Que sont les contrôles SOX ?

La loi Sarbanes-Oxley de 2002, communément appelée SOX, est une loi fédérale créée à la suite des grands scandales comptables du début des années 2000, notamment Enron et WorldCom. Elle oblige les sociétés cotées en bourse aux États-Unis à mettre en place des contrôles pour protéger les actionnaires contre les informations financières frauduleuses. Bien que la loi puisse être lourde pour les entreprises, elle constitue un outil essentiel dans la lutte contre la fraude en entreprise.

Que sont les contrôles SOX ?

Les contrôles SOX proviennent principalement de l'article 404 de la Loi, qui exige que les organisations mettent en œuvre des contrôles internes pour garantir l'exactitude des informations financières. Ces contrôles aident à prévenir et à détecter les erreurs et à protéger les activités au sein d'un cycle d'information financière, ce qui rend difficile pour les entreprises de dissimuler les actes répréhensibles.

La SOX ne prescrit pas de liste de contrôles internes spécifiques. Elle oblige plutôt les entreprises à définir leurs propres contrôles qui répondent aux objectifs de conformité SOX.

Les auditeurs internes doivent régulièrement effectuer des audits de conformité pour vérifier que l'entreprise dispose de contrôles appropriés et que ces contrôles fonctionnent correctement.

Les auditeurs externes doivent examiner les contrôles, les politiques et les procédures dans le cadre d'un audit annuel de conformité à la norme SOX. Avant la loi Sarbanes-Oxley, la profession d'audit était largement autorégulée. Cependant, les scandales comptables qui ont précédé la SOX ayant suscité des questions quant à la performance et à l'indépendance des auditeurs externes, SOX a également créé le Conseil de surveillance de la comptabilité des sociétés publiques (PCAOB) assurer la supervision des cabinets comptables qui auditent les sociétés cotées en bourse.

Combien y a-t-il de contrôles SOX ?

Le nombre de contrôles internes mis en place par une entreprise varie d'une organisation à l'autre, car les différents risques et environnements nécessitent des contrôles internes uniques.

Cependant, les différents types de contrôle suivants peuvent être utilisés pour atténuer les risques pour l'organisation et garantir la fiabilité de l'information financière.

Contrôles préventifs et contrôles de détection

Les contrôles préventifs visent à empêcher qu'un résultat indésirable ne se produise. Par exemple, les méthodes de contrôle préventif incluent l'utilisation de mots de passe, de systèmes d'approbation et l'application de politiques et de procédures. Les contrôles de détection visent à détecter les erreurs ou les irrégularités qui se sont déjà produites. Par exemple, les techniques de contrôle de détection courantes incluent le rapprochement des dépenses avec les budgets, les prévisions et les résultats des périodes précédentes.

Contrôles rigides et commandes souples

Les contrôles stricts sont des systèmes que les organisations mettent en place pour gérer les risques. Il s'agit notamment des structures organisationnelles et de la séparation des tâches. Les contrôles souples sont les principes et les valeurs qui guident le comportement d'une organisation, notamment le ton au sommet, le climat éthique, la confiance et la compétence.

Contrôles manuels ou automatisés

Les contrôles manuels reposent sur la saisie des données financières par une personne, qu'elles soient manuelles ou informatiques. Les entreprises utilisent généralement des rapports générés par le système pour tester ces contrôles. Les contrôles automatisés ne nécessitent aucune interaction humaine car le système informatique peut les exécuter de manière indépendante.

Commandes principales et secondaires

Les contrôles internes SOX sont généralement classés en deux catégories : les contrôles primaires et les contrôles secondaires.

Les contrôles principaux (également appelés contrôles clés SOX) doivent fonctionner efficacement pour réduire le risque à un niveau acceptable. En revanche, les contrôles secondaires contribuent au bon déroulement du processus mais ne sont pas essentiels.

Les contrôles couvrent une variété d'activités, allant de la préparation des états financiers à la publication et à l'audit. Pour savoir quels contrôles vous devez mettre en œuvre, vous devez comprendre quels sont les risques présents.

Le cadre COSO

Le cadre du Comité des organisations de parrainage (COSO) est utilisé par les sociétés cotées en bourse et les auditeurs de la SOX pour aider à mettre en place des contrôles internes afin de formaliser la manière dont les entreprises exécutent leurs principaux processus commerciaux.

Il fournit aux organisations une structure pour la conception, la mise en œuvre, l'évaluation et le suivi des contrôles internes. Le cadre est largement accepté et a été adopté par le PCAOB comme norme pour l'audit des contrôles internes.

