Quelles sont les attentes de la CBFA en matière d'audit interne ? Quelques points d'attention

1. Quelles sont les attentes de la CBFA en matière d'audit interne ?Quelques points d'attention Caroline Vandevelde, Coordinatrice CBFA Christel Beaujean, Conseiller adjoint CBFA Séminaire CBFA-ABIP 11 février 2010

2. Structure de la présentation1re partie • Circulaire CPP-2007-2-LIRP (art. 77 LIRP) • Place dans l'organisation • Exercice de la mission • Attentes de la CBFA

3. 1. Circulaire CPP-2007-2-LIRP 1.1. Introduction : de la gouvernance Principe n° 1 - Structure de gestion Principe n° 2 - Organes de l’IRP Principe n° 3 - Contrôle interne Principe n° 4 - Fonction de compliance Principe n° 5 - Continuité des activités Principe n° 6 - Audit interne Principe n° 7 - Sous-traitance Principe n° 8 - Commissaire agréé ou société de révision agréée Principe n° 9 - Actuaire désigné Principe n° 10 - Circulation interne de l’information Principe n° 11 - Informations externes

4. 1. Circulaire CPP-2007-2-LIRP 1.2. Principe n°6 : audit interne "L'organe opérationnel compétent (OO) prend les mesures nécessaires pour que l’IRP dispose d’une fonction d’audit interne adéquate et indépendante des activitésauditées."

5. 1. Circulaire CPP-2007-2-LIRP 1.2. Principe n°6 : audit interne "L'OO compétent prend les mesures nécessaires pour que l’IRP dispose d’une fonction d’audit interne adéquate et indépendante des activités auditées." OO compétent : souvent le CA Adéquate : proportionnalité Indépendante : impartialité et objectivité Activités :toutes les activités de l'IRP

6. 1. Circulaire CPP-2007-2-LIRP 1.2. Principe n°6 : audit interne • Fonction d'évaluation indépendante • Examine et évalue le caractère adéquat, l’efficacité et l’efficience du contrôle interne • Assiste les organes opérationnels dans l’exercice effectif de leurs responsabilités • L'élaboration et la mise en place des mesures reste de la responsabilité de l'OO compétent

7. 1. Circulaire CPP-2007-2-LIRP 1.3. Désignation • Qui ? • Personne interne ou externe à l'IRP • Membre du personnel de l'IRP • Membre du personnel d'une entreprise d'affiliation • Prestataire de services • Personne physique ou morale • Par qui ? • OO compétent • Durée de la mission ?

8. 1. Circulaire CPP-2007-2-LIRP 1.4. Indépendance • Incompatibilités • ≠ membre d'un OO, commissaire, actuaire désigné, compliance officer • Conflits d'intérêts • Sous-traitance : autorisée si indépendance garantie • Indépendance par rapport aux activités auditées • ≠ organisation opérationnelle • ≠ élaboration, mise en place ou exécution de mesures d'organisation ou de contrôle interne

9. 1. Circulaire CPP-2007-2-LIRP 1.4. Indépendance • Charte d’audit : établie par l’auditeur interne, approuvée par l’OO compétent, confirmée par le CA • Contenu de la charte : • Objectif et portée de la fonction • Place dans l'organisation • Compétences et responsabilités • Droit d’initiative pour voir les collaborateurs et prendre connaissance de tous documents • Droit d’exprimer et de faire connaître librement ses constatations et appréciations • Droit d’informer le président du CA, le compliance officer, le commissaire agréé ou l’actuaire désigné

10. 1. Circulaire CPP-2007-2-LIRP 1.5. Compétence • Compétence professionnelle • Compétence suffisante pour examiner l’ensemble des domaines d'activité de l’IRP • Peut faire appel à des experts externes et à la sous-traitance mais reste responsable • Qualité et quantité des contrôles • Conformité aux exigences de contrôle de l’IRP

