Les contrôles financiers dont une petite entreprise a vraiment besoin

Ce qu'est un contrôle, et ce qu'il n'est pas

Un contrôle financier est une étape d'un processus qui rend nettement plus difficile la sortie d'argent ou de marchandises de l'entreprise sans que personne ne s'en aperçoive. La définition s'arrête là. Ce n'est ni une note de procédure, ni une signature sur un formulaire que personne ne lit, ni un logiciel. Les contrôles vivent dans la manière dont le travail se fait réellement : c'est pourquoi ceux qui figurent dans un manuel sans jamais être appliqués ne protègent de rien, tout en entretenant l'illusion confortable du contraire.

Les petites entreprises sont plus exposées que les grandes pour une raison structurelle. Le contrôle repose largement sur l'intervention de plusieurs personnes dans une même opération, et une entreprise qui compte quatre personnes au bureau ne peut pas séparer toutes les tâches. C'est aussi là que les pertes font le plus mal, faute de réserves pour les absorber, et la personne la mieux placée pour détourner de l'argent est généralement celle en qui le dirigeant a le plus confiance. La confiance n'est pas un contrôle. C'est précisément ce qui fait paraître les contrôles inutiles, jusqu'au jour où ils auraient été nécessaires.

L'autre raison d'être des contrôles est moins spectaculaire que la fraude, et bien plus fréquente : l'erreur. Paiements en double, factures jamais émises, marchandises livrées mais jamais facturées, avoirs émis deux fois, écriture passée sur la mauvaise période. Rien de tout cela n'est malhonnête, et tout cela coûte de l'argent bien réel. Un bon dispositif de contrôle détecte les deux, et l'essentiel de ce qu'il détecte sera des erreurs.

L'objectif n'est pas d'éliminer le risque. Il est de limiter la perte due à une défaillance isolée et de la rendre rapidement visible. Un contrôle qui empêcherait tous les problèmes possibles est généralement un contrôle qui empêche l'entreprise de fonctionner, et il sera contourné en moins d'un mois.

Les quatre endroits par où l'argent sort réellement

Plutôt que de partir d'une liste de bonnes pratiques, partez de l'endroit où les pertes surviennent effectivement dans les petites entreprises. Il y en a quatre, et si vos contrôles les couvrent, vous obtenez l'essentiel de la valeur d'un référentiel bien plus lourd.

Remarquez combien de ces cas impliquent un changement de coordonnées bancaires ou un document que personne n'a rapproché de quoi que ce soit. Deux contrôles, vérifier toute modification des coordonnées de paiement par un canal dont vous disposiez déjà, et rapprocher chaque paiement d'un bon de commande et d'un bon de réception, couvrent une large part du risque total. Si vous ne deviez mettre en place que deux choses, ce seraient celles-là.

• Les décaissements. Paiements à des fournisseurs qui n'existent pas, à de vrais fournisseurs pour des biens jamais reçus, vers des coordonnées bancaires modifiées, ou la même facture payée deux fois.
• Les espèces et les encaissements. Ventes au comptant non enregistrées en caisse, règlements clients détournés, avoirs et remboursements émis pour masquer un manque.
• Les stocks et les immobilisations. Marchandises qui disparaissent, livraisons incomplètes signées malgré tout, mises au rebut utilisées pour dissimuler des pertes antérieures.
• La paie. Salariés partis mais toujours payés, heures ou heures supplémentaires gonflées, coordonnées bancaires modifiées sur une fiche salarié.

Séparer les tâches quand on n'est que quatre

La règle classique veut qu'aucune personne ne maîtrise seule une opération de bout en bout : celui qui autorise ne doit pas être celui qui exécute, qui ne doit pas être celui qui enregistre, qui ne doit pas être celui qui détient l'actif. Dans une entreprise de quatre personnes au bureau, appliquer strictement cette règle est impossible. La question utile n'est donc pas de savoir comment atteindre une séparation complète, mais quelles combinaisons précises sont assez dangereuses pour être dissociées.