Le cadre COSO comprend cinq composantes :

1. Environnement de contrôle. L'environnement de contrôle constitue le fondement de tous les contrôles internes et inclut la culture, les valeurs et les procédures opérationnelles de l'organisation. L'environnement de contrôle donne le ton au sommet et influence le climat éthique au sein de l'organisation.
2. Évaluation et gestion des risques. L'évaluation des risques consiste à identifier, mesurer et gérer les risques au sein d'une organisation. Il est essentiel de comprendre les différents types de risques qui peuvent avoir un impact sur une entreprise afin de pouvoir mettre en place les contrôles appropriés. La première étape consiste à identifier les risques financiers et non financiers qui pourraient affecter l'organisation. La deuxième étape consiste à mesurer la gravité et la probabilité de chaque risque. Cela permet de hiérarchiser les risques et de déterminer ceux qui nécessitent le plus d'attention. La troisième étape consiste à élaborer un plan de gestion des risques, notamment en mettant en œuvre des contrôles pour atténuer les risques et en veillant à ce que ces contrôles soient efficaces.
3. Activités de contrôle. Les activités de contrôle constituent l'un des éléments essentiels du cadre COSO. Les activités de contrôle sont les organisations mises en place pour garantir l'exactitude et la fiabilité des données financières. Ils contribuent à protéger les actifs d'une organisation, à réduire l'exposition aux risques et à améliorer son efficacité.
4. Information et communications. L'information et les communications sont des éléments essentiels de l'environnement de contrôle interne. Ils permettent de s'assurer que les employés sont au courant des politiques et procédures de l'entreprise, qu'ils comprennent les risques auxquels l'entreprise est confrontée et qu'ils peuvent signaler toute préoccupation qu'ils ont. Les organisations devraient disposer d'une politique écrite en matière d'information et de communication.
5. Surveillance. Les organisations doivent disposer d'un système permettant de contrôler l'efficacité de leurs contrôles internes. Cela inclut l'examen de la performance des contrôles et l'identification des domaines nécessitant des améliorations.

Exemples de contrôles SOX

Voici quelques exemples d'activités de contrôle des émissions de SOX couramment réalisées :

• Séparation des tâches. Répartir les tâches entre plusieurs personnes (les « séparer ») afin qu'une seule personne n'ait pas le contrôle total d'une transaction financière. Cela réduit le risque d'erreurs ou de comportements inappropriés. Par exemple, une personne qui prépare les états financiers ne devrait pas également être responsable de l'enregistrement des transactions.
• Autorisations et approbations. Les transactions autorisées ont été approuvées par une personne disposant du niveau d'autorité approprié, et ces approbations confirment que la transaction est conforme aux politiques. Par exemple, une entreprise peut exiger que toutes les écritures comptables soient approuvées par son contrôleur.
• Examens et rapprochements. Examiner et rapprocher régulièrement les dossiers financiers, de préférence par une personne autre que la personne qui les a préparés, afin de confirmer que les transactions ont été traitées correctement.
• Protection des actifs. Sécurisez physiquement l'équipement, les stocks, les espèces et les autres biens, comptez-les périodiquement et comparez les comptes avec les registres de contrôle.
• Formation et supervision. Les employés ont besoin de connaissances pour bien faire leur travail, de directives et de supervision pour savoir ce que l'on attend d'eux, et de canaux pour signaler tout acte répréhensible.

Comment la SOX contribue-t-elle à prévenir la fraude ?

Conformité aux normes SOX aide à prévenir la fraude dans les entreprises publiques en obligeant les organisations à mettre en œuvre divers contrôles pour protéger les informations financières. Ces contrôles permettent de détecter les erreurs et les irrégularités, ce qui rend difficile pour les entreprises de dissimuler les fraudes et les fautes.

La loi oblige également les PDG et les directeurs financiers à certifier l'exactitude des états financiers de l'entreprise, ce qui permet de garantir que les informations ne sont pas falsifiées ou manipulées. En outre, la SOX interdit les délits d'initiés et restreint les prêts aux dirigeants, ce qui peut les empêcher d'utiliser leurs positions à des fins personnelles. Dans l'ensemble, la SOX contribue à créer un environnement d'entreprise plus transparent et responsable, ce qui rend les fraudes plus difficiles.

Quelle est la différence entre les contrôles SOX et non SOX ?

Les contrôles SOX sont spécifiquement conçus pour prévenir les fraudes et les erreurs dans les états financiers. Les entreprises peuvent mettre en œuvre des contrôles non liés à la SOX pour se protéger contre d'autres types de fraude ou d'inconduite, améliorer l'efficacité opérationnelle ou garantir la conformité aux exigences réglementaires.

Bien que les contrôles SOX et non SOX jouent tous deux un rôle dans la prévention de la fraude, ils diffèrent quant à leur objectif et à leur portée. Les contrôles SOX ont une portée plus restreinte et ciblent spécifiquement l'information financière. Les contrôles non liés à la SOX sont plus complets et couvrent divers domaines tels que la sécurité financière et opérationnelle, l'intégrité des données et la conformité. De plus, les contrôles SOX sont prescrits par la loi, alors que les contrôles non SOX ne le sont pas.

Dans l'ensemble, les contrôles SOX et non SOX ont tous deux un rôle à jouer dans la prévention de la fraude et dans la protection des entreprises contre les comportements répréhensibles. Cependant, les contrôles SOX sont plus spécifiques et sont mandatés par la loi, ce qui en fait un élément essentiel de toute stratégie antifraude.