L’ANALYSE DE DONNEES, UN MOYEN INCOUTOURNABLE

 « Quand on cherche des fraudes, on cherche des « cas particuliers », des opérations en infraction avec les procédures. Les méthodes classiques de tests par échantillon permettent d’avoir une vision globale du processus mais un échantillon réduit ne permet pas de tomber par hasard sur les 2 ou 3 % d’opérations « atypiques » car risquant d’être frauduleuses ». Ce constat établit par Antoinette Gutierrez-Crespin49, spécialiste des questions de fraudes et associé chez EY, montre bien les limites de l’audit légal dans la question de la détection de la fraude en entreprise. 

L’UTILISATION DU FEC, UNE REELLE OPPORTUNITE…

 L’acronyme FEC désigne le Fichier des Ecritures Comptables, il contient la totalité des opérations enregistrées par le système comptable de l’entreprise. L’article L.47 A du livre des procédures fiscales impose à toutes les entités « ayant l’obligation de tenir et de présenter des documents comptables, et tenant leur comptabilité sur informatique » d’établir un FEC, sous peine de sanctions financières. Néanmoins, la production de ce dernier répond à une obligation fiscale et n’est exigible qu’au moment de ce contrôle, ainsi le CAC ne peut exiger de se le faire communiquer. Il peut cependant s’assurer de la capacité de l’entreprise à produire le FEC au moment de l’intervention. Véritable plus-value pour les auditeurs, son exploitation ouvre la voie à une revue exhaustive et systématique sur les périmètres souhaités afin de vérifier les assertions d’audit. A condition qu’il soit conforme et édité dans un format standard, l’avantage du FEC est qu’il est importable sur les logiciels d’analyse de données et exploitable directement. Il est ainsi 49 Les Echos Business, le 08/01/2016. Interview d’Antoinette Gutierrez-Crespin et Olivier Mesnard sur la détection des fraudes en entreprise via l’analyse de données. possible de reconstituer la balance générale, les balances auxiliaires ainsi que les journaux, le détail des stocks et des écritures d’inventaire, la liasse fiscale ou encore les états de rapprochement de TVA. Il est également possible de mettre en valeur des anomalies de procédures, en filtrant la recherche sur des éventuelles écritures passées le week-end ou les jours fériés, identifier des ruptures de séquences au niveau de la facturation. Mais aussi rechercher des doublons de factures ou de paiement par exemple. Néanmoins, le FEC n’est pas toujours utilisé par les commissaires aux comptes, son éventuelle utilisation est décidée lors de la prise de connaissance de l’entité et de son environnement, en fonction des conclusions retenues lors de l’analyse des risques d’anomalies significatives de la société auditée. Loin d’être démocratisé, l’exploitation du FEC suggère pour les cabinets d’audit la mise à disposition de moyens techniques relativement important, que tous les cabinets ne peuvent pas supporter. En effet, devant l’importance des fichiers générés par le FEC, des ordinateurs sont souvent spécifiquement dédiés à son analyse. De plus, ce travail d’enquête et de vérification nécessite également l’achat de logiciel d’analyse de données spécialement conçus pour ce type de problématiques. Devant sa faculté à aider considérablement le commissaire aux comptes dans travail, il est légitime de s’intéresser sur sa prochaine présence dans une nouvelle NEP, rendant obligatoire son exploitation. 

