Contrôle interne en PME : les garde-fous

C’est quoi le contrôle interne en PME, vraiment ?

Dans une grande entreprise, le contrôle interne occupe une direction entière. En revanche, dans une structure de vingt personnes, il tient sur une page. En effet, le principe reste identique : aucune opération sensible ne doit reposer sur une seule paire d’yeux.

Concrètement, une opération sensible engage de l’argent, un délai ou une responsabilité légale. Par exemple : une commande, une réception, une facture fournisseur, un virement, une attestation technique. Dès lors que la même personne maîtrise la chaîne complète, le risque devient structurel. Autrement dit, il ne s’agit plus de confiance, mais de conception.

Un test simple situe votre niveau réel. Si la personne qui gère la comptabilité part une semaine, qui s’apercevrait qu’une facture a été réglée deux fois ? Si la réponse est « personne avant le relevé bancaire », alors le dispositif n’existe pas encore.

Pourquoi ça devrait vous empêcher de dormir ?

• La fraude interne ne vise pas les grandes entreprises en priorité. Au contraire, elle vise les organisations où une seule personne détient l’accès, l’information et la validation. Or une PME coche souvent les trois cases.
• L’erreur coûte généralement plus cher que la fraude. Un double paiement, une TVA mal ventilée, une facture oubliée : ces écarts passent sous le radar, puisque aucun rapprochement systématique ne les relève.
• Le dirigeant découvre toujours trop tard. En règle générale, l’alerte arrive par un tiers : la banque, un fournisseur, un contrôle fiscal. À ce stade, la discussion porte sur la réparation, pas sur la prévention.
• L’absence de garde-fous bloque la transmission. De fait, un repreneur qui ne trouve aucune trace de validation applique une décote. Autrement dit, votre valorisation paie l’addition.

Comment on installe un contrôle interne en PME

Le dispositif se construit autour de quatre garde-fous qui s’enchaînent sur le même flux. Chacun coûte quelques minutes par semaine, plutôt qu’un poste supplémentaire.

• Premier garde-fou : la séparation des tâches. Celui qui commande ne réceptionne pas ; ensuite, celui qui réceptionne ne paie pas. Avec trois personnes, la règle tient debout.
• Deuxième garde-fou : le double regard sur les engagements. Au-delà d’un seuil que vous fixez vous-même, une deuxième signature devient obligatoire. Toutefois, le seuil compte moins que son application sans exception.
• Troisième garde-fou : le rapprochement régulier. Chaque mois, les commandes, les réceptions et les factures sont confrontées. Ainsi, un écart apparaît en trente jours, pas en trois ans.
• Quatrième garde-fou : la trace écrite. Une validation laisse une preuve datée, même sous forme d’un tampon numérique. Sans trace, en effet, aucun contrôle n’est démontrable.

En résumé, un contrôle interne en PME efficace repose sur quatre règles courtes appliquées systématiquement, plutôt que sur vingt procédures appliquées de temps en temps.

Un cas réel

(anonymisé)

Une entreprise d’installation photovoltaïque d’une vingtaine de salariés confiait à son dirigeant technique la signature des attestations remises aux organismes certificateurs. Cependant, aucun contre-contrôle ne reliait le planning des chantiers aux documents signés. Pendant plus d’un an, des attestations ont couvert des installations que le signataire n’avait pas supervisées, puisqu’il se trouvait à l’étranger aux dates concernées. Par la suite, la justice est intervenue et l’accréditation a été retirée. Or un rapprochement mensuel entre planning et attestations aurait bloqué l’opération dès le deuxième mois.

Par où commencer ?

1. D’abord, listez vos cinq opérations les plus sensibles, celles qui engagent de l’argent ou une responsabilité légale.
2. Ensuite, notez pour chacune qui demande, qui valide, qui exécute et qui vérifie. Les cases vides sautent aux yeux.
3. Puis fixez un seuil de double signature réaliste et communiquez-le par écrit.
4. Installez également un rapprochement mensuel d’une heure entre commandes, réceptions et factures.
5. Enfin, consignez vos règles sur une page unique et datez-la. Une page relue vaut mieux qu’un classeur ignoré.

Là où tout le monde se plante

L’erreur la plus fréquente consiste à confondre contrôle interne et défiance envers les équipes. Beaucoup de dirigeants repoussent le sujet, parce qu’ils y voient un message de suspicion. Pourtant, l’effet obtenu est inverse : un collaborateur protégé par un double regard ne porte plus seul une décision contestable. Le contrôle interne relève donc de la conception du système, à l’image des mécanismes décrits dans Gouvernance.

La seconde erreur consiste à acheter un logiciel en espérant qu’il règle la question. Or un outil applique des règles, il ne les invente pas. Tant que la séparation des tâches n’est pas posée, l’ERP reproduira le désordre existant, en plus cher. Commencez donc par la règle ; l’outil viendra ensuite.

Questions fréquentes

1. Le contrôle interne est-il obligatoire dans une PME ?
Aucune obligation générale ne s’impose aux entreprises non cotées. Toutefois, certains secteurs réglementés et certaines certifications imposent des vérifications documentées.

2. Combien de personnes faut-il pour séparer les tâches ?
Trois suffisent dans la majorité des cas. Cependant, avec deux personnes, le dirigeant assure lui-même le second regard sur les paiements.

3. Quel seuil retenir pour la double signature ?
Fixez-le au montant qui vous ferait réagir s’il partait par erreur. Par exemple, entre mille et cinq mille euros dans une PME de vingt salariés.

4. Combien de temps coûte un contrôle interne en PME ?
Comptez une heure de rapprochement mensuel, puis quelques secondes par validation. En effet, l’installation initiale demande rarement plus d’une demi-journée.

5. Par quoi commencer si je n’ai rien aujourd’hui ?
Commencez par le cycle achats, car il concentre l’essentiel du risque financier. Ensuite, les autres cycles se traitent un par trimestre.