Trois combinaisons causent l'essentiel des dégâts. D'abord, une même personne qui peut à la fois créer un fournisseur et le payer : elle peut créer un bénéficiaire et lui virer de l'argent. Ensuite, une même personne qui reçoit les règlements clients et les impute au compte client : elle peut encaisser un règlement et passer le solde en perte. Enfin, une même personne qui compte le stock et ajuste les fiches de stock : elle peut sortir des marchandises et corriger les livres en conséquence. Si vous ne dissociez que ces trois combinaisons, vous traitez la majeure partie de l'exposition réaliste.

Lorsqu'une véritable séparation est impossible, le substitut est une revue a posteriori par le dirigeant. C'est ce qu'on appelle un contrôle compensatoire, et il fonctionne à condition d'être réel : le dirigeant examine chaque fournisseur créé dans le mois, chaque avoir au-delà d'un seuil et chaque ajustement de stock, avec assez de régularité pour que le personnel sache que cela se fait. La détection est moins efficace que la prévention, mais un contrôle de détection réellement exercé vaut mieux qu'un contrôle préventif qui n'existe que sur le papier.

Un dernier point, que les dirigeants trouvent souvent inconfortable. La séparation des tâches protège autant le personnel que l'entreprise. Un comptable qui est seul à toucher à la banque n'a aucun moyen de démontrer sa propre honnêteté si quelque chose tourne mal. Présenter les choses ainsi lève généralement la gêne qu'il y a à introduire des contrôles dans une petite équipe soudée.

• Les modifications du fichier fournisseurs doivent être faites par une personne qui ne peut pas libérer de paiements, et chaque modification doit générer une notification que le dirigeant voit.
• La personne qui prépare une campagne de paiements ne doit pas être celle qui l'approuve et la libère.
• La personne qui lettre les encaissements clients ne doit pas pouvoir autoriser un passage en perte ou un avoir.
• La personne qui réalise un inventaire ne doit pas être celle qui passe l'ajustement.
• La personne qui effectue le rapprochement bancaire ne doit pas être celle qui effectue les paiements.
• Les modifications de paie, en particulier les entrées de salariés et les changements de coordonnées bancaires, doivent être approuvées par une personne extérieure au service paie.

Les seuils d'approbation

Un seuil d'approbation transforme la dépense d'une affaire de jugement en une affaire de délégation de pouvoir. C'est l'un des contrôles les moins coûteux qui soient : il ne demande ni logiciel ni personnel supplémentaire, seulement une grille écrite que chacun connaît. Cette grille doit couvrir les engagements d'achat, les paiements, les avoirs, les passages en perte, les remises et les limites de crédit des nouveaux clients, et elle doit désigner des fonctions plutôt que des personnes, afin de survivre au départ de quelqu'un.

À titre d'illustration, la grille d'une petite entreprise pourrait prévoir : achats jusqu'à 5 000 SAR approuvés par le responsable du service ; de 5 000 à 50 000 SAR, approuvés par deux personnes, dont obligatoirement le responsable financier ; au-delà de 50 000 SAR, approuvés par le dirigeant. Avoirs jusqu'à 2 000 SAR par le responsable commercial, au-delà par le dirigeant. Mises au rebut de stock, quel que soit le montant, par le dirigeant. Limites de crédit client supérieures à 25 000 SAR par le dirigeant. Les montants exacts comptent bien moins que le fait d'en avoir, de les appliquer et de les fixer à un niveau qui ne paralyse pas le travail courant.

Deux dérives méritent d'être surveillées. Le fractionnement, où un achat de 60 000 SAR devient deux commandes de 30 000 SAR pour rester sous un seuil : c'est pourquoi une revue périodique des achats par fournisseur vaut plus qu'il n'y paraît. Et l'exception permanente, où un fournisseur ou un responsable échappe discrètement à la grille pour des raisons historiques. Toute exception doit avoir un motif et une date de fin, faute de quoi elle devient la règle.

