Le contrôle interne est l’ensemble des règles et des contrôles qui permettent à une entreprise de maîtriser ses opérations, de fiabiliser ses chiffres et de respecter ses obligations.
Il ne se décrète pas par un manuel de procédures : il part des risques de chaque processus, achats, ventes, paie, trésorerie et stocks, puis retient quelques contrôles clés, exécutés et prouvés.
La séparation des tâches, la validation des paiements et les rapprochements mensuels en sont le socle, y compris dans une PME de vingt personnes.
La responsabilité appartient à la direction : ni l’expert-comptable ni le commissaire aux comptes ne le font à sa place.
Chez Extech Finance, la revue des processus et du contrôle interne est une mission de mise en place à 900 € HT par jour, au forfait ferme après cadrage, menée avec la méthode de l’audit légal.
Pour qui
Dirigeants de PME et d’ETI de 2 à 100 M€ de chiffre d’affaires, DAF et directeurs généraux de groupes, fondateurs dont l’entreprise a grandi plus vite que ses procédures.
Quand
Première nomination d’un commissaire aux comptes, fraude ou erreur découverte, croissance rapide, changement d’ERP, acquisition, levée de fonds ou départ d’un responsable comptable.
Ce que vous obtenez
Une cartographie des risques, une matrice des contrôles clés par processus, des fiches d’une page, un plan d’action daté et des indicateurs intégrés à votre tableau de bord.
Qu’est-ce que le contrôle interne en entreprise ?
Le contrôle interne en entreprise est l’organisation qui empêche une erreur ou une fraude significative de passer inaperçue. Il combine des règles de délégation, des validations, des rapprochements, des droits d’accès et des revues, exécutés par les équipes au quotidien et supervisés par la direction.
Le référentiel COSO le définit comme « un processus mis en œuvre par le conseil, le management et les collaborateurs d’une entité, destiné à fournir une assurance raisonnable » sur la réalisation des objectifs liés aux opérations, au reporting et à la conformité (synthèse COSO publiée par l’IFACI).
Deux mots comptent dans cette définition. « Processus » : le contrôle interne vit dans les opérations, pas dans un classeur. « Assurance raisonnable » : aucun dispositif n’élimine tout risque, et le coût d’un contrôle doit rester proportionné au risque qu’il couvre.
Le contrôle de gestion mesure la performance et explique les écarts au budget. Le contrôle interne sécurise les opérations et la fiabilité des chiffres. L’audit, interne ou légal, évalue l’un et l’autre de façon indépendante. Les trois se nourrissent, mais ne se confondent pas.
À quoi sert le contrôle interne : les objectifs
Un contrôle interne entreprise utile poursuit quatre objectifs concrets, que l’on retrouve dans tous les référentiels sous des formulations proches.
- Protéger les actifs : trésorerie, stocks, immobilisations, données, contre la perte, le vol et la fraude.
- Fiabiliser l’information financière : des comptes, un budget et un tableau de bord financier dont les chiffres sont justes, complets et à temps.
- Respecter les lois et les règlements : fiscalité, droit social, délais de paiement, obligations de vigilance, lutte contre la corruption.
- Rendre les opérations efficaces : appliquer les décisions de la direction, éviter les doublons, les ressaisies et les blocages.
Le premier bénéfice, souvent sous-estimé, est la confiance. Un banquier, un investisseur ou un repreneur regarde la qualité des chiffres avant leur niveau. Des données fiables sont la condition de tout pilotage : c’est le principe de notre méthode, fiabiliser avant de piloter.
Contrôle interne : ce que la loi impose selon la taille
Pour une PME non cotée, aucun texte n’impose un dispositif de contrôle interne formalisé. Plusieurs obligations légales le supposent pourtant, et leur non-respect se découvre précisément lors d’un contrôle fiscal, d’un audit ou d’une due diligence.
Les obligations qui s’appliquent à toutes les entreprises
| Obligation | Ce qu’elle exige | Contrôle interne correspondant | Source |
|---|---|---|---|
| Comptabilité et inventaire | Enregistrement chronologique des mouvements, inventaire au moins une fois tous les douze mois | Clôture mensuelle, inventaire physique encadré | Code de commerce, art. L123-12 |
| Conservation | Livres et pièces justificatives conservés dix ans à compter de la clôture | Plan d’archivage, dématérialisation contrôlée | Service-Public |
| Piste d’audit fiable | Contrôles documentés reliant chaque facture à l’opération réelle | Rapprochement commande, livraison, facture | BOFiP |
| Vigilance sous-traitants | Attestation de vigilance dès 5 000 € HT, renouvelée tous les six mois | Contrôle à la création et revue semestrielle des fournisseurs | Service-Public |
| Délais de paiement | 60 jours après la facture ou 45 jours fin de mois au maximum | Suivi des échéances fournisseurs et clients | Service-Public |
Les obligations renforcées selon la taille
Au-delà de deux des trois seuils suivants, 5 M€ de total de bilan, 10 M€ de chiffre d’affaires et 50 salariés, une société doit nommer un commissaire aux comptes ; les seuils sont abaissés pour les sociétés contrôlées (Entreprendre.Service-Public, Bpifrance Création). Le premier audit révèle souvent les faiblesses du contrôle interne.
