Réglementation
Contrôles internes
Les autorités canadiennes de réglementation des valeurs mobilières doivent établir des exigences rigoureuses à l'intention des sociétés ouvertes en matière de contrôles internes.
TIRÉ DU NUMÉRO : JANV.-FÉVR. 2006 | PAR LAWRENCE RICHTER QUINN
Dans le mouvement vers l'instauration de contrôles internes efficaces à l'égard de l'information financière des sociétés ouvertes au Canada, les autorités de réglementation des valeurs mobilières ont examiné attentivement les problèmes de conformité posés par l'adoption de la Loi Sarbanes-Oxley (SOX) aux États-Unis. Le respect de l'article 404 de la SOX, en particulier, s'est révélé onéreux, ce qui préoccupe les deux pays.
Les Autorités canadiennes en valeurs mobilières (ACVM), sauf en Colombie-Britannique, ont proposé les Règlements 52-109, sur l'attestation de l'information présentée dans les documents annuels et intermédiaires des émetteurs, et 52-111, sur le rapport sur le contrôle interne à l'égard de l'information financière, afin d'établir des modes d'observation adaptés au marché canadien. Les dispositions relatives au rapport sur le contrôle interne devaient entrer en vigueur progressivement et s'appliquer aux exercices clos à partir du 30 juin 2006, mais cette échéance a été reportée d'un an.
Entre-temps, les CGA travaillant pour des sociétés canadiennes inscrites à la Securities and Exchange Commission (SEC) dont les titres sont cotés à la Bourse de New York n'ont eu d'autre choix que de se familiariser avec l'article 404, puisqu'elles doivent produire les documents requis par Washington. « C'est un défi pour tous les comptables, compte tenu de la nouveauté des règlements », de l'avis de Bryan Hills, CGA et vice-président de la gestion du risque et des contrôles chez Cygnal Technologies Corp., à Markham (Ontario). « Mais il importe pour les CGA qui travaillent auprès de sociétés ouvertes de bien comprendre ces règlements et les exigences d'attestation par les chefs de la direction ou les directeurs financiers. »
« Très proactive », selon M. Hills, Cygnal a mené deux projets de front. L'un de ces projets vise le respect des exigences relatives à l'attestation de l'information présentée, énoncées dans le Règlement 52-109; l'autre a pour but de préparer la société au Règlement 52-111.
Éviter les pièges
Maints cadres de sociétés ouvertes sont favorables à une réglementation du processus de contrôle interne. « J'estime que cela haussera la qualité, la fiabilité et la rigueur du processus d'information financière, d'expliquer M. Hills, et aura pour effet d'améliorer les principes de contrôle interne et de rehausser la réputation des marchés canadiens, deux atouts extrêmement importants. »
Certains cadres craignent néanmoins que le Canada ne produise guère plus qu'une copie de l'article 404. Plusieurs cadres financiers croient que les sociétés des États-Unis, dans leur empressement à observer l'article 404, ont exagéré et ont donc obtenu de piètres résultats. Conséquence :l'article 404,dans sa version actuelle, est encombrant, lourd et d'application onéreuse.
« La façon dont maintes sociétés des États-Unis ont appliqué l'article 404 est un fiasco total », déplore Peter Welch, président de Sox International Inc., cabinet conseil de Washington (D.C.). « Quantité d'erreurs auraient pu être évitées; malheureusement, les conséquences juridiques d'un rapport erroné sur les contrôles internes sont si graves que tous ont remué ciel et terre, vérifiant et revérifiant chaque contrôle. Un extraordinaire gaspillage. Heureusement, les Canadiens peuvent en tirer une leçon et éviter de commettre les mêmes erreurs. »
En matière de réglementation, Trudy Curran, avocate-conseil et secrétaire générale de Canadian Oil Sands Trust, à Calgary, privilégie une optique davantage axée sur les principes et qui n'entraîne pas l'analyse de chaque cas ou scénario se présentant dans l'entreprise. C'est plutôt l'intention de la réglementation qui devrait en constituer le pivot — sans excès de règles et d'exigences. « Mettre les points sur tous les “i” comme l'exige actuellement la SOX entraîne des coûts importants. Cette méticulosité n'a pas de raison d'être et n'améliore pas le produit. »
D'autres acquiescent. « Je crois que l'adoption de contrôles internes efficaces pour augmenter la fiabilité des états financiers publiés et la confiance des actionnaires présente un avantage certain », déclare Robert McColm, CGA, directeur du contrôle interne à l'Aecon Group Inc. de Toronto, première société cotée de construction et de développement d'infrastructures en importance au Canada. « La réglementation canadienne est actuellement similaire à la SOX; ce qui importe, toutefois, c'est que nous ayons le temps d'ajuster le tir. »
En fait, les ACVM ont veillé à recueillir l'opinion des cadres financiers; en mai dernier, elles ont instamment sollicité des commentaires sur le Règlement 52-111. Conséquence : à la fin de juillet, elles repoussaient d'une année complète l'échéance initiale de la conformité, au 30 juin 2007.
