TAA n° 97 - Mise en œuvre par les cabinets de révision d’un système de gestion de la qualité conformément à la norme ISQM 1

1. Introduction

   Cet article traite du système de gestion de la qualité que les cabinets de révision (ci-après dénommés « cabinets » 1 ) devaient mettre en place et appliquer au plus tard le 15 décembre 2023 et dont l'évaluation devait être effectuée au plus tard le 15 décembre 2024, conformément à la norme internationale n° 1 relative à la gestion de la qualité (International Standard on Quality Management, « ISQM 1 ») publiée par l'International Auditing and Assurance Standards Board (IAASB) 2 .

   L'article aborde les objectifs de la norme ISQM 1 et la manière dont cette norme doit être mise en œuvre au niveau des cabinets. La norme ISQM 1 adopte l'approche des mesures de contrôle fondées sur les risques (risk based controls). Cette approche permet à chaque cabinet de mettre en place ses propres mesures de contrôle interne en fonction des risques spécifiques. Ces mesures doivent ensuite être mises en œuvre efficacement au sein du cabinet. L'objectif sous-jacent est que le cabinet obtienne un degré raisonnable d'assurance que la qualité nécessaire est démontrée tant au niveau du cabinet qu'au niveau de l'exécution des missions (en particulier les missions d’audit (audits), les examens limités (reviews), les services connexes (related services) et les missions d'assurance (assurance engagements 3 )). N'oublions pas que les cabinets de révision gèrent essentiellement des personnes et que les mesures de contrôle interne mentionnées ci-dessus s'appliqueront à la fois aux systèmes et aux personnes. Ce dernier point nécessite une coordination renforcée au niveau du cabinet entre les membres du personnel, dans le cadre de laquelle il est important d'établir et de respecter des accords clairs sur ce qui peut et ne peut plus être fait. En outre, il faut faire preuve d'ouverture d'esprit pour tirer les leçons des déficiences à corriger à l'avenir ainsi que pour garantir et, si nécessaire, améliorer, la qualité globale, tant au niveau du cabinet qu'au niveau de la mission.

    

2. La norme ISQM 1

   La gestion de la qualité dans le monde de l'audit en tant que telle n'est pas un nouveau sujet. Les nombreux scandales financiers, généralement liés à de la fraude, survenus après le tournant du siècle, ont depuis lors provoqué une vague de lois et de règlements supplémentaires, notamment des normes plus restrictives applicables à la profession d'auditeur. À titre d'exemples, citons les scandales relatifs à Enron (2001), Worldcom, (2002), Xerox (2002), Adelphia (2002), HealthSouth (2002), Tyco (2002) et Parmalat (2003). L'une des normes de l'International Auditing and Assurance Board (IAASB) qui est devenue applicable à la profession d'auditeur en 2005 est l'International Standard on Quality Control n° 1 (« ISQC 1 »). Cette norme était en vigueur en Belgique jusqu'en 2022 et mettait en évidence un certain nombre d'étapes spécifiques qui devaient être abordées dans tout processus qualité au sein d'un cabinet de révision, notamment les suivantes :

   -         la nécessité d'une consultation (consultation) sur des questions relativement complexes ou nécessitant un jugement professionnel de la part de l'auditeur ;

   -         l'exigence de nommer une personne chargée de la revue de contrôle qualité de la mission (engagement quality reviewer) pour chaque audit impliquant une entité cotée (listed entity).

   Le contenu de la norme ISQC 1 a dû essuyer quelques critiques au cours des 17 dernières années, notamment celle selon laquelle il est extrêmement difficile et financièrement délicat pour un petit cabinet de révision de dégager les ressources nécessaires pour mettre en pratique les processus requis. Par conséquent, on s'est demandé pendant un certain temps, y compris dans les cercles de l'IAASB, s'il n'était pas plus judicieux de développer une norme internationale qui serait un peu plus « extensible » en termes d'application, en particulier pour les petits cabinets. La solution trouvée au niveau international en 2021 a été l'adoption de la norme internationale sur la gestion de la qualité n° 1 (International Standard on Quality Management ou « ISQM 1 »). Cette norme permet à un cabinet de révision, quelle que soit sa taille, de dresser lui-même la liste des principaux risques auxquels il est confronté, dans l'intention que ce cabinet puisse ensuite également auto-définir et mettre en œuvre les mesures permettant de garantir que ces risques peuvent être réduits à un niveau acceptable au regard de ses objectifs en matière de qualité. En d'autres termes, la norme ISQM 1 a permis aux cabinets de révision d'adopter à partir de fin 2023 une approche fondée sur les risques (risk based approach) pour leur système de gestion de la qualité.