Les sociétés d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 M€ doivent déployer un programme anticorruption comprenant des contrôles comptables à trois niveaux, décrits par le guide de l’Agence française anticorruption publié en avril 2022. Les sociétés cotées appliquent le cadre de référence de l’AMF, applicable depuis le 22 juillet 2010.
La loi n° 2026-534 du 25 juin 2026 relative à la lutte contre la fraude sociale et fiscale allonge à dix ans la durée de conservation des documents fiscaux dont le délai expire après le 1er janvier 2027 (Entreprendre.Service-Public). Vérifiez que votre plan d’archivage et vos contrats d’outils dématérialisés suivent.
Les référentiels du contrôle interne : COSO, AMF, NEP
Trois référentiels structurent le contrôle interne entreprise en France. Ils parlent la même langue : une PME qui suit l’un d’eux sera comprise par son commissaire aux comptes, sa banque ou un acquéreur.
Le COSO : le langage commun
Le COSO, mis à jour en mai 2013, organise le contrôle interne en cinq composantes : environnement de contrôle, évaluation des risques, activités de contrôle, information et communication, pilotage. Il les décline en dix-sept principes (IFACI).
Le cadre de référence de l’AMF
Conçu pour les sociétés cotées, il est assorti d’un guide de mise en œuvre pour les valeurs moyennes et petites. C’est une base pragmatique pour une ETI non cotée qui prépare une levée de fonds ou une introduction en bourse.
La NEP 315 : la grille de lecture de l’auditeur
La NEP 315 révisée, homologuée par arrêté du 13 novembre 2024, impose au commissaire aux comptes de comprendre le contrôle interne de l’entité selon cinq composantes intégrées et d’en évaluer la conception (H2A, FAQ de la CNCC). Connaître cette grille, c’est savoir ce que l’auditeur regardera.
| Composante | Question à se poser | Preuve concrète en PME |
|---|---|---|
| Environnement de contrôle | Les règles sont-elles écrites et respectées par la direction elle-même ? | Délégations de pouvoirs, seuils de signature, charte |
| Évaluation des risques | Savons-nous où nous sommes exposés ? | Cartographie des risques revue chaque année |
| Activités de contrôle | Quels contrôles arrêtent les erreurs et les fraudes ? | Matrice des contrôles clés par processus |
| Information et communication | Les bonnes données arrivent-elles aux bonnes personnes ? | Clôture mensuelle, reporting, tableau de bord |
| Pilotage | Vérifions-nous que les contrôles fonctionnent ? | Tests périodiques, suivi du plan d’action |
Qui fait le contrôle interne dans l’entreprise ?
Le modèle des trois lignes de l’IIA, mis à jour en 2020 et présenté par l’IFACI, répartit les rôles. La première ligne, ce sont les opérationnels et les responsables de processus : ils exécutent les contrôles. La deuxième, ce sont les fonctions de contrôle interne, de conformité et de gestion des risques : elles fixent le cadre et vérifient. La troisième, c’est l’audit interne, qui évalue l’ensemble en toute indépendance.
Dans une PME, ces trois lignes tiennent souvent dans trois personnes : le comptable ou l’assistante qui exécute, le DAF à temps partagé ou le responsable financier qui organise et revoit, et le dirigeant qui arbitre. L’essentiel est que la personne qui contrôle ne soit pas celle qui exécute.
L’expert-comptable et le commissaire aux comptes ne font partie d’aucune ligne : ce sont des intervenants extérieurs, chacun dans son rôle réglementé.
Cartographie des risques : le point de départ du contrôle interne
Un contrôle interne entreprise commence toujours par les risques. Sans cartographie, on écrit des procédures pour ce qui fonctionne déjà et on laisse sans protection ce qui expose vraiment l’entreprise.
Identifier les risques par processus
Pour chaque processus, on se pose quatre questions : qu’est-ce qui peut être perdu, volé ou détourné ? Qu’est-ce qui peut être mal enregistré ou oublié ? Quelle obligation peut ne pas être respectée ? Qu’est-ce qui peut bloquer l’activité ? Les réponses viennent d’entretiens, de l’examen des pièces et de l’analyse des données comptables.