11. 1. Circulaire CPP-2007-2-LIRP 1.6. Sous-traitance • L'auditeur doit disposer de la compétence requise • Convention écrite • Auditeur interne • Missions et responsabilités • Engagement : mettre en œuvre le plan d'audit et les moyens prévus • OO compétent • Accord sur l’analyse des risques et sur le plan d'audit • Suivi de l’activité d’audit • Suivi des recommandations • OO compétent, commissaire agréé, actuaire désigné et CBFA • Accès aux documents (programme et documents de travail) • Durée suffisamment longue (résiliation)

12. Structure de la présentation1re partie • Circulaire CPP-2007-2-LIRP (art. 77 LIRP) • Place dans l'organisation • Exercice de la mission • Attentes de la CBFA

13. 2. Place dans l'organisation2.1. Description générale CBFA IRP CA = organe responsable (OO compétent) Compliance officer Rôle de coordination et d'initiative Promotion et contrôle de l'application de la politique d'intégrité Auditeur interne Rôle de contrôleur interne Contrôle de l'efficience et de l’efficacité du contrôle interne • Commissaire agréé • Contrôleur externe • Contrôle et rapport sur les comptes annuels, • Contrôle de l'organisation interne Actuaire désigné Conseiller et rapporteur • Avis au CA sur les méthodes technico-actuarielles, sur les provisions techniques, etc. • Rapport à la CBFA sur les provisions techniques

14. 2. Place dans l'organisation2.2. Auditeur interne et CA • CA • Organe responsable de la bonne exécution des régimes de pension • Vérifie régulièrement si l'IRP dispose d'un contrôle interne et d'une fonction d'audit interne adéquats • Confirme la charte d'audit • Met au moins une fois par an l'audit interne et le contrôle interne à l'ordre du jour de ses réunions • Suivi • Auditeur interne • Rôle de contrôleur interne • Contrôle l'efficience et l’efficacité du contrôle interne (procédures et processus) • Établit la charte et le plan d'audit • Informe le président du CA • Prend connaissance des procès-verbaux et de tous documents Collaboration étroite Contrôle de la fonction Collaboration, communication, échange d'informations, contrôle

15. 2. Place dans l'organisation2.2. Auditeur interne et OO compétent • OO compétent • Prend les mesures nécessaires pour que l'IRP dispose d'une fonction d'audit adéquate et indépendante • Désignation auditeur interne • Approbation charte d'audit, planification, mise à disposition des moyens nécessaires • En cas de sous-traitance : accord et suivi • Droit de regard sur les documents de l'auditeur • Discussion, évaluation, suivi • Rapport annuel au CA • Auditeur interne • Rôle de contrôleur interne • Contrôle l'efficience et l’efficacité de l'ensemble du contrôle interne (procédures et processus) • Établit la charte et le plan d'audit • Rédige un rapport (annuel) • Prend connaissance des procès-verbaux et de tous documents Collaboration étroite Contrôle de la fonction Collaboration, communication, échange d'informations, contrôle

16. 2. Place dans l'organisation2.3. Auditeur interne et complianceofficer • Auditeur interne • Rôle de contrôleur interne • (notamment audit de conformité) • Contrôle les procédures et processus en matière d'intégrité • Prend connaissance des procès-verbaux et de tous documents • Informe le compliance officer Compliance officer Rôle de coordination et d'initiative Examen et amélioration du respect des politiques et règles légales et internes Collaboration Contrôle du respect des procédures Communication, échange d'informations, collaboration, contrôle

17. 2. Place dans l'organisation2.4. Auditeur interne et actuaire désigné • Auditeur interne • Rôle de contrôleur interne • Contrôle l'efficience et l’efficacité du contrôle interne (flux d'information) • Informe l'actuaire • Actuaire désigné • Conseiller et rapporteur • Avis sur les méthodes technico-actuarielles • Rapport sur les provisions techniques • Droit de regard sur les documents de l'auditeur Auditeur interne Collaboration Contrôle du respect des processus opérationnels Communication, échange d'informations, collaboration

