Comité d'audit et des risques : missions, composition et fonctionnement

Un comité d'audit et des risques est une émanation du conseil d'administration ou de surveillance, composée de quelques-uns de ses membres, chargée de préparer les travaux du conseil sur les comptes, le contrôle interne, la cartographie des risques et le suivi des commissaires aux comptes. Il ne décide pas à la place du conseil et n'a pas de pouvoir de direction : il examine, interroge, alerte et rend compte en séance plénière. Cet article explique ce que dit le code de commerce sur la composition du conseil dont ce comité est issu, ce que recommandent les codes de gouvernance sur le comité d'audit lui-même, comment il fonctionne concrètement dans une PME ou une ETI non cotée, et les erreurs qui en réduisent l'utilité. Le panorama complet se trouve dans le guide de la gouvernance d'entreprise.

Comité d'audit et des risques : définition

Le comité d'audit, parfois élargi en comité d'audit et des risques, est un comité spécialisé du conseil d'administration. Il réunit un petit nombre d'administrateurs désignés par le conseil pour approfondir, avant la séance plénière, les sujets techniques liés aux comptes, à l'information financière, au contrôle interne et à l'exposition de l'entreprise aux risques opérationnels, financiers, juridiques ou de conformité. Il formule des avis, pose des questions aux dirigeants et aux commissaires aux comptes, et restitue ses travaux au conseil, qui reste seul compétent pour délibérer et décider. Dans une entreprise de taille moyenne, le comité d'audit et le comité des risques sont souvent fusionnés en une seule instance, faute d'un nombre d'administrateurs suffisant pour alimenter deux comités distincts.

Cette distinction entre préparation et décision est centrale. Le comité ne se substitue jamais au conseil d'administration et encore moins à la direction générale, qui reste seule investie des pouvoirs les plus étendus pour agir au nom de la société, conformément à l'article L225-56 du code de commerce. Le comité d'audit et des risques éclaire le conseil, il ne gouverne pas à sa place.

Que dit le code de commerce sur le comité d'audit

Le code de commerce n'organise pas, pour toute société anonyme, un comité d'audit obligatoire et détaillé article par article dans le droit commun des PME et des ETI non cotées. Ce qu'il fixe précisément, c'est la composition du conseil d'administration dont le comité est issu : l'article L225-17 dispose que la société anonyme est administrée par un conseil d'administration composé de trois membres au moins, les statuts fixant le nombre maximum sans qu'il puisse dépasser dix-huit. Un administrateur ne peut par ailleurs exercer simultanément plus de cinq mandats d'administrateur de sociétés anonymes ayant leur siège en France, en application de l'article L225-21. Ces deux règles encadrent indirectement le comité d'audit, puisque ses membres sont nécessairement choisis parmi les administrateurs du conseil et doivent respecter ces mêmes limites de mandats.

Pour certaines sociétés, en particulier celles qui relèvent de qualifications spécifiques liées à leur cotation ou à leur statut, le code de commerce prévoit l'existence d'un comité spécialisé chargé notamment du suivi de l'élaboration de l'information financière et du dialogue avec les commissaires aux comptes. Les textes précis applicables et leur champ d'exercice varient selon la taille, la cotation et le secteur de la société, et méritent d'être vérifiés au cas par cas avant toute mise en conformité : une PME ou une ETI non cotée n'est pas placée dans la même situation qu'une société cotée. Pour une entreprise qui n'entre dans aucune de ces catégories, la création d'un comité d'audit et des risques relève avant tout d'un choix de gouvernance, encouragé par les codes de référence plutôt qu'imposé par une disposition générale du code de commerce.

La doctrine de l'Autorité des marchés financiers illustre cette logique de recommandation : la recommandation AMF DOC-2012-02 regroupe l'ensemble des recommandations applicables aux sociétés qui déclarent se référer au code Afep-Medef, consolidant depuis 2009 les positions de l'AMF sur le gouvernement d'entreprise. C'est dans ce registre de la recommandation, et non de l'obligation légale générale, que se situe la plupart des préconisations relatives au comité d'audit pour les sociétés non cotées.

Composition du comité d'audit et des risques

Le comité d'audit et des risques est composé d'administrateurs désignés par le conseil, en nombre restreint par rapport à l'effectif total du conseil. Dans une PME ou une ETI, avec un conseil de trois à dix-huit membres selon l'article L225-17, il n'est pas rare que le comité réunisse trois à cinq administrateurs, parmi lesquels figure si possible un administrateur indépendant disposant d'une compétence financière ou comptable. Cette recherche d'indépendance et d'expertise financière correspond à ce que recommandent les codes de gouvernance, sans qu'il s'agisse d'une obligation légale générale pour toute société anonyme non cotée.