Noter et hiérarchiser
Chaque risque reçoit une note de probabilité et d’impact, de 1 à 4 par exemple. Le produit des deux classe les risques. Seuls les risques notés haut méritent un contrôle clé ; les autres se traitent par une revue périodique ou sont acceptés en connaissance de cause, et cette acceptation est écrite.
Vous ne savez pas où votre entreprise est exposée ? Une revue des processus cartographie les risques, teste les contrôles existants et livre un plan d’action daté, avec la méthode de l’audit légal.
Parler d’une revue des processusLes processus clés du contrôle interne entreprise
Cinq processus concentrent l’essentiel des risques financiers d’une PME. Les voici, avec pour chacun les risques typiques et les contrôles clés que nous retrouvons dans les dispositifs qui fonctionnent.
Achats et fournisseurs
Risques
Fournisseur fictif, modification frauduleuse de coordonnées bancaires, facture payée deux fois, facture sans commande ni réception, prestataire en situation irrégulière.
Contrôles clés
Création et modification des fournisseurs par une personne distincte de celle qui paie, contre-appel avant tout changement de RIB, rapprochement commande, réception et facture, attestation de vigilance à jour, détection automatique des doublons.
Ventes et clients
Risques
Livraison non facturée, avoir non justifié, remise hors politique commerciale, créance irrécouvrable non dépréciée, encaissement détourné.
Contrôles clés
Rapprochement mensuel des livraisons et des factures, validation des avoirs au-delà d’un seuil, revue de la balance âgée et relances datées, lettrage des encaissements par une personne qui ne facture pas. Le plan de trésorerie utilise directement ces données.
Paie et ressources humaines
Risques
Salarié fictif ou parti encore payé, variable calculé sur des données erronées, notes de frais non justifiées, erreur de paramétrage des cotisations.
Contrôles clés
Rapprochement mensuel des entrées et sorties avec le fichier de paie, revue des variations de masse salariale par rapport au budget, validation des notes de frais par le responsable hiérarchique avec justificatifs, contrôle par sondage des bulletins.
Trésorerie et banques
Risques
Virement frauduleux, pouvoirs bancaires d’anciens salariés, écart bancaire non expliqué, placement ou emprunt non autorisé.
Contrôles clés
Double validation des virements au-delà d’un seuil, revue annuelle des pouvoirs bancaires, rapprochement bancaire mensuel revu par une seconde personne, accès à la banque en ligne strictement nominatifs.
Stocks et production
Risques
Démarque inexpliquée, stock surévalué, articles obsolètes non dépréciés, écart entre stock théorique et physique.
Contrôles clés
Inventaire physique encadré au moins une fois par an, comptages tournants sur les articles de forte valeur, analyse des écarts avant ajustement, revue des rotations lentes. Le coût de revient relève du contrôle de gestion en PME.
Clôture et reporting
Risques
Charges ou produits oubliés, comptes d’attente non soldés, écritures manuelles non justifiées, retards de clôture.
Contrôles clés
Calendrier de clôture écrit, justification de chaque compte de bilan significatif, revue des écritures manuelles, revue analytique des écarts. Un retard de clôture se traite par un renfort comptable intégré aux équipes.
Systèmes d’information
Risques
Droits d’accès excessifs, comptes génériques partagés, paramétrages modifiés sans trace, sauvegardes non testées.
Contrôles clés
Revue semestrielle des droits dans l’ERP et la banque en ligne, comptes nominatifs, journalisation des modifications sensibles, test de restauration annuel.
Séparation des tâches et contrôle interne
La séparation des tâches est le contrôle le plus puissant et le moins coûteux du contrôle interne. Le principe : une même personne ne doit pas pouvoir autoriser une opération, l’enregistrer, détenir l’actif et contrôler le résultat.
| Fonction | Créer un fournisseur | Saisir une facture | Valider le paiement | Rapprocher la banque |
|---|---|---|---|---|
| Comptable fournisseurs | Non | Oui | Non | Non |
| Acheteur | Demande | Non | Non | Non |
| Responsable financier | Oui, après contrôle | Non | Prépare | Revoit |
| Dirigeant | Non | Non | Signe | Non |
| Règle | Aucune personne ne cumule deux colonnes incompatibles sans contrôle compensatoire écrit | |||
Dans une équipe de deux ou trois personnes, ce pilier du contrôle interne entreprise est impossible à tenir intégralement. On compense : revue mensuelle par le dirigeant des modifications de la base fournisseurs, relevé bancaire envoyé directement au dirigeant, validation systématique des virements par une seconde personne.
