles particulières du transfert international des données ;
a la limite dans le temps de la conservation des données personnel : les données en lien avec
une alerte non fondée doivent être détruites.

En cas de non respect de ces règles, l’auteur peut être poursuivi pour dénonciation calom-
nieuse, délit réprimé à l’article 226-10 du code pénal, ou sur le fondement d’un manquement
au devoir de loyauté que le salarié doit à son entreprise. Il n’est pas exclu que la responsabilité
pénale de l’entreprise soit recherchée pour complicité dans la mesure où c’est elle qui aurait mis
à disposition les moyens de commettre cette infraction.
La cour de cassation a admis dans un arrêt du 12 juillet 2006 que la dénonciation d’une
infraction par un salarié ne s’opposait pas à son devoir de loyauté si les faits incriminés
étaient exacts ou si le salarié était de bonne foi lorsque les faits se seraient aérés inexacts.
Pour autant, dans cet arrêt, la dénonciation a été faite auprès du Procureur de la Républi-
que et il n’y a pas encore de jurisprudence sur les procédures de whistleblowing.

Source : site de « transparence France » section française de « Transparency Internationel », http://www.tranpa-

rence-France.org

8-18
une fraude doivent pouvoir se défendre rapidement, et c’est même
un droit dans de nombreux pays. Deuxièmement, les organisations
doivent déterminer les causes à l’origine d’une fraude, afin que des
actions correctives (par exemple, une amélioration des contrôles)
puissent être mises en œuvre. Enfin, l’encadrement doit veiller de
façon homogène à la discipline du personnel, afin d’éviter toute
décision perçue comme du favoritisme ou des mesures disciplinai-
res arbitraires. La direction peut ainsi donner le ton en montrant
clairement que la fraude ne sera pas tolérée, et qu’il y sera mis un
terme de manière rapide et cohérente.

Les principes énoncés dans cette section revêtent une telle impor-
tance pour l’instauration et l’administration d’un programme effi-
cace de gestion de la fraude que chacun d’eux sera analysé plus en
détail dans les sections suivantes. Le lecteur pourra ainsi mieux
comprendre comment suivre les étapes nécessaires pour appliquer
ces principes.

LA GOUVERNANCE DU PROGRAMME DE GESTION DU

RISQUE DE FRAUDE

La solidité de la gouvernance est l’une des conditions préalables à

l’efficacité du programme de gestion du risque de fraude. Selon le
Fraud Guide, les principales parties prenantes des organisations
« […] contribuent à accroître la prise de conscience et les atten-
tes relatives au comportement et aux pratiques de gouvernance
de l’entreprise. Certaines organisations ont instauré une culture
d’entre­prise qui repose sur de solides pratiques de gouvernance, et
en particulier sur les éléments suivants :
Maîtrise des plannings et du flux d’informations par le Conseil.
« Donner le
Accès à plusieurs niveaux de management et gestion efficace ton » depuis le
d’une ligne téléphonique d’alerte permettant de signaler des sommet
abus.
Attitude
Indépendance des procédures de nomination. d’intégrité et de
conscience des
Efficacité de la direction générale […], évaluations, gestion des contrôles dans
performances, rémunération et planification des changements toute l’entité,
de personnel. encouragée par
les plus hauts
Priorité donnée à l’indépendance et à l’efficacité du Conseil, dirigeants
évaluation, réunion de l’encadrement à huis clos et participa- qui donnent
tion active au suivi des efforts stratégiques et de réduction des l’exemple.
risques. » 6 (voir aussi

Ou
Environnement
Ces éléments montrent l’importance d’une culture d’entreprise de contrôle).
permettant au Conseil d’obtenir une assurance sur le comporte-
ment éthique de l’encadrement et du personnel. Le Fraud Guide
indique ensuite que « les codes de déontologie efficaces peuvent
servir à la prévention, à la détection et à la dissuasion des actes
frauduleux et délictueux. Si l’organisation traite son personnel,

8-19
 ses clients, ses fournisseurs et ses partenaires selon des principes
éthiques, tous en bénéficieront. Un code de déontologie permet de
créer un environnement dans lequel la prise de bonnes décisions
est implicite. » 7

Rôles et responsabilités

Les rôles et responsabilités associés à un programme de gestion du

risque de fraude doivent faire l’objet d’un descriptif formel, qui sera
également diffusé dans l’organisation. Les politiques et procédures,
les descriptifs des postes, les chartes et les délégations de pouvoir
sont tous importants pour définir ces rôles et responsabilités, et
notamment :
Le Conseil – Comme nous l’avons déjà indiqué, le Conseil donne le
ton en adoptant les pratiques de gouvernance énumérées ci-dessus.
Certaines responsabilités spécifiques relatives à la surveillance de
la fraude peuvent être exercées par des comités émanant du Conseil,
notamment le comité d’audit ou le comité chargé des nominations
et de la gouvernance. Cette surveillance suppose le plus souvent :
De comprendre de manière générale les politiques, procédures,
plans d’incitations, etc. relatifs à la fraude.
De comprendre de manière approfondie les principaux risques
de fraude.
D’assurer un suivi du programme de gestion du risque de fraude,
y compris des contrôles internes mis en œuvre compte tenu de ce
risque.
D’obtenir et de superviser des rapports donnant des informa-
tions sur les cas de fraude, sur l’avancée des investigations et
sur les mesures disciplinaires.
De pouvoir faire appel, au besoin, à un avocat-conseil ou à des
experts extérieurs.
De demander à la fonction d’audit interne et à l’audit externe de
fournir une assurance raisonnable quant au risque de fraude.

Les attributions du Conseil et de ses comités doivent être présentées

dans la charte de ces organes, afin que les rôles et responsabilités
de ces intervenants soient clairement délimités et bien compris. Le
Conseil doit également s’assurer que des ressources suffisantes sont
mises en œuvre pour permettre le bon déroulement du programme
de gestion du risque de fraude.

L’encadrement – Comme le Conseil, l’encadrement joue un rôle

très important en montrant l’exemple pour toute l’organisation.
Outre ses déclarations, ses actions influencent la perception de
la culture et de son comportement vis-à-vis de la prévention de la
fraude. De plus, l’encadrement est chargé d’appliquer le programme
global de gestion du risque de fraude. À cette fin, il doit donner une
orientation et superviser le système de contrôle interne, lequel doit
8-20
être conçu et déployé de manière à empêcher ou à détecter rapide- Environnement
ment les fraudes. L’encadrement doit aussi instaurer un système de contrôle
de pilotage et de reporting qui lui permettra de déterminer l’effica- Attitude et actions
cité du programme de gestion du risque de fraude. Ce dispositif lui du Conseil et de
apportera rapidement des informations pertinentes, qu’il pourra l’encadrement
ensuite communiquer au Conseil. au regard de
l’importance des
Dans nombre d’organisations, il est fréquent de confier à un contrôles dans
membre de l’encadrement la surveillance du programme de gestion l’organisation.
du risque de fraude. Cette surveillance peut consister à vérifier les
politiques relatives à la fraude et à l’éthique, évaluer le risque de
fraude, superviser les contrôles destinés à traiter ce risque, obser-
ver l’efficacité du programme, coordonner le processus d’enquête
et de reporting, ainsi que sensibiliser et former le personnel à ce
programme. Ce cadre devra, de préférence, occuper un poste suffi-
samment élevé dans l’organisation, afin de renforcer l’engagement
de l’encadrement à prévenir et dissuader la fraude. En général,
un certain nombre d’autres fonctions, le plus souvent rattachées
au service juridique et aux ressources humaines, lui apportent un
appui bien défini.

Le personnel – Tous les membres de l’organisation doivent parti-

ciper au déploiement au jour le jour du programme de gestion du
risque de fraude, et, plus précisément, des contrôles destinés à
prévenir et détecter la fraude. Selon le Fraud Guide, « le personnel,
à tous les niveaux, encadrement compris, doit :
Savoir globalement ce qu’est la fraude et connaître les signaux
d’alerte.
Comprendre le rôle qui lui est dévolu dans le cadre du contrôle
interne. Les membres du personnel doivent savoir comment les
procédures relatives à leurs tâches ont été conçues pour gérer
les risques de fraude et dans quelles circonstances la non-confor-
mité est susceptible de créer une opportunité de commettre une
fraude qui pourrait passer inaperçue.
Prendre connaissance des politiques et procédures ad hoc (poli-
tique antifraude, code de conduite et politique relative aux
informateurs), ainsi que des autres politiques et procédures
opérationnelles, telles que les manuels d’achats.
Le cas échéant, participer au processus visant à instaurer un
solide environnement de contrôle, définir et mettre en œuvre
des activités de lutte contre la fraude, et participer aux activités
de pilotage.
Faire part d’éventuels soupçons de fraude.
Coopérer lors des enquêtes ».8

Pour des informations supplémentaires sur les activités de gestion

du risque de fraude et sur la façon dont ces activités peuvent être
harmonisées avec le référentiel du COSO intitulé « La nouvelle
pratique du contrôle interne ».
8-21
 La fonction d’audit interne – La fonction d’audit interne joue
un rôle essentiel, car elle contribue à la gouvernance globale du
programme de gestion du risque de fraude. C’est ce qui ressort clai-
rement de l’assurance indépendante que l’audit interne apporte au
Conseil et à l’encadrement pour attester que les contrôles en place
permettent une gestion adéquate et efficace des risques de fraude.
Le rôle de la fonction d’audit interne est détaillé plus loin dans ce
chapitre.

On sait qu’un auditeur externe a, lui aussi, des responsabilités à

exercer en ce qui concerne la détection de certains types de fraude
(présentation d’états financiers falsifiés et détournement d’actifs­,
notamment). Ces responsabilités, qui sont bien définies dans les
normes applicables à la profession, ne font pas partie du programme
de gestion du risque de fraude mis en place par une organisation,
car elles seraient incompatibles avec le principe d’indépendance des
Sensibilisation auditeurs externes.
au problème de
la fraude Éléments d’un programme de gestion du risque de fraude
Activités
permettant au
Même s’il n’existe pas de méthode « universelle », les programmes
personnel de les plus efficaces pour la gestion du risque de fraude ont plusieurs
comprendre caractéristiques communes. La plupart des organisations disposent
la finalité, les de politiques et procédures écrites en ce qui concerne la fraude et
exigences et les mènent, en général, des activités destinées à évaluer les risques,
responsabilités concevoir des contrôles efficaces, vérifier la conformité, mener des
définies dans enquêtes et sensibiliser leur personnel au problème de la fraude et
le cadre d’un aux signaux d’alerte. Cependant, rares sont les organisations qui
programme de
réussissent à regrouper toutes ces activités dans un programme
gestion du risque
de fraude. intégré. Le plus souvent, les programmes intégrés qui donnent de
bons résultats comportent un certain nombre d’éléments fonda-
mentaux :
Un engagement du Conseil et de la direction générale, qui doit
être présenté dans un document officiel et diffusé dans toute
l’organisation.
Des activités de sensibilisation au problème de la fraude, qui font
comprendre au personnel la finalité du programme de gestion
du risque de fraude, ainsi que les exigences et les responsabili-
tés y afférentes. Ces activités peuvent inclure tous les pro­cessus
suivants ou plusieurs d’entre eux : communications écrites desti-
nées à tous les membres du personnel, communications orales
au cours de réunions à l’échelle de toute l’organisation, messa-
ges sur l’intranet et sur la page Web du site de l’organisation et
programmes de formation.
Un processus de déclaration sur l’honneur, par lequel le person-
nel est tenu d’attester périodiquement, en général une fois par
an, qu’il comprend les politiques et procédures définies, et qu’il
les applique.
Un protocole ou un processus de notification des conflits, qui
permet au personnel de faire lui-même état des conflits d’intérêts
8-22
 potentiels ou effectifs. Ce protocole ou ce processus peut égale-
ment inclure un mécanisme de résolution rapide des problèmes
signalés.
Une évaluation des risques de fraude, qui facilite l’identification
de tous les scénarios de fraude raisonnables. Cette évaluation
est présentée plus en détail dans la section suivante.
Des procédures de reporting et de protection des informateurs,
qui constituent, pour les personnes travaillant à l’intérieur ou
à l’extérieur de l’organisation, un moyen simple de signaler des
infractions ou des fraudes potentielles qui ont éveillé leurs soup-
çons.
Un processus d’enquête, par lequel toutes les questions soule-
vées donnent lieu à des investigations rapides et approfondies,
le cas échéant.
Des mesures disciplinaires et/ou correctives, qui remédient aux
aspects non conformes aux politiques établies et qui contribuent
à dissuader les comportements frauduleux.
L’évaluation et l’amélioration des processus, afin de donner une
assurance qualité attestant que le programme va attein­dre ses
objectifs.
Un pilotage constant, de façon à ce que le programme continue
de fonctionner comme prévu.

