Les contrôles internes constituent l’une des premières lignes de défense d’une organisation contre la fraude. Lorsqu’ils sont bien conçus et implantés, ils contribuent à prévenir et à détecter la fraude.
Parmi ces contrôles, la ségrégation des tâches joue un rôle particulièrement important. Elle consiste à répartir entre différents intervenants des responsabilités qui, lorsqu’elles sont combinées, pourraient donner à une même personne un contrôle excessif et créer un risque. Par exemple, l’autorisation d’un paiement, son exécution et son enregistrement comptable devraient relever de fonctions distinctes.
Cependant, malgré toute la bonne volonté des entreprises, la ségrégation des tâches, même lorsqu’elle est très bien conçue à l’origine, peut progressivement se détériorer sans que l’on s’en rende nécessairement compte.
Voici cinq causes fréquentes de cette détérioration.
1. Croissance et changement rapides
Lorsqu’une forte rafale fait soudainement accélérer un voilier, on ne commence pas par se demander si la voile a été endommagée. On cherche d’abord à garder le bateau sous contrôle, à stabiliser sa trajectoire et à s’assurer que l’équipage est en sécurité. C’est un peu ce qui se passe lorsqu’une entreprise connaît une croissance rapide, procède à une acquisition ou traverse une réorganisation. L’attention se porte d’abord sur sa capacité à garder le cap, à absorber le changement et à retrouver rapidement un rythme de croisière.
La ségrégation des tâches ne fait alors souvent pas partie des priorités. Ainsi, une personne peut temporairement obtenir des accès supplémentaires ou assumer des responsabilités qui étaient auparavant réparties entre plusieurs employés. Pris individuellement, ces changements peuvent sembler parfaitement raisonnables. Le problème survient lorsqu’ils se prolongent ou se multiplient sans que les contrôles soient réévalués. C’est alors que la ségrégation des tâches peut progressivement se déteriorer.
2. Manque de ressources
Les vacances, les congés de maladie, les congés parentaux, les départs ou les réductions d’effectifs peuvent également fragiliser la ségrégation des tâches. Une absence ne constitue évidemment pas, en elle-même, une défaillance du contrôle. Le problème survient lorsqu’une personne doit temporairement assumer des responsabilités normalement réparties entre plusieurs employés, sans qu’un contrôle compensatoire soit prévu ou appliqué.
Sur papier, la ségrégation des tâches demeure donc intacte. Dans la réalité, certaines responsabilités peuvent cependant se retrouver temporairement entre les mains d’une même personne. Si la situation se prolonge, ce qui devait être une solution temporaire peut alors devenir une nouvelle façon de faire, sans que personne ne prenne le temps de réévaluer le risque.
3. Responsabilités informelles
La situation précédente ne survient toutefois pas uniquement lors d’une absence ou d’un manque de ressources. Les responsabilités peuvent également évoluer de façon informelle dans le cadre des opérations quotidiennes. Dans la réalité, les employés ne se limitent pas toujours aux responsabilités officiellement prévues dans leur description de tâches. Ils peuvent assumer certaines tâches supplémentaires simplement pour aider un collègue qui est débordé ou parce qu’il semble plus efficace qu’ils s’en chargent eux-mêmes.
Le problème est que ces responsabilités informelles ne sont généralement pas prises en compte dans la ségrégation des tâches établie par l’entreprise. Un employé peut donc, sans que cela soit officiellement reconnu, commencer à cumuler des responsabilités qui devraient normalement être séparées. Ces situations ne sont d’ailleurs pas toujours communiquées à la direction. Il devient alors difficile d’identifier le risque et, par conséquent, de mettre en place un contrôle compensatoire.
Encore une fois, rien de tout cela ne signifie nécessairement qu’un employé agit de mauvaise foi. Le risque vient du fait que la réalité opérationnelle peut progressivement s’éloigner de la structure de contrôle qui avait initialement été conçue.
4. Changements et délégation d’accès
Lorsqu’un poste ou le rôle d’un employé change, ses accès informatiques doivent généralement être ajustés en conséquence. Pensons à un transfert de service ou de département. Les nouvelles responsabilités peuvent nécessiter de nouveaux accès, mais l’entreprise doit également s’assurer que les anciens accès, qui ne sont plus requis, soient retirés. C’est souvent là qu’une zone grise apparaît. Certains accès antérieurs peuvent ne présenter aucun risque immédiat, mais leur maintien peut tout de même créer une incompatibilité avec les responsabilités nouvellement attribuées à l’employé.
La même situation peut se produire avec une délégation temporaire de droits ou de privilèges dans un système informatique. Par exemple, en l’absence d’un directeur, un employé peut se voir temporairement accorder des droits lui permettant d’approuver des dépenses à un niveau supérieur à celui prévu par son poste. Si ces droits ne sont pas retirés au retour du directeur, un accès qui devait être temporaire devient permanent, parfois sans que personne ne s’en rende compte.
J’ai déjà rencontré une situation de ce type. Une délégation temporaire n’avait pas été retirée au retour du gestionnaire parce que le système informatique utilisé ne permettait pas d’automatiser la fin de cette délégation. Cette délégation devait être retirée manuellement, ce qui n’était pas toujours fait. Bien qu’un contrôle compensatoire ait été mis en place durant l’absence du gestionnaire, celui-ci avait cessé d’être appliqué à son retour. L’employé qui s’était vu confier ces privilèges a donc commencé à les utiliser à des fins personnelles, quelques semaines suivant le retour du gestionnaire, et ce pendant une longue période avant que la situation ne soit découverte, ironiquement pendant les vacances de l’employé.
Une situation encore plus problématique survient lorsqu’un employé partage son identifiant et son mot de passe avec un collègue. Dans ce cas, il devient non seulement possible de contourner certains contrôles, mais également beaucoup plus difficile de déterminer qui a réellement effectué une opération.
5. Efficacité et confiance
Certaines décisions sont prises avec de bonnes intentions, comme celle de gagner du temps, de simplifier un processus ou de permettre à un employé de travailler plus efficacement. C’est souvent à ce moment que la ligne commence à se brouiller. On accorde donc informellement un privilège supplémentaire ou on permet à quelqu’un d’assumer une responsabilité qui devrait normalement relever d’une autre personne. On se dit que le risque est faible, que ce n’est que temporaire ou que la personne concernée est digne de confiance.
Avec le temps, une exception devient une habitude, et les habitudes deviennent une pratique qui érode tranquillement la ségrégation des tâches.
Vous n’imaginez pas le nombre de fois où j’ai entendu: « Je n’aurais jamais imaginé qu’il serait capable de faire une telle chose » ou « Je lui faisais confiance comme à ma propre fille ».
La confiance n’est malheureusement pas un contrôle interne.
Il n’y a rien de mauvais à vouloir améliorer l’efficacité d’un processus ou à accorder davantage de responsabilités à un employé. Mais lorsqu’une exception à la ségrégation des tâches est nécessaire, le risque qu’elle crée devrait être évalué au moment où elle est mise en place, et non seulement après qu’un problème soit survenu.
En conclusion
La ségrégation des tâches n’est pas un contrôle que l’on peut simplement concevoir une fois et considérer comme réglé. Une organisation évolue, les responsabilités changent, les employés se remplacent, les accès sont modifiés et de nouvelles façons de faire apparaissent. Ce sont souvent ces petits changements, pris individuellement et sans conséquence apparente, qui finissent par éroder un contrôle pourtant bien conçu à l’origine.
La ségrégation des tâches doit donc être considérée comme un contrôle dynamique, qui doit évoluer au même rythme que l’organisation.