Les contrôles clés du contrôle interne
Un contrôle clé est celui dont l’échec laisserait passer une anomalie significative sans autre filet. On le reconnaît à trois éléments : un risque identifié, un responsable nommé, une preuve conservée.
Préventifs ou détectifs
Un contrôle préventif arrête l’erreur avant qu’elle se produise : double validation d’un virement, blocage d’une facture sans commande. Un contrôle détectif la repère après coup : rapprochement bancaire, revue des doublons. Les deux sont nécessaires, mais un préventif coûte moins cher qu’une récupération.
Manuels ou automatisés
Un contrôle automatisé dans l’ERP s’exécute à chaque fois, sans fatigue, à condition que le paramétrage soit lui-même contrôlé. Un contrôle manuel dépend de la personne et de sa disponibilité en période de clôture. Le bon dispositif automatise ce qui est répétitif et garde le jugement humain pour les revues.
Trois niveaux de contrôle
Le guide de l’AFA distingue trois niveaux : les contrôles de premier niveau, préventifs, réalisés avant l’enregistrement de l’opération ; ceux de deuxième niveau, qui vérifient sur les opérations réalisées que le premier niveau a fonctionné ; ceux de troisième niveau, les audits internes. La grille est utile bien au-delà de la lutte anticorruption.
En audit légal, nous avons vu beaucoup de manuels de procédures de cent pages que personne n’appliquait, et peu de PME protégées par dix contrôles simples réellement exécutés. Le volume de documentation n’a aucun rapport avec la qualité du contrôle interne.
Notre position est tranchée : pas de procédure sans risque identifié, pas de contrôle sans preuve, et pas de logiciel de contrôle interne avant que les contrôles clés tournent à la main. Mieux vaut vingt-cinq contrôles testés qu’un référentiel complet que l’on découvre le jour d’une fraude.
La rédaction Extech Finance
Documenter le contrôle interne : procédures et preuves
Documenter le contrôle interne sert trois publics : les équipes, qui doivent savoir quoi faire ; l’auditeur, qui doit pouvoir tester ; le repreneur ou l’investisseur, qui doit pouvoir faire confiance. La documentation doit donc être courte, à jour et reliée aux risques.
La fiche processus d’une page
Une fiche par processus suffit : le schéma des étapes, les risques notés, les contrôles clés avec leur responsable, leur fréquence et la preuve attendue, les outils utilisés. Elle se lit en cinq minutes et se met à jour à chaque changement d’organisation ou d’outil.
La preuve d’exécution
Un contrôle sans trace n’existe pas pour un auditeur. La preuve peut être une validation horodatée dans l’ERP, un rapprochement signé, un courriel de contre-appel archivé. Côté fiscal, la piste d’audit fiable impose que les contrôles soient décrits et expliqués, avec qui les réalise, quand et comment (BOFiP).
Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques ; les PME et micro-entreprises émettront à compter du 1er septembre 2027 (Entreprendre.Service-Public, impots.gouv.fr). Création des tiers, validation et rejet des factures doivent être reparamétrés avec les contrôles, pas après.
Mettre en place le contrôle interne en sept étapes
Mettre en place un contrôle interne entreprise suit une démarche en sept étapes, issue de la méthode de l’audit légal et adaptée à la taille d’une PME ou d’une ETI.
Cadrer le périmètre et les objectifs
Choisir les entités, les processus et les objectifs prioritaires : fiabilité des comptes, protection de la trésorerie, conformité. Un périmètre resserré et bien traité vaut mieux qu’un dispositif complet sur le papier.
Cartographier les processus et les risques
Décrire chaque processus en entretien et sur pièces, de l’événement déclencheur au paiement ou à l’encaissement, puis lister ce qui peut mal tourner à chaque étape et le noter selon sa probabilité et son impact.
Inventorier les contrôles existants
Recenser ce qui se fait réellement, pas ce qui est écrit : validations, rapprochements, revues, paramétrages de l’ERP. Beaucoup de contrôles existent déjà sans être formalisés ni prouvés.
Choisir les contrôles clés
Pour chaque risque majeur, retenir un ou deux contrôles clés, préventifs de préférence, et combler les trous. Fixer pour chacun un responsable, une fréquence et la preuve à conserver.
Documenter sur une page par processus
Une fiche par processus : étapes, risques, contrôles clés, responsables, preuves, outils. La documentation doit être lisible par un nouvel arrivant, un auditeur ou un repreneur.
Tester et corriger
Après un à trois mois, tester un échantillon d’exécutions de chaque contrôle clé : a-t-il été fait, à temps, par la bonne personne, avec une preuve ? Les écarts deviennent un plan d’action daté.
Piloter dans le tableau de bord
Suivre chaque mois les indicateurs de contrôle interne avec les indicateurs financiers, et revoir la cartographie au moins une fois par an ou lors d’un changement d’ERP, d’une acquisition ou d’une croissance forte.