L’intégration de tous ces éléments dans un programme de gestion

du risque de fraude n’élimine pas complètement ce risque, mais
apporte une assurance raisonnable quant à la possibilité de préve-
nir ou détecter rapidement les fraudes et les traiter de manière
appropriée. Assurance
raisonnable
EVALUATION DES RISQUES DE FRAUDE
Niveau d’assurance
étayé par des
Comme indiqué plus haut, l’évaluation des risques de fraude s’appa­ jugements et des
rente à celle des risques de l’entreprise. Elle comporte trois grandes procédures et
étapes : des avis d’audit
généralement
1. Identification des risques inhérents de fraude ; acceptés.
2. Évaluation de l’impact et de la probabilité de survenance des
risques identifiés, et
3. Définition de solutions permettant de faire face aux risques
qui ont un impact et une probabilité de survenue suffisamment
élevés pour que leur effet potentiel dépasse la tolérance fixée
par la direction.

Lorsque l’on évalue les risques de fraude, il importe de faire partici-

per des personnes ayant des connaissances, des compétences et des
points de vue différents. Ces personnes ne sont pas les mêmes d’une

8-23
 organisation à l’autre, mais l’évaluation des risques fait générale-
ment intervenir les personnes suivantes :
Le personnel du service comptable et financier, qui pourra iden-
tifier des scénarios de fraude portant sur l’information finan-
cière et sur la conservation des actifs ;
Le personnel des services non financiers, qui peut valoriser sa
connaissance des opérations au jour le jour, des relations avec
les clients et les fournisseurs, ainsi que sa connaissance des
autres scénarios de fraude possibles dans le secteur concerné ;
Le personnel du service juridique, ainsi que celui en charge
de la conformité, qui peut identifier des scénarios susceptibles
d’entraî­ner une responsabilité au pénal, au civil ou réglemen-
taire en cas de fraude ou de faute ;
Le personnel chargé du management des risques, qui peut
identifier des scénarios de fraude sur le marché ou de fraudes à
l’assu­rance, et veiller à ce que l’évaluation des risques de fraude
soit intégrée dans l’évaluation globale des risques de l’entre-
prise ;
Les auditeurs internes, qui connaissent bien les scénarios et
contrôles des risques de fraude au sens large ;
D’autres intervenants, internes ou externes, qui peuvent appor-
ter des compétences supplémentaires.

Le processus d’évaluation des risques peut prendre de nombreuses

formes différentes, dont les plus courantes sont les entretiens, les
questionnaires et les réunions. Quelle que soit l’approche retenue,
il est essentiel que les participants aient un esprit ouvert et fassent
preuve de créativité pour couvrir un éventail de risques de fraude
suffisamment large.

Identification des risques de fraude

Le brainstorming est un moyen efficace d’établir la liste des scéna-

rios de fraude la plus complète. Même s’il n’emploie pas toujours la
même technique, le brainstorming suppose la participation de tous
les membres de l’équipe chargée d’évaluer les risques (voir plus
haut). Il peut aider l’organisation à définir et analyser les divers
et nombreux scénarios potentiels. Lorsque le brainstorming porte
sur les risques de fraude, il faut veiller à ce que la discussion ne se
limite pas aux scénarios dans lesquels une fraude est commise par
un seul individu. Souvent, en effet, la fraude implique la collusion
entre plusieurs individus et, bien que le brainstorming sur de tels
scénarios soit plus ardu, il n’en est pas moins important.

Le Fraud Guide énumère un certain nombre d’éléments à consi-

dérer pour le brainstorming sur des scénarios de risque de fraude.
Il convient de prendre en compte la totalité de ces éléments pour
couvrir tous les cas de risques de fraude possibles.

8-24
 Incitations, pressions et opportunités – Les motivations
des fraudeurs peuvent être multiples. Lors d’un brainstorming
portant sur des scénarios de risques de fraude, la première diffi-
culté est d’identifier le plus grand nombre possible de ces moti-
vations. Comme l’a montré la section consacrée au Triangle de la
fraude, une fraude est commise lorsqu’il existe une incitation ou
une pression, qu’une opportunité se présente et que le fraudeur
peut avancer une justification rationnelle pour son comporte-
ment. Il n’est pas fréquent d’effectuer un brainstorming sur les
scénarios de justification, étant donné qu’il faut d’abord exami-
ner les deux autres composantes du Triangle de la fraude et que
la justification peut être propre à un individu. Néanmoins, en se
concentrant sur les différentes incitations, pressions et oppor-
tunités potentielles, on peut identifier des scénarios auxquels
l’orga­nisation peut être confrontée. Parmi les incitations peuvent
figurer l’argent ou d’autres gains susceptibles de donner à des
individus une raison de ne pas se comporter normalement.
De même, des individus peuvent être amenés à agir différem-
ment pour se soustraire à des pressions. Les opportunités sont
les possibilités de commettre une fraude sans que celle-ci soit
éventuellement détectée (par exemple lorsque les contrôles sont
faibles). On peut probablement définir la plupart des scénarios
de fraude en procédant à un brainstorming sur les incitations,
pressions et opportunités potentielles.
Risque de contournement des contrôles par la direction –
Même lorsqu’un système solide de contrôle interne est en place,
le risque de contournement des contrôles ne peut être totalement
exclu. Il peut arriver que la direction, à laquelle on fait généra-
lement « confiance » pour prendre de bonnes décisions, passe
outre les contrôles car, le plus souvent, les autres membres du
personnel ne contestent pas ses décisions et supposent qu’elle
agit pour le bien de l’organisation. De nombreux cas de contour-
nement des contrôles par la direction dans le but de faciliter
la présentation d’états financiers falsifiés ou le détournement
d’actifs ont été rapportés. Le brainstorming des scénarios de
contournement des contrôles par la direction permet d’identifier
des scénarios différents de ceux obtenus avec le brainstorming
portant sur les incitations, pressions et opportunités.
Classification des risques de fraude – Il existe des risques
de fraude « universels », qui concernent toutes les organisa-
tions, et d’autres propres à certains secteurs ou pays. Bien que
le brainstorming permette d’identifier la plupart de ces risques,
ces scénarios sont parfois déjà documentés et disponibles auprès
d’autres sources : organisations sectorielles, associations profes-
sionnelles, cabinets-conseil, etc. L’AFCE a établi une classifi-
cation des risques de fraude en entreprise. Cette classification
peut aider les organisations à procéder au brainstorming sur
les scénarios de risque de fraude. Elle est présentée dans l’enca-
dré 8-6.

8-25
 Information financière frauduleuse – Les éléments décrits
ci-dessus doivent permettre d’identifier la plupart des risques
de fraude au sein d’une organisation. Il est néanmoins utile de
prendre également en compte des types de scénarios spécifiques,
afin de déterminer si d’autres scénarios pourraient se produire.
Les scénarios d’information financière frauduleuse suscitent
Exemples de
beaucoup de préoccupations depuis quelques années, au point
non-respect de la
qu’ils ont donné lieu à une législation dans de nombreux pays.
réglementation
Ces textes visent à réduire la probabilité de fraudes graves dans
ou de la
les états financiers. C’est un point qui mérite un brainstorming
législation
avec les auditeurs externes, dans la mesure où ceux-ci sont
Conflit d’intérêts, susceptibles de travailler sur ce type de scénarios.
délit d’initiés,
vol de secrets Détournement d’actifs – Un autre scénario spécifique est le
commerciaux risque de détournement d’actifs. Il faut tout d’abord identifier
de concurrents, les actifs de l’organisation qui pourraient être convoités par des
pratiques membres du personnel ou par des tiers (fournisseurs ou clients,
anticoncurren­ par exemple). On peut ensuite définir les scénarios qui permet-
tielles, infraction traient le détournement de ces actifs. Il importe de se souvenir
au droit
que les mesures de protection physique ne sont pas toujours suffi-
environnemental,
infraction à la santes. Ce type de fraude concerne forcément des actifs corpo-
réglementation rels, tels que les liquidités, le stock, les matières premières et le
sur les échanges, matériel, mais aussi, éventuellement, des actifs incorporels, par
infractions exemple des données confidentielles relatives au personnel ou à
douanières à la clientèle, ou des plans et dessins commerciaux. Les systèmes
l’import/export. d’information jouent donc un rôle important dans la réduction
de certains risques de détournement d’actifs.
Corruption – Dans le Fraud Guide, la corruption « est défi-
nie, du point de vue opérationnel, comme l’utilisation abusive
d’un pouvoir dans le but d’en tirer un avantage privé 9 ». La
corruption consiste, par exemple, à verser des pots-de-vin à des
fonctionnaires étrangers ou aider et encourager d’autres organi-
sations à frauder. Le temps consacré au brainstorming sur les
scénarios de corruption dépend du secteur d’activité de l’organi-
sation, ainsi que des pays dans lesquels celle-ci opère, mais il ne
faut pas négliger ces scénarios.
Autres risques de fraude – Il peut exister d’autres risques
de fraude potentiels. Le Fraud Guide cite à ce propos les infrac-
tions à la réglementation ou à la législation, telles que « […] les
conflits d’intérêts, les délits d’initié, le vol de secrets commer-
ciaux de concurrents, les pratiques anticoncurren­tielles, les
infractions au droit environnemental, les infractions à la
réglementation sur les échanges et les infractions douanières
à l’import/ export  10 ». Ils peuvent aussi nuire à la réputation
de l’organisation. Nombre des risques déjà identifiés peuvent
avoir un impact sur la réputation, mais il peut aussi en exister
d’autres.