   Conformément à la norme ISQM 1, l'objectif du cabinet est de concevoir, mettre en œuvre et faire fonctionner un système de gestion de la qualité pour les missions d’audit (audits) ou les examens limités (reviews) d'états financiers, ou d'autres missions d'assurance (assurance engagements) ou encore des missions de services connexes (related services) réalisés par le cabinet, qui fournit au cabinet l’assurance raisonnable que :

   (a) le cabinet et son personnel s'acquittent de leurs responsabilités conformément aux normes professionnelles et aux exigences légales et réglementaires applicables, et exécutent les missions conformément à ces normes et exigences ;

   (b) les rapports de mission émis par le cabinet ou les associés responsables de la mission sont appropriés (« appropriate ») dans les circonstances données.

   L'intérêt public est servi par l'exécution constante de missions caractérisées par la qualité. La conception, la mise en œuvre et le fonctionnement du système de gestion de la qualité permettent la réalisation constante de missions caractérisées par la qualité en fournissant au cabinet l'assurance raisonnable que les objectifs du système de gestion de la qualité, tels que définis dans la section suivante, sont atteints. La qualité des missions est obtenue en les planifiant, en les exécutant et en rendant compte conformément aux normes professionnelles et aux exigences légales et réglementaires applicables. L’atteinte des objectifs de ces normes de mission et le respect des lois ou règlements applicables impliquent l’exercice à la fois d'un jugement professionnel et d'un esprit critique professionnel.

   Les paragraphes suivants expliquent en détail quelles sont les composantes essentielles d'un tel système de gestion de la qualité. Le fonctionnement exact d’une approche fondée sur les risques est ensuite expliqué.

    

3. Système de gestion de la qualité (System of Quality Management ou SoQM)

   Tel que l'indique la norme ISQM 1, un système de gestion de la qualité (System of Quality Management, ci-après « SoQM » ou « SGQ ») fonctionne sur une base continue et itérative et répond aux changements touchant la nature et les circonstances du cabinet et de ses missions. Aux fins de la norme ISQM 1, un système de gestion de la qualité comprend les huit composantes suivantes :

   (a) Processus d'évaluation des risques du cabinet (Firm’s Risk Assessment process) ;

   (b) Gouvernance et équipe dirigeante (Governance and Leadership) ;

   (c) Règles d’éthique pertinentes (Relevant ethical requirements) ;

   (d) Acceptation et maintien des relations clients et des missions spécifiques (Acceptance and Continuance) ;

   (e) Réalisation de la mission (Engagement performance) ;

   (f) Ressources (Resources). Ces ressources peuvent être classées en ressources humaines (human resources), ressources technologiques (technological resources) et ressources intellectuelles (intellectual resources) ;

   (g) Informations et communications (Information and communication) ; et

   (h) Processus de suivi et prise de mesures correctives (Monitoring and remediation).

    

   Les composantes d'un SGQ ou SoQM peuvent être représentées graphiquement sous la forme d'une maison (dans le graphique, la composante « ressources » est subdivisée en trois catégories) :

   

   La solidité de la conception d'une telle « maison » dépend bien sûr fortement de la solidité du toit (« Tone at the top ») et de ses fondations (informations et communications, et ressources, entre autres). Ainsi, la qualité des données créées, maintenues et mises à jour au sein de la « maison » est cruciale pour prendre les bonnes décisions, par exemple au niveau de l'acceptation et du maintien des relations avec les clients, en ayant recours aux outils utilisés par le cabinet.

   Chaque composante se concentrera sur une partie de l'aspect « qualité » de la maison dans son ensemble :

   1. La gouvernance et l’équipe dirigeante sont responsables de la qualité et doivent en rendre compte. Ils démontrent leur engagement envers la qualité à travers une culture qui existe dans tout le cabinet, où les éléments suivants sont reconnus et renforcés :

   (i) Le rôle du cabinet dans la défense de l'intérêt public par la réalisation constante de missions caractérisées par la qualité.

