COSO
Définition du mot COSO
Le COSO est un référentiel de contrôle interne visant à limiter les tentatives de fraudes dans les
rapports financiers des entreprises. Il a été défini par le Committee of Sponsoring Organisation of
the Tread way Commission en 1992. Toutefois, ce n'est qu'à partir de 2002 que le modèle COSO a
véritablement émergé. Les lois américaines rendant obligatoire l'évaluation du contrôle interne pour
les sociétés faisant appel à l'épargne publique (suite aux scandales Enron et Worldcom), il est alors
adopté comme référentiel. En France, il faut attendre la loi de sécurité financière de 2003 pour le
voir se développer.
Historique
COSO est l'acronyme abrégé de Committee Of Sponsoring Organizations of the Treadway
Commission, une commission à but non lucratif qui établit en 1992 une définition standard du
contrôle interne et crée un cadre pour évaluer son efficacité. Par extension ce standard se
nomme aussi COSO.
En 2002, le Congrès américain, en réponse aux scandales financiers et comptables (Enron,
Worldcom, ...), promulgue la loi Sarbanes–Oxley (the Sarbanes-Oxley Act ou SOX act). Cette
loi oblige les sociétés faisant appel à l'épargne publique à évaluer leur contrôle interne ainsi
qu'à en publier leurs conclusions dans les états demandés par la SEC. Imposant en outre
l'utilisation d'un cadre conceptuel, le SOX act a favorisé l'adoption du COSO comme
référentiel. En France, la loi LSF (Loi de sécurité financière) promulguée peu après en 2003, a
aussi contribué à sa diffusion.
Les principes
Le référentiel COSO est basé sur les principes de base suivants :
• Le contrôle interne est un processus : c'est un moyen, pas une fin ; il ne se cantonne pas à un
recueil de procédures mais nécessite l'implication de tous à chaque niveau de l'organisation.
• Le contrôle interne doit procurer l'assurance raisonnable (mais non absolue) d'un
management et d'une direction respectueuse des lois.
• Le contrôle interne est adapté à la réalisation effective des objectifs.
Les objectifs
Les catégories des objectifs selon COSO 2013 Le cube COSO 2013 décrit trois catégories
d’objectifs :
• Objectifs d’exploitation (Operating) : Ces objectifs sont liés à l’efficacité et à
l’efficience de l’exploitation de l’entité, notamment les objectifs de performance
opérationnelle et financière ainsi que la protection des actifs contre la perte. Dans le
cadre de 1992, cet objectif se limitait à « l’utilisation efficace et efficiente des
ressources de l’entité ».
• Objectifs de présentation de l’information (Reporting) : Ces objectifs sont liés à la
présentation interne et externe de l’information financière et non financière aux parties
prenantes, ce qui comprend la fiabilité, la ponctualité, la transparence et d’autres
critères établis par les organismes de règlementation ou de normalisation, ou énoncés
dans les politiques de l’entité. Dans le cadre de 1992 cet objectif était désigné sous le
nom « d’objectif de présentation de l’information financière » et était « lié à la
préparation d’états financiers fiables ».
• Objectifs de conformité (Compliance) : Ces objectifs sont liés au respect des lois et
des règlements auxquels est assujettie l’entité. Dans le cadre de 1992, l’objectif de
conformité était « lié à la conformité de l’entité aux lois et aux règlements applicables
». Le cadre de 2013 tient compte de l’évolution des exigences et de la complexité
accrue des lois, des règlements et des normes comptables depuis 1992.
Les 5 composantes du système de contrôle interne COSO :
Le contrôle interne, tel que défini par le COSO, comporte cinq composants. Ces composants
procurent un cadre pour décrire et analyser le contrôle interne mis en place dans une organisation. Il
s'agit de :
1ère composante : un environnement interne favorable à la maîtrise des risques
L’environnement interne de contrôle repose sur une culture de l’entreprise favorable à la
maîtrise des risques. (Délégation des pouvoirs, sensibilisation du personnel, etc.). Cet
environnement s’appuie notamment sur :
• Une définition précise des pouvoirs et des responsabilités,
• Une implication du personnel en termes d’intégrité et d’éthique,
• Une organisation claire et appropriée,
• Le pilotage des activités,
• La mobilisation des compétences,
• Et aussi des procédures bien formalisées et communiquées.
2ème composante : l’évaluation des risques
• L’évaluation des risques dépend de la probabilité du risque et de son impact. Il y a deux
temps pour évaluer les risques :
Identifier les risques tout en analysant les activités globales, et celles propres à chaque personne
de l’entreprise,
• Classer les risques en fonction de leur gravité et de leur impact sur les objectifs de
l’entreprise.
• Ensuite, des mesures de maîtrise seront mises en place pour faire face à ces risques.
3ème composante : les activités de contrôle
Les activités de contrôle comportent les mesures mises en œuvre pour maîtriser les risques, et
les procédures et les politiques de traitement des risques, qui sont :
• Proportionnés aux enjeux,
• De natures diverses (méthode, action de contrôle, action de supervision, etc.).
4ème composante : la maîtrise de l’information et de la communication
La maîtrise de l’information et la communication correspond à la collecte des informations
utiles et à leur identification, à la communication des informations au dirigeant et enfin à la
communication de la part du dirigeant à l’ensemble du personnel de l’entreprise. Cette maîtrise
comprend :
• La qualité de l’information (contenu, exactitude, accessibilité),
• La qualité des systèmes stratégiques et d’information,
• La définition des règles et conditions de communication interne,
• Mais aussi la communication externe (information à l’extérieur de l’entreprise sur la
mise en œuvre du contrôle interne).
5ème composante : le pilotage du contrôle interne
Le pilotage du contrôle interne comprend l’évaluation permanente et/ou ponctuelle des activités
de contrôle interne, mais aussi la mise à jour des procédures en fonction des besoins.
Il s’appuie notamment sur :
• L’adaptation du contrôle interne par le personnel qui doit le mettre en place et doit
piloter le système de maîtrise des risques en fonction de sa responsabilité,
• Une sensibilisation du personnel à la maîtrise des activités,
• Des processus permanents de mises à jour du système de contrôle interne,
• Des procédés d’évaluation qui sont internes et permanents.