Avant de finaliser la liste des scénarios de risques de fraude, il

importe de bien comprendre, pour chaque scénario, les causes qui
peuvent en être à l’origine et les niveaux de l’organisation auxquels
8-26
ce scénario peut se matérialiser. Si plusieurs scénarios ont la Impact
même cause, il peut être nécessaire d’évaluer cette cause, plutôt Gravité des effets
que de creuser les autres scénarios. Une organisation doit in fine de la réalisation
déterminer les moyens de traiter les causes des risques, et non les d’un risque.
symptômes éventuellement visibles. De même, en déterminant à Mesurable
quel niveau de l’organisation les scénarios sont susceptibles de se en termes de
concrétiser, il est ultérieurement plus facile de définir des moyens conséquences
d’action. Le temps supplémentaire consacré, à ce stade, à une telle financières, de
analyse, renforce l’efficacité des autres éléments du programme conséquences pour
la réputation ou
d’évaluation des risques de fraude.
de conséquences
juridiques, entre
À l’évidence, l’identification de scénarios de risques de fraude n’est autres.
pas une science exacte. Elle nécessite d’obtenir des informations
auprès de sources très diverses, régulièrement. De plus, le brains-
torming n’a jamais vraiment de fin : la liste des scénarios de fraude
potentiels ne cesse d’évoluer. Néanmoins, comme l’évaluation des
risques de l’entreprise, l’identification des risques de fraude fonde
les étapes suivantes de l’évaluation des risques de fraude.

Évaluation de l’impact et de la probabilité des risques de fraude

L’évaluation de l’impact et de la probabilité potentiels de chaque Probabilité

scénario de fraude est un processus très subjectif, qui met en œuvre Probabilité de
les concepts décrits au chapitre 4. Les principaux éléments à pren- matérialisation
dre en compte sont les suivants : d’un risque.

Impact – Comme indiqué plus haut, il importe de réfléchir à

tous les effets possibles d’un scénario de risque de fraude, et pas
seulement à l’impact monétaire ou sur les états financiers. Les
autres effets peuvent être plus importants. Ainsi, il est essen-
tiel de tenir compte de l’impact juridique (conséquences pénales,
ou civiles), de l’impact sur la réputation (tel que les dommages
causés à une marque), de l’impact opérationnel (coût de produc-
tion ou responsabilité dans le cas d’une garantie, par exemple)
et de l’impact sur les ressources humaines (problèmes de santé
et de sécurité ou impossibilité d’attirer et retenir le personnel
dans une organisation dans laquelle l'ambiance est morose).
Il s’agit d’identifier des scénarios de risques de fraude dont les
effets dépassent le niveau de tolérance défini par la direction.
Étant donné la difficulté à quantifier précisément ces effets, on
classe habituellement l’impact mesuré dans l’une des catégories
générales suivantes  : impact très significatif, impact relative-
ment significatif ou impact non significatif.
Probabilité – L’appréciation de la probabilité ou de la fréquence
d’un scénario de fraude dépend en partie des cas de fraude anté-
rieurs, c’est-à-dire des occurrences précédentes de ce scénario
au sein de l’organisation ou d’autres organisations opérant dans
le même secteur d’activité ou dans la même zone géographique.
Néanmoins, il convient d’estimer la probabilité d’un scénario de
fraude même si l’on n’a pas connaissance de précédents. Comme
pour l’évaluation de l’impact, il n’est habituellement pas possible,

8-27
 ni même nécessaire, de quantifier précisément cette probabilité.
C’est pourquoi il est plus fréquent de recourir à des apprécia-
tions générales : impact probable, possible ou peu probable, par
exemple.

La direction doit évaluer simultanément l’impact et la probabi-

lité des scénarios de risques de fraude. Cette évaluation donne un
contexte suffisant pour commencer à définir les ressources à consa-
crer à la gestion des scénarios et le niveau de priorité à y accorder.
Tolérance au
risque Traitement du risque de fraude
Niveaux de risque
acceptables, en Comme indiqué plus haut, le niveau de tolérance défini par la
termes d’ampleur direction influe sur l’évaluation des risques de fraude. En général,
et d’écart par la tolérance d’une organisation vis-à-vis des risques de fraude est
rapport aux
plus faible que sa tolérance à l’égard des autres risques. Plus préci-
objectifs définis,
et qui doivent
sément, lorsqu’une organisation évalue l’impact potentiel sur sa
correspondre à réputation ou sa responsabilité juridique éventuelle, elle peut fixer
l’appétence de une « tolérance zéro » pour nombre des risques de fraude. Cette
l’organisation pour tolérance zéro influence , et peut-être limite , l’éventail des options
le risque. dont l’organisation dispose pour faire face à ces risques. Cependant,
certains effets éventuels des fraudes peuvent être acceptables et ces
risques peuvent alors être traités avec davantage de souplesse.

La tolérance au risque étant variable d’une organisation à l’autre,

le traitement des risques de fraude diffère lui aussi. Il s’appuie sur
les concepts définis dans le référentiel du COSO intitulé Enterprise
Risk Management – Integrated Framework (voir Chapitre 3). Ce
référentiel décrit quatre traitements possibles des risques :
Si un risque est si inacceptable que l’organisation ne peut pas
se permettre de laisser la moindre fraude survenir, l’encadre-
ment doit réfléchir à des moyens d’éviter ce risque. Cela peut se
traduire par exemple, par la cession d'une activité dans un pays
où le risque de corruption est beaucoup trop élevé.
Si une organisation affiche une tolérance faible ou nulle vis-à-
vis d’un risque en particulier mais qu’elle ne peut pas éviter
ce risque sans compromettre la réalisation de ses objectifs, elle
doit concevoir des contrôles destinés à réduire la probabilité
d’occurrence d’une fraude ou l’impact de cette fraude si celle-ci
survenait. À cette fin, elle peut mettre en place une combinaison
appropriée de contrôles de prévention et de détection (voir les
deux sections ci-après).
Si une organisation souhaite réduire l’impact ou la probabilité
d’un risque, mais estime qu’il lui manque les compétences ou
l’expérience nécessaires pour y parvenir de manière efficace et
efficiente, elle peut partager la mise en œuvre des contrôles de
prévention et de détection avec une autre organisation qui, elle,
est mieux à même de réaliser ces contrôles.

8-28
 Si l’occurrence d’un risque est acceptable, l’encadrement peut
décider de tolérer ce risque à son niveau actuel et de ne pas
déployer d’efforts particuliers pour le gérer.

Lorsque les décisions relatives au traitement des risques ont été

prises, l’encadrement doit lancer les actions qui permettront leur
mise en œuvre. Étant donné que la plupart des traitements des
risques de fraude consistent à réduire ces risques, les deux sections
suivantes sont consacrées à la prévention et à la détection de la
fraude.
Contrôle
PREVENTION DE LA FRAUDE préventif
Activité destinée
Dans un monde idéal, une organisation préfère appliquer des à empêcher
contrôles de prévention de la fraude suffisants pour empêcher la la survenue
réalisation de tous les scénarios de fraude potentiels. Cependant, d’évènements non
la prévention absolue n’est pas possible et, dans de nombreux cas, souhaités.
le coût de prévention de certains scénarios de fraude est supérieur
aux effets positifs attendus. C’est pourquoi les organisations élabo-
rent des programmes anti-fraude qui reposent sur un dosage appro-
prié de contrôles de prévention et de détection. Néanmoins, le vieil
adage selon lequel « mieux vaut prévenir que guérir » est un bon
point de départ pour définir des actions destinées à ramener les
risques de fraude à un niveau acceptable.

Il existe différentes catégories de techniques de prévention, dont

plusieurs sont analysées ci-dessous. Toutefois, l’une des formes
de prévention les plus importantes est la sensibilisation au sein
de l’organisation. Le Fraud Guide indique que « l’un des grands
principes de la prévention consiste à sensibiliser le personnel, dans
toute l’organisation, au programme de gestion du risque de fraude,
et notamment aux différents types de fraude et d’abus potentiels.
On peut ainsi montrer que toutes les techniques prévues dans ce
programme sont bien réelles et seront appliquées 11 ». En d’autres
termes, une bonne sensibilisation au sein de l’organisation a un
effet dissuasif sur la fraude.

Pour une organisation, la prévention est un moyen de prendre les

devants pour lutter contre la fraude. En intégrant des contrôles de
prévention dans le système de contrôle interne, l’encadrement peut
dissuader la plupart des individus d’envisager de commettre­ une
fraude. Outre l’instauration d’un solide environnement de gouver-
nance anti-fraude, le Fraud Guide présente un certain nombre de
processus qui peuvent largement contribuer à prévenir la fraude :
Enquête sur les antécédents – Certains individus sont plus
susceptibles que d’autres de céder à des tentations qui peuvent
les amener à frauder. Un individu qui a déjà fraudé est égale-
ment davantage susceptible de recommencer qu’un autre qui n’a
encore jamais fraudé. Une enquête détaillée sur les antécédents

8-29
 peut permettre d’écarter de l’organisation les personnes qui sont
les plus susceptibles de frauder. Ce type d’enquête peut concer-
ner des candidats à un poste dans l’organisation, mais aussi des
fournisseurs, clients et partenaires commerciaux nouveaux ou
anciens, afin de limiter le risque de fraude par ces tiers.
Formation à la lutte contre la fraude – Même si les salariés
embauchés sont compétents et honnêtes, ils doivent comprendre
en quoi consiste la fraude, les signaux d’alerte à surveiller, les
procédures permettant de signaler des cas de fraude potentiels
et les conséquences de la fraude. Cette formation doit être obli-
gatoire et renouvelée périodiquement.
Évaluation des performances et systèmes de rémunéra-
tion – Les organisations doivent veiller à ne pas inciter à des
comportements répréhensibles. Il faut examiner de près les
systèmes de rémunération pour vérifier que, non seulement, ils
encouragent les bons comportements, mais également qu’ils les
récompensent. Ces systèmes ne doivent pas négliger les compor-
tements susceptibles d’inciter (ou être considérés comme inci-
tant) à des comportements potentiellement frauduleux.
Entretien de départ – Des salariés partent pour diverses
raisons, et, souvent, ils souhaitent expliquer pourquoi. L’entre-
tien de départ est souvent considéré comme un contrôle de détec-
tion parce qu’un individu peut vouloir « dénoncer » quelqu’un
qu’il n’a pas voulu mettre en cause lorsqu’ils étaient collègues.

ENCADRÉ 8-9
Critères de mesure pour la détection des fraudes

Nombre de cas connus de fraudes commises à l’encontre de l’organisation

Nombre et état des allégations de fraude reçues par l’organisation et qui ont donné lieu à
une enquête
Nombre d’enquêtes pour fraude qui ont été tranchées
Nombre de salariés ayant/n’ayant pas signé la déclaration de déontologie de leur organi-
sation
Nombre de salariés ayant/n’ayant pas achevé leur formation aux questions de déontologie
mise en place par leur organisation
Collusion Nombre d’allégations reçues de personnes ayant recouru au dispositif d'alerte éthique
mise en place par l’organisation
Acte impliquant
Nombre d’allégations reçues par d’autres moyens
au moins deux
Nombre de messages de l’encadrement incitant le personnel à un comportement éthi-
personnes qui que
travaillent Nombre de fournisseurs ayant/n’ayant pas signé le code de déontologie de l’organisation
ensemble et qui, Comparaisons par rapport à des enquêtes mondiales sur la fraude, y compris en ce qui
pour obtenir concerne le type de fraudes et le montant moyen des pertes
un avantage Nombre de clients ayant signé le code de déontologie de l’organisation
personnel, Nombre d’audits portant sur la fraude effectués par les auditeurs internes
passent outre des Résultats d’enquêtes menées auprès du personnel ou d’autres parties prenantes concer-
contrôles ou des nant l’intégrité et la culture de l’organisation
procédures en Ressources utilisées par l’organisation.
place.
Source : Fraud Guide, pp. 38-39

8-30
 Cependant, le fait même de savoir que des entretiens de départ
ont lieu peut également avoir un effet dissuasif sur la fraude.
L’entretien de départ est donc aussi un contrôle préventif.
Plafonnement des transactions autorisées – On peut empê-
cher des fraudes potentielles en plafonnant les transactions
autorisées. Il est fréquent, par exemple, d’interdire les vire-
ments externes dépassant un certain montant s’ils n’ont pas été
autorisés par deux personnes. Dans l’hypothèse de l’absence de
collusion entre ces individus, un tel contrôle empêche les tran-
sactions frauduleuses portant sur un montant supérieur.
Vérification des transactions ex ante – Nombre de cas de
fraudes impliquent des tiers, notamment des parties liées. En
imposant une vérification minutieuse de ces transactions avant
qu’elles ne soient réalisées, une organisation peut empêcher des
transactions inappropriées (exemple : référentiels fournisseurs
validés en amont).

