Auditeur/trice Questions d'entretien & Réponses

Exemple de réponse

Lors d'un audit des stocks chez un client industriel, j'ai constaté que des stocks à rotation lente d'une valeur de 3,2 M€ n'étaient pas dépréciés conformément à leur politique interne. La direction soutenait que ces articles étaient encore vendables. J'ai extrait les données de ventes sur 24 mois montrant zéro mouvement, comparé leurs catégories de vieillissement aux normes du secteur et référencé les dispositions d'IAS 2 sur la mesure de la valeur nette de réalisation. J'ai présenté mon analyse lors d'une réunion avec le directeur comptable et le directeur financier, en détaillant chaque point. Ils ont reconnu le problème et accepté une dépréciation de 2,4 M€. L'essentiel était de s'appuyer sur des données irréfutables : pas seulement citer la norme, mais montrer que leurs propres chiffres conduisaient à la même conclusion.

Exemple de réponse

Un client présentait un solde important de créances interentreprises avec des conditions inhabituelles : sans intérêt, sans échéance. La direction parlait d'une « avance de trésorerie ». J'ai demandé les justificatifs : approbation du conseil d'administration, convention formelle, preuve de capacité de remboursement. La direction s'est agacée, affirmant que c'était « leur façon de fonctionner ». J'ai maintenu ma position. Quand j'ai finalement reçu les états financiers de la partie liée, ils affichaient des capitaux propres négatifs et aucune capacité de remboursement. Il s'agissait en réalité d'un dividende déguisé, pas d'une créance. Nous l'avons reclassifié, et cette constatation est devenue une déficience significative du contrôle interne. Si j'avais accepté l'explication initiale, nous aurions raté une anomalie significative.

Exemple de réponse

Notre équipe consacrait 120 heures par an aux tests de substance sur les comptes fournisseurs en pointant manuellement un échantillon de factures. J'ai analysé trois ans de données fournisseurs et constaté que 92 % des transactions en volume (mais seulement 40 % en valeur) étaient inférieures à 5 000 € et présentaient historiquement un taux d'erreur quasi nul. J'ai proposé une approche fondée sur les risques : tests de substance complets pour les transactions supérieures à 5 000 € et procédures analytiques pour le reste, complétés par des tests automatisés de rapprochement à trois voies via ACL. L'associé a donné son accord. Nous avons ramené les heures de contrôle fournisseurs de 120 à 55, tout en augmentant la couverture des éléments à risque élevé. Cette approche a été adoptée sur 6 missions similaires dans notre cabinet.

Exemple de réponse

J'ai été affecté à un client dont la directrice administrative rejetait ouvertement le processus d'audit et ne répondait pas aux demandes d'information. Plutôt que d'escalader immédiatement, j'ai demandé un entretien de 30 minutes pour comprendre ses priorités et ses contraintes. Elle était frustrée parce que les équipes d'audit précédentes envoyaient des listes de demandes désorganisées avec des descriptions vagues. J'ai restructuré notre liste de demandes en un tableau de suivi détaillé avec des descriptions précises, des préférences de format et des délais réalistes. J'ai également proposé d'extraire certains éléments directement depuis leur système plutôt que de demander à son équipe de préparer des exports. Le délai de réponse est passé de deux semaines à trois jours. En fin de mission, elle a dit à l'associé que c'était l'audit le plus fluide qu'elle avait connu.

Exemple de réponse

Le risque d'audit est égal au risque inhérent multiplié par le risque lié au contrôle, multiplié par le risque de non-détection. Le risque inhérent représente la vulnérabilité d'une assertion à une anomalie significative en l'absence de contrôles. Les transactions complexes comme les instruments dérivés présentent un risque inhérent plus élevé que les simples comptes de trésorerie. Le risque lié au contrôle est la probabilité que les contrôles internes du client ne préviennent pas ou ne détectent pas une anomalie. Le risque de non-détection est la probabilité que nos procédures d'audit ne détectent pas une anomalie significative. Nous agissons sur le risque de non-détection en modulant la nature, le calendrier et l'étendue de nos procédures. En pratique, j'évalue les risques inhérents et liés au contrôle au niveau de chaque assertion pour chaque compte significatif. Lorsque ces deux risques sont élevés, je fixe un risque de non-détection bas, ce qui implique des tests de substance plus étendus : tailles d'échantillons plus grandes, procédures analytiques plus détaillées et tests proches de la clôture. Cette approche fondée sur les risques concentre l'effort d'audit là où les anomalies sont les plus probables.

Exemple de réponse

Le seuil de signification est le montant au-delà duquel une anomalie pourrait influencer les décisions économiques des utilisateurs des états financiers. Je le détermine à partir d'un indicateur adapté à l'entité : généralement entre 1 et 2 % du chiffre d'affaires total, 5 % du résultat avant impôt ou 1 % du total du bilan. Le choix dépend de l'indicateur auquel les utilisateurs accordent le plus d'importance. Pour une société déficitaire, j'utiliserais le chiffre d'affaires ou le bilan plutôt que le résultat. Je fixe également un seuil de signification opérationnel, généralement entre 50 et 75 % du seuil global, qui sert à planifier les tests sur les comptes individuels. Ce coussin permet de tenir compte des anomalies non détectées. Les anomalies clairement insignifiantes en dessous du seuil minimal ne sont pas cumulées. Le seuil de signification relève du jugement professionnel, pas d'une simple formule : je tiens compte à la fois de la taille quantitative et de facteurs qualitatifs, comme le fait qu'une anomalie masque une tendance ou enfreigne un covenant.