18. 2. Place dans l'organisation2.5. Auditeur interne et commissaire agréé • Commissaire agréé • Contrôleur externe • Donne, dans son rapport, son appréciation de l'organisation administrative et comptable et du contrôle interne • Droit de regard sur les documents de l'auditeur • Auditeur interne • Rôle de contrôleur interne • Contrôle l'efficience et l’efficacité du contrôle interne • Informe le commissaire agréé Auditeur interne Collaboration Contrôle externe Communication, échange d'informations, collaboration, contrôle

19. Structure de la présentation3e partie • Circulaire CPP-2007-2-LIRP (art. 77 LIRP) • Place dans l'organisation • Exercice de la mission • Attentes de la CBFA

20. 3. Exercice de la mission3.1. Portée de la mission • Examen et évaluation de toutes les activités • Adéquation du contrôle interne, respect des responsabilités assignées • Respect des politiques, maîtrise des risques • Fiabilité de l’information • Continuité • Fonctionnement des services administratifs • Services sous-traités • Statut légal de contrôle

21. 3. Exercice de la mission3.2. Planification, exécution • Établissement d’un plan d’audit documenté • Analyse des risques • Objectifs et portée • Plan pluriannuel, cycle d'audit • Moyens requis • Examen et évaluation de l’information disponible • Documentation des travaux

22. 3. Exercice de la mission3.2. Exécution : types d'audit • Audit financier : comptabilité et comptes annuels • Audit de conformité/ compliance : procédures et processus visant le respect de la législation et des politiques internes • Audit opérationnel : qualité et adéquation des systèmes et procédures, des structures d’organisation et des méthodes et moyens utilisés par rapport aux objectifs fixés • Audit de management : fonction de management

23. 3. Exercice de la mission3.3. Rapport • Rapport écrit sur constatations et recommandations • Pour chaque mission (audité et OO) • Annuellement (OO compétent) • Contenu : • Constatations et recommandations de l'auditeur avec indication de leur importance relative • Réaction de l'audité • Points sur lesquels il existe un consensus

24. 3. Exercice de la mission3.4. Suivi • OO compétent • Désignation des personnes responsables du suivi des recommandations • Calendrier • Auditeur • Vérifie régulièrement si ses recommandations ont été suivies • Fait rapport à l'OO compétent • CA • Dans le cadre de sa mission de surveillance

25. Structure de la présentation- partie 4 Quelles sont les attentes de la CBFA en matière d'audit interne auprès des IRP Cas particulier de la sous-traitance Quelques références utiles

26. 4.1. Attentes de la CBFA en matière d'audit interne • Audit : • "Processus méthodique indépendant documenté permettant d'obtenir des preuves d'audit et de les évaluer de manière objective pour déterminer dans quelle mesure les critères d'audit sont satisfaits" • Attention particulière pour: • Charte d'audit • Univers d'audit • Evaluation des risques • Plan d'audit • Principe de proportionnalité

27. 4.1. Attentes de la CBFA en matière d'audit interne Quelques exemples

28. 4.1. Attentes de la CBFA en matière d'audit interne Quelques exemples

29. Structure de la présentation- partie 4 Quelles sont les attentes de la CBFA en matière d'audit interne auprès des IRP Cas particulier de la sous-traitance Quelques références utiles

30. 4.2. Sous-traitance CPP-2007-2: "La sous-traitance peut porter notamment sur des fonctions administratives et financières (comptabilité, gestion actif-passif, gestion des placements, ...) ou spécialisées (audit interne, compliance, ...)" "La sous-traitance ne diminue en aucune façon la responsabilité des organes de l'IRP, que ce soit envers les affiliés et bénéficiaires, envers l'entreprise d'affiliation ou envers les autorités de contrôle."