QUI VA DE PAIR AVEC L’ANALYSE DE DONNEES

 Enjeu incontournable du moment et pour les années à venir, la maîtrise des Data et sa valorisation révolutionne le monde de l’entreprise, et avec lui la profession de commissaire aux comptes. En effet, en raison de contraintes de temps de plus en plus fortes et confronté à des systèmes d’information toujours plus complexes, les auditeurs ont recours à des techniques complémentaires. Depuis quelques années, on remarque une augmentation de l’utilisation des logiciels d’analyse de données, véritable valeur ajoutée pour leurs travaux. C’est en effet dans ce sens que va le vice-président délégué de la CRCC de Paris, Frédéric Burband50 dans une interview datant d’avril 2016. « Les logiciels d’analyse des données vont permettre d’accroitre la pertinence du fonds et de la forme des travaux du commissaire aux 50 Le Monde du Chiffre, le 25/04/2016. Interview de Frédéric Burband sur l’utilisation des technologies dans la prévention des fraudes en entreprise comptes ». Il souligne d’une part la possibilité pour le commissaire aux comptes d’approfondir ses travaux grâce à ces outils, de suivre plus profondément la piste d’audit. Comme développé précédemment, il permet également de procéder à des contrôles exhaustifs, évitant de passer à côté d’anomalies et prenant en compte les petites incohérences car ce sont parfois ces dernières, qui de façon répétée aboutissent à des fraudes à grande à échelle. Plusieurs éditeurs de logiciels d’analyse de données inclus dans leurs programmes des outils spécifiquement dédiées à la recherche de la fraude. C’est le cas par exemple du logiciel IDEA51 qui prévoit des analyses répétitives, des scripts réalisés de façon systématique ne nécessitant pas d’intervention humaine et un traitement généralisé sur un très grand nombre d’information. Ainsi, ces logiciels vont pouvoir proposer plusieurs fonctions comme, le croisement de différentes tables de données, la recherche de transactions suspectes, la vérification des seuils d’autorisation ou encore les ruptures de séquences. De plus, des efforts importants sont fait au niveau de la formalisation des travaux afin que le CAC puisse documenter de façon la plus fidèle possible la nature des diligences effectuées pour en rendre compte dans le dossier, servant de preuve en cas de contrôle par le H3C. Ces logiciels comprennent également de nombreux tests spécialement dédiés à la détection de la fraude. C’est le cas de la fameuse loi de Benford 52 , très souvent utilisée dans ce genre de problématique. Cette loi mathématique est une devenue une technique utilisée dans le cadre d’analyse de données. Elle fait référence à une fréquence de distribution statistique démontrée et observée au sein de nombreuses bases de données. Concrètement, il s’agit de renseigner la fréquence d’apparition du premier chiffre significatif d’un nombre, autrement dit le chiffre le plus à gauche, autre que zéro. A titre d’illustration, le premier chiffre significatif de 200 437, 31 est 2. Il a donc été démontré que la fréquence d’apparition la plus grande est celle du chiffre 1 avec 30,10 % et la plus petite est celle du chiffre 9 avec une fréquence d’apparition de l’ordre de 4,58% (Cf. fréquence d’apparition des chiffres significatifs ci-dessous). La méthode consiste donc à procéder à des calculs de fréquence d’apparition des chiffres significatifs au sein d’une base de données, puis ensuite de comparer les conclusions obtenues 51 IDEA est un logiciel d’analyse de données édité par la société Caseware Découverte en 1881, la loi de Benford est aussi appelée « loi des nombres anormaux » avec le référentiel que constitue la loi de Benford. L’idée communément admise est qu’un fraudeur modifiera cette répartition « naturelle ». Des écarts importants peuvent éventuellement signifier la présence de fraudes ou d’erreurs ayant faussé dans la série statistique. Graphique symbolisant la Loi de Benford Devant le recours à ces techniques de contrôle automatisées, l’humain serait-il en passe d’être remplacé ? En s’intéressant de près à ces moyens de détection, on remarque qu’il possède toujours un rôle prépondérant dans la mesure où les travaux doivent être orientés, les analyses de données axées sur des points particuliers. Des compétences techniques sont également nécessaires pour manipuler le logiciel. De plus, une fois réalisée ces analyses doivent être creusées, étayées, à l’aide notamment d’entretiens avec les acteurs de l’entreprise. L’expérience et le ressentie de l’auditeur reste aussi indispensable. Par exemple, la loi de Benford ne peut en aucune façon se suffire à elle-même dans la mesure où elle va mettre simplement en valeur de potentielles incohérences au sein d’une série statistique. De plus, l’inconvénient majeur de cette technique réside dans le fait qu’elle prend en compte uniquement le premier chiffre significatif, conséquence de cela, elle place sur le même plan des nombres pouvant avoir des valeurs très différentes (comme 2 et 2 millions par exemple). Encouragé fortement par la Compagnie Nationale des Commissaires aux Comptes, le recours aux logiciels d’analyse de données est un moyen efficace de mener des diligences pour détecter les fraudes de façon rapide et systématique. Alimenté par le FEC, ils permettent de passer en revue de façon complète et exhaustive, l’ensemble des opérations traitées par l’entreprise au cours de l’année. Néanmoins, devant les problématiques de temps dont souffrent les commissaires aux comptes, la nécessité de réaliser des travaux encore plus poussés peut parfois s’imposer. 