Dans le cadre du système de contrôle interne de l’organisation,

les contrôles de prévention doivent être documentés comme tous
ces autres contrôles. Cela permet d’évaluer plus facilement leur
adéquation, et a également un effet dissuasif, dans la mesure où
le personnel sait que ces contrôles sont en place. L’évaluation de
l’adéquation des contrôles de prévention de la fraude nécessite de
l’expérience et une bonne capacité de jugement, mais il existe un
certain nombre d’outils qui facilitent ce processus. Ainsi, l’annexe F
du Fraud Guide, consacrée aux tableaux de bord de prévention de
la fraude, aide à identifier et évaluer quelques-uns des aspects de
prévention de la fraude les plus courants.

Le Fraud Guide souligne l’importance de contrôles de prévention

solides en indiquant que, « pour être efficace, tout programme de
prévention de la fraude doit, en permanence, être diffusé dans
l’orga­nisation et renforcé. En montrant clairement (par un affi-
chage, une note d’information jointe aux factures clients et au règle-
ment des factures fournisseurs, des messages entrant dans le cadre
de la communication interne ou externe, etc.) qu’un programme
de prévention de la fraude est en place, on fait savoir, à la fois en
interne et à l’extérieur, que l’organisation s’attache à prévenir et à
dissuader la fraude 12 ».

DETECTION DE LA FRAUDE

Comme indiqué plus haut, un programme efficace de gestion du

risque de fraude ne peut pas reposer uniquement sur la prévention.
En effet, non seulement le coût de prévention de certains scénarios
de fraude est élevé, mais il n’est pas non plus possible d’empêcher
tous les cas de fraude. La prévention de la fraude peut échouer si les
contrôles de prévention ne sont pas adéquats ou efficaces. De plus,
s’il y a collusion entre des individus ou si la direction passe outre
les contrôles, les contrôles en place destinés à prévenir la fraude
8-31
 sont susceptibles d’être contournés. Il faut donc que l’organisation
procède aussi à un dosage prudent des contrôles de détection de la
fraude.

Par définition, les contrôles de détection visent à identifier les frau-

des ou les signes susceptibles d’indiquer une fraude. Les méthodes
de détection de la fraude peuvent être soit conçues spécifiquement
dans le but de repérer les fraudes, soit intégrées dans le système
de contrôle interne et ne pas servir uniquement à la détection de
la fraude. Par exemple, la réalisation et la vérification d’un rappro-
chement bancaire peut avoir de nombreuses finalités, notamment
l’identification de transactions inhabituelles ou suspectes. Le Fraud
Guide décrit plusieurs méthodes de détection courantes.

Dispositifs d'alerte éthique – Comme indiqué plus haut dans

ce chapitre, la méthode la plus courante pour détecter la fraude
consiste à faire appel à des informateurs. Une ligne télépho-
nique dédiée permet à toute personne de faire part, anonyme-
ment, de ses soupçons à l’égard de certaines activités. S’il est
largement connu, il peut avoir un effet dissuasif en montrant
aux fraudeurs potentiels que chacun peut facilement faire part
de ses soupçons. L'encadré 8-8 a souligné le caractère délicat de
la transposition, en France, de ces dispositifs.
Le cas échéant, les organisations qui mettent en place ce type
de ligne d’alerte doivent l’accompagner d’un système efficace de
gestion des dossiers, qui permet aux allégations d’être notifiées
à la personne compétente, d’être examinées de près, de donner
lieu à des investigations, et le cas échéant, d’être traitées rapide-
ment sur la base de données factuelles. La gestion des dossiers
est généralement assurée par le responsable du programme
de conformité, par le service des ressources humaines, par le
service juridique ou par le service d’audit interne.
Contrôles des processus – Les contrôles de détection de la
fraude les plus courants sont intégrés aux processus journa-
liers : rapprochements, revues indépendantes, inspections physi-
ques ou comptages, certains types d’analyse, audits internes ou
Protection autres activités de suivi, par exemple. Les risques de fraude qui
juridique ont le plus fort impact potentiel peuvent nécessiter des contrôles
de détection à un niveau de sensibilité plus faible, afin que la
Protection des
détection soit rapide.
résultats des
investigations, Détection de la fraude par anticipation – Bien que la détec-
des pièces tion semble par nature réactive, il est possible de concevoir
justificatives des procédures reposant davantage sur l’anticipation. Les plus
et de la
courantes consistent à analyser des données, mener des audits
confidentialité des
communications
en continu et utiliser d’autres outils technologiques qui permet-
entre l’avocat- tent de repérer des anomalies, des tendances et des indicateurs
conseil et son de risques méritant une certaine attention. Certaines des tech-
client. niques de détection de la fraude les plus innovantes s’appui­ent,
grâce au système d'information, sur l’analyse de données prove-
nant de nombreuses sources. Ainsi, en comparant les adresses
8-32
 dans la base de données relative au personnel et dans la base
de données relative aux fournisseurs, on peut éventuellement
repérer des fournisseurs fictifs créés par un salarié malhonnête.
De même, dans les salles de marché, des systèmes experts ont
été développés pour détecter, dans les flux financiers, les mouve-
ments atypiques susceptibles de repré senter des manipulations
de marchés. Autre exemple : un logiciel qui recherche certains
termes ou certaines expressions dans des courriers électroniques
peut repérer des individus susceptibles d’envisager de commet-
tre une fraude ou qui sont déjà en train de le faire.
Une organisation peut s’aider de techniques de surveillance et de
mesure en continu pour évaluer et améliorer ses systèmes anti-
fraude. Elle peut mesurer différents critères. L’encadré 8-8 en
dresse une liste, qui peut servir aux organisations à surveiller,
mesurer et évaluer l’efficacité de leurs dispositifs de prévention
de la fraude.

Les contrôles destinés à détecter la fraude sont très nombreux et

variés. Les organisations doivent se concentrer sur ceux qui permet-
tront le plus probablement de repérer rapidement les scénarios de
fraude. L’annexe G du Fraud Guide vise à faciliter l’identification
et l’évaluation de quelques-uns des aspects les plus courants d’un
système de détection de la fraude.

ENQUÊTES ET ACTIONS CORRECTIVES

Il importe bien sûr de détecter les fraudes, ou les symptômes d’une

fraude, mais ce n’est pas suffisant. Qu’un cas de fraude fasse l’objet­
d’une action en justice ou soit traité dans l’organisation qui en est
victime, il est impératif de comprendre tous les faits et circons-
tances qui entourent une fraude. La phase finale d’un programme
efficace de gestion du risque de fraude est donc axée sur les inves-
tigations, le reporting et le traitement des cas de fraude potentiels.
Elle comporte plusieurs étapes :

Réception des allégations

Les allégations peuvent provenir de diverses sources et se présenter

sous de nombreuses formes différentes. Comme indiqué plus haut
dans ce chapitre, si l'audit interne est l'origine de la détection du
plus grand nombre de fraudes, une grande proportion des fraudes est
recensée à l'aide de l'allégations provenant de divers intervenants
(341 dans le étudiés dans l'enquête PWC 2009, au plan mondial, ont
été issu de dénonciations de salariés). Quelle que soit la source des
allégations, une organisation doit disposer d’un processus ou proto-
cole qui lui permette de rassembler les informations disponibles en
ce qui concerne ces allégations. Elle pourra ainsi « […] élaborer un
système permettant, avec rapidité, compétence et en toute confi-
dentialité, d’examiner les allégations de fraude ou une faute poten-
tielle, de mener une enquête et de trancher le cas 13 ». Il n’existe pas
d’approche unique pour recevoir des allégations. Tout dépend de la
8-33
 nature de l’allégation, de l’identité de la personne susceptible d’être
impliquée et des conséquences potentielles. Indépendamment du
protocole mis en œuvre, le Fraud Guide spécifie que « le système
d’enquête et de traitement des allégations doit inclure un processus
destiné à :
Établir une classification des problèmes;
Confirmer la validité de l’allégation;
Déterminer la gravité de l’allégation;
Faire remonter le problème ou transmettre l’enquête à un niveau
supérieur, le cas échéant;
Se dessaisir des problèmes qui sortent du cadre du programme
interne;
Conduire les investigations et trouver des éléments factuels;
Trouver une issue satisfaisante à l’enquête ou clôturer
l’enquê­te ;
Établir une liste des informations qui doivent rester confiden-
tielles;
Définir la façon dont l’enquête sera documentée;
Gérer et archiver les documents et les informations 14 ».

Ce processus doit être suffisamment souple pour permettre le trai-

tement des nombreux et différents types d’allégations, tout en étant
suffisamment structuré pour permettre la mise en œuvre et la docu-
mentation de toutes les étapes clés. Un processus formel facilitera
les autres phases.

Évaluer les allégations

Les allégations de fraude ne s’avèrent pas toutes fondées. Il faut

évaluer les informations reçues et prendre de nombreuses décisions
essentielles, qui peuvent avoir une influence déterminante sur
l’efficacité du processus. Cette évaluation consiste à répondre aux
questions suivantes :
L’allégation nécessite-t-elle la conduite d’une enquête formelle
ou dispose-t-on déjà de suffisamment d’informations pour rendre
des conclusions ?
Qui doit mener l’enquête ?
Des compétences spécifiques ou des outils particuliers sont-ils
nécessaires pour l’enquête ?
Qui doit être informé et à quel moment ?

L’instauration de protocoles d’enquête formels, selon les principes

énoncés ci-dessous, aidera à répondre à l'ensemble des questions
fondamentales pour évaluer une allégation.

