Comment suivre les recommandations de contrôle dans un groupe bancaire multi-entités ?
Superviseur, commissaires aux comptes, audit interne : consolider le suivi des recommandations de quarante entités avec une clôture fondée sur la preuve.
La réponse courte
Avec un référentiel unique, des statuts communs et un circuit de clôture fondé sur la preuve. L'entité propose la clôture avec ses justificatifs, l'entité centrale valide ou rejette, et chaque étape est tracée. Dans un groupe d'une quarantaine d'entités, c'est cette traçabilité que le superviseur examine.
À retenir
- Centraliser toutes les sources de recommandations dans un référentiel unique : superviseur, commissaires aux comptes, audit interne, inspection.
- Utiliser un jeu de statuts commun à toutes les entités, qui distingue retard et risque de retard.
- La clôture est proposée par l'entité avec justificatifs, puis validée ou rejetée par l'entité centrale.
- Conserver l'historique complet des décisions et des pièces, avec une piste d'audit inaltérable.
Quel est le problème de départ dans un groupe multi-entités ?
La dispersion. Un groupe bancaire reçoit chaque année des recommandations de sources multiples : superviseur, commissaires aux comptes, audit interne, inspection, auditeurs du groupe. Chaque filiale reçoit les siennes, de ses propres autorités, selon son propre calendrier.
Pour un groupe d'une quarantaine d'entités que nous avons accompagné, chaque entité tenait son propre suivi, souvent sous forme de tableur, avec ses propres statuts et sa propre notion de « clôturé ». La direction chargée de la consolidation passait l'essentiel de son temps à collecter, réconcilier et relancer, sans vision fiable à date.
Pourquoi un référentiel unique ?
Pour que toutes les recommandations, de toutes les sources et de toutes les entités, soient décrites de la même façon et consolidables. Chaque recommandation y porte sa source et la mission d'origine, l'entité concernée et le responsable de la mise en œuvre, le thème, le niveau de criticité, l'échéance, le plan d'actions et son état d'avancement.
L'import du stock existant, souvent dispersé dans des formats hétérogènes, est une étape à part entière. Nous l'avons outillé avec un modèle d'import standard, contrôlé à l'entrée, plutôt que de laisser chaque entité ressaisir ses recommandations.
Quels statuts retenir ?
Un jeu commun à toutes les entités, qui distingue notamment :
- non démarrée et en cours ;
- à risque, lorsque l'échéance approche et que l'avancement est insuffisant ;
- en retard, lorsque l'échéance est dépassée ;
- clôture proposée, rejetée et clôturée, qui matérialisent le circuit de validation.
La distinction entre « à risque » et « en retard » change la nature du suivi. Elle permet d'agir avant le dépassement d'échéance au lieu de le constater.
Comment fonctionne une clôture fondée sur la preuve ?
L'entité propose la clôture lorsqu'elle estime la recommandation levée, et joint ses justificatifs. L'entité centrale examine et décide : elle valide, ou elle rejette en motivant sa décision, et la recommandation revient alors à l'entité.
La responsabilité reste ainsi à l'entité, qui porte la mise en œuvre et en apporte la preuve. L'homogénéité est garantie par l'entité centrale, qui applique les mêmes critères à tout le groupe.
Une recommandation ne peut pas être proposée à la clôture sans justificatif. Cette règle fait disparaître les clôtures déclaratives, première cause de constats répétés lors des missions de suivi.
Que regarde le superviseur ?
Il vérifie que chaque recommandation de sa mission précédente est suivie et rattachée à un responsable, que les clôtures reposent sur des preuves, que les retards sont connus, expliqués et remontés à la gouvernance, et que l'organe délibérant est informé de l'état du suivi.
D'où l'importance de la traçabilité. Chaque changement de statut, chaque proposition, validation ou rejet est horodaté et attribué à son auteur. Les justificatifs sont conservés avec un contrôle d'intégrité. L'historique permet de reconstituer à tout moment qui a décidé quoi, quand et sur quelle base.
Comment répartir les responsabilités entre niveaux ?
Dans un groupe dont les filiales sont réparties sur plusieurs pays, un niveau intermédiaire est souvent utile. Une direction régionale peut assurer un premier examen des propositions de clôture de ses entités avant leur transmission à l'entité centrale.
Les profils d'utilisateurs reflètent ce partage : administrateurs et gestionnaires au niveau central, responsables et contributeurs dans chaque entité, et un profil en lecture seule pour l'audit. Chacun dispose des droits nécessaires à sa fonction, sans plus.
La relance devient alors l'affaire de chacun. L'entité voit ses échéances, le niveau régional celles de son périmètre, et l'entité centrale concentre ses efforts sur les recommandations les plus critiques et les plus anciennes.
Quelles conditions pour que le dispositif tienne ?
L'outil compte moins que les règles qui l'entourent. Un cloisonnement strict d'abord : chaque entité ne voit que ses propres recommandations. Des tableaux de bord par entité, par source, par thème et par ancienneté ensuite, pour orienter les relances. Une discipline de mise à jour enfin, avec un calendrier de revue partagé.
La sécurité mérite la même attention que les fonctionnalités, car le dispositif contient des informations sensibles sur les faiblesses de contrôle de chaque entité. Authentification renforcée, cloisonnement des données au niveau de la base et journalisation des accès se posent dès la conception.
Bien conçu, le suivi des recommandations cesse d'être une charge administrative. Il devient un outil de pilotage du contrôle interne à l'échelle du groupe et un argument solide face au superviseur.
Questions fréquentes
Qui doit clôturer une recommandation : l'entité ou le siège ?
L'entité propose la clôture, car elle porte la mise en œuvre et détient les preuves. L'entité centrale valide ou rejette sur la base des justificatifs, en motivant ses rejets. Ce partage garantit une appréciation homogène dans tout le groupe tout en laissant la responsabilité de l'action à ceux qui la conduisent.
Quels justificatifs exiger pour clôturer une recommandation ?
Des preuves de mise en œuvre effective : procédure approuvée par l'instance compétente, compte rendu de comité, extraction de système, échantillon de dossiers traités selon la nouvelle règle. Une simple déclaration de l'entité ne suffit pas. La règle doit être écrite et appliquée de la même façon à toutes les entités du groupe.
Un tableur suffit-il pour suivre les recommandations d'un groupe ?
Pour quelques entités, parfois. Au-delà, les versions concurrentes, l'absence de piste d'audit, la difficulté de stocker les justificatifs et l'impossibilité de cloisonner les accès rendent un outil dédié nécessaire. Le choix de l'outil vient après la définition des statuts, des rôles et du circuit de clôture.
Comment éviter que les recommandations en retard s'accumulent ?
En distinguant les recommandations à risque, dont l'échéance approche sans avancement suffisant, de celles déjà en retard. Ce statut intermédiaire déclenche les relances avant le dépassement. Des tableaux de bord par entité, par source et par ancienneté orientent ensuite l'attention de l'entité centrale vers les cas les plus critiques et les plus anciens.