Pour une PME mono-entité, un contrôle interne entreprise se construit vite : les étapes 1 à 5 tiennent en quelques semaines. Le test de l’étape 6 n’a de valeur qu’après un vrai cycle d’exécution, d’où un point de contrôle à trois mois.
Tableau de bord du contrôle interne : indicateurs et alertes
Un contrôle interne entreprise qui n’est pas mesuré se dégrade sans bruit. Quelques indicateurs suivis chaque mois dans le tableau de bord financier suffisent à voir les dérives avant qu’elles coûtent.
| Indicateur | Formule | Source de la donnée | Rythme | Seuil d’alerte |
|---|---|---|---|---|
| Factures sans commande | Factures fournisseurs sans bon de commande / total des factures | ERP, module achats | Mensuel | Plus de 10 % |
| RIB modifiés non contre-appelés | Modifications sans preuve de contre-appel | Journal des tiers | Mensuel | Dès 1 |
| Comptes d’attente | Solde des comptes d’attente de plus de 60 jours | Balance générale | Mensuel | Tout solde non justifié |
| Rapprochement bancaire | Jours entre fin de mois et rapprochement revu | Dossier de clôture | Mensuel | Plus de 10 jours |
| Écarts d’inventaire | Écart physique moins théorique / stock théorique | Inventaire, comptages tournants | Trimestriel | Plus de 1 % |
| Avoirs clients | Avoirs émis / chiffre d’affaires facturé | Facturation | Mensuel | Hausse de 50 % sur trois mois |
| Droits incompatibles | Utilisateurs cumulant création de tiers et paiement | Revue des droits ERP et banque | Semestriel | Dès 1 sans contrôle compensatoire |
| Lecture | Chaque alerte donne lieu à une action datée et à un responsable, revus au comité mensuel | |||
Ces indicateurs se placent à côté du DSO (délai moyen d’encaissement des clients), de la trésorerie et des marges. La fiche réflexe de Cybermalveillance.gouv.fr sur les faux ordres de virement aide à fixer les règles du deuxième indicateur.
Exemple chiffré : le coût d’un contrôle interne défaillant
Hypothèses fictives : une PME industrielle réalise 8 400 000 € HT d’achats par an, répartis sur 7 200 factures fournisseurs, soit 1 167 € en moyenne. Son stock vaut 1 500 000 €. Elle n’a ni détection des doublons, ni contre-appel sur les changements de RIB, ni comptages tournants.
Calcul : avec un taux de doublons payés de 0,3 %, 22 factures sont réglées deux fois, soit 25 667 €. Une démarque inexpliquée de 1,2 % du stock représente 18 000 €.
Un seul changement de RIB frauduleux sur un paiement de 48 000 € porte l’exposition annuelle à 91 667 €. Une revue des processus de huit jours à 900 € HT coûte 7 200 €, soit 12,7 fois moins que l’exposition.
Ces chiffres sont fictifs et ne constituent pas une donnée observée. Ils montrent un ordre de grandeur : les pertes liées au contrôle interne sont rarement spectaculaires, mais elles sont répétitives et invisibles sans contrôle.
Commencez par un état des lieux à prix fixe : le diagnostic financier identifie les faiblesses de vos processus et livre un tableau de bord sur vos données, dès 2 900 € HT.
Découvrir le diagnostic financierContrôle interne et fraude : virements, fournisseurs, frais
Le contrôle interne n’a pas pour objet de soupçonner les équipes, mais de rendre la fraude difficile et vite détectée. Trois scénarios concentrent l’essentiel des pertes que nous avons rencontrées.
Le faux ordre de virement
Un escroc se fait passer pour le dirigeant, un avocat ou un fournisseur et obtient un virement urgent et confidentiel. La parade : contre-appel à un numéro déjà connu, double validation au-delà d’un seuil, droit explicite pour les équipes de refuser une demande hors procédure (Cybermalveillance.gouv.fr).
Le fournisseur détourné
Un fournisseur fictif est créé, ou les coordonnées d’un vrai fournisseur sont modifiées. La parade : séparation entre création des tiers et paiement, revue mensuelle des modifications, rapprochement entre commande, réception et facture.
Les frais et les avantages
Notes de frais gonflées, cartes d’achat sans plafond, avantages non déclarés. La parade : politique écrite, plafonds, justificatifs obligatoires, revue par sondage. Au-delà de 500 salariés et 100 M€, ces contrôles s’inscrivent dans le dispositif anticorruption décrit par l’AFA.