La discipline du rapprochement bancaire

Le rapprochement bancaire est le contrôle le plus précieux d'une petite entreprise, et il est couramment traité comme une corvée comptable à faire quand on a le temps. Sa valeur tient au fait que le relevé bancaire est le seul document que personne dans l'entreprise ne peut modifier. Tout le reste peut être ajusté. Rapprocher intégralement les comptes du relevé est donc le seul test qui prouve que la situation enregistrée correspond à la réalité.

La fréquence compte davantage que la sophistication. Une fois par mois est un minimum ; une fois par semaine est bien préférable, et avec les flux bancaires électroniques cela ne coûte presque rien. La discipline consiste à identifier chaque écart, et non à les compenser. Les suspens doivent être listés un par un avec leur ancienneté, et tout suspens de plus d'un mois doit être expliqué au dirigeant. Un rapprochement qui se termine par un montant d'équilibrage inexpliqué n'est pas un rapprochement.

La même logique s'applique aux relevés fournisseurs. Rapprocher votre compte fournisseur d'un relevé émis par un tiers confronte vos dettes à un document que vous n'avez pas produit, et c'est ainsi que l'on découvre généralement les paiements en double, les avoirs manquants et les virements sur le mauvais compte. Le faire chaque trimestre pour vos dix principaux fournisseurs prend quelques heures et permet presque toujours de récupérer de l'argent.

• Rapprochez chaque compte bancaire, y compris les comptes dormants et les cartes, selon un calendrier fixe.
• La personne qui effectue le rapprochement ne doit pas être celle qui effectue les paiements.
• Listez les suspens un par un avec leur date. Les vieux chèques non encaissés et les remises en transit qui s'éternisent sont un endroit classique pour dissimuler un manque.
• Faites examiner par le dirigeant le rapprochement lui-même, et pas seulement le solde de clôture, au moins une fois par trimestre.
• Rapprochez chaque jour ou chaque semaine les règlements carte du prestataire monétique avec les recettes de caisse, car c'est dans l'écart entre recettes et règlements que se cachent les remboursements par carte.
• Rapprochez aussi le compte de contrôle de la paie et les comptes de taxes, et pas seulement la banque.

Les paiements et le fichier fournisseurs

Le fichier maître des fournisseurs est l'ensemble de données le plus sensible d'une petite entreprise, parce qu'un paiement part là où il l'indique. La création d'un fournisseur comme la modification de ses coordonnées bancaires doivent être traitées comme des actions privilégiées, réservées à une personne qui ne peut pas libérer de paiements, et chaque modification doit être visible par le dirigeant sans qu'il ait à la demander.

Les changements de coordonnées bancaires méritent une règle spécifique, car la fraude qui les exploite est courante, peu coûteuse à mettre en œuvre et fonctionne même sur des personnes prudentes. Un e-mail arrive, apparemment d'un fournisseur connu, sur un papier à en-tête plausible, annonçant un changement de compte. La règle : une modification n'est effectuée qu'après confirmation orale, à un numéro de téléphone déjà présent dans vos dossiers, jamais à un numéro fourni dans la demande, et jamais sur la seule foi d'un e-mail. Mettez cette règle par écrit et traitez-la comme absolue plutôt que comme une recommandation, car sur le moment la pression pousse toujours à rendre service et à aller vite.

Surveillez la physionomie des dépenses autant que les opérations individuelles. Des paiements en chiffres ronds, répétés au même montant, juste sous un seuil d'approbation, ou vers un fournisseur sans aucun bon de commande derrière, méritent tous une question. Aucun ne prouve quoi que ce soit, et tous sont peu coûteux à examiner.