UN AUDIT CENTRE SUR LA DETECTION DE LA FRAUDE EN ENTREPRISE

DES FINALITES DIFFERENTES

 Spécialiste des problématiques de délinquance financière, Mohammed Nassiri observe depuis la crise de 2008, une recrudescence des actes frauduleux en entreprise entrainant dans le même temps, un développement des audits anti-fraude, technique de détection venant des Etats-Unis. L’objectif étant la recherche de mécanismes frauduleux dans l’entreprise, le plus souvent subodoré par la direction. Différents intervenants peuvent être amenés à réaliser un audit de fraude, à commencer par le commissaire aux comptes lui- même. A condition seulement de respecter le code de déontologie de la profession statuant sur les exigences de séparation entre les missions légales et contractuelles, mais il s’agit le plus souvent de consultants spécialisés qui se chargent de cette mission. En effet, la première étape relative à l’acceptation de la mission va être de veiller à l’indépendance professionnelle des intervenants. D’où la nécessité de distinguer ces deux types de missions. Très souvent victime d’abus de langage, l’audit légal doit être différencié de l’audit de fraude et ce pour plusieurs aspects. D’une part au niveau de la durée de la mission, l’audit des comptes respecte un calendrier précis stipulant des interventions annuelles pendant l’ensemble de la durée de leur mandat de six ans. L’audit de fraude est quant à elle une mission ponctuelle et n’a pas de temporalité précise, dans la mesure où elle n’a pas vocation à Mohammed Nassiri. L’audit de fraude et la délinquance financière. Le guide pratique des auditeurs et des entreprises. Emerit Publishing. Extrait d’une interview réalisée par Cécile Desjardins pour les Echos Business (08/01/2013)4 passer en revue l’ensemble des opérations de l’année écoulée comme l’a la mission de commissariat aux comptes. Son périmètre d’analyse est ainsi davantage ciblé. De plus, au niveau des relations avec les interlocuteurs de l’entreprise, on observe de fortes disparités. En effet, les auditeurs financiers vont intervenir dans un cadre plus feutré, sans forcément avoir à manifester des doutes sur les explications fournies par les interlocuteurs au sein de l’entité auditée. A contrario, l’audit de fraude va parfois donner lieu à des situations conflictuelles, des moments de tensions, de façon à déstabiliser les fraudeurs. Cela est ainsi la conséquence de différences liées aux méthodes utilisées, où pour l’audit légal, on interviendra dans un cadre plus général, en menant des contrôles sur des échantillons plus ou moins exhaustifs, de façon à valider des assertions afin d’en conclure sur l’absence d’anomalies significatives dans les comptes. De son côté, l’audit de fraude va consister en l’analyse de points précis, étayer par des preuves et conclus le cas échéant par des sanctions. Néanmoins, les deux missions peuvent s’avérer parfois complémentaires. En effet, dans le cadre de la permanence de sa mission de certification des comptes, le commissaire aux comptes peut être amené à réaliser ce type d’audit. C’est dans ce cadre qu’un interlocuteur interrogé dans le cadre de nos entretiens est intervenu, il y a quelques années. Répondant à une volonté du PDG de l’entreprise auditée qui avait de forts soupçons de malversations dans son organisation, ils avaient mené une série de diligences de manière plus poussées que dans le cadre de la mission légale. A titre d’illustration, leurs contrôles portaient sur la TVA en s’assurant par exemple de l’absence de rupture de séquence dans la facturation, de la cohérence des taux recalculés. Mais aussi en circularisant les tiers à la transaction, c’est-à-dire à la pièce comptable et en passant en revue les notes de frais des collaborateurs de l’entreprise de façon plus détaillée. 

DES MOYENS DISTINCTS

 La principale différence entre les deux missions réside dans l’exhaustivité des diligences effectuées. Néanmoins, cela est à nuancer. En effet, lors de la mission d’audit des comptes, cela va dépendre du degré de risque mesuré. A titre d’exemple, en cas d’absence de faiblesses relevées dans le contrôle interne de l’entreprise, les diligences seront réduites à leur minimum, a contrario elles seront démultipliéesn. A l’instar du travail du commissaire aux comptes dans son analyse du contrôle interne, l’audit de fraude va débuter par une prise de connaissance de l’environnement dans lequel évolue l’entreprise. Dans cette optique, le professionnel va mettre en parallèle les risques de fraudes qu’il aura au préalable identifiés avec les mesures prévues pour les contrer. L’objectif est ainsi d’identifier des zones de non couverture et de les cartographier. Tout cela en prenant en compte les spécificités de l’entité, son secteur d’activité, sa taille ainsi que l’ensemble des caractéristiques qui lui sont propres. Entre alors en compte des choix stratégiques pour l’entreprise, comme le souligne Mohammed Nassiri, « elle peut décider d’accepter le risque dans le cas où sa prévention se révèle être plus couteuse que sa perte potentielle ». Tout l’enjeu est donc de bien mesurer ses risques et d’en évaluer son coût potentiel. En clair, pour chaque risque significatif repéré, il est nécessaire de calculer un rapport coût/avantage du dispositif de prévention envisagé. Celui prendra en compte le coût financier en cas de réalisation du risque, pondéré bien évidemment par sa probabilité de matérialisation, en incluant les coûts de réalisation et de contrôle. Néanmoins, d’autres aspects extra-financiers sont à prendre en considération comme le précise Jean-Marc Lefort54, associé chez KPMG, pour qui « il ne faut pas négliger les effets potentiellement dévastateurs d’une fraude de grande ampleur pour une entreprise, notamment en termes d’images ». En effet, soucieuses de préserver leurs notoriétés que ce soit en interne, auprès des salariés et surtout en externe, avec les parties prenantes, les organisations décident dans la plupart des cas de ne pas poursuivre en justice les auteurs de stratagèmes frauduleux mais ont recours simplement à un licenciement et à une injonction à rembourser les sommes détournées. Véritable travail d’enquêteur, le professionnel est souvent diligenté par la direction de l’entreprise qui soupçonne la présence de fraudes au sein de son organisation. Son travail va donc consister à confirmer ou à infirmer le cas échéant ces dites allégations, en accumulant des preuves et en reconstituant les éventuels processus frauduleux mis en place. Il s’agit également de veiller à ce que les fraudes ne se reproduisent pas. Ce sont donc bien deux objectifs qui incombent à ces enquêteurs, l’un curatif et l’autre préventif.