Contrôle interne, commissaire aux comptes et expert-comptable
Le contrôle interne est de la responsabilité de la direction. Deux professions réglementées interviennent autour de lui, chacune dans son rôle, et il est utile de savoir ce que chacune fait et ne fait pas.
Le commissaire aux comptes
Il certifie les comptes. Pour cela, il prend connaissance du contrôle interne et en évalue la conception selon la NEP 315, puis communique les faiblesses relevées (référentiel normatif de la H2A). Il ne conçoit pas le dispositif à la place de l’entreprise. Les commissaires aux comptes sont inscrits auprès de la Haute autorité de l’audit (H2A).
L’expert-comptable
Inscrit à l’Ordre, il tient, révise et présente les comptes, comme le prévoit l’ordonnance n° 45-2138 du 19 septembre 1945. Il connaît les processus comptables et voit passer les anomalies, mais sa mission ne porte pas sur l’organisation du contrôle interne de l’entreprise.
Extech Finance n’exerce ni l’expertise comptable ni le commissariat aux comptes : nous ne tenons pas, ne révisons pas et ne certifions pas vos comptes. Nous organisons, documentons et testons vos processus et vos contrôles, en lien avec votre expert-comptable et votre commissaire aux comptes, et préparons la clôture et l’audit.
Revue du contrôle interne par Extech : livrables et prix
La revue du contrôle interne est l’une des quatre façons de travailler avec Extech Finance. Elle applique aux processus la méthode de l’audit légal, sans en être un : son but n’est pas de certifier, mais de corriger.
Diagnostic financier
2 900 € HT TPE, une entité
- 4 500 € HT pour une PME jusqu’à trois entités
- Points de faiblesse des processus
- Tableau de bord sur vos données
Revue des processus
900 € HT par jour
- Forfait ferme après cadrage
- Cartographie, matrice des contrôles, fiches
- Tests et plan d’action daté, passation aux équipes
DAF à temps partagé
1 700 € HT par mois, 2 jours
- 3 200 € HT pour 4 jours, 6 000 € HT pour 8 jours
- Suivi des contrôles et du plan d’action
- Engagement initial de trois mois
Livrables datés : cartographie des risques, matrice des contrôles clés, fiche d’une page par processus, rapport de tests, plan d’action priorisé, indicateurs intégrés au tableau de bord. Pour un groupe ou une ETI, une task force peut renforcer les équipes sur une clôture ou une intégration, de 550 € à 900 € HT par jour. Tous les prix sont sur la page tarifs.
Le premier échange de 30 minutes est gratuit et la proposition écrite arrive sous 48 heures ouvrées. Pour comprendre notre approche d’ensemble, voyez notre page DAF externalisé et qui nous sommes.
Un premier audit approche, une fraude vient d’être découverte, ou votre organisation a changé ? Parlons de votre contrôle interne entreprise et du périmètre utile.
Organiser un premier échangeErreurs fréquentes dans un dispositif de contrôle interne
- Commencer par les procédures. Écrire un manuel avant d’avoir cartographié les risques produit des documents pour ce qui marche déjà. Le contrôle interne entreprise part des risques, puis choisit les contrôles.
- Confondre contrôle et validation formelle. Une signature apposée sans regarder les pièces n’est pas un contrôle. Un contrôle clé précise ce que l’on vérifie et laisse une preuve.
- Exempter la direction. Les contournements par le dirigeant sont la première source de fraude grave. Les règles de paiement s’appliquent à tous, y compris au signataire principal.
- Oublier les systèmes. Un ERP mal paramétré ou des droits d’accès trop larges annulent la séparation des tâches. La revue des droits est un contrôle clé à part entière.
- Ne jamais tester. Un contrôle non testé se dégrade en quelques mois, surtout en période de clôture ou de départ d’un collaborateur. Le test régulier est la seule façon de savoir s’il fonctionne.
Ces erreurs de contrôle interne entreprise se corrigent vite quand elles sont vues tôt. Elles coûtent cher quand elles sont découvertes lors d’un audit, d’un contrôle fiscal ou d’une cession.
Questions fréquentes sur le contrôle interne
Qu’est-ce que le contrôle interne d’une entreprise ?
C’est l’ensemble des règles, des procédures et des comportements qu’une entreprise organise pour maîtriser ses activités. Le référentiel COSO le définit comme un processus mis en œuvre par le conseil, le management et les collaborateurs pour fournir une assurance raisonnable sur trois familles d’objectifs : les opérations, le reporting et la conformité.
Concrètement, il répond à une question simple : qu’est-ce qui empêche une erreur ou une fraude de passer inaperçue, et qui le vérifie ? Il ne s’agit ni d’un service ni d’un logiciel, mais d’une façon d’organiser le travail.
Le contrôle interne est-il obligatoire ?
