Intervention de Edouard Fernandez-Bollo

Pas du tout ! Loin de moi l'idée d'essayer de minimiser les difficultés de l'audit !

Je dirai même que le problème qui se pose à nous est l'immensité de la tâche, face aux millions d'opérations effectuées chaque jour, représentant des milliards d'euros. Nous ne pouvons donc pas faire un contrôle exhaustif, qui serait de toute façon inutile, puisque 99 % des opérations ne présentent pas d'intérêt, y compris pour un audit de conformité.

C'est pourquoi, à la différence de la méthodologie classique que vous évoquez, nous nous basons sur un système à deux degrés. Nous demandons d'abord aux établissements, qui connaissent le mieux leur activité et leur clientèle, de faire eux-mêmes la cartographie du risque et d'identifier les points de contrôle adéquats lorsqu'ils élaborent des produits, des stratégies ou qu'ils développent une activité.

L'ACP, elle, intervient en second lieu, pour vérifier ce que le contrôle interne a fait. Ce faisant, nous disposons d'un avantage, qui est de pouvoir comparer avec ce que font les établissements semblables. Nous avons une vision transversale de ce que font par exemple toutes les banques, ce qui nous permet de constater la diversité des approches et, éventuellement, de détecter une insuffisante sensibilité au risque.

Par ailleurs, l'analyse de la réactivité de la direction au contrôle est pour nous essentielle. Si l'erreur est humaine, ce que tout contrôleur peut constater dans son activité, persévérer est diabolique. Ne pas mettre un plan correctif en oeuvre, de façon diligente, à la suite d'un contrôle ayant révélé des failles, nous apparaît comme un défaut de sensibilité au risque. De ce point de vue, il y a donc bien une approche qualitative, tendant à l'amélioration, à l'instar des procédures d'audit que vous avez évoquées. Mais le plus important pour nous est de tester la sensibilité au risque de la direction, la remontée des alertes et la rapidité des actions correctrices.