8-34
Protocoles d’enquête Contrôle de
détection
La mise en place de protocoles d’enquête formels validés par la Activité destinée
direction et le Conseil permet la réalisation des objectifs de l’en- à mettre au jour
quête. Le Fraud Guide mentionne un certain nombre de « facteurs des événements
à prendre en compte pour élaborer le plan d’enquête : non souhaitables
qui sont déjà
Rapidité – Il peut être nécessaire de mener les investigations survenus. Pour
rapidement, pour des raisons juridiques, afin d’atténuer les être considéré
pertes ou les dommages potentiels, ou pour déclarer un sinistre comme efficace,
à la compagnie d’assurance. un contrôle de
détection doit
Notification – Certaines allégations peuvent nécessiter une être appliqué
notification aux instances de contrôle, aux autorités chargées de rapidement (avant
faire appliquer la loi, aux assureurs ou aux auditeurs externes. que l’événement en
question ait eu un
Confidentialité – Les informations recueillies doivent rester impact négatif sur
confidentielles et être diffusées aux seules personnes qui en ont l’organisation).
effectivement besoin.
Légalité – En faisant appel à un avocat-conseil dès le début du
processus ou, dans certains cas, pour conduire l’enquête, on peut
protéger le produit du travail et la confiden­tialité des communi-
cations entre l’avocat-conseil et le client.
Conformité – Les enquêtes doivent respecter les lois et règles en
vigueur concernant la collecte d’informations et l’interrogation
des témoins.
Mise en lieu sûr des preuves – Il convient de protéger les éléments
de preuve afin qu’ils ne soient pas détruits et qu’ils puissent être
présentés devant les tribunaux.
Indépendance – L’équipe chargée de l’enquête doit être tenue
suffisamment à l’écart des problèmes et des personnes faisant
l’objet de l’enquête, afin qu’elle puisse procéder à une évaluation
objective.
Objectivité – Les problèmes ou préoccupations spécifiques doivent
influer de manière appropriée sur l’orientation, le champ et le
calendrier de l’enquête 15 ».

L’enquête doit être réalisée de façon à traiter chacun de ces facteurs.

Le processus effectif dépendra de la nature des allégations, mais la
plupart des enquêtes comportent habituellement un certain nombre
de tâches, telles que l’audition des personnes susceptibles de déte-
nir des informations pertinentes pour l’enquête, la collecte de preu-
ves tangibles auprès de sources internes et externes, l’analyse des
données recueillies et la présentation par écrit des résultats, afin
d’étayer les conclusions et de permettre aux tiers de comprendre
leurs motivations. Enfin, un rapport adéquat est rédigé à l’intention
des personnes qui ont besoin des résultats de l’enquête pour pouvoir
évaluer les dispositions prises. Ces principes généraux doivent, bien
sûr, être adaptés aux contraintes légales du pays concerné.

8-35
 Actions correctives

La dernière étape du processus consiste à prendre des dispositions

appropriées, d’après les résultats de l’enquête. Les actions possibles
sont les suivantes :
Poursuites au pénal et/ou au civil.
Mesures disciplinaires, telles qu’un avertissement, une rétro-
gradation, un blâme, une suspension ou un licenciement.
Déclaration de sinistre auprès de l’assureur si les pertes décou-
lant de la fraude sont couvertes par une police.
Réorganisation ou renforcement des processus et des contrôles
qui ont peut-être été mal conçus, ou qui ont mal fonctionné, et
qui n’ont pas empêché la fraude.

Quelles que soient les mesures retenues, elles doivent être justes
et rapides. Au sein de l’organisation, certaines personnes peuvent
en effet souhaiter savoir comment les fraudeurs sont traités. Si
les dernières dispositions prises ne sont pas rendues publiques, le
personnel doit avoir la certitude qu’elles sont justes étant donné les
circonstances, et que la direction traiterait d’autres fraudeurs de la
même manière. Cela renforce le sentiment que la direction « donne
le ton », et cette exemplarité est fondamentale pour la gouvernance
de la gestion du risque de fraude.

Fraudeurs COMPRENDRE LES FRAUDEURS

Correspondent
généralement Il est naturel de penser qu’un système de contrôle interne est
à l’un des neutre vis-à-vis des personnes. Ainsi, en supposant que des indivi-
deux profils de dus compétents occupent les postes de contrôle clés dans une orga-
fraudeurs : ceux nisation, un système de contrôle interne bien conçu doit fonctionner
« agissant dans efficacement, même lorsque les individus commettent des erreurs.
l’intérêt général » Cependant, considérant que la fraude implique une intention d’agir
et les « intrigants
d’une manière différente que celle à quoi l’on pourrait s’attendre
et auto-centrés ».
normalement, un autre élément doit être pris en compte : la façon
d’agir des individus malhonnêtes. Les auditeurs internes doivent
donc avoir un esprit critique aiguisé et envisager que les gens ne
se comporteront pas nécessairement « comme il faut ». Autrement
dit, les auditeurs internes doivent essayer de comprendre pourquoi
un individu honnête va commettre une action malhonnête, afin de
pouvoir déceler, et, dans certains cas, empê­cher une fraude.

La science comportementale reste à ce jour incapable d’identifier

une caractéristique psychologique ou un ensemble de caractéris-
tiques susceptibles de servir de marqueur fiable de la propension
à frauder. Par exemple, il serait simpliste d’affirmer que « l’appât
du gain et la malhonnêteté » (refrain bien connu) expliquent tout
ce qui s’est passé pendant la période « d’exubérance irrationnelle »
des années 1990. Le monde des entreprises compte de nombreux
professionnels extrêmement ambitieux, compétitifs et riches, mais
8-36
qui n’en respectent pas moins les lois. Ces professionnels ne recou-
rent pas forcément à la fraude pour satisfaire leur soif de succès.
Mais quelque chose les motive, et la compréhension des différentes
motivations des fraudeurs constitue un important point de départ.
Thomas Golden, expert chevronné et spécialiste de la lutte contre
la fraude chez PricewaterhouseCoopers, estime qu’il existe deux
profils de fraudeurs qui manipulent les informations financières :
les fraudeurs « agissant dans l’intérêt collectif  » et les individus
« intrigants et auto-centrés ». Les premiers sont « par ailleurs des
personnes honnêtes qui faussent les chiffres en se disant qu’elles
le font dans l’intérêt de leur entreprise ». Les seconds sont « des
individus qui affichent un mépris total pour la vérité, qui sont
parfaitement conscients de ce qu’ils font et tentent d’atteindre leurs
objectifs par des moyens malhonnêtes. » 14

Comprendre les signaux d’alerte potentiels qui peuvent signaler les

individus qui sont davantage susceptibles de commettre une fraude
aide les auditeurs internes à comprendre quand le risque de fraude
est accru. Voici des exemples de signaux d’alerte :
Les individus qui affichent un train de vie bien supérieur à leurs
moyens actuels,
Les individus qui connaissent de graves problèmes financiers et/
ou qui sont fortement endettés,
Les individus qui ont une propension inhabituelle à dépenser,
Les individus qui souffrent de dépression ou d’autres problèmes
psychologiques,

CONTRÔLES ET RISQUE D’ÊTRE PRIS : ENCADRÉ 8-10

PERCEPTION DES FRAUDEURS

Joseph Wells, fondateur de l’ACFE, propose une analyse poussée de la manière de penser des
fraudeurs. Faisant écho à Jeremy Bentham, économiste du XVIIIe siècle, il observe que la pro-
babilité de commettre un délit (en col blanc) dépend de la perception, par son auteur, des
risques et des récompenses. Associés en d’autres termes, ceux qui estiment qu’il existe une
forte probabilité de se faire prendre sont naturellement moins enclins à perpétrer une fraude.
Chacun sait que pour ce qui est de l’efficacité, les activités de contrôle du risque de fraude
sont loin la perception du risque de se faire prendre (ne comptent pas tant que, d’après l’his-
torique du traitement réservé aux cas analogues par l’organisation). Dès lors, du point de vue
comportemental, cela ouvre la possibilité de créer un « effet d’anticipation » (c’est-à-dire l’anti-
cipation d’être audité), avec des vérifications surprises dans le cadre des activités de contrôle,
de prévention et de dissuasion des fraudes. Selon ce même raisonnement, les auditeurs ex-
ternes et les auditeurs internes, par des approches imaginatives de leur travail recourant à la
technologie (par exemple le pilotage continu des contrôles) ou les avancées de la statistique
(par exemple les méthodes de sondage de dépistage, la loi de Benford), voire des « séances
de réflexion collectives sur les moyens de frauder » peuvent exercer un puissant effet dissuasif
et dresser des barrières à la fraude, tout en améliorant les capacités de détection. La direction
doit agir rapidement et avec fermeté à l’encontre des auteurs des fraudes lorsque ces derniers
sont démasqués à la suite d’une enquête. De telles mesures peuvent largement consolider les
efforts de dissuasion.
Wells, Joseph T., « Let Them Know Someone’s Watching », Journal of Accountancy, mai 2002.

8-37
 Les joueurs invétérés,
Les individus qui veulent absolument obtenir un statut social et
pensent que l’argent peut les y aider.

Il peut également être utile de considérer la fraude du point de vue

d’un criminologue. Les criminologues pensent que la fraude, comme
n’importe quel autre délit, peut s’expliquer par trois facteurs :
l’existence de contrevenants motivés, la disponibilité de cibles s’y
prêtant et l’absence de gardiens compétents (systèmes de contrôles
ou individus « qui gardent la boutique ») 16. Ces éléments se rappro-
chent du Triangle de la fraude décrit dans la section précédente.
La bonne connaissance de ces facteurs peut aider les auditeurs
internes à être à l’affût des vulnérabilités à la fraude. Concernant
ce dernier point, Joseph Wells, fondateur de l’ACFE, compare de
façon instructive la vision des contrôles qu’ont les fraudeurs et leur
perception du risque d’être pris. Cette opinion est synthétisée dans
l’encadré 8-10.

Les auditeurs internes ne sont censés être ni des experts psycholo-

gues en comportement, ni des criminologues. Cependant, compren-
dre les motivations des fraudeurs peut les aider à « rester en alerte »
sur leur lieu de travail et, peut-être, à repérer à l’avance les indivi-
dus les plus à même de commettre une fraude.

Conscience CONSÉQUENCES POUR LES AUDITEURS INTERNES ET

professionnelle D’AUTRES MEMBRES DU PERSONNEL
Consiste à
appliquer la Les auditeurs internes jouent un rôle clé dans un programme de
diligence et gestion du risque de fraude. Les Normes donnent des recommanda-
le savoir-faire tions spécifiques à l’intention des auditeurs internes :
que l’on peut
attendre d’un Norme 1210.A2 – Les auditeurs internes doivent possé-
auditeur interne der des connaissances suffisantes pour évaluer le risque de
raisonnablement fraude et la façon dont ce risque est géré par l’organisation.
prudent et Toutefois, ils ne sont pas censés posséder l’expertise d’une
compétent. personne dont la responsabilité première est la détection et
N’implique pas l’investigation des fraudes.
l’infaillibilité.
Norme 1220.A1 – Les auditeurs internes doivent apporter
tout le soin nécessaire à leur pratique professionnelle en
prenant en considération […] la probabilité d’erreurs signifi-
catives, de fraudes ou de non-conformité […]
Norme 2060 – Le responsable de l’audit interne doit rendre
compte périodiquement à la direction générale et au Conseil
des […] risques de fraude […]
Norme 2120.A2 – L’audit interne doit évaluer la possibilité
de fraude et la manière dont ce risque est géré par l’organi-
sation.