   (ii) L'importance de l'éthique professionnelle, des valeurs et des attitudes professionnelles.

   (iii) La responsabilité de tous les membres du personnel vis-à-vis de la qualité des missions ou des activités dans le cadre du système de gestion de la qualité et le comportement attendu d'eux.

   (iv) L'importance de la qualité des décisions et actions stratégiques du cabinet, y compris ses priorités financières et opérationnelles.

   Les besoins en ressources, dont les moyens financiers, sont planifiés par l’équipe dirigeante et les ressources nécessaires sont obtenues, allouées ou attribuées d'une manière compatible avec l'engagement du cabinet envers la qualité.

   2. Le cabinet et son personnel comprennent les règles d’éthique pertinentes (y compris les règles d'indépendance, si applicables) auxquelles le cabinet et son personnel sont soumis, et assument leurs responsabilités par rapport à ces règles.

   3. Le cabinet accorde toute l'attention nécessaire aux jugements qu'il porte sur l'acceptation et le maintien des relations clients ou de missions spécifiques. Ceci se fait sur la base des informations recueillies sur le client et de la capacité du cabinet à effectuer la mission conformément aux normes, aux lois et aux règlements applicables. Il est essentiel de s'assurer que les priorités financières et opérationnelles du cabinet ne conduisent pas à des jugements inappropriés, compte tenu de la qualité.

   4. Les équipes de mission (y compris les associés responsables de la mission aussi bien que les autres membres des équipes) comprennent leurs responsabilités à l'égard des missions, y compris la responsabilité d'atteindre la qualité au niveau de la réalisation de la mission. La gestion et la supervision des équipes, y compris la supervision et l'évaluation appropriée par les membres plus expérimentés de l'équipe de mission des procédures effectuées, en font partie intégrante, tout comme l'application du jugement professionnel (professional judgement) et le fait de faire preuve d’un esprit critique professionnel (professional skepticism). Ici, la consultation (consultation) sur des questions litigieuses et le rôle de la personne chargée de la revue de qualité de la mission (engagement quality reviewer) contribueront de manière importante à la qualité. Il ne faut pas oublier l'aspect de la collecte et de la conservation en temps utile de la documentation de mission nécessaire pour répondre aux exigences fixées par les normes et les lois ou règlements applicables.

   5. Les ressources constituent l'une des composantes fondamentales d'un SGQ. Un cabinet de révision exerce, par définition, une activité axée sur les personnes. Par conséquent, les ressources humaines sont vitales et le fait d'attirer les bonnes ressources humaines demeure un point essentiel lié à la qualité. Il va sans dire qu'attirer, former et intégrer le personnel dans un environnement de qualité est une condition sine qua non pour atteindre la qualité au sein d'un cabinet. Et qu’il s’agisse de ressources humaines qui sont affectées localement ou auxquelles on fait appel par le biais du réseau, des shared service centers ou de ressources externes. En outre, il n’y a pas que les ressources humaines qui jouent un rôle, il y a aussi les ressources technologiques et intellectuelles achetées et/ou développées par le cabinet et mises à la disposition de son personnel qui jouent un rôle. Des ressources technologiques et intellectuelles appropriées sont obtenues ou développées, mises en œuvre, maintenues et utilisées pour permettre le fonctionnement du système de gestion de la qualité du cabinet et la réalisation constante de missions caractérisées par la qualité. Ces ressources sont conformes aux normes professionnelles et, le cas échéant, aux exigences légales et réglementaires applicables. Il s'agit, par exemple, de ressources technologiques telles que le logiciel d’audit, les applications informatiques utilisées dans la conception, la mise en œuvre et le fonctionnement du système de gestion de la qualité, ou de celles qui sont directement utilisées par les équipes affectées à la mission ; ou de ressources intellectuelles telles que par exemple la méthodologie d’audit, les modèles de lettres de mission, de lettres d’affirmation, de rapports de mission utilisés par les équipes comme base de leur documentation de mission. Elles concernent également les communications internes sur des questions techniquement difficiles et les explications fournies par le cabinet sur l'application, par exemple, d'une nouvelle norme professionnelle ou de la législation sur la lutte contre le blanchiment d'argent et l'utilisation d'espèces.