31. 4.2. Sous-traitance • Référence au principe n°7 + Audit du process de l'activité sous-traitée, comme si elle était effectuée en interne • Par exemple: • Politique d'outsourcing • Existe-t-il une politique relative à la sous-traitance? • Cette politique est-elle approuvée par le conseil d'administration? • Cette politique définit-elle clairement les critères d'application pour décider de recourir à la sous-traitance? • Contrôle et évaluation des activités sous-traitées ou confiées à des tiers • L'IRP procède-t-elle régulièrement à l'évaluation et au contrôle de la qualité des activités sous-traitées ?

32. 4.2. Sous-traitance • Décision de sous-traiter • Comment la décision de sous-traiter ou de recourir à tiers pour la fourniture de services est-elle prise? • La décision de sous-traiter repose-t-elle sur une analyse approfondie? • description des services ou activités à sous-traiter • effets attendus de la sous-traitance • estimation des coûts et bénéfices • évaluation des risques du projet (financiers, opérationnels, légaux et réputation) • Suivi et gestion des risques par l'IRP

33. 4.2. Sous-traitance • Choix du sous-traitant ou prestataire de services • Eléments examinés ( taille, réputation, coût, ...)? • Le choix est-il opéré avec prudence? • Continuité de la prestation ? • Clauses d'adaptation et de résiliation suffisamment souples pour pouvoir élaborer des solutions de rechange si nécessaire? • Convention écrite • la convention fournit-elle une description claire des responsabilités des deux parties ? • Comment les aspects de continuité y sont-ils abordés ? • Caractère révocable de la sous-traitance? • Intégrité du contrôle interne et externe

34. 4.2. Sous-traitance • Protection • Quels sont les dispositifs de protection qui permettent de préserver à tout moment et de manière efficace la confidentialité et l’intégrité des données relatives aux affiliés et aux bénéficiaires, y compris pendant les échanges avec le commettant et/ou lors des communications externes? • Comment les risques de sécurité, de confidentialité et de réputation sont-ils couverts par le fournisseur de service externe?

35. 4.2. Sous-traitance - SAS70 (ou autres certifications) • Dans le chef du sous-traitant • Eliminer ou réduire les audits répétés • permet de bâtir la confiance du sous-traitant • permet au sous-traitant d'avoir ses politiques et procédures de contrôle évaluées et testées par une partie indépendante • Amélioration des processus • Outil marketing auprès de certains clients Dans le chef de l'IRP fournit de l'information pour évaluer l'environnement de contrôle général de l'IRP permet d'obtenir une assurance sur la sensibilité du sous-traitant et de ses prestations quant aux notions de contrôle maîtrise des frais d'audit permet de répondre partiellement aux préoccupations des 11 principes de la circulaire CPP-2007-2

36. Structure de la présentation- partie 4 Quelles sont les attentes de la CBFA en matière d'audit interne auprès des IRP Cas particulier de la sous-traitance Quelques références utiles

37. 4. Quelques références utiles • COSO • Cobit • ERM • ... • http://www.theiia.org/ • http://www.iiabel.be/ • http://www.ifaci.com/ • ...

38. 4. Quelques références utiles • Attribute Standards - quelques exemples : • 1000 – Purpose, Authority, and Responsibility • 1100 – Independence and Objectivity • 1200 – Proficiency and Due Professional Care • 1300 – Quality Assurance and Improvement Program • Performance Standards - quelques exemples : • 2000 – Managing the Internal Audit Activity • 2100 – Nature of Work • 2200 – Engagement Planning • 2300 – Performing the Engagement • 2400 – Communicating Results • 2500 – Monitoring Progress • 2600 – Management’s Acceptance of Risks

39. 4. Quelques références utiles • Sample Practice Advisories - quelques exemples : • Practice Advisory 2100-2: Information Security • Practice Advisory 2130-1: Role of the Internal Audit Activity and Internal Auditor in the Ethical Culture of an Organization • Practice Advisory 2120.A4-1: Control Criteria • Practice Advisory 2310-1: Identifying Information • Practice Advisory 2320-1: Analysis and Evaluation • Practice Advisory 2330-1: Recording Information