L'audit bancaire présente quelques spécificités de part les particularités de l’environnement analysé. En effet, en s’appliquant au système de gestion et de contrôle des risques bancaires, il en découle une pluridisciplinarité des champs observés : ressources humaines, système d'information, comptabilité, activités de marché... De plus, les risques bancaires sont des phénomènes complexes et difficiles à cerner. Ce qui entraîne des particularités pour l’auditeur concernant la manière d’observer, l’interprétation des résultats et les difficultés d’élaboration d’un système de référence. Quoi qu'il en soit, l'existence d'une structure d'audit interne au sein d'une banque traduit la volonté affirmée de la part de ses instances dirigeantes de se doter d'un outil à même de limiter les risques inhérents à ses activités, de rendre l'organisation existante plus performante et plus généralement, d'accroître l'efficacité de celle-ci. En effet, l’audit interne peut jouer un rôle non négligeable en matière d’efficacité du management d’une banque. Encore s'agit-il de s'assurer que l'outil mis en place est bien apte à accomplir la mission qui lui est assignée. Des conditions sont à remplir pour que l'audit interne puisse être un véritable outil d'efficacité. A l'évidence, quelle que soit la nature des missions confiées à l'audit interne, le niveau d'efficacité sera fonction d'un certain nombre de paramètres tels que la pertinence de l'approche empruntée, l'exhaustivité du périmètre audité, le savoir-faire technique et qualités intrinsèques de l'auditeur, …etc. Ainsi, face aux évolutions des métiers bancaires, qui ont généré de nouvelles variantes de risques et modifié les facteurs de fragilité financière, il devient de plus en plus impératif de développer des outils d'audit spécifiques dans le but de détecter et de couvrir tous les risques inhérents à l'activité bancaire. Si les normes prudentielles et réglementaires demeurent un point d'ancrage essentiel, il est de plus en plus pressant que les établissements bancaires puissent s'investir dans le développement d'instruments complémentaires d'analyse fondés sur des méthodes à la fois quantitatives et qualitatives voir systémiques. Le Comité de Bâle II impose la mise en oeuvre de méthodes plus strictes pour l’évaluation et la gestion du risque de crédit, du risque de marché et du risque opérationnel. Disposer de cette visibilité globale sur le risque, tout en répondant aux exigences réglementaires serait possible avec l'approche de l'audit systémique. Celle-ci a modifié profondément les pratiques utilisées jusque là par l'auditeur bancaire. Instaurée en globalité pour toutes les lignes métiers ou intégrée individuellement pour compléter un système existant, une telle approche permet aux établissements bancaires de disposer d'un outil précieux pour mieux gérer et contrôler leurs risques.
Problématique du stage : La gestion et d'audit des risques apparaît donc comme une donnée omniprésente et essentielle dans l'appréciation de la qualité des établissements de crédit. Une rétrospective sur l'évolution des normes et des pratiques en la matière souligne toutefois le caractère récent de cette préoccupation avec les premières réflexions d'ensemble qui remontent seulement à une vingtaine d'années. C'est en effet en 1988 que le premier texte international visant à réguler l'exposition aux risques des banques a vu le jour, avec la publication par le Comité de Bâle de l'accord sur l'adéquation des fonds propres qui, rappelons-le , ne traitait à l'époque que les risques de crédit ( cette norme est à la base de la décision réglementaire de Bank Al-Maghrib (BAM) N°96 du 25 décembre 1992 relative à l'instauration du ratio de solvabilité imposé à l'ensemble des opérateurs dans le secteur bancaire). L'évolution spectaculaire des référentiels de gestion des risques découle de deux phénomènes qui sont venus se cumuler. L'impulsion du marché avec la montée en puissance des thématiques de gouvernement d'entreprise et de transparence, phénomène qui n'est d'ailleurs pas spécifique au secteur bancaire mais concerne l'ensemble des sociétés et, en particulier celles cotées ; La pression forte et continue des régulateurs bancaires, en premier lieu le Comité de Bâle, pour améliorer les dispositifs de gestion et de contrôle des risques dans l'objectif de garantir la stabilité économique au niveau mondial et d’éviter la survenance de risques systémiques. L'analyse des textes qui émanent des autorités prudentielles bancaires, au niveau international, montre une attention croissante portée depuis quelques années par ces autorités à ces thèmes, avec en particulier : La déclinaison au niveau du secteur bancaire du principe de responsabilité finale des administrateurs dans le fonctionnement du contrôle interne et de la mise en place de comités d'audit ; La définition d’un cadre complet et précis sur le mode d'organisation, de gestion et d'encadrement des différents risques avec le développement du concept de "Risk Management" notamment à travers des textes réglementaires sur le contrôle interne ; L'affirmation constante de la nécessité de transparence vis-à-vis du marché. Celle-ci passe notamment par une communication adaptée sur l'organisation interne de la gestion des risques, les expositions et les incidences passées et futures, ainsi que sur la rentabilité des activités autour de différents indicateurs de création de valeur. Une autre tendance de fond observée depuis 1998 réside dans l'élargissement des référentiels de gestion et de maîtrise des risques, vers une conception étendue à l'ensemble des risques banacires, alors qu'ils étaient concentrés initialement sur les risques financiers (crédit, marché,..). En particulier, des travaux approfondis ont été entrepris par le Comité de Bâle sur le thème du risque opérationnel. Dans ce contexte de foisonnement et de progression continue des textes sur la gestion des risques des banques, les rapports annuels des grandes banques internationales comportent actuellement des présentations de plus en plus importantes sur les dispositifs globaux de "risk management", et une communication désormais spécifique sur la gestion du risque opérationnel. La gestion et en particulier l'audit des risques bancaires constituent plus que jamais un "going concern".
Cette problématique générale étant précisée, Qu'en est-il de la question au Maroc ? Le paysage bancaire marocain se caractérise par un cadre prudentiel qui a fait l'objet d'une refonte profonde dès 1993 coïncidant avec la promulgation de la nouvelle loi bancaire. Dans le prolongement de cette nouvelle loi bancaire, plusieurs règlements se sont succédés, dont le plus important est la circulaire N°6 relative au contrôle interne des établissements de crédit diffusée par Bank Al Maghrib (BAM) en février 2001. Avant la diffusion de cette nouvelle circulaire, un débat fragmenté a été soulevé depuis quelques années avec pour toile de fond les dysfonctionnements vécus ces derniers temps par certains établissements de crédit ; jusque-là considérés comme pionniers dans le pilotage bancaire et le contrôle interne. Le cadre réglementaire du secteur bancaire a connu récemment de nouvelles évolutions et a ainsi subi plusieurs aménagements notamment à travers la refonte de deux textes fondateurs à savoir : les nouveaux statuts de Bank Al-Maghrib, adoptés par le Parlement le 13 janvier 2005, conférant à cette institution l’autonomie en matière d’élaboration et de conduite de la politique monétaire et la nouvelle loi bancaire du 14 février 2006 ayant renforcé les prérogatives de Bank Al-Maghrib dans le domaine de la supervision bancaire. Actuellement, au-delà des causes des mutations que connaît le paysage bancaire marocain (les mouvements de fusion absorption, la disparition des petites banques, la rude course concurrentielle, la recrudescence des fraudes ….), ce sont leurs conséquences – notamment la fragilité financière accrue – qui attirent l’attention. Comment peut-on expliquer que certains établissements bancaires aient connu autant de difficultés financières ? Est-ce seulement dû à un management « irresponsable » ou s’agit-il d’un problème d’efficience de leur système d'audit interne ? La circulaire N°6 de BAM arrive donc à point nommé pour rappeler aux établissements de crédit leurs responsabilités et la nécessité de maîtriser leurs risques majeurs pour protéger leurs clients, leurs actionnaires et l'ensemble de leurs partenaires. Afin d'inciter les établissements de crédit à se conformer à la réglementation en vigueur, des sanctions pécuniaires applicables aux différentes infractions ont, en outre, été édictées. Ce renforcement du dispositif prudentiel et son alignement sur les normes internationales visent à prévenir les différents risques liés à l'exercice de l'activité des établissements de crédit. Ces actions entreprises par les autorités monétaires traduisent une volonté ferme des organes de tutelle en vue d'éradiquer toutes les sources potentielles pouvant entraver un fonctionnement normal de l'ensemble du système financier. La gestion des risques bancaires revêt encore plus d'importance auprès des autorités monétaires qui se sont démarquées ces derniers temps par la diffusion d'un ensemble de règles et de recommandations visant à mettre en place une nouvelle approche de surveillance de risque basée sur un renforcement des systèmes de contrôle interne. Toujours est-il qu'une question demeure posée à ce sujet, celle-ci porte non seulement sur l'efficacité des mesures réglementaires instituées par les autorités monétaires, mais aussi sur la capacité des établissements de crédit à intégrer efficacement les nouvelles règles de contrôle interne, découlant à la fois des pratiques internationales et des nouvelles approches fondées sur une gestion interne des risques. Dés lors, des interrogations majeures s'imposent sur l'efficacité des dispositifs d'audit interne, actuellement pratiqués par le système bancaire marocain : Le management bancaire est-il sensible à tous les risques : opérationnels, financiers, stratégique et de réputation ? Comment a-t-il réparti les rôles entre les divers acteurs de son entité (Risk management, Audit interne et Compliance en termes de gestion, de contrôle et de prévention de ces risques ? L’audit interne au sein du système bancaire marocain, jouit-il de l'indépendance, du pouvoir et de l'efficacité nécessaires pour mener à bien sa mission ? Le système d'audit bancaire marocain est-il efficient ? La cartographie des risques des établissements bancaires est-elle fiable et exhaustive ? La cartographie des risques permet-elle d'identifier les risques (par métiers, domaines, ou processus), de qualifier ces risques (fréquence, niveau de criticité,…) et de les rattacher aux éléments concernés (tâche, acteur, système,...) ? Permet-elle au management de la banque de décider des actions à mener pour gérer ces risques : assumer, éviter, prévenir (réduire la fréquence ou la probabilité de survenance), atténuer (réduire l’impact financier ou d’image) ou transférer (assurance) ? Fournit-elle au management une synthèse dégageant les risques majeurs et/ou les processus les plus sensibles, lesquels seront à surveiller à l’aide d’indicateurs des risques clés "Key Risk Indicators" ? Le champ d’audit des établissements bancaires est-il exhaustif ? Son périmètre couvre-t-il tous les risques (marchés, système d'information, comptables, ressources humaines, ..) et les entités de la banque (Réseau, Directions centrales, filiales et succursales) ? Les directions d'audit interne disposent-elles de pôles de compétence aptes à mener des missions d'audit dans des métiers spécifiques (salle des marchés, systèmes d'information, ressources humaines, finance et comptabilité, gestion actifs-passifs, logistique.…) ? Disposent-elles de manuels de procédures ou de modes opératoires pour piloter les missions d’audit réalisées dans tous les métiers ? Enfin, peut on améliorer l’efficience du système d’audit interne bancaire marocain par une nouvelle Approches d’audit systémique ?