Ces normes affirment clairement que les auditeurs internes doivent

envisager la possibilité de fraude dans quasiment toutes leurs
8-38
activités. Mais les Normes ne constituent pas la seule motivation
conduisant l’audit interne à se concentrer sur la fraude. La législa-
tion récente, les mandats confiés aux instances de réglementation,
ainsi que le nombre croissant d’organisations axées sur la bonne
gouvernance, mettent spécifiquement l’accent sur le rôle de l’audit
interne. Par voie de conséquence, les gardiens de la pertinence
des dispositifs de contrôle, dont les auditeurs internes, gagnent en
importance et sont de plus en plus appelés à jouer un rôle clé dans
la prévention, la dissuasion et la détection de la fraude au sein des
organisations commerciales, des organismes publics et des entités
sans but lucratif, dans le monde entier. Les auditeurs internes, sont
invités à répondre à plusieurs questions :
Quels risques de fraude sont à l’heure actuelle surveillés pério-
diquement ou régulièrement par la direction ? Les facteurs de
risque critiques font-ils l’objet d’une surveillance fréquente,
voire permanente ?
Quelles procédures particulières l’audit interne applique-t-il si
la direction passe outre le contrôle interne ?
Est-il survenu un événement conduisant l’audit interne à rééva-
luer le risque que la direction passe outre les contrôles ?
Quelles compétences et qualifications les auditeurs internes
doivent-ils posséder pour traiter le risque de fraude au sein des
organisations ? Quand doivent-ils faire appel à des spécialistes
pour gérer des aspects particulièrement complexes ?
Outre le rattachement direct au comité d’audit, comment peut-
on renforcer l’indépendance de l’audit interne au sein de l’orga-
nisation ? Les auditeurs internes sont-ils considérés comme des
professionnels compétents et objectifs pour traiter le risque de
fraude et les aspects relatifs aux contrôles ?
Comment l’audit interne doit-il se concentrer sur la prévention,
la dissuasion, la détection et l’investigation de la fraude ?

Pour s’acquitter de cette responsabilité vis-à-vis du comité d’audit

et des autres parties prenantes, les auditeurs internes doivent
posséder des compétences et une expérience plus importantes que
celles qui sont nécessaires à la conduite de la plupart des missions
d’assurance.
Scepticisme
Scepticisme professionnel, et moyens techniques professionnel
Les auditeurs
L’exercice d’un jugement professionnel avisé est au centre des remettent
activités d’assurance et de conseil de la fonction d’audit interne. sans cesse en
Lorsqu’il s’agit d’évaluer les risques de fraude, l’auditeur interne question ce qu’ils
doit faire preuve d’un degré élevé de scepticisme professionnel, entendent et ce
c’est-à-dire de la capacité à évaluer avec esprit critique les preuves qu'ils voient, et
ils évaluent les
et les données dont il dispose. C’est d’autant plus important que les
preuves d’audit
fraudeurs ont l’habitude « d’effacer leurs traces » et qu’il faut faire d’un œil critique.
preuve d’une certaine détermination pour mettre en évidence un

8-39
 projet de fraude bien dissimulé. Ainsi, la persévérance opiniâtre de
Cynthia Cooper, désignée « personnalité de l’année » en 2004 par
le magazine Time, et de son équipe chez WorldCom, a été détermi-
nante pour faire éclater au grand jour la fraude massive perpétrée
par la direction de WorldCom.

Tous les auditeurs internes ne font pas preuve du même degré

de scepticisme professionnel : certains sont par nature plus scep-
tiques que d’autres, certains prennent les explications qu’on leur
donne pour argent comptant, et d’autres tiennent à vérifier encore
et encore et à creuser davantage. Ces derniers, qui semblent avoir
une tendance naturelle à « fouiner », font également preuve d’un
degré supérieur de scepticisme professionnel en général. Si la
« paranoïa » se traduit souvent par un audit excessif, il est attendu
et justifié que les auditeurs internes témoignent d’un fort degré de
scepticisme professionnel à chaque fois que les faits et les circons-
tances semblent indiquer une probabilité de fraude.

Lorsqu’ils dirigent ou participent à une enquête sur une fraude, les

auditeurs internes peuvent avoir à traiter des preuves dont ils n’ont
pas l’habitude dans leurs missions. Ces missions peuvent se révéler
plus complexes et nécessité d’étudier différents éléments de preuve,
avec des caractéristiques et des degrés de fiabilité variables. Dans
un tel contexte, un auditeur interne expérimenté est mieux à même
de « rapprocher les pièces du puzzle » et reconstituer le tableau
d’ensemble à partir d’informations et de preuves incomplètes.
C’est la raison pour laquelle, la plupart du temps, les groupes d’en-
quête sur les fraudes sont composés d’individus qui possèdent une
grande expérience des contrôles. D’ailleurs, les recherches sur les
applications de l’intelligence artificielle (la technologie des réseaux
neuronaux, par exemple) montrent que le regroupement de preu-
ves dispersées constitue en fait un problème de reconnaissance des
formes : toutes les preuves disponibles ne doivent pas être considé-
rées les unes après les autres, mais une approche holistique tenant
compte de toutes les preuves disponibles simultanément doit être
développée. L’auditeur interne peut donc utilement utiliser des
aides à la décision, des systèmes experts et l’intelligence artificielle
pour augmenter à la fois l’efficacité et l’efficience de ses travaux
(par exemple, la loi de Benford ou l’analyse des chiffres, les outils
d’audit assisté par ordinateur, et l’analyse prédictive, y compris les
modèles de régression et les réseaux neuronaux).

La communication par des moyens technologiques étant omnipré-

sente, l’examen des cas de fraude feront à l’avenir largement appel
à des experts informatiques, à la recherche de preuves électroni-
ques et à l’analyse des données. En d’autres termes, l’emploi de la
technologie ne se borne pas à l’analyse des données (une fois les
données structurées recueillies), mais permet aussi, l’extraction et
la préservation des preuves électroniques, généralement sous la
forme de textes ou données non structurées nécessitant des recher-
ches par mots-clés. Les inspecteurs doivent donc bien maîtriser les

8-40
techniques numériques, à savoir les outils et les technologies les
plus avancés dans ce domaine. Certified Fraud
Examiners
Le recours à des spécialistes de la lutte contre la fraude (CFE)
Individus qui
L’audit interne peut lutter contre la fraude de diverses façons au ont obtenu le
sein d’une organisation. Il peut, par exemple, organiser des sessions titre de CFE et
de sensibilisation au risque de fraude, concevoir des programmes sont spécialisés
et des contrôles antifraude, tester l’efficacité opérationnelle de ces dans les enquêtes
contrôles, examiner de manière approfondie les anomalies/prati- juricomptables et
ques répréhensibles et enquêter sur les signalements, conduire des dans les conseils
enquêtes sur demande du comité d’audit, ... Cependant, le service sur les risques
de fraude et
d’audit interne peut ne pas disposer de l’expé­rience et des compé-
autres questions
tences nécessaires pour toutes ces activités. En conséquence, il est relatives à la
courant que le responsable de l’audit interne recourt à des spécia- fraude.
listes de la lutte contre la fraude afin de compléter les compétences
des auditeurs.

Les auditeurs spécialisés dans la lutte contre la fraude peuvent

obtenir le titre de CFE (certified fraud examiner : ce diplôme
n'a pas cependant pas de reconnaissance légale pour l'instant et
tente notamment d'être reconnu par la commission européenne).
Ils mènent des enquêtes d’exper­tise (habituellement a posteriori,
lorsqu’il existe une suspicion), afin de trancher les allégations ou
soupçons de fraude et rendent compte à un niveau hiérarchique
approprié (au responsable de l’audit interne, comité d’audit ou au
Conseil, suivant la nature du problème et le niveau hiérarchique
du personnel impliqué). Ils peuvent aussi épauler le comité d’audit
et le Conseil d’administration dans différents aspects du processus
de surveillance, soit directement, soit dans le cadre d’une équipe
d’auditeurs, internes ou externes, afin de juger de l’évaluation du
risque de fraude et des mesures de prévention mises en œuvre par la
direction générale. Ils peuvent apporter une contribution plus objec-
tive à l’évaluation du risque de fraude effectuée par la direction (et
surtout des fraudes perpétrées par des cadres dirigeants, comme la
falsification des états financiers), ainsi qu’à l’élaboration de mesu-
res de lutte contre la fraude qui soient moins susceptibles d’être
contournées par les dirigeants. En France, on les trouve notamment
dans les banques, qui ont développé des pôles spécifiques contre la
fraude suite à l'Affaire Kerviel et à l'évolution du règlement 97-02
en 2009. Ces pôles comprennent parfois des anciens membres des
services de lutte contre la corruption (des anciens policiers notam-
ment). Toutefois, les individus possédant cette expertise ne sont
pas suffisamment nombreux. En conséquence, les organisations
recherchent fréquemment cette compétence auprès de prestataires
extérieurs.

Le recours à des spécialistes extérieurs de la lutte contre la fraude

présente de nombreux avantages, en plus de l’indépendance que ces
intervenants apportent dans le cadre de la mission. Par exemple,
ils ont l’habitude identifier et analyser divers cas de fraude. Ainsi

8-41
 se développe l'expertise de fraude («  forensic »), comme nouvelle
branche de la comptabilité, qui vient des pays anglo-saxons. Ces
experts sont souvent multidisciplinaires, avec de bonnes compé-
tences en comptabilité et en audit, mais aussi en droit, voire en
criminologie. De plus, les spécialistes de la technologie peuvent
être en mesure d'utiliser des techniques d'investigation avancées
et se servir d'outils sophistiqués. Ainsi, ils peuvent contribuer à
identifier et évaluer les « suspects habituels » et recommander les
méthodes d’investigation optimales. En outre, ayant déjà travaillé
avec des juristes indépendants, des chefs du contentieux, des procu-
reurs locaux, des instances de réglementation, des représentants
de l’ordre public, d’autres comptables et auditeurs, ainsi que des
substituts du procureur général, ils savent :
Quelle est la meilleure approche à adopter pour enquêter sur
une fraude donnée.
Évaluer la qualité et la quantité des preuves nécessaires.
Évaluer l’admissibilité des preuves en concertation avec des
juristes extérieurs.
Préserver les preuves et la chaîne de conservation des pièces à
conviction.
S’il est nécessaire, rechercher un témoin, factuel ou expert, ou
agir en tant que tels.

Il est très important que les auditeurs internes mènent les enquêtes
de manière équitable et consciencieuse, et qu’ils élaborent et tien-
nent à jour les documents nécessaires pour soutenir toute action
résultant de l’enquête. Le recours à des spécialistes est une prati-
que courante pour faire en sorte que les objectifs soient atteints.

Communication des résultats d’un audit portant sur une fraude

Lors de l’élaboration du rapport sur les résultats des audits ou des

investigations portant sur des cas de fraude, nombre des principes
énoncés dans le chapitre 14, « La communication des résultats de
la mission d’assurance et la réalisation des procédures de suivi »
s’appliquent. Par exemple, les auditeurs internes doivent s’efforcer
d’identifier les critères, les conditions, les causes et les effets afin
de résumer leurs constats à l’issue d’une enquête pour fraude. Ils
doivent veiller à rédiger leurs constats de manière systématique et
structurée afin d’en renforcer la clarté et d’en faciliter la compré-
hension, ce qui nécessite généralement :
un exposé bref et clair des problèmes.
l’énumération des politiques, règles, normes, lois et règlements
applicables à l’affaire en question.
l’analyse des preuves recueillies afin de donner leur avis en tant
que professionnels.
les conclusions, c’est-à-dire les constats et les recommandations.
8-42
Le rapport gagne ainsi en clarté et en utilité, en particulier s’il est
utilisé par le chef du contentieux ou par le juriste extérieur qui
conduit l’enquête et peut souhaiter l’intégrer à son propre rapport.

Dans tous les cas, les rapports produits par les auditeurs internes
ne doivent contenir que des faits, et les auditeurs doivent éviter le
plus possible d’y inclure des avis personnels ou tout type de préjugé
ou hypothèse susceptibles de fausser l’analyse. Ils ne doivent
jamais chercher à faire porter la culpabilité sur un ou plusieurs
collaborateurs en particulier, mais simplement indiquer que les
preuves recueillies semblent corroborer la conclusion selon laquelle
une fraude a pu être commise. C’est au tribunal, et non à l’auditeur
interne, d’établir la culpabilité et de déterminer la sanction.