Chaque membre du comité reste soumis aux mêmes règles que tout administrateur : il ne peut cumuler plus de cinq mandats d'administrateur de sociétés anonymes françaises (article L225-21), et il demeure tenu aux mêmes devoirs de loyauté et de confidentialité que les autres membres du conseil. La présidence du comité est en général confiée à un administrateur qui n'exerce pas de fonction exécutive dans la société, afin de préserver la capacité du comité à interroger la direction sans conflit d'intérêts. Le choix d'un président expérimenté sur les sujets comptables ou de contrôle interne conditionne souvent la qualité des échanges en séance.

Pour approfondir la question des critères d'indépendance applicables à ces membres, l'article sur l'administrateur indépendant, son rôle et ses responsabilités détaille ce que recouvre cette notion en l'absence de définition légale unique.

Missions du comité d'audit : comptes, contrôle interne, risques

Les missions du comité d'audit et des risques s'organisent en général autour de trois blocs. Le premier concerne l'information comptable et financière : examen des comptes avant leur présentation au conseil, échanges avec les commissaires aux comptes sur les options retenues, suivi des points sensibles de la clôture. Le deuxième bloc porte sur le contrôle interne, c'est-à-dire l'ensemble des dispositifs mis en place par les dirigeants pour maîtriser les activités de l'entreprise et fournir une assurance raisonnable sur la fiabilité de l'information produite. Le troisième bloc concerne les risques au sens large : identification, hiérarchisation et suivi des risques opérationnels, financiers, juridiques ou de conformité susceptibles d'empêcher l'entreprise d'atteindre ses objectifs.

La cartographie des risques est l'outil central de ce troisième bloc. Elle consiste à recenser les risques et à les synthétiser sur un document qui les situe en tenant compte de l'impact en cas de survenance et de la fréquence de réalisation, selon la définition qu'en donne l'encyclopédie Wikipédia. Cet outil n'est pas en soi une obligation légale autonome pour toute société : il est la méthode la plus courante pour nourrir les travaux du comité d'audit et des risques, qui en examine les résultats et en discute la priorisation avec la direction.

Lorsque l'entreprise est soumise à un dispositif de prévention de la corruption au titre de l'article 17 de la loi dite Sapin II, le comité d'audit et des risques est le relais naturel au sein du conseil pour suivre la mise en œuvre des trois piliers et des huit mesures obligatoires que ce texte impose aux entreprises concernées, sous le contrôle de l'Agence française anticorruption. Il ne se substitue pas à la direction dans l'exécution de ce dispositif, mais il en vérifie l'existence et l'effectivité pour le compte du conseil.

Comité d'audit et audit interne : qui fait quoi

La confusion la plus fréquente consiste à mélanger le comité d'audit, organe de supervision issu du conseil, et l'audit interne, qui est une fonction opérationnelle de l'entreprise. L'audit interne est une activité qui dépend hiérarchiquement du chef de l'organisation et fonctionnellement du comité d'audit, émanation du conseil d'administration, selon la description qu'en fait l'encyclopédie Wikipédia. En pratique, le directeur de l'audit interne exécute un plan de travail annuel, qui doit être discuté avec les équipes auditées mais reste soumis à l'approbation du seul comité d'audit. Le comité d'audit a vocation à disposer d'une compétence exclusive sur l'embauche, le licenciement, la rémunération, l'évaluation et l'avancement du directeur de l'audit interne, afin de garantir son indépendance vis-à-vis des directions qu'il contrôle.

Cette architecture a une conséquence pratique directe pour une PME ou une ETI : si l'entreprise dispose d'une fonction d'audit interne, même réduite à une personne, c'est au comité d'audit du conseil qu'elle doit rendre compte, et non à la direction générale seule. Le directeur de l'audit interne devrait faire un rapport au comité d'audit à chaque réunion ordinaire de ce dernier, et si nécessaire au conseil d'administration lui-même. Cette ligne de reporting protège l'audit interne des pressions de court terme et permet au comité de disposer d'une source d'information indépendante de la direction, distincte des explications fournies en séance par les dirigeants opérationnels.

Dans les entreprises qui n'ont pas de fonction d'audit interne dédiée, le comité d'audit et des risques s'appuie davantage sur les commissaires aux comptes, sur les constats de la direction financière et sur des revues ponctuelles commandées à l'occasion de sujets précis. L'absence d'audit interne ne dispense pas le comité de ses missions, elle en modifie seulement les moyens.

Fonctionnement en séance du comité d'audit et des risques

Le comité d'audit et des risques se réunit en amont des séances du conseil qui doivent statuer sur les comptes ou sur un sujet relevant de sa compétence. Son président ou un rapporteur désigné restitue les travaux du comité devant le conseil plénier, en général sous la forme d'une synthèse orale complétée d'un support écrit. Cette articulation suppose un calendrier organisé : convocation suffisamment en amont, documents transmis avant la réunion, ordre du jour resserré sur les points à trancher plutôt que sur un exposé exhaustif.