   6. La composante informations et communications se concentre sur l'obtention, l'établissement et l'utilisation des informations relatives au système de gestion de la qualité, ainsi que sur la communication des informations au sein du cabinet et aux parties externes en temps utile. Ces informations doivent être pertinentes et fiables, et doivent être conservées conformément aux normes et aux lois ou règlements applicables. La culture du cabinet reconnaît et renforce la responsabilité des collaborateurs dans l'échange d'informations avec le cabinet et entre eux, sachant que des informations non actualisées et/ou inexactes peuvent être à l'origine de décisions erronées prises ou à prendre, avec un impact potentiel sur la qualité. L'aspect essentiel ici est la confiance qui va de l’équipe dirigeante au personnel et du personnel à l’équipe dirigeante. Cet aspect est beaucoup plus difficile à mesurer que les autres aspects de la qualité, mais dans la pratique, il peut jouer un rôle très important dans le fait d’atteindre ou non la qualité au sein d'un cabinet.

   7. Le processus de suivi et la prise de mesures correctives au sein d'un cabinet est la composante où l’on retrouve :

   (a) La fourniture d’informations pertinentes, fiables et opportunes sur la conception, la mise en œuvre et le fonctionnement du système de gestion de la qualité.

   (b) La prise de mesures appropriées pour répondre aux déficiences identifiées afin qu'il y soit remédié en temps utile.

   Cette composante sera approfondie dans le point concernant le processus de suivi et de prise de mesures correctives.

   8. La conception des réponses (responses) au sein d'un SGQ doit être fondée sur les risques. Par conséquent, le processus d'évaluation des risques est une composante importante d’un SGQ. Nous reviendrons sur ce point dans la section suivante.

    

4. Approche fondée sur les risques (risk based approach)

   La norme ISQM 1 exige que le cabinet adopte une approche fondée sur les risques pour la conception, la mise en œuvre et le fonctionnement des composantes du système de gestion de la qualité. Ces éléments doivent être établis de manière interdépendante et coordonnée afin que le cabinet gère de manière proactive la qualité des missions qu'il réalise.

   L'approche fondée sur les risques comprend les aspects suivants :

   (a) Fixer des objectifs en matière de qualité. Les objectifs en matière de qualité fixés par le cabinet consistent en des objectifs relatifs aux huit composantes du système de gestion de la qualité que le cabinet doit atteindre.

   (b) Reconnaître et estimer les risques entravant l'atteinte des objectifs en matière de qualité (appelés « risques liés à la qualité »). Le cabinet doit identifier et estimer les risques liés à la qualité afin de disposer d’une base pour concevoir et mettre en œuvre des réponses à ces risques.

   (c) Concevoir et mettre en œuvre des réponses pour traiter les risques liés à la qualité. En pratique, ces réponses prennent la forme de mesures de contrôle interne (controls) élaborées pour chaque composante, à la lumière des objectifs en matière de qualité à atteindre, dans le but d'atténuer le(s) risque(s) lié(s) à la qualité concerné(s).

   Dans chacune des 8 composantes d'un SGQ, des réponses (controls) doivent être conçues et mises en œuvre de manière à ce que la réalisation de ces controls exerce une influence atténuante sur les risques liés à la qualité estimés. Ceci contribue alors à l’atteinte des objectifs en matière de qualité concernés au sein de cette composante du SGQ.