• Rapprochement à trois voies avant paiement : bon de commande, bon de réception, facture fournisseur. Pas de concordance, pas de paiement.
• Campagnes de paiement préparées par une personne, contrôlées sur pièces justificatives et libérées par une autre.
• Contrôle des numéros de facture en double à la saisie, qui intercepte la cause la plus fréquente de double paiement.
• La création d'un fournisseur exige une adresse commerciale, un numéro d'immatriculation fiscale et des coordonnées bancaires issues d'un document, et non d'une signature d'e-mail.
• Changements de coordonnées bancaires vérifiés de vive voix à un numéro existant, consignés et notifiés au dirigeant.
• Un état mensuel des nouveaux fournisseurs et des coordonnées bancaires modifiées, lu par le dirigeant.
• Une vérification périodique des fournisseurs dont les coordonnées bancaires correspondent à celles d'un salarié.

Espèces, encaissements et avoirs

Lorsqu'une entreprise encaisse des espèces, le contrôle repose sur une chaîne de responsabilité : espèces comptées et signées à chaque passation, déposées en banque intégralement et rapidement plutôt qu'utilisées pour régler des dépenses, et arrêté de caisse effectué par une autre personne que celle qui a tenu la caisse. La petite caisse doit fonctionner selon le système du fonds fixe : le fonds est un montant déterminé, par exemple 3 000 SAR, reconstitué à ce niveau en remboursant exactement les justificatifs présentés. Ainsi, les espèces dans la caisse plus les justificatifs égalent toujours 3 000 SAR, et tout écart est immédiatement visible.

Les encaissements clients constituent l'exposition la plus courante dans une entreprise qui vend à crédit. Le risque est qu'un règlement soit encaissé et que le solde client soit soldé par un avoir ou un passage en perte plutôt que par l'arrivée de l'argent en banque. Le contrôle : la personne qui lettre les encaissements ne peut pas autoriser d'avoirs ni de passages en perte, et un état de tous les avoirs et passages en perte est examiné chaque mois par le dirigeant, avec le motif de chacun.

Utilisez la balance âgée comme un outil de contrôle, et pas seulement de gestion de trésorerie. Les soldes qui restent anciens, qui sont partiellement réglés puis réapparaissent, ou qui font l'objet de petits ajustements répétés, forment un schéma qui mérite d'être compris. Un client qui affirme avoir payé une facture que vos comptes montrent comme ouverte révèle soit un problème de système, soit quelque chose de plus grave, et les deux appellent la même réponse immédiate.

Les inventaires

Pour toute entreprise qui détient des stocks, l'inventaire est le moment où la réalité comptable rencontre la réalité physique. Un inventaire annuel est le minimum exigé par l'audit et un contrôle médiocre, car il vous informe avec un an de retard et ne permet pas de savoir quand une perte s'est produite. L'inventaire tournant, où une partie des références est comptée chaque semaine ou chaque mois selon un roulement, de sorte que les articles de forte valeur et à rotation rapide sont comptés plusieurs fois par an, est bien plus utile et moins perturbant qu'une fermeture pour inventaire complet.

Prenons un exemple illustratif. Une entreprise compte une zone d'une valeur comptable de 412 000 SAR et constate un stock physique de 397 400 SAR. La démarque s'élève à 14 600 SAR, soit 3,5 % de la valeur comptable. Traduisez maintenant ce chiffre dans le langage qui compte : avec une marge brute de 35 %, compenser 14 600 SAR de marge brute perdue exige environ 41 700 SAR de ventes supplémentaires. Un taux de démarque qui paraît faible en pourcentage représente généralement un volume considérable de ventes supplémentaires une fois exprimé ainsi.

Le même raisonnement s'applique aux immobilisations. Un registre rapproché une fois par an de ce qui est physiquement présent permet de repérer le matériel parti discrètement. Cela prend un après-midi, et c'est très rarement fait dans les petites entreprises.

• Comptez selon un roulement, en comptant le plus souvent les articles de forte valeur et à rotation rapide.
• Les compteurs ne doivent pas être les personnes qui gèrent habituellement ce stock, et doivent compter à l'aveugle, sans la quantité théorique imprimée sur la feuille.
• Analysez les écarts supérieurs à un seuil défini avant de passer tout ajustement.
• Les ajustements de stock doivent être approuvés par une personne qui n'a pas compté et ne détient pas le stock.
• Suivez la démarque comme une tendance, par site et par famille de produits, et non comme un chiffre annuel unique.
• Contrôlez les réceptions : comptez et vérifiez les livraisons par rapport au bon de commande avant de signer, et enregistrez les manquants au moment où ils sont constatés.