8-43
 RÉSUMÉ

La fraude constitue une préoccupation majeure dans toutes les

organisations. La sensibilisation croissante au problème de la
fraude dans le monde entier pousse les autorités de réglementation
des différents pays à s’intéresser aux responsabilités de la direc-
tion en matière de prévention, de dissuasion et de détection de la
fraude. Les comités d’audit cherchent de plus en plus l’appui de
l’audit interne pour concevoir et mettre en œuvre de façon efficace
des programmes de gestion du risque de fraude et des contrôles y
afférents.

Pour être efficace, un programme de gestion du risque de fraude

doit comporter certains éléments. Premièrement, une bonne
gouvernance doit être en place, à la fois directement dans le cadre
de ce programme et globalement au sein de l’organisation. Deuxiè-
mement, il convient d’effectuer une évaluation complète du risque
de fraude, comportant l’identification des scénarios de fraude possi-
bles, l’évaluation de l’impact et de la probabilité de ces scénarios,
ainsi que les décisions concernant le type de réponse qu’il convient
d’apporter à ces scénarios. Troisièmement, il faut concevoir et
instaurer des contrôles efficaces. Il faut trouver le bon équilibre
entre contrôles de prévention (afin d’éviter la survenue d’une fraude
et de dissuader les fraudeurs potentiels d’envisager de commettre
un acte frauduleux) et contrôles de détection (qui garantissent une
détection rapide des fraudes). Enfin, il faut établir un processus
visant à faciliter le signalement des fraudes, l’investigation de ces
dernières et la mise en œuvre de mesures disciplinaires et correc-
tives.

Le service d’audit interne joue un rôle clé dans la promotion et le

soutien du programme de gestion du risque de fraude d’une orga-
nisation. Les Normes demandent aux auditeurs internes de tenir
compte du risque de fraude dans la plupart de leurs activités.
En conséquence, les auditeurs internes peuvent soutenir tous les
éléments d’un programme efficace de gestion du risque de fraude.
La compréhension des caractéristiques comportementales des
fraudeurs potentiels aide les auditeurs internes à rester à l’affût
des situations dans lesquelles une fraude a le plus de risques de
survenir. Cette vigilance, associée à un scepticisme professionnel
renforcé, peut aider les auditeurs internes à prévenir ou à dissuader
des fraudes potentielles et à déceler rapidement les incidents qui
sont survenus. Enfin, si les compétences que possèdent la plupart
des auditeurs internes sont de grande valeur, il est important que le
responsable de l’audit interne ait conscience de la nécessité de faire
appel à des spécialistes de la lutte contre la fraude, et utilisent une
technologie spécialisée pour permettre au service d’audit interne de
s’acquitter encore mieux de ses responsabilités en matière de lutte
contre la fraude.

8-44
Questions de révision

1. Selon l'enquête PWC 2007 sur la fraude, combien la fraude a-t-elle coûté aux entrepri-
ses française en 2006 et 2007 ?
2. Quelle est la définition de la fraude donnée par le Fraud Guide ?
3. Selon l’AICPA, quelles sont les trois méthodes permettant de falsifier les états finan-
ciers ?
4. Selon l’ACFE, quels sont les quatre éléments qui caractérisent une fraude en entre-
prise ?
5. Quels sont les trois éléments que l’on peut qualifier de « causes à l’origine de la fraude »
(qui sont toujours présents, quel que soit le type de fraude) ?
6. Le Conseil aide à donner le ton au sein d’une organisation. Quelles sont les responsa-
bilités en matière de supervision que doit généralement exercer le Conseil ?
7. Selon le Fraud Guide, quels sont les dix éléments que comporte généralement un
programme efficace de gestion du risque de fraude ?
8. Quelles sont les trois principales étapes d’une évaluation du risque de fraude ?
9. Dans un monde parfait, vaut-il mieux éviter ou déceler toute fraude ? Expliquez votre
réponse.
10. Quelle est la méthode la plus courante pour déceler les fraudes ?
11. Sur quoi se concentre la dernière étape d’un programme efficace de gestion du risque
de fraude ?
12. Quels sont les différents rôles que peut jouer un service d’audit interne dans la lutte
contre la fraude au sein d’une organisation ?
13. Citer les raisons pour lesquelles, selon le rapport PWC2009, le contexte économique
de la crise favorise les comportements frauduleux.

8-45
 Questions à choix multiple

Pour chacune des questions suivantes, sélectionnez la réponse la plus adaptée.

1. La « suspicion de fraude » est un terme technique qui désigne :

a. La capacité des auditeurs internes à anticiper la fraude.
b. La capacité des auditeurs internes à lancer une enquête s’il existe des éléments
indiquant l’existence d’une fraude et la probabilité qu’elle soit toujours en
cours.
c. Les activités des fraudeurs qui effacent leurs traces de manière à dissimuler leurs
agissements et à ne pas être découverts.
d. L’analyse par la direction des risques de fraude afin qu’elle puisse mettre en place
des programmes et des contrôles antifraude.
2. Quelles sortes de fraudes ont été les plus courantes en France en 2009, selon l'enquête
de PWC ?
a. La corruption.
b. La fraude comptable.
c. Le détournement de biens par les membres du personnel.
3. Parmi les propositions suivantes, laquelle ne constitue pas une « justification ration-
nelle » classiquement invoquée par un fraudeur ?
a. C’est dans l’intérêt de l’organisation.
b. La société me doit de l’argent car je suis sous-payé.
c. J’en veux à mon chef (désir de revanche).
d. Je suis plus intelligent que les autres.
4. Laquelle des activités suivante est réservée à des personnes dédiées dans l'organisa-
tion ?
a. Comprendre leur rôle au sein du cadre de contrôles internes.
b. Comprendre les fondamentaux de la fraude et savoir reconnaître les signaux
d’alerte.
c. Faire part de leurs soupçons de fraude.
d. Enquêter sur des activités suspectes dont ils pensent qu’elles sont frauduleuses.
5. Une organisation qui fabrique et vend des ordinateurs souhaite augmenter son chiffre
d’affaires d’ici la fin de l’année. Elle décide de verser à ses commerciaux une prime
dépendant du nombre d’unités qu’ils vont vendre aux clients d’ici la fin de l’année. Le
prix de tous les ordinateurs est déterminé par le directeur-adjoint des ventes, et ne
peut pas être modifié par les commerciaux. Parmi les opportunités suivantes, laquelle
peut inciter un commercial à commettre une fraude ?
a. Le commercial peut vendre des unités dont la marge est inférieure à celle d’autres
unités.
b. Les clients ont le droit de ramener leur ordinateur portable pendant les 90 jours
qui suivent l’achat.

8-46
Questions de révision

c. Les unités vendues peuvent être défectueuses.

d. Les clients peuvent ne pas payer leur ordinateur dans les délais.
6. Comment une organisation doit-elle traiter une accusation anonyme émanant d’un
salarié, qui affirme que l’un des superviseurs de l’organisation manipule les relevés du
temps de travail ?
a. Demander à un auditeur interne d’examiner tous les relevés du temps de travail
des six derniers mois dans le secteur où travaille le superviseur en question.
b. Prendre note de l’accusation, mais ne rien faire même si l'accusation est étayée
par des preuves factuelles.
c. Comparer les faits révélés par le salarié anonyme aux critères préétablis afin de
déterminer si une enquête formelle est nécessaire.
d. Transférer le dossier au service des ressources humaines car les accusations
anonymes relèvent généralement des ressources humaines.
7. Parmi les propositions suivantes, laquelle constitue un détournement d’actifs ?
a. Une petite somme en liquide est volée.
b. Une entrée du journal est modifiée afin d’améliorer les résultats financiers
publiés.
c. Le directeur de l’exploitation soudoie un fonctionnaire étranger afin de faciliter
l’autorisation de commercialisation d’un nouveau produit.
d. Un double d’une facture est envoyé à un client dans l’espoir qu’il la paiera deux
fois.
8. Parmi les exemples suivants, lequel n’entre pas dans le cadre d’un programme de
prévention de la fraude ?
a. Les enquêtes sur les antécédents des nouveaux salariés.
b. Les entretiens de départ des salariés qui quittent l’entreprise.
c. L’établissement de limites d’autorisation pour les engagements d’achat.
d. L’analyse des décaissements afin de déterminer si des paiements en double ont
été effectués.
9. Un agent du service de la paye a augmenté le taux de salaire horaire d’un de ses amis
et partagé avec celui-ci les sommes qui en résultent. Parmi les contrôles suivants,
lequel serait le plus efficace pour prévenir cette fraude ?
a. Exiger que tous les changements apportés aux registres de paye soient enregis-
trés sur un formulaire standard.
b. Autoriser uniquement les superviseurs habilités du service des ressources humai-
nes à procéder à des changements dans les informations portant sur le système
de rémunération des salariés.

8-47
 Questions à choix multiple

c. Rapprocher périodiquement les taux de rémunération des fichiers du personnel

avec ceux du système de rémunération.
d. Demander aux superviseurs des différents services d’effectuer un suivi des coûts
de rémunération sur une base mensuelle.
10. Les responsabilités de la fonction d’audit interne vis-à-vis de la fraude sont limitées :
a. Aux seules activités opérationnelles et de conformité de l’organisation, car les
questions relatives aux états financiers relèvent de l’auditeur externe.
b. Au suivi de tous les appels reçus via le dispositif d’alerte de l’organisation, mais
pas nécessairement à la conduite d’une enquête de suivi.
c. À la surveillance des indicateurs de fraude, y compris ceux qui sont liés à la fraude
dans les états financiers, mais sans posséder nécessairement l’expertise d’un
spécialiste des enquêtes sur les fraudes.
d. À l’assurance que tous les salariés ont été suffisamment sensibilisés au problème
de la fraude.
11. Du point de vue d’une organisation, étant donné que les auditeurs internes sont
considérés comme des « experts du contrôle interne », ils sont également :
a. La première et plus importante ligne de défense contre les rapports financiers
frauduleux ou les détournements d’actifs.
b. La meilleure ressource à consulter en interne par les comités d’audit, la direc-
tion et d’autres parties prenantes lorsqu’ils mettent en place des programmes et
contrôles antifraude, même si les auditeurs n’ont aucune expérience en matière
d’investigation des fraudes.
c. Les personnes les mieux à même d’enquêter sur un cas de fraude impliquant une
violation potentielle de la législation et de la réglementation.
d. Le principal décideur lorsqu’il s’agit de déterminer la sanction ou d’autres consé-
quences pour les fraudeurs.