   Ainsi, le cabinet peut déterminer que l'un des objectifs de la composante « acceptation et maintien » est d'accepter et de maintenir les relations avec les clients qui correspondent le mieux à la stratégie du cabinet sur le marché de l'audit. Un risque lié à la qualité pourrait inclure, par exemple, des informations incorrectes ou non actualisées utilisées par le cabinet au moment de la prise de décision sur ce sujet. En fonction du risque inhérent estimé que cet objectif en matière de qualité ne soit pas atteint (c'est-à-dire sans que le cabinet prenne en compte l'impact des controls déjà conçus ou à concevoir ultérieurement), le cabinet peut, par exemple, stipuler que pour un sous-ensemble de clients (par exemple les clients ayant un profil public plus élevé ou les clients auxquels est lié un risque client et/ou un risque de mission plus élevé), l'approbation finale de la décision d'acceptation ou de maintien doive être approuvée par l'associé responsable de la gestion des risques au sein du cabinet. Cette procédure d'approbation implique alors une double vérification des informations utilisées comme base de la prise de décision au niveau du cabinet dans cette composante. Des controls supplémentaires peuvent également être conçus dans la même composante, afin d'atténuer les multiples points de risque au sein des processus de la composante. Par exemple, une vérification périodique peut avoir lieu au niveau du cabinet en ce qui concerne les informations de base sur la clientèle d'un cabinet (y compris les vérifications de l'exactitude des informations de base concernant les Entités d'intérêt public (EIP) qui sont clientes du cabinet, c'est-à-dire les informations concernant l'historique des rapports du commissaire, les informations nécessaires pour appliquer correctement les règles de rotation externe, etc.).

    

5. Le processus de suivi

   Comme indiqué ci-dessus, un cabinet doit fixer ses objectifs de qualité, en identifiant et en évaluant ses propres risques en matière de qualité afin de mettre en place et d'appliquer les mesures appropriées, dans le but d'atténuer les risques identifiés en matière de qualité. Enfin, pour pouvoir garantir en permanence la « qualité » globale tant au niveau du cabinet qu'au niveau des missions et l'améliorer si nécessaire, le cabinet devra mettre en place un processus permettant d’assurer le suivi et d'évaluer les réponses mises en œuvre (controls).

   Ce processus sert de base à l'identification et à l'évaluation des déficiences afin de mettre en place et d'élaborer des mesures correctives appropriées. Le tableau ci-dessous montre que le suivi est important d’une part tant au niveau de l'organisation du cabinet qu'au niveau de l'exécution des missions, et d’autre part qu'il doit être effectué de manière continue tout au long de l'année ainsi que périodiquement à des moments spécifiques. La manière dont ce tableau sera complété dépendra, pour chaque cabinet, de la nature, de l'ampleur et du calendrier des réponses (controls) aux risques identifiés et des changements qui surviennent au cours de l'année.

   Suivi            Exemples	Suivi continu	Suivi périodique
   Organisation du cabinet	·        Suivi par les responsables du SGQ ·        Recours à des indicateurs de qualité (C)	·        Inspections internes / du réseau concernant les activités de contrôle et de suivi (D) ·        Inspections externes du réseau concernant les activités de suivi 4
   Missions réalisées	·        Suivi en temps réel (A) ·        Analyse des données ·        Feedback en temps réel (A)	·        Inspections internes / du réseau concernant les missions achevées (B) ·        Inspections externes du réseau concernant les missions achevées 5

    

   Les activités de suivi continues sont généralement des activités de routine intégrées dans les processus du cabinet et effectuées en temps réel en réponse à l'évolution des circonstances. Elles permettent d'identifier rapidement les déficiences. Les activités de suivi périodique sont effectuées à intervalles réguliers par le cabinet.