La paie

La paie est généralement le décaissement le plus important d'une petite entreprise, et souvent le moins examiné, en partie parce qu'il est sensible, en partie parce qu'il est traité par une seule personne de confiance. Les deux contrôles essentiels sont qu'une personne extérieure à la paie approuve les entrées, les sorties et tout changement de coordonnées bancaires, et que le dirigeant compare périodiquement la liste de paie à la liste réelle des personnes qui travaillent dans l'entreprise.

Au-delà, regardez les variations plutôt que le total. Une comparaison d'un mois sur l'autre du salaire brut par salarié, avec une explication pour chaque changement, permet de repérer les heures supplémentaires gonflées, les augmentations non approuvées et les paiements qui se poursuivent après un départ, en quelques minutes. Les comptes bancaires en double entre fiches salariés, et les comptes de salariés identiques à des comptes fournisseurs, méritent tous deux une vérification périodique.

Lorsque la paie est externalisée, le contrôle ne disparaît pas, il se déplace. Le prestataire traite ce que vous lui transmettez : l'approbation des modifications transmises vous incombe toujours, tout comme le rapprochement entre ce qui a été payé et ce que vous avez approuvé. Externaliser un processus n'externalise jamais la responsabilité qui s'y attache.

Les contrôles qui détectent, et ceux qui ne produisent que de la paperasse

Tous les contrôles ne valent pas leur coût, et les petites entreprises se retrouvent souvent avec un dispositif déséquilibré : des procédures lourdes autour de petites opérations visibles, comme les notes de frais, et presque rien autour d'opérations importantes et invisibles, comme les coordonnées bancaires des fournisseurs. Il vaut la peine de dire explicitement lesquels sont lesquels.

Le test de tout contrôle proposé est simple. Quelle chose précise aurait-il détectée, et comment saurions-nous qu'il a fonctionné ? Si personne ne sait répondre, le contrôle est décoratif. Le test complémentaire consiste à vérifier qu'il est réellement exercé : un contrôle appliqué neuf mois sur douze n'est pas un contrôle qui fonctionne la plupart du temps, car quiconque veut l'exploiter n'a besoin que de savoir quels mois.

Un mot sur les droits d'accès au système, là où les contrôles d'une petite entreprise échouent le plus souvent, sans bruit. Chacun commence avec les accès dont il a besoin et en accumule d'autres avec le temps, jusqu'à ce que plusieurs personnes puissent tout faire et que la séparation conçue sur le papier n'existe plus dans le système. Revoir une ou deux fois par an qui peut approuver, comptabiliser, payer et modifier les données de référence la rétablit. Skyline Nexus prend en charge des autorisations fondées sur les rôles et conserve une piste d'audit indiquant qui a modifié quoi et quand, ce qui rend une telle revue possible ; décider qui doit avoir quel rôle reste une décision du dirigeant, et c'est ce qui détermine réellement si le contrôle tient.

• Efficace : le rapprochement à trois voies avant paiement. C'est le contrôle le plus efficace sur les sorties d'argent.
• Efficace : vérifier les changements de coordonnées bancaires de vive voix, à un numéro que vous détenez déjà.
• Efficace : séparer la personne qui rapproche la banque de celle qui paie.
• Efficace : des inventaires à l'aveugle réalisés par une personne qui ne gère pas le stock.
• Efficace : la revue mensuelle par le dirigeant d'un état des exceptions, c'est-à-dire avoirs, passages en perte, écritures manuelles, nouveaux fournisseurs et ajustements de stock.
• Efficace : des congés annuels obligatoires pour toute personne occupant une fonction financière, car la plupart des fraudes de longue durée demandent un entretien quotidien et se dénouent lorsque la personne est absente.
• Surtout de la paperasse : une seconde signature sur des documents que personne ne lit, appliquée uniformément quel que soit le montant.
• Surtout de la paperasse : des procédures d'approbation détaillées pour de très petites dépenses, pendant que les virements importants ne sont pas examinés.