Aucun texte n’impose à une PME non cotée un dispositif formalisé. En revanche, plusieurs obligations en supposent un : la tenue d’une comptabilité chronologique et d’un inventaire annuel, la conservation des pièces pendant dix ans, la piste d’audit fiable des factures, l’attestation de vigilance des sous-traitants.
Les sociétés cotées s’appuient sur le cadre de référence de l’AMF, et les entreprises de plus de 500 salariés et 100 M€ de chiffre d’affaires doivent mettre en place des contrôles comptables anticorruption au titre de la loi Sapin II.
Quelle différence entre contrôle interne et audit interne ?
Le contrôle interne désigne le dispositif lui-même : les règles, les validations, les rapprochements exécutés au quotidien par les équipes. L’audit interne est une fonction qui évalue ce dispositif de façon indépendante et propose des améliorations.
Dans le modèle des trois lignes de l’IIA, repris par l’IFACI, les opérationnels forment la première ligne, les fonctions de contrôle et de conformité la deuxième, l’audit interne la troisième. Une PME n’a généralement pas d’audit interne : la revue périodique est alors confiée à la direction financière ou à un intervenant extérieur.
Quelles sont les cinq composantes du contrôle interne ?
Le référentiel COSO, mis à jour en mai 2013, retient cinq composantes : l’environnement de contrôle, l’évaluation des risques, les activités de contrôle, l’information et la communication, et le pilotage. Il les décline en dix-sept principes.
La NEP 315 révisée, que les commissaires aux comptes appliquent en France, reprend ces cinq composantes intégrées pour apprécier le contrôle interne de l’entité. Pour une PME, ces composantes se traduisent par des choses concrètes : une délégation de pouvoirs écrite, une cartographie des risques, des contrôles clés, des reportings fiables et une revue régulière.
Comment mettre en place un contrôle interne dans une PME ?
Commencez par les risques, pas par les procédures. Identifiez les processus qui portent l’argent (achats, ventes, paie, trésorerie, stocks), listez ce qui peut mal tourner dans chacun, puis choisissez quelques contrôles clés par risque majeur.
Documentez-les sur une page, désignez un responsable et une fréquence, et gardez une preuve d’exécution. Testez-les au bout de trois mois. Une PME de 50 salariés peut couvrir l’essentiel avec 25 à 40 contrôles bien choisis, à condition qu’ils soient réellement exécutés.
Qu’est-ce qu’un contrôle clé ?
Un contrôle clé est un contrôle dont l’échec laisserait passer une erreur ou une fraude significative sans qu’aucun autre contrôle ne la rattrape. Exemples : la validation d’un changement de coordonnées bancaires fournisseur par contre-appel, le rapprochement bancaire mensuel revu par une seconde personne, le rapprochement entre commande, réception et facture avant paiement.
On le reconnaît à trois éléments : un risque couvert identifié, un responsable nommé, une preuve conservée. Les autres contrôles sont utiles, mais ce sont les contrôles clés que l’on teste en priorité.
Qu’est-ce que la séparation des tâches ?
C’est le principe selon lequel une même personne ne doit pas pouvoir engager une opération, l’enregistrer, la payer et la contrôler. Dans le processus achats, par exemple, celui qui crée un fournisseur ne devrait pas pouvoir valider ses factures ni lancer les virements.
Dans une petite équipe, la séparation complète est souvent impossible : on la compense alors par des contrôles de revue, comme la validation des paiements par le dirigeant ou une revue mensuelle des modifications de la base fournisseurs, avec une trace écrite.
Qu’est-ce qu’une cartographie des risques ?
C’est un inventaire hiérarchisé des événements qui pourraient empêcher l’entreprise d’atteindre ses objectifs, notés selon leur probabilité et leur impact. Pour le contrôle interne financier, elle part des processus : pour chacun, on liste les risques d’erreur, de fraude, de perte ou de non-conformité, puis on regarde les contrôles existants.
Le résultat est une matrice qui montre où l’entreprise est exposée sans protection. Une cartographie utile tient en quelques pages et se met à jour au moins une fois par an, ou à chaque changement important.
Le commissaire aux comptes fait-il le contrôle interne ?
Non. Le commissaire aux comptes certifie les comptes ; pour cela, il prend connaissance du contrôle interne et en évalue la conception, conformément à la NEP 315. Il communique les faiblesses qu’il relève, mais il ne conçoit ni n’exploite le dispositif à la place de l’entreprise, ce qui heurterait son indépendance.
La responsabilité du contrôle interne appartient à la direction. Depuis 2024, la nomination d’un commissaire aux comptes est obligatoire au-delà de deux des trois seuils suivants : 5 M€ de bilan, 10 M€ de chiffre d’affaires, 50 salariés.