Exemple de réponse

Ce sont trois niveaux de gravité des déficiences du contrôle interne. Une déficience existe lorsqu'un contrôle est mal conçu ou mal appliqué, mais que la probabilité et l'ampleur d'une anomalie potentielle restent faibles. Une déficience importante est plus grave : c'est une déficience, ou combinaison de déficiences, moins grave qu'une faiblesse significative, mais suffisamment importante pour mériter l'attention des responsables de la gouvernance. Une faiblesse significative est une déficience, ou combinaison de déficiences, telle qu'il existe une probabilité raisonnable qu'une anomalie significative ne soit pas prévenue ou détectée en temps opportun. Les faiblesses significatives doivent être communiquées dans le rapport d'audit. La distinction est essentielle : dans une société cotée, une faiblesse significative entraîne des obligations de communication réglementaires (auprès de l'AMF, notamment dans le cadre du rapport sur le contrôle interne prévu par la loi de sécurité financière) et peut affecter le cours boursier et la surveillance réglementaire.

Exemple de réponse

Je sélectionne les contrôles à tester en fonction de mon évaluation des risques : les contrôles clés qui couvrent les risques significatifs sont prioritaires. Pour chaque contrôle, je détermine la nature des tests : les seules demandes d'information sont insuffisantes ; je les combine avec de l'observation, de l'inspection ou la réexécution. Je fixe la taille des échantillons en fonction de la fréquence du contrôle : les contrôles annuels nécessitent de tester la seule occurrence, les contrôles mensuels requièrent un échantillon de plusieurs mois, les contrôles quotidiens exigent des échantillons plus importants (généralement entre 25 et 60 éléments selon la norme). J'évalue chaque écart : s'agit-il d'un cas isolé ou d'un dysfonctionnement systémique ? Je considère les contrôles compensatoires si un contrôle clé échoue. Le calendrier des tests est également important : pour les audits dans le cadre des obligations de rapport sur le contrôle interne, j'ai besoin de preuves que les contrôles ont fonctionné efficacement tout au long de la période de reporting, pas seulement à la clôture. Je documente mes conclusions sur l'efficacité opérationnelle pour chaque contrôle testé.

Exemple de réponse

Je suis un protocole précis. D'abord, je n'interpelle pas directement la direction : cela pourrait entraîner la destruction de preuves. J'informe immédiatement l'associé responsable de la mission, qui détient l'autorité pour définir les prochaines étapes. Nous élargissons nos procédures pour comprendre l'étendue du problème : tests complémentaires, analyse forensique des écritures de journal, examen des transactions avec les parties liées. Nous communiquons avec les responsables de la gouvernance (le comité d'audit) : notre obligation est envers eux, pas envers la direction, lorsqu'une fraude est suspectée. Nous évaluons l'impact sur notre opinion d'audit et nous demandons si nous pouvons poursuivre la mission. Nous pouvons avoir besoin de consulter le conseil juridique sur nos obligations de déclaration. Chaque étape est documentée avec soin. Les normes professionnelles (ISA 240 et NEP 240 en France) fournissent des orientations spécifiques pour répondre aux facteurs de risque de fraude identifiés.

Exemple de réponse

Une renonciation verbale est insuffisante comme élément probant. Je demanderais une documentation écrite de la renonciation auprès du prêteur lui-même, pas de la direction. La direction peut me dire qu'elle dispose d'une renonciation, mais j'ai besoin d'une confirmation d'un tiers. Sans renonciation écrite, la violation du covenant doit être mentionnée dans les états financiers, et la dette peut devoir être reclassée en passifs courants, puisque le prêteur pourrait techniquement exiger le remboursement. J'aborderais les exigences de mention et de classement avec la direction, en référence à IAS 1 et IFRS 9. Si la direction résiste, j'escalade vers l'associé responsable. C'est un scénario courant où la pression de la direction entre en conflit avec la sincérité des états financiers : l'opinion d'audit dépend d'un classement et d'une mention corrects, indépendamment de ce que la direction pense être les intentions du prêteur.

Exemple de réponse

J'aurais une conversation directe et privée pour comprendre ce qui cause le retard. S'agit-il d'un manque de connaissances, d'attentes floues ou d'un problème de périmètre que j'ai sous-estimé ? Je passerais en revue son travail en cours pour évaluer la qualité : parfois, la lenteur reflète une rigueur qui vaut mieux que la rapidité avec des erreurs. S'il manque de connaissances, je prendrais le temps de le guider à travers la méthodologie sur une section, puis je le laisserais l'appliquer de façon autonome pour le reste. Si les attentes n'étaient pas claires, c'est ma responsabilité en tant que senior, et je fournirais un encadrement plus structuré. J'ajusterais le calendrier de la mission si nécessaire et communiquerais tout risque de délai au manager en avance, pas la veille de l'échéance. Développer les membres juniors de l'équipe fait partie du travail : investir dans la formation est plus efficace que de refaire leur travail.

Exemple de réponse

Il s'agit d'une question d'indépendance et d'objectivité que je signalerais immédiatement à l'associé responsable de la mission et à l'équipe indépendance du cabinet. Je documenterais la faiblesse de contrôle de manière objective, comme je le ferais pour n'importe quel client. Mon opinion d'audit ne peut pas être influencée par la relation de conseil du cabinet : cela violerait les exigences d'indépendance prévues par le Code de déontologie de l'IFAC et les règles du H3C en France. L'associé responsable devrait évaluer si la mission de conseil a créé ou contribué à la faiblesse de contrôle, ce qui pourrait constituer une menace d'auto-révision pour l'indépendance. S'il existe un vrai problème d'indépendance, le cabinet pourrait devoir faire appel à une équipe différente pour évaluer ce domaine spécifique, ou dans les cas extrêmes, envisager l'impact sur notre capacité à poursuivre notre mission de commissaire aux comptes. Je documenterais mes constatations sans aucune référence à la mission de conseil et laisserais l'équipe indépendance gérer l'évaluation du conflit.