Ce que le dirigeant doit examiner lui-même chaque mois

Le contrôle le plus efficace d'une petite entreprise est un dirigeant bien informé dont on sait qu'il regarde. Cela ne demande pas beaucoup de temps. Voici une courte liste mensuelle qui se traite en une heure et couvre les principales expositions décrites dans ce guide.

La valeur de cette liste ne tient qu'en partie à ce qu'elle révèle. La plupart des mois, elle ne révélera rien, et c'est un résultat légitime. Sa valeur principale est que chacun sait qu'elle a lieu, ce qui modifie les comportements avant toute tentative, et que le dirigeant reste assez proche des chiffres pour remarquer quand quelque chose ne lui semble pas familier. Cette familiarité est ce qu'aucune procédure ne peut remplacer.

Ajoutez un point annuel à cette routine mensuelle : relisez votre propre dispositif de contrôle comme si vous cherchiez à sortir de l'argent de l'entreprise. Par où commenceriez-vous ? Qui devrait être absent pour que cela fonctionne ? Qu'est-ce que personne ne remarquerait pendant six mois ? Cet exercice, mené honnêtement une demi-heure par an, produit en général une meilleure liste de priorités que n'importe quelle liste de contrôle générique, celle-ci comprise.

• Le rapprochement bancaire lui-même, et pas seulement le solde de clôture, avec la liste des suspens et leur ancienneté.
• Chaque nouveau fournisseur créé et chaque coordonnée bancaire modifiée dans le mois.
• Tous les avoirs et passages en créances irrécouvrables, avec le motif de chacun.
• Toutes les écritures manuelles, en particulier celles passées autour de la clôture de la période.
• Les ajustements de stock et l'évolution de la démarque par site.
• Le salaire brut par salarié comparé au mois précédent, chaque variation étant expliquée.
• La balance âgée clients, en portant attention à la tranche de plus de 90 jours et à tout solde qui réapparaît sans cesse.
• Les vingt paiements les plus importants du mois, avec un coup d'œil à l'objet de chacun.

Formaliser le dispositif et le faire vivre

Les contrôles doivent être écrits, mais brièvement. Deux pages indiquant qui approuve quoi, qui peut modifier les données de référence, qui effectue les rapprochements, comment se font les inventaires et ce que le dirigeant examine chaque mois sont plus utiles qu'un manuel de cinquante pages, parce qu'elles seront lues et pourront être tenues à jour. Désignez des fonctions plutôt que des personnes pour que le document survive aux changements d'effectif, et revoyez-le à chaque arrivée, départ ou changement de poste.

Attendez-vous à ce que la pression opérationnelle ordinaire mette le dispositif à l'épreuve. Quelqu'un sera en congé, un paiement urgent devra être libéré, une livraison devra être signée sans comptage. Traitez ces situations par une exception documentée suivie d'une revue, plutôt qu'en abandonnant discrètement le contrôle, car un contrôle suspendu par commodité est très rarement rétabli de lui-même.

Enfin, gardez une ambition proportionnée. Une petite entreprise n'a pas besoin de l'environnement de contrôle d'une société cotée, et tenter de s'en doter produit des coûts, du ressentiment et des contournements. Ce dont elle a besoin, c'est qu'aucune personne ne puisse sortir de l'argent seule sans que cela se voie, que la banque soit rapprochée par quelqu'un qui ne peut pas payer, que le stock soit compté par quelqu'un qui ne le détient pas, et que le dirigeant examine les exceptions chaque mois. Ces quatre choses, faites avec constance, valent plus que n'importe quelle documentation décrivant ce que personne ne fait.