Jean-Marie Pivard (IFACI) : « Le cyber-risque constitue un risque comme les autres »

Décideurs. Vous avez été réélu président de l’Ifaci (Institut Français de l'Audit et du Contrôle Interne). Quelles sont vos priorités ?

Jean-Marie Pivard. Il s’agit d’une réélection : mes priorités s’inscrivent ainsi dans la continuité de mon précédent mandat. Nous voulons accompagner les évolutions en cours de nos métiers qui s’articulent aujourd’hui autour de deux piliers. D’une part, la conformité (Sapin 2, RGPD, devoir de vigilance…). D’autre part, la performance (l’audit interne doit aider l’entreprise à atteindre ses objectifs). Pour y contribuer, l’Ifaci a mené de nombreuses actions, notamment de modernisation de ses outils à destination de ses adhérents. Ainsi, nous avons lancé une nouvelle formule de notre revue et un nouveau site internet, nous développons la communication digitale…

Mais pas seulement. Nous créons également des groupes de travail, comme celui dédié à la loi Sapin 2. Enfin, nous prenons des initiatives en vue d’augmenter notre nombre d’adhérents. Nous estimons qu’à ce jour nous réunissons environ 20 % de la population de l’audit et du contrôle internes.

Quelle analyse faites-vous de l’évolution des métiers de l’audit et du contrôle interne ?

La profession doit être capable de jongler sur les deux piliers que j’évoquais précédemment, sans se faire phagocyter par l’un ou par l’autre. C’est un vrai travail d’équilibre à mener. En matière d’évolution, beaucoup de facteurs et d’innovations (le big data, le digital, le cyber…) ont un impact sur les risques, les méthodes et les processus métiers. L’époque où l’on prenait 25 factures au hasard pour les contrôler est terminée. Désormais, nos métiers doivent s’adapter.

« L’IA, tout le monde en parle, mais on l’attend encore »

Quid de la visibilité de la profession ?

Le terme « audit » est devenu grand public. Toutefois, la profession n’est pas encore assez connue : il reste du chemin à parcourir. Mais l’audit interne a gagné fortement en visibilité pour deux raisons. La première est d’origine réglementaire avec la présence de cette fonction dans toutes les grandes structures et organisations, mais aussi dans certaines plus petites. La deuxième raison vient du fait de la gouvernance de certaines entreprises détenues par des fonds d’investissement : ces derniers dotent souvent leurs participations d’une fonction d’audit interne.  

Quels impacts anticipez-vous dans l’exercice de votre métier avec l’intelligence artificielle (IA) ?

L’IA, tout le monde en parle, mais on l’attend encore. Selon moi, il existe un premier aspect qui précède l’IA : c’est la robotisation des contrôles, avec la mise en place d’un contrôle permanent. Grâce à cette technologie, on peut imaginer recevoir chaque matin toutes les anomalies repérées par le robot (facture négative, double règlement…). C’est à cela que viendra se greffer une couche d’IA. Aussi, à un horizon de quelques années, 50 % à 70 % des travaux des auditeurs seront automatisés. Cela supposera, pour les auditeurs de développer de nouvelles compétences comme la capacité d’auditer l’IA, de vérifier des algorithmes…

Le cyber-risque reste mal maîtrisé par une majorité d’organisations. Comment les entreprises doivent-elles faire face à ce risque ?

Notre point de vue est que le cyber-risque constitue un risque comme les autres. Il est important, médiatique (quand il y a des crises), mais attention : ce sujet doit être porté par le plus haut de l’entreprise. Les conseils d’administration doivent demander un point tous les ans voire tous les six mois. Sa gestion passe par une cartographie des risques spécifiques qu’il faudra bien identifier. On ne trouve pas les mêmes expositions selon les structures. Plusieurs facteurs influent comme le type d’activité, le canal de vente, la médiatisation du dirigeant… Il faut déployer une organisation interne qui réunit les différentes parties prenantes (direction des systèmes d’information, audit interne…). De plus, il existe un volet important à ne pas négliger : la formation continue des collaborateurs à ces sujets. Enfin, dès qu’une entreprise lance une innovation, elle doit impérativement vérifier et tester que son système est robuste et, également, prévoir des plans de remédiation en cas de problèmes.

Mathieu Marcinkiewicz