Les nombreux scandales qui ont frappé les Etats-Unis en 2001 et au début de l’année 2002 (avec Enron, en tête, Adelphia, Xerox et WorldCom) ont entrainé une réaction brutale du législateur américain et l’adoption de la loi dite « Sarbanes-Oxley » votée par le Congrès des Etats-Unis et ratifiée par le président Bush le 30 Juillet 2002. La loi SOX vise à redonner l’assurance aux bailleurs de fonds quant à la sécurité de leurs actifs et la pertinence du reporting financier, et ce en imposant aux directions générales des sociétés cotées les lignes directrices relatives à l’efficacité du contrôle interne conformément au référentiel COSO, notamment par les sections 302 et 404 de ladite loi. Holidays Services est l’une des sociétés marocaines concernées indirectement par cette loi ; elle est détenue depuis 2008 à 99% par le géant anglais TUI Travel Plc introduit à son tour en bourse de Londres en Septembre 2007. Ce contexte financier international met Holidays Service devant l’obligation de s’aligner aux directives de la SOX et d’améliorer son contrôle interne, classé en zone rouge d’après le dernier audit interne de 2012, en vu d’offrir une plus grande assurance quant à son reporting financier vers TUI Travel Plc, sa société mère. C’est ainsi qu’elle ouvra son grand chantier de restructuration et de renforcement de son contrôle interne, mettant comme objectif la protection des actif et la pertinence de l’information financière. Parachuté au coeur de ce chantier et rattaché au département Internal Control, nous participerons dans le cadre de notre Stage de Fin d’Etudes pour l’obtention du diplôme des ENCG à la réalisation du projet COSO pour le renforcement du contrôle interne chez Holidays Services. Pour ce faire, nous avons adopté la voie du Risk Management en tant que partie intégrante du contrôle interne selon le COSO. A la lumière de ce qui précède, nous avons formulé notre problématique comme suit : Comment un contrôle interne efficace peut offrir de l’assurance raisonnable aux bailleurs de fonds ? Comment peut-on renforcer le contrôle interne ? Quel est l’apport du Risk Management au contrôle interne ? Dans quelle mesure le Risk Management garantie la sécurité de l’information financière ?
Pour répondre à cette problématique, nous avons mis l’hypothèse suivante : « Le Risk Management assure la pertinence de l’information financière ». La vérification de l’hypothèse ci-dessus constituera donc l’essence de ce travail durant lequel nous allons chercher à répondre aux questionnements de la problématique. Méthodologiquement, notre travail sera modélisé selon la norme ISO 31000 relative au management des risques ; elle offre les lignes directrices d’une démarche Entreprise Risk Management qui commence par l’établissement du contexte, pour passer à l’appréciation (identification, analyse et évaluation) des risques, et finir par le traitement des risques. Notre travail sera subdivisé en trois parties : Une première présentera le cadre contextuel de la loi SOX et le cadre conceptuel du contrôle interne et Risk Management ; Une deuxième sera dédiée au cadre méthodologique de l’Entreprise Risk Management ; Et une troisième exposera les résultats des différentes phases de notre mission à Holidays Services.
Tout au long de notre travail nous avons cherché à déficeler la relation entre le Risk Management et la pertinence de l’information financière prônée par la SOX, cette relation étant notre hypothèse de base. Sur notre champs de mission « Holidays Services », nous avons suivi une démarche Entreprise Risk Management ISO31000 afin d’identifier, d’analyser et d’évaluer les risques opérationnels auxquels la société est exposée. Ceci nous a permis de dresser la cartographie des risques opérationnels classé par cycles. Selon cette cartographie, Holidays Services citée ci-dessus présente des risques opérationnels relativement importants mais peu probables. Cependant, ils affectent l’atteinte de ses objectifs et remettent en cause son reporting mensuel vers TUI Travel Plc, sa société mère. Par conséquent, la phase finale de notre démarche ERM, celle du traitement des risques, est dispositif complet de contrôle interne conçu suivant le référentiel COSO. Il s’agit de contrôles implémentés sous forme de procédures communiquées dans un manuel de procédures. C’est ainsi que nous avons abouti à une certaine assurance quant à la couverture des risques détectés, pouvant nuire à l’atteinte des objectif de Holidays Services, à la sécurité de ses actifs et à la pertinence de l’information financière communiquée. Il reste à souligner, que malgré l’efficacité des dispositifs de contrôle interne exigés par la SOX, ils nécessitent des investissements considérables en systèmes informatiques pouvant parfois même dépasser le dommage subit en cas d’occurrence des risques couverts. Aussi, l’obligation de rendre publiques des informations précieuses sur le contrôle interne de l’entreprise bénéficie aux investisseurs et aux régulateurs mais également aux concurrents. Ce qui pousse à centrer nos réflexions aussi autour d’une logique coût-avantage. Au terme de notre travail, nous tenons à témoigner que la réalisation du présent rapport a été pour nous une opportunité de fructifier nos acquis théoriques pendant 5 années de formation et de couronner notre cursus universitaire par un projet dont nous sommes très satisfait.

PARTIE 1 : CADRE CONCEPTUEL ET CONTEXTUEL
CHAPITRE I : Risk Management et Contrôle Interne
Section 1 : Le contrôle interne, une omniprésence dans toute organisation
1. Définition
2. Principes du contrôle interne
a. Le principe d’organisation
b. Le principe d’intégration
c. Le principe d'information
d. Le principe de permanence
e. Le principe d'universalité
f. Le principe d'indépendance
g. Le principe d’harmonie
3. Objectifs du contrôle interne
a. Fiabilité de l'information financière
b. Sauvegarde du patrimoine
c. Conformité aux lois et aux règlements
d. Optimisation des opérations
e. L’application des instructions et des orientations fixées par la direction générale ou le directoire
f. Maîtrise des activités
4. Limites du contrôle interne
a. L’erreur de jugement
b. Les dysfonctionnements
c. Les contrôles « outrepassées » ou contournés par le management
d. La collusion
Section 2 : Le Risk Management, vers une maitrise des risques
1. La notion de risque
2. Les familles de risques
a. Types des risques liés à l’activité au sein de l’entreprise
b. Types de risque en audit
3. Le management des risques, un processus a suivre
a. L’analyse des risques
b. Evaluation de l’acceptabilité des risques
c. Maitrise des risques
CHAPITRE II : Impact de la loi Sarbanes-Oxley sur le contrôle interne
Section1 : Origines et contenu de la SOX
1. Le cas Enron : Titanic Financier du 21ème siècle
a. Le contexte
b. Le début de la crise, révélation du scandale
2. Eléments de la loi SOX
a. Réglementation et surveillance de la profession de commissaire aux comptes
b. Accroissement de l'indépendance des commissaires aux comptes
c. Amélioration des pratiques de corporate gouvernance (responsabilisation du CEO et CFO)
d. L’amélioration de l’information financière
e. Renforcement de l’exécution des règles boursières et des sanctions
Section2 : Apports de la SOX au contrôle interne des organisations
1. La section 302 de la SOX : Implication des dirigeants dans le contrôle interne
2. La section 404 de la SOX : Evaluation du contrôle interne
PARTIE 2 : CADRE METHODOLOGIQUE ET REFERENTIELS ADOPTES
CHAPITRE I : COSO, référentiel universel de contrôle interne
Section1 : Introduction au COSO
Section2 : Les composants du contrôle interne selon COSO
1. L’environnement de contrôle
2. L’évaluation des risques
3. Activités de contrôle
4. Information et communication
5. Pilotage
Section 3 : Positionnement du COSO2 par rapport au COSO1
CHAPITRE II : La démarche ERM selon la norme ISO 31000
Section1 : présentation de l’ISO 310001
1. Présentation
2. Principes du risk management selon la norme ISO 31000
Section2 : La démarche ERM selon ISO 31000
1. Etablissement du contexte
2. Identification du risque
3. Analyse des risques
4. Evaluation des risques
5. Traitement des risques
PARTIE 3 : Risk Management et renforcement du contrôle interne chez TUI PLC Travel – Holidays Services
CHAPITRE 1 : Etablissement du contexte de TUI PLC Travel – Holidays Services
1. Secteur d’activité
a. Présentation du secteur
b. Les métiers du tourisme au Maroc
c. Stratégie du secteur : La vision 2020
2. Entreprise d’accueil
a. Quelques dates clefs
b. Fiche Signalétique
c. Métiers de Holidays Services
d. Partenaires de Holidays Services
3. Matrice SWOT de HOLIDAYS SERVICES
4. Cartographie des flux de la société HOLIDAYS SERVICES
CHAPITRE 2 : Appréciation des risques chez TUI PLC Travel – Holidays Services
1. Identification des risques
a. Exemple illustratif
b. Récapitulatif des risques identifiés
2. Analyse et évaluation des risques
c. Analyse des risques identifiés
CHAPITRE 3 : Traitement des risques et mise en place d’un dispositif COSO du contrôle interne