Combien coûte une revue du contrôle interne ?
Le coût dépend du nombre de processus, d’entités et de sites. Chez Extech Finance, une revue des processus est une mission de mise en place facturée 900 € HT par jour, avec un forfait ferme après cadrage.
À titre indicatif, une revue ciblée sur les achats, les ventes et la trésorerie d’une PME mono-entité se compte en jours, pas en mois. Le premier échange de 30 minutes est gratuit et la proposition écrite arrive sous 48 heures ouvrées, avec le périmètre, les livrables datés et le prix.
Comment prévenir la fraude au faux ordre de virement ?
La parade est organisationnelle avant d’être technique. Toute demande de virement urgente ou inhabituelle, et toute modification de coordonnées bancaires d’un fournisseur, doit être vérifiée par un contre-appel à un numéro déjà connu, jamais à celui indiqué dans le message.
Les virements au-delà d’un seuil exigent une double validation dans l’outil bancaire. Les équipes comptables doivent connaître le scénario type et avoir le droit de dire non au dirigeant. Cybermalveillance.gouv.fr publie une fiche réflexe utile pour sensibiliser les équipes.
Combien de temps conserver les pièces comptables ?
Les livres comptables et les pièces justificatives, comme les factures, bons de commande et bons de livraison, se conservent dix ans à compter de la clôture de l’exercice au titre du Code de commerce.
Côté fiscal, la loi du 25 juin 2026 contre la fraude sociale et fiscale porte la durée de conservation de six à dix ans pour les documents dont le délai expire après le 1er janvier 2027. Les bulletins de paie se conservent cinq ans par l’employeur. Un plan d’archivage écrit fait partie du contrôle interne.
Quels indicateurs suivre pour piloter le contrôle interne ?
Quelques indicateurs suffisent s’ils sont suivis chaque mois : part des factures fournisseurs sans bon de commande, modifications de RIB non contre-appelées, ancienneté des comptes d’attente, délai de rapprochement bancaire, écarts d’inventaire, avoirs clients émis, droits d’accès incompatibles dans l’ERP.
Chaque indicateur a une formule, une source de données et un seuil d’alerte. Ils trouvent leur place dans le tableau de bord financier, à côté du DSO et de la trésorerie, et sont commentés en comité mensuel.
Quel lien entre contrôle interne et facturation électronique ?
La réforme change les processus achats et ventes. Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques et les grandes entreprises et ETI doivent les émettre ; les PME et micro-entreprises émettront à compter du 1er septembre 2027.
C’est l’occasion de revoir les contrôles : création des tiers, rapprochement commande-réception-facture, validation, rejet des factures non conformes. Un flux dématérialisé mal paramétré automatise les erreurs au lieu de les arrêter.
Fiabiliser votre contrôle interne
Premier échange gratuit de 30 minutes, proposition écrite sous 48 heures ouvrées, forfait ferme après cadrage. Vous savez dès le départ ce qui sera livré, quand, et combien cela coûte. Les fiches et la matrice des contrôles vous restent.
Sources
- IFACI — synthèse du référentiel COSO 2013
- IFACI — le modèle des trois lignes
- AMF — cadre de référence des dispositifs de gestion des risques et de contrôle interne (DOC-2010-16)
- AMF — guide de mise en œuvre pour les valeurs moyennes et petites
- H2A — NEP 315, connaissance de l’entité et évaluation du risque d’anomalies significatives
- H2A — référentiel normatif des commissaires aux comptes
- CNCC — FAQ sur les NEP 315 et 330 révisées
- Agence française anticorruption — guide des contrôles comptables anticorruption
- Entreprendre.Service-Public — seuils de taille des sociétés et de nomination d’un commissaire aux comptes
- Bpifrance Création — nouveaux seuils de nomination d’un commissaire aux comptes
- Entreprendre.Service-Public — délais de paiement entre professionnels
- Entreprendre.Service-Public — durées de conservation des documents de l’entreprise
- Entreprendre.Service-Public — allongement de la durée de conservation des documents fiscaux
- Entreprendre.Service-Public — attestation de vigilance
- Entreprendre.Service-Public — la facturation électronique depuis le 1er septembre 2026
- impots.gouv.fr — je découvre la facturation électronique
- BOFiP — factures sécurisées par une piste d’audit fiable (BOI-TVA-DECLA-30-20-30-20)
- Légifrance — article L123-12 du Code de commerce
- Légifrance — article 2 de l’ordonnance n° 45-2138 du 19 septembre 1945
- Cybermalveillance.gouv.fr — fiche réflexe sur les faux ordres de virement
Historique : 4 novembre 2026, création du guide.