Entre-temps, aux États-Unis, les « clarifications » récemment apportées sur l'article 404 n'améliorent rien : d'une part, la SEC affirme qu'il n'est pas nécessaire que les vérificateurs soient aussi exigeants pour chacun des contrôles vérifiés et testés; d'autre part, le Public Company Accounting Oversight Board (PCAOB) semble diverger d'opinion, déclarant que les vérificateurs externes peuvent être moins minutieux, mais...
« En gros, la SEC semble dire que les vérificateurs externes devraient être plus modérés [quant à leurs exigences à l'égard des clients en matière de contrôles], tandis que le PCAOB déclare : “D'accord, mais vous devez néanmoins respecter toutes nos règles” — qui ne sont pas particulièrement modérées », explique Tim Leech, conseiller principal et directeur de la méthodologie chez Paisley Consulting, cabinet de Mississauga spécialisé dans la gestion des risques opérationnels, la SOX et autres questions de conformité.
Les problèmes soulevés par l'article 404
Les conseillers comme M. Leech, coauteur d'un nouvel ouvrage sur la SOX et les problèmes connexes intitulé Sarbanes-Oxley: A Practical Guide to Implementation Challenges and Global Response, recommandent aux comptables de se familiariser avec les difficultés associées à la mise en application de l'article 404 et d'envisager la mise en œuvre de la Règle 52-111 en conjugaison avec un projet global de gestion du risque d'entreprise. De fait, un nombre croissant de sociétés canadiennes s'inspirent des modèles « descendants » du Committee of Sponsoring Organizations (COSO). Robert McColm et Bryan Hills utilisent tous deux le COSO 92, un modèle de contrôle financier adaptable à la gestion du risque d'entreprise; ils connaissent le modèle plus récent COSO ERM, proposé au cours des 18 derniers mois, qu'ils entendent étudier aussi.
Heureusement pour les sociétés canadiennes, presque toutes les erreurs, décrites ci-après, qu'ont commis les sociétés des États-Unis peuvent être évitées.
- L'abus de contrôle.
Aux États-Unis, les sociétés ont sorti l'artillerie pour mettre en place et tester le moindre des contrôles, même le plus anodin. « Les sociétés ont aveuglément tenté de respecter la lettre de la loi plutôt que son esprit, simplement pour parer les problèmes juridiques ou éviter de se tromper », affirme M. Welch.
- Trop souvent, les sociétés des États-Unis ont laissé à des conseillers externes le soin de concevoir leur mode d'observation de l'article 404, sans solliciter suffisamment l'intervention de leurs cadres financiers à plein temps.
« Quantité de sociétés américaines ignoraient comment réagir et, dans leur précipitation, ont demandé à des cabinets externes de s'en charger », de dire John Fraser, CA, directeur de la gestion des risques chez Hydro One, à Toronto. « Par conséquent, explique-t-il, les cadres opérationnels n'ont pas contribué au programme et les vérificateurs internes ont été détournés de leur tâche pour examiner les travaux de l'extérieur afin de s'assurer que les diagrammes d'acheminement et les évaluations avaient été réalisés de manière appropriée. »
Thomas C. Jones, CPA, conseiller d'Andover (Massachusetts), spécialiste de la SOX, ayant travaillé avec des filiales canadiennes de sociétés des États-Unis, affirme que ces dernières « ont embauché des gens inexpérimentés en matière de risque lié à l'information financière et leur ont confié la mise en place de leur programme. »
- Bien des sociétés américaines n'ont pas conçu leur réponse à l'article 404 en songeant aux problèmes de gestion du risque dans leur ensemble — et, à la différence des sociétés canadiennes, elles ont souvent négligé d'établir un programme global de gestion du risque d'entreprise.