8-48
Questions
Thèmes dede
discussion
révision

1. Pourquoi la situation au sein de l’organisation, les compétences et l’objectivité de

la fonction d’audit interne sont-elles particulièrement importantes en cas de fraude
commise par la direction générale ? Pourquoi le rattachement hiérarchique direct du
responsable de l’audit interne au directeur financier, au directeur général, au chef du
contentieux ou au contrôleur de gestion peut-il se révéler plus problématique que le
rattachement hiérarchique au comité d’audit (ou à son équivalent) ?
2. Comment le ton donné au plus haut niveau de l’organisation, une sensibilisation au
contrôle et une culture d’intégrité et de déontologie au sein des organisations contri-
buent-ils à prévenir, dissuader et détecter la fraude ? Est-il suffisant que les organisa-
tions dissuadent effectivement les activités illégales, contraires à la déontologie ou
la morale, et si ces activités sont constatées, qu’ils fassent en sorte que le système
d’alerte soit utilisé pour dénoncer ces conduites répréhensibles qui pourraient annon-
cer une fraude ?
3. La fraude revêt les formes les plus diverses, c’est pourquoi il existe autant de termes
plus ou moins apparentés pour la décrire. Ainsi, on dit souvent qu’un acte est contraire
à la déontologie, illégal ou contraire à la morale. Prenez soin d’examiner les termes
suivants et expliquez-en la signification et en quoi ils se distinguent les uns des
autres :
(1) pots-de-vin et dessous de table, (2) conflit d’intérêts, (3) maquillage des comptes,
(4) opération pour le compte de son auteur et corruption, (5) détournement de fonds,
(6) recettes ou charges fictives, (7) usurpation d’identité, (8) espionnage industriel,
(9) violation intentionnelle des principes comptables généralement reconnus, (10)
détournement par virement bancaire, (11) fraude par report différé, (12) vol qualifié,
(13) manquement à des obligations fiduciaires, (14) présentation mensongère de
faits importants, (15) blanchiment d’argent,­ (16) conspiration, (17) entités fictives, (18)
opérations circulaires, (19) falsification, (20) vol, (21) écritures de journal directement
effectuées sur le grand livre, (22) collusion des soumissionnaires, (23) accords paral-
lèles occultes, (24) salariés fictifs, (25) modification de la date d'exercice des stock-
options, (26) transactions hors-bilan illégitimes, (27) promesse fallacieuse, (28) délit
d’initiés.
4. Quels sont les indicateurs du risque de fraude que les auditeurs internes doivent
surveiller en général ? Comment ces « signaux d’alerte » (facteurs de risque de fraude)
sont-ils influencés par le secteur d’acti­vité et l’implantation géographique d’une entre-
prise ? Pourquoi certains domaines et actifs semblent-ils plus touchés par la fraude ?
Quelles considérations de « risque relatif » doivent être prises en compte ?
5. Comment la fonction d’audit interne peut-elle aider le comité d’audit en l’alertant
rapidement lorsque le management contourne le contrôle interne ?
6. Les auditeurs internes peuvent-ils participer aux expertises sur la fraude et, si oui,
comment ?
7. On peut demander aux auditeurs internes d’effectuer une enquête pour fraude impli-
quant une action en justice. Est-il important d’envisager de mener cette enquête dans
le cadre du secret professionnel ? Expliquez votre réponse.

8-49
 ÉTUDE DE CAS

CAS N°1 Les ex dirigeants de la société de distribution XYZ1 vont être traduit en justice. En effet il
leur est reproché d’avoir falsifié leur comptes pendant plusieurs années, sans qu’il y ait de
réelles réactions des commissaires aux comptes. Toute la communication financière (bilan
et compte de résultat notamment) portant sur les années 200x et 200y était « fausse »,
« inexacte et trompeuse ».

En effet, la société a réussi à cacher ses pertes sur plusieurs exercices avant de devoir, sous
la pression du commissaire au compte, les révéler au public.

Pendant deux ans, l’entreprise a mis en place un circuit comptable ne reflétant pas la réalité
des opérations ainsi que des informations reflétant la réalité des opérations mais non enre-
gistrées en comptabilité. Le principal poste qui faisait l’objet de manipulation était celui
relatif aux marges arrière, c’est-à-dire le niveau de marge négocié entre la direction des
achats et les fournisseurs. Le suivi des marges arrière est important pour une société de
distribution car ces marges ont une incidence directe et importante sur le niveau des résul-
tats et du chiffre d’affaires et nécessitent donc une vigilance particulière. Ces marges ont été
sciemment gonflées, indépendamment des marges réelles. Dans d’autre cas, elles ont été
volontairement enregistrées au cours de l’exercice suivant de leur perception pour modi-
fier le résultat. De faux documents ont sciemment été rédigés pour tromper le commissaire
au compte. Cela a permis ainsi de gonfler le résultat d’exploitation.

De plus la direction a développé une culture propice à la préservation du résultat. Les

discours tenus étaient orientés vers la valorisation du titre. Il aurait été rapporté les propos
suivants de la part du dirigeant : « il nous faut conserver une image positive confortée par
résultat positif et tous les moyens doivent être mis en œuvre pour y parvenir, de quelque
nature qu’ils soient ». Les auditeurs internes avaient également pour mission de ne pas faire
de recommandations qui iraient à l’encontre de cette volonté affichée de croissance, de ne
pas empêcher les opérationnels de travailler et d’accepter parfois de fermer les yeux sur
quelques entorses comptables afin de ne pas perturber le marché et les actionnaires.

Quel(s) problème(s) se posent pour les auditeurs internes ? En quoi les auditeurs internes
risquent-ils d’enfreindre les Normes professionnelles de l’IIA ?
Quelle aurait dû être leur réaction ? De quel(s) dispositif(s) disposaient-ils pour éviter de se
trouver malgré eux impliqués dans ces pratiques frauduleuses ?
Le responsable de l’audit interne perçoit par ailleurs des stocks-option. Cela peut-il nuire à
son indépendance ? Existe-t-il un conflit lorsque les auditeurs internes reçoivent des stock-
options e des primes liées aux performances financières ?

1
Si le cas emprunte des faits tirés de la réalité, il a été totalement remanié et imaginé pour
les besoins de l’exercice.

8-50
6-50
ÉTUDE DE CAS

CAS N°2 Actuellement, plusieurs affaires de fraude sont instruites par les tribunaux et les enquêtes
a posteriori se terminent. Vous en avez appris beaucoup sur l’identification du risque de
fraude, sur les contrôles qui réduisent ce risque, ainsi que sur l’importance de la déontolo-
gie et de la conformité au sein de l’organisation. Vous devez à présent être en mesure de
comprendre que l’incidence de la fraude est plus courante qu’on ne le pensait auparavant,
et qu’il existe de nombreuses techniques, méthodes et motivations pour commettre une
fraude. Vous devez également avoir compris que la découverte d’une fraude trahit peut-
être d’autres problèmes (par exemple, lorsque la direction ne fait pas preuve d’intégrité,
un retraitement des états financiers peut indiquer que les commissaires aux comptes et/ou
l’auditeur interne ont réussi à déjouer une tentative de fraude). C’est pourquoi la réglemen-
tation a été considérablement renforcée, comme cela s’est déjà produit lors de périodes
similaires de l’histoire.

Votre projet de groupe est stratégique et traite de la manière dont les auditeurs internes
peuvent aborder les cas de fraude, ainsi que des conséquences de certaines lois actuel-
les, comme le Sarbanes-Oxley Act de 2002 aux États-Unis ou la LSF de 2003 en France.
La première partie de cette étude de cas consiste à citer trois cas similaires. Votre tâche
consiste à rechercher la cause à l’origine de chaque fraude et à identifier les techniques qui
auraient pu en empêcher la survenue, ou au moins la déceler rapidement.

Faites une présentation PowerPoint en groupe. Cette présentation comportera deux ou

trois diapositives pour chaque cas de fraude. Elles résumeront l’affaire, les pertes approxi-
matives essuyées, les parties impliquées dans la fraude, la cause à l’origine de la fraude et
les mesures correctives qui ont été prises depuis. Veuillez aussi indiquer si les réglementa-
tions actuelles suffiront à éviter que des fraudes analogues ne soient perpétrées à l’avenir.
De plus, décrivez les mesures correctives que votre groupe recommanderait pour préve-
nir ou détecter rapidement ce type de fraude. Sur une diapositive distincte, comparez les
causes des trois affaires que vous étudiez. Enfin, sur la dernière diapositive, résumez ce que
votre groupe a appris en réalisant cette étude de cas.

2-51
6-51
8-51
 ÉTUDE DE CAS

CAS N°3 Cette étude de cas a pour objectif de vous familiariser avec la fonctionnalité Loi de Benford
des logiciels ACL et IDEA. Si vous ne l’avez pas encore fait, installez le logiciel sur votre ordi-
nateur à partir du CD joint au présent manuel.
A. Ouvrez le logiciel ACL. Localisez la description de la « commande de Benford » dans
l’aide. Répondez aux questions suivantes :
1. Que fait la commande de Benford ?
2. Quelle mise en garde est donnée concernant l’utilisation d’outils d’analyse numé-
riques tels que la commande de Benford ?
3. Comment la commande de Benford est-elle activée ?
B. Ouvrez le logiciel IDEA. Localisez la description de la « Loi de Benford » dans l’aide.
Répondez aux questions suivantes :
1. L’analyse de la Loi de Benford est la plus efficace sur les données présentant
certaines caractéristiques. Quelles sont ces caractéristiques ?
2. Identifiez et décrivez brièvement les sept étapes servant à effectuer une analyse
selon la Loi de Benford.
3. Quels sont les champs contenus dans la base de données créée lorsqu’une
analyse selon la Loi de Benford est effectuée ?
C. Localisez la description des « Investigations portant sur des fraudes » dans l’aide.
Cliquez sur « Fraudes relatives à la paye ». Répondez aux questions suivantes :
1. Quels types de fraude sont décrits ?
2. Comment la plupart des fraudes à la paye sont-elles décelées ?
3. Décrivez les tests portant sur les fraudes à la paye qui peuvent être effectués à
l’aide d’IDEA.

8-52
6-52
RÉFÉRENCES
1
ACFE, Occupation Fraud : a study of the impact of an Economic Recession, 2009 (téléchargeable en
anglais sur www.acfe.com)
2
PWC, Enquête sur la fraude dans les entreprises en France, en Europe et dans le monde, Ed. 2005
(téléchargeable en Français et en Anglais sur www.pwc.fr
PWC, Enquête 2009 sur la fraude dans les entreprises en temps de crise, Nov. 2004, p 24
3
Managing the Business Risk of Fraud: A Practical Guide, The Institute of Internal Auditors, The
American Institute of Certified Public Accountants, and the Association of Certified Fraud Exami-
ners. Téléchargeable sur www.theiia.org, p. 5.
4
Ibid, p. 6.
5
Ibid.
6
Ibid, p. 10.
7
Ibid, p. 11.
8
Ibid, p. 14.
9
Ibid, p. 26.
10
Ibid, p. 28.
11
Ibid, p. 30.
12
Ibid, p. 33.
11
Ibid, p. 39.
13
Ibid, p. 40.
14
Ibid, p. 41.
15
Ballou, B., D.L. Heitger, and C.L. Landes, « The Future of Corporate Sustainability Reporting »,
Journal of Accountancy, (Décembre 2006).
16
Cohen, I., and M. Felsen, « Social Change and Crime Rate Trends: A Routine Activity Approach »,
American Sociological Review, Vol. 44, (1979), pp. 588-608.
Pons N et Vidaux F, « Audit et Fraude », IFACI, Ponis , 2004
Gallet U, " Halte aux fraudes ", Guide pur les auditeurs et les dirigeants, Dunod, 2010 ,224 p
Pons N et Bearshar V, « Arnaques - le manuel antifraude », CNRS Edition, 2009
Sites internet : www.theiia.org ( Institute of Internal Auditor)
www.ogl-audit.com
www.transparence-france.org
NOTES
NOTES