Les échanges du comité gagnent à rester factuels : constats, écarts par rapport au budget ou aux prévisions, points de vigilance signalés par les commissaires aux comptes, suivi des actions correctrices décidées lors de la réunion précédente. Un comité qui se contente d'écouter une présentation de la direction sans poser de questions ni demander de pièces justificatives perd l'essentiel de son utilité. À l'inverse, un comité qui entre dans une gestion opérationnelle, en négociant directement avec un fournisseur ou en validant lui-même une procédure, sort de son rôle de supervision et brouille la frontière avec la direction générale.

La qualité du secrétariat du comité, souvent assurée par la même personne qui tient le secrétariat du conseil, conditionne la traçabilité des travaux : comptes rendus précis, suivi des recommandations d'une réunion à l'autre, archivage des documents examinés. Pour cadrer ces règles de fonctionnement, beaucoup d'entreprises renvoient au règlement intérieur du conseil d'administration, qui peut préciser la composition, la fréquence et les attributions des comités spécialisés.

Le comité d'audit et des risques est-il obligatoire dans une PME ou une ETI non cotée

Pour la grande majorité des PME et des ETI non cotées, la création d'un comité d'audit et des risques n'est pas une obligation légale générale : c'est une pratique de gouvernance recommandée, notamment par les codes auxquels certaines sociétés choisissent de se référer. Un conseil composé de trois à cinq administrateurs n'a d'ailleurs pas toujours intérêt à créer un comité distinct : le risque est alors de dédoubler les réunions sans gagner en qualité d'examen, puisque les mêmes personnes siègent au conseil et au comité.

La question pertinente n'est donc pas seulement « faut-il un comité d'audit » mais « à partir de quelle taille et de quelle complexité le temps de conseil doit-il être redistribué entre une séance plénière et un comité spécialisé ». Dès que les sujets comptables, de contrôle interne ou de risques deviennent trop volumineux pour être traités utilement en séance plénière, aux côtés des sujets stratégiques, la création d'un comité permet de consacrer un temps dédié à ces questions techniques, avec des administrateurs sensibilisés aux enjeux financiers.

Lorsque la gouvernance de l'entreprise reste légère, une alternative consiste à renforcer le suivi des indicateurs de risque directement dans le tableau de bord présenté au conseil, sans créer de comité formel. L'article sur le tableau de bord d'entreprise pour le conseil détaille cette articulation entre pilotage courant et information du conseil.

Ce qui est une obligation légale et ce qui relève de la recommandation

Erreurs fréquentes autour du comité d'audit et des risques

La première erreur consiste à créer un comité pour cocher une case de gouvernance, sans lui donner de contenu réel : ordre du jour flou, absence de document préparatoire, membres choisis sans lien avec les sujets financiers. Un comité d'audit qui ne fait que reprendre, en plus court, ce qui est déjà présenté en séance plénière n'apporte aucune valeur supplémentaire.

La deuxième erreur tient à l'absence de distinction entre le rôle du comité et celui de la direction. Le comité d'audit et des risques examine, interroge et restitue ; il ne décide pas des choix de gestion et ne doit pas se transformer en organe parallèle qui multiplie les demandes de reporting sans discernement, au risque de surcharger les équipes opérationnelles sans améliorer la qualité de l'information transmise au conseil.

La troisième erreur concerne l'indépendance du directeur de l'audit interne lorsqu'il existe. Si son budget ou son évaluation dépendent uniquement de la direction générale, l'indépendance fonctionnelle vis-à-vis du comité d'audit devient théorique : le comité devrait au minimum donner son avis sur ce budget et sur l'évaluation de cette fonction, pour éviter que le contrôle ne soit progressivement dilué.

La quatrième erreur consiste à ne jamais faire évoluer le périmètre du comité à mesure que l'entreprise grandit. Un comité pensé pour une structure de taille modeste, avec un périmètre de risques limité, doit être revu lorsque l'entreprise se diversifie, ouvre de nouvelles filiales ou devient soumise à des obligations qu'elle ne connaissait pas auparavant, comme le dispositif anticorruption de la loi Sapin II.

Questions fréquentes sur le comité d'audit et des risques

Un comité d'audit et des risques qui fonctionne bien se reconnaît moins à son existence formelle qu'à la qualité des questions posées en séance et à la précision des réponses obtenues. Pour une PME ou une ETI, l'enjeu n'est pas d'imiter la gouvernance d'une grande société cotée, mais de calibrer un dispositif proportionné à la taille du conseil, à la complexité des risques et aux moyens réellement disponibles pour l'alimenter en informations fiables.