Les cadres canadiens comme MM. McColm et Hills s'entendent sur la nécessité d'envisager le risque d'entreprise et l'instauration de contrôles financiers dans une perspective « descendante ». M. McColm fait remarquer : « J'aimerais que l'on utilise davantage une méthode descendante fondée sur le risque — en somme, que l'on se concentre sur les risques importants. Aux États-Unis, les sociétés ont dû approfondir une foule de détails en peu de temps, mais nous nous concentrons ici sur le ton général. »
- Les sociétés des États-Unis continuent d'envisager l'article 404 comme une corvée que leur impose Washington plutôt que comme une occasion de créer de la valeur pour les actionnaires et de susciter leur confiance.
« Les sociétés abordent la tâche de cette façon et créent un groupe de travail, utilisant une liste de pointage pour contrôler la conformité », explique James Lam, auteur d'Enterprise Risk Management: From Incentives to Controls et président et chef de la direction de James Lam & Associates à Wellesley (Massachusetts), cabinet conseil en gestion du risque d'entreprise. « Elles n'envisagent pas l'article 404 dans le cadre de la gestion du risque d'entreprise et, par conséquent, elles ne voient pas la forêt derrière les arbres. »
« Certains comptables ont assumé un rôle de leadership à cet égard, mais leur intervention doit être coordonnée avec celle d'un responsable du risque opérationnel et de la vérification, poursuit M. Lam, faute de quoi il y aura de nombreux cas de chevauchement et de gaspillage. Il faut établir un processus automatisé pouvant être répété plutôt que d'externaliser la fonction. Cette démarche fait partie d'un processus global de gestion du risque dans lequel les coûts de la conformité sont transformés en avantages pour l'entreprise. »
- Dans les entreprises des États-Unis, on n'a pas modifié les mentalités relativement au contrôle interne de manière que tous les intéressés se sentent responsables du programme.
On n'a pas instillé l'orientation risque et rétribution — et la volonté de prendre part au processus de contrôle — dans les sociétés américaines. La tendance veut « que l'on examine tout mais que l'on ne tienne aucun compte de la dimension risque », affirme M. Welch.« Si vous examinez les flux internes — une chaîne d'approvisionnement ou un flux de production —, peu importe où ils se situent, toute personne travaillant dans cette unité organisationnelle doit savoir d'où viennent les données et connaître le traitement auquel elles sont soumises à l'intérieur de l'organisation.
« Cette information est importante. Certains employés manquent d'intérêt ou de connaissances relativement à la provenance de
ces données. Or, dans l'ignorance, il est impossible de vérifier les
données », d'expliquer M. Welch.
- Les systèmes de TI présentent de graves lacunes.
« Avant la SOX, seul un pourcentage relativement faible de sociétés cotées avaient investi dans des systèmes de TI pour faciliter l'évaluation et le suivi constants et rentables de la gestion du risque et des systèmes de contrôle interne », précise M. Leech dans son prochain ouvrage. « Très peu des systèmes existants, s'il en est, assurent le suivi et produisent de l'information sur le coefficient d'erreurs découlant du système — autrement dit, sur le nombre et l'ampleur des erreurs comptables décelées par la direction et les vérificateurs internes et externes. Des sondages non officiels révèlent qu'une mince fraction de sociétés ont suivi systématiquement la fréquence et l'ampleur des erreurs comptables, décelées par les vérificateurs externes durant leur travail de vérification, qui ont entraîné l'ajustement des comptes. Les erreurs relevées peuvent offrir un excellent point de départ pour déterminer les lacunes des systèmes de contrôle. »
Tout n'est pas terminé
Ces multiples problèmes laissent croire que les ACVM ont probablement fait preuve de sagesse en repoussant d'un an la date d'entrée en vigueur du Règlement. Les CGA clairvoyants comme M. McColm poursuivent leurs efforts. En collaboration avec PricewaterhouseCoopers, M. McColm a lancé cette année un programme pilote visant l'application du Règlement 52-111, dans l'une de ses unités organisationnelles; l'emploi de la méthode de gestion du risque d'entreprise du COSO progresse. En somme, l'amélioration des processus d'information financière d'une société n'est pas seulement un travail de conformité, mais une occasion d'excellence opérationnelle, conclut-il.
[ Haut de la page ]
Lawrence Richter Quinn est président de Quinn Risk Management Media. Il travaille actuellement à la rédaction de textes sur des projets de gestion du risque d'entreprise de sociétés canadiennes et reçoit avec intérêt les commentaires à l'adresse lawrencerichterquinn@hotmail.com.