   1. Suivi en temps réel et feedback en temps réel au niveau des missions exécutées

      Une identification précoce des déficiences est cruciale, car elle permet au cabinet de prendre des mesures correctives en temps utile et de manière efficace, ce qui contribue à une amélioration continue de la qualité des missions exécutées. Les inspections des missions en cours en sont un bon exemple. Elles visent à vérifier si un aspect du SGQ a été mis en place, est mis en œuvre et fonctionne comme prévu, et dans quelle mesure ces éléments se répercutent correctement au niveau des missions. Cette activité est de nature préventive, elle est effectuée avant la délivrance d'une attestation et comporte donc un élément de formation important, car elle permet également de prendre des mesures correctives de manière préventive face aux constatations faites lors de l'exécution d'autres missions en cours. Dans la pratique, cela peut par exemple être mis en place en soumettant certaines missions en cours, sélectionnées sur la base d'une approche fondée sur les risques tenant compte du type de dossiers (par exemple, EIP ou non-EIP, profil à haut risque) et du profil du partenaire de mission (par exemple, expérience, compétences, base cyclique, résultats d'inspections antérieures), à une inspection complète (par exemple, inspection d'une mission d'audit légal dans le cadre de laquelle toutes les phases de l'audit sont soumises à un contrôle) ou à une inspection partielle (domaines de risque spécifiques tels que l'application d'une nouvelle norme ISA, soumettre plusieurs missions d'audit légal à un contrôle). Il va sans dire que ces activités doivent être réalisées par des personnes objectives, disposant des compétences et capacités requises et pouvant y consacrer le temps nécessaire. Il est préférable que leur exécution se fasse selon des lignes directrices et des procédures spécifiques élaborées par le cabinet (par exemple, en utilisant des programmes de travail standardisés et échelonnés dans le temps afin de suivre la mission en cours du début à la fin). Les lignes directrices en matière de contrôle, disponibles sur le site web du Belgian Audit Oversight Board 6 , peuvent également être utilisées par le cabinet comme point de départ pour élaborer en interne des programmes de travail spécifiques pour la vérification des missions d'audit légal et d'autres missions légales. Le feedback pendant la mission (feedback en temps réel) permet de détecter les déficiences au niveau de la mission exécutée, mais surtout au niveau du SGQ, et/ou d'éviter les risques liés à la qualité.

   2. Inspections des missions achevées

      Tout comme le suivi en temps réel (inspection d'une mission en cours, telle qu'une mission d'audit légal), des activités de suivi périodiques peuvent être effectuées sur des missions achevées, c'est-à-dire après la remise de l’attestation. Ces activités sont plutôt de nature détective et peuvent être effectuées par le cabinet lui-même, son réseau ou d'autres réviseurs d'entreprises. Ici aussi, les mêmes principes que ceux énoncés au point A s'appliquent en ce qui concerne la sélection des dossiers et des partenaires de mission, la sélection des personnes chargées du contrôle et l'utilisation de programmes de travail standardisés.

   3. Utilisation d’indicateurs de qualité

      Conformément à la norme ISQM 1, le cabinet doit fournir des informations sur son SGQ à des parties externes, y compris des informations fournies aux personnes constituant le gouvernement d’entreprise sur la manière dont le SGQ soutient la réalisation cohérente de missions caractérisées par la qualité. Les facteurs qui contribuent à une mission caractérisée par la qualité sont des données qui peuvent, par exemple, être présentées sous la forme d'indicateurs de la qualité de la mission, accompagnés d'une explication complémentaire. Les indicateurs de qualité définis par le cabinet peuvent ainsi, par extension, porter sur la mesure préventive de la qualité au niveau du cabinet et au niveau des missions exécutées, ainsi que sur le respect des réponses (controls) mises en œuvre par le cabinet pour faire face aux risques identifiés.

      À ce jour, il n'existe toutefois aucun cadre légal définissant la nature de ces indicateurs, leur mode de calcul ou le moment à partir duquel ils doivent être considérés comme alarmants (indiquant un risque pour la qualité ou la non-réalisation des objectifs de qualité fixés). Sur la base de certaines publications d'organismes de supervision (PCAOB 7 , FRC 8 , CPAB 9 ) et d'organisations professionnelles (Accountancy Europe 10 ), il existe toutefois une indication des indicateurs de qualité d'audit possibles, dont les plus importants sont repris ci-dessous.

       