Méthodologie de travail : Le traitement du présent sujet se déroule en trois étapes : D'abord, au travers d'un travail d'enquête approfondie sur le terrain auprès d'un échantillon représentatif des banques marocaines, dresser un constat de la problématique et des enjeux de la question et les difficultés pragmatiques de sa mise en oeuvre. L'orientation de mon travail découlera en grande partie des résultats de cette analyse qualitative, qui se veut tout d'abord un outil permettant de mettre en exergue les difficultés à la fois techniques et méthodologiques dans l'audit interne des risques bancaires. Si les concepts et les méthodes font l'objet d'un large consensus, l'organisation des systèmes et des structures gérant les modèles internes est incontournablement différente d'un établissement à l'autre. Mon propos à ce sujet est d'étudier les difficultés de mise en place de dispositifs internes efficaces d'audit en s'appuyant sur une analyse approfondie de la stratégie et de l'organisation des différentes activités des établissement de crédit marocains. Tout en s'alignant sur les nouvelles dispositions découlant du comité de Bâle sur le contrôle bancaire ainsi que les nouvelles règles instituées par la circulaire N°6 relative au contrôle interne des établissements de crédit au Maroc, ce travail se veut aussi un diagnostic de la réalité des établissements de crédit marocains eu égard à cette nouvelle tendance réglementaire et leur capacité à pouvoir s'y conformer dans les délais souhaités. On ne manquera pas à cet effet, de rappeler quelques expériences étrangères sur les meilleures pratiques "Best practices" de la profession d'audit. Enfin, par une mise en perspective de la fonction d’audit interne auprès du top management, à travers un benchmarking et un raccordement de synergie entre d'une part les enseignements tirés de mon expérience personnelle en audit bancaire, et d'autre part par les nouvelles approches d'audit interne pratiquées, à l’échelon mondiale, par plusieurs banques de renom. Ces dernières constitueront via leur Approches d’audit systémique, un repère incontournable de la conduite de ce travail. Je ne manquerai pas non plus de mettre l'accent sur l'importance de la nouvelle approche d'audit systémique dans le dispositif de maîtrise globale des risques. Pour étudier tous ces aspects, mon travail s'articule en deux parties. La première partie traite des pratiques d'audit interne dans le système bancaire marocain. Elle présente d'abord, un examen typologique des risques bancaires et leurs critères d'évaluation comme étant l'étape la plus importante et surtout la plus difficile à apprivoiser dans le processus de management des risques et un aperçu sur ce qu' en sont les pratiques pour le système bancaire marocain.

Première partie : L'audit interne dans le système bancaire marocain : des pratiques limitées aux fonctions classiques
Chapitre 1 : Typologie et évaluation des risques bancaires
Section 1 : Typologie des risques bancaires
Section 2 : Critères d'évaluation et dispositifs de contrôle
Chapitre 2 : Spécificités de l'audit bancaire
Section1 : Principes d'audit en général
Section2 : Particularités de l'audit bancaire
Chapitre 3 : Les systèmes d’audit interne bancaire marocain et leur efficience : enquête sur le terrain
Section 1 : Le guide d’entretien
Section 2 : les conclusions de l’enquête
Partie II : L'audit systémique, un nouvel outil au service du risk management pour maîtriser davantage les risques des métiers
Chapitre 1 : Les particularités de l'approche d'audit systémique
Section 1 : L'audit du système de contrôle interne global
Section 2 : L'approche par les risques
Section 3 : L’approche systémique
Chapitre 2 : Mission d'audit de la Direction des Systèmes d'Information
Section 1 : Organisation et management
Section 2 : Sécurité
Section 3 : Etudes et développements
Section 4 : Exploitation informatique
Chapitre 3 : Mission d'audit de la Salle des Marchés
Section 1 : Front-Office Trading & ventes
Section 2 : Middle-Office
Section 3 : Back Office
Section 4 : Risque de contrepartie
Section 5 : Risque Juridique
Section 6 : Sécurité Physique
Chapitre 4 : Mission d'audit de la Direction des Ressources Humaines
Section 1 : Organisation générale de la fonction RH
Section 2 : Administration
Section 3 : Gestion des carrières
Section 4 : Recrutement
Section 5 : Formation
Section 6 : Relations et activités sociales
Chapitre 5 : Mission d'audit de la Direction Comptable
Section1 : Audit systémique du service comptable
Section 2 : Les reportings réglementaires
Section 3 : Risques fiscaux
Section 4 : Consolidation