Par cet article, nous souhaiterions lancer une série consacrée aux contrôles les plus importants dans les domaines clés de la finance et de la comptabilité d’une organisation moderne :

• De la commande au paiement (Procure to Pay, P2P/PtP),
• De l’enregistrement au reporting (Record to Report, R2R/RtR),
• De la commande à l’encaissement (Order to Cash, O2C/OtC),
• ainsi que d’autres, comme la paie et les déplacements professionnels.

Souvent, ces processus sont en partie pris en charge par des sociétés d’externalisation hautement spécialisées ou par des centres de services partagés (shared service centres). Déléguer ce type de processus permet à chaque entreprise de se concentrer sur son activité principale (son core business). En déléguant un processus, nous déléguons également les contrôles qui lui sont associés.

Nous commençons notre série par le Procure to Pay, qui relève fréquemment de l’externalisation. L’ensemble du processus s’étend du moment où quelqu’un dans l’entreprise dit « j’ai besoin de quelque chose » jusqu’au moment où le fournisseur reçoit son paiement.

Les 5 grandes étapes du cycle P2P

1. Demande d’achat – un collaborateur exprime un besoin d’achat de biens ou de services
2. Validation et commande – la commande est approuvée par les responsables et envoyée au fournisseur
3. Réception des biens ou des services – l’entreprise reçoit les biens ou services commandés et en vérifie la conformité avec la commande
4. Réception de la facture – le fournisseur émet une facture, qui est rapprochée de la commande et de la réception
5. Paiement – la facture approuvée est réglée à l’échéance convenue

Les 5 contrôles internes les plus importants dans le domaine P2P

Il est difficile de désigner sans équivoque les 5 contrôles internes les plus importants pour le domaine P2P, mais, pour les besoins de cet article et en m’appuyant sur mon expérience, j’ai retenu les 5 domaines de contrôle suivants :

1. Contrôle des accès et séparation des tâches (SOD)

En numéro 1, sans conteste : le contrôle des accès et la séparation des tâches (SOD) – même lorsque notre P2P est en désordre, ou constitue une réalité que nous ne maîtrisons pas encore, nous sommes exposés à de nombreux risques, des factures fictives aux paiements non autorisés, en passant par la collusion entre collaborateurs ; je recommande d’assurer une répartition de base des tâches.

Le principe clé est le suivant : aucun collaborateur ne devrait avoir accès à l’ensemble du processus d’achat et de paiement. Les responsabilités devraient être réparties entre différents collaborateurs et revues au moins une fois par trimestre.

Le contrôle des habilitations système (par exemple dans les systèmes SAP ou Oracle) repose sur :

• l’attribution de rôles cohérents avec la fonction du collaborateur ;
• le blocage des rôles dits conflictuels (par exemple le rôle « création de fournisseur » associé à « exécution du paiement ») ;
• les revues d’habilitations (access reviews) – la vérification périodique de qui a accès à quoi.

Le triangle des accès en particulier – achats, émission de la facture, paiement – constitue une combinaison risquée qui devrait être séparée dans toute entreprise.

Pour en savoir plus sur la SOD, voir : Nouveaux risques, nouvelle matrice SoD – comment S/4HANA change-t-il l’approche de la SoD ? | LinkedIn

2. Modifications des données de base fournisseur (Vendor Master Data)

Une attention particulière doit être portée aux modifications des données de base fournisseur (Vendor Master Data), des coordonnées bancaires, ainsi qu’à la vérification initiale d’un fournisseur (création d’un nouveau fournisseur dans le système).

Dans un monde où nous sommes quotidiennement la cible de tentatives de fraude visant nos comptes bancaires et d’escroqueries au paiement, une attention et un contrôle particuliers doivent être mis en place pour les modifications de comptes bancaires des fournisseurs existants et pour la vérification de la création de nouveaux fournisseurs dans la base, afin d’éviter les fraudes liées aux fournisseurs fictifs et aux fournisseurs malhonnêtes.

3. Vérification des factures sans commande (PO) et autorisation de l’achat

La vérification des factures sans commande (PO – Purchase Order) et de l’autorisation de ce type d’achat.

En l’absence de commande, la facture ne pourra malheureusement pas faire partie du contrôle suivant, celui des trois documents « clés » ; de telles factures doivent donc être examinées de près afin d’en rechercher la cause et d’obtenir une validation.

Dans le cadre de notre contrôle, en nous appuyant sur la liste des factures sans commande, nous devrions rechercher les causes de ces factures, par exemple :

• le fournisseur a émis la facture avant la commande ;
• les achats étaient inférieurs au seuil exigeant une commande ;
• un achat en urgence.

Il existe certains signaux d’alerte indiquant que l’absence de commande résultait d’un contournement délibéré du processus.

En l’absence de commande, la facture devrait suivre une voie de validation alternative.

4. Vérification des trois documents « clés » (Three-Way Match)

La vérification des trois documents « clés » (Three-Way Match) – avant de payer une commande, nous devons vérifier trois éléments : commande = réception des biens = facture (PO – Purchase Order = GR – Goods Receipt = INV – Invoice).

Les trois éléments doivent concorder entre eux (en cas d’écart, celui-ci doit rester dans le seuil de tolérance convenu – en valeur ou en pourcentage, par exemple 10 €, 0,5 %) pour que le paiement puisse être approuvé. En cas d’écarts supérieurs aux seuils de tolérance fixés, le paiement est bloqué jusqu’à leur clarification et leur validation.

5. Validation des paiements

La validation des paiements – la validation des paiements devrait reposer sur une hiérarchie prédéfinie. Le principe est clair : plus la valeur du paiement ou du virement est élevée, plus le niveau hiérarchique de la personne au sein de l’organisation requis pour valider le paiement doit être élevé.

Surveillance automatisée et continue des contrôles (CCM)

Dans les organisations matures, les contrôles ne reposent souvent plus uniquement sur des vérifications manuelles ou des revues périodiques (par exemple mensuelles), mais sur une surveillance automatisée et continue des contrôles (Continuous Controls Monitoring – CCM). Le CCM surveille les contrôles de manière automatique et continue : il veille par exemple aux principaux conflits de rôles SOD, détecte les dépassements des seuils de tolérance du Three-Way Match et des seuils de validation des paiements, et signale les modifications des coordonnées bancaires des fournisseurs ainsi que les factures sans commande. Ces outils reposent le plus souvent sur un système dédié – voir davantage dans l’article : Surveillance continue des contrôles (CCM) | LinkedIn

La liste ci-dessus ne constitue que le début de la liste des contrôles internes et le socle du P2P auxquels les organisations devraient s’attaquer en établissant leur propre liste de contrôles. Ce processus, bien que souvent délégué à des centres de services partagés, demeure l’un des domaines les plus exposés aux abus dans une organisation : fournisseurs fictifs, paiements non autorisés, tentatives de contournement du processus d’achat.

Et la suite du cycle ?

Cet article n’est que le début de notre parcours à travers les processus clés de la finance et de la comptabilité. Dans les prochains articles, nous examinerons de plus près :

• Record to Report (R2R) – comment contrôler le processus d’enregistrement et de reporting financier ;
• Order to Cash (O2C) – quels risques guettent du côté des ventes et des créances ;
• le processus de paie et les déplacements professionnels – des domaines tout aussi vulnérables aux abus, bien que souvent négligés dans les discussions sur le contrôle interne ;
• ainsi que d’autres processus.

Nous vous invitons à suivre les prochaines parties de la série – ensemble, nous découvrirons quels contrôles essentiels nous devons avoir dans notre organisation.