      Composante ISQM 1	Indicateur	Type d’indicateur
      Gouvernance et équipe dirigeante	·      Résultats des contrôles internes et externes de la qualité ·      Fonctions liées au contrôle de la qualité	Cabinet   Cabinet
      Règles d’éthique	·      Nombre de plaintes ·      Nombre de sanctions ·      Manquements aux exigences d’indépendance financière (cabinet/individu) ·      Manquements aux exigences d’indépendance relatives au mandat de commissaire ·      Formation relative aux règles d’éthique	Cabinet Cabinet Cabinet   Cabinet/Mission   Cabinet
      Acceptation & maintien	·      Réalisation en temps opportun des procédures d’acceptation des relations clients ·      Réalisation en temps opportun des procédures d’acceptation des missions	Cabinet/Mission
      Réalisation de la mission	·      Heures consacrées à la mission d’audit (par l’associé responsable de la mission, le manager et le responsable de la revue de la mission, par rapport au total des heures de la mission – niveau d’implication suffisant) ·      Expérience de l’équipe affectée à la mission (les experts et spécialistes) ·      Achèvement en temps opportun de la phase d’audit	Cabinet/Mission
      Ressources (HR)	·      Charge de travail des associés responsables de la mission ·      Charge de travail du personnel (suivi des heures supplémentaires) ·      Formation – réalisation en temps opportun des formations obligatoires ·      Formation – nombre d’heures de formation par personne ·      Taux de rotation du personnel – % de départs ·      Recrutements ·      Nombre de professionnels titulaires d’une qualification professionnelle ·      Niveau d’expérience	Cabinet/Mission   Cabinet   Cabinet   Cabinet   Cabinet Cabinet Cabinet   Cabinet
      Ressources (technologiques)	·      Heures consacrées à la technologie par rapport au total des heures de la mission	Cabinet
      Ressources (intellectuelles)	·      Nombre de consultations ·      Communications réalisées en temps opportun	Cabinet
      Ressources (fournisseurs de services)	·      Heures prestées par les fournisseurs de services (delivery centers et parties tierces) par rapport au total des heures de la mission	Cabinet
      Suivi & prise de mesures correctives	·      Nombre de contrôles internes de la qualité ·      Nombre de déficiences n’ayant pas encore fait l’objet de mesures correctives	Cabinet

       

      En novembre 2025, le BAOB a par ailleurs publié une communication à ce sujet 11 .

      Le BAOB retient des indicateurs directement liés à la qualité de l’exécution des missions (implication et supervision, expérience de l’associé signataire, ressources d’audit spécialisées), à l’efficacité du système de gestion de la qualité (suivi, ressources dédiées à la qualité) et même à la composante moins tangible mais essentielle que constitue la culture (d’entreprise).

      Au total, dix indicateurs sont identifiés comme particulièrement utiles pour le suivi continu d’un système de gestion de la qualité 12 .

      Selon le BAOB, ces indicateurs ne mesurent pas directement la qualité de l’audit, mais fournissent des signaux pertinents concernant les facteurs susceptibles d’influencer la qualité des missions ainsi que celle du système de gestion de la qualité.

      Bien que les Audit Quality Indicators (AQI) ne soient pas obligatoires, le BAOB encourage les cabinets à sélectionner un certain nombre d’indicateurs pertinents pour leur organisation. Lorsqu’ils sont judicieusement choisis, les AQI peuvent fournir des informations utiles sur le fonctionnement du système de gestion de la qualité et contribuer à l’amélioration continue tant de l’organisation du cabinet que de la qualité des missions réalisées 13 .

   4. Inspections de contrôle et d’activités de suivi

      Les activités de suivi périodique au niveau du cabinet peuvent notamment être influencées par l’ampleur, la structure et l'organisation du réseau, ainsi que par son implication dans les activités de suivi. Concrètement, ces activités de suivi sont en fait comparables à l'audit du contrôle interne chez les clients. L'objectif est de vérifier l'efficacité et l'efficience du SGQ. En d'autres termes, le cabinet devra mettre en place un processus pour effectuer le contrôle de son propre SGQ, le cas échéant avec l'aide du réseau. Ce processus comprend traditionnellement :

      • le contrôle des risques identifiés et des réponses apportées à ces risques. Par exemple : comment l’évaluation des risques a-t-elle été effectuée par les responsables des objectifs de qualité ? tous les risques pour chacune des composantes ISQM 1 ont-ils été correctement et complètement identifiés ? les réponses aux risques identifiés offrent-elles une assurance suffisante pour ramener le risque résiduel identifié à un niveau acceptable ? etc. ;
      • le contrôle de la conception des réponses (controls) via un walkthrough ;
      • le contrôle de l'efficacité des réponses (controls) par observation, réexécution, tests.

         

6. Le processus de prise de mesures correctives

   Comme déjà mentionné, l'objectif du SGQ est d'améliorer en permanence la « qualité » globale tant au niveau du cabinet qu'au niveau des missions. Le cabinet doit donc examiner et évaluer toutes les conclusions, notamment celles issues des activités de suivi susmentionnées, afin de déterminer s'il existe des déficiences tant au niveau du cabinet qu'au niveau des missions exécutées. Par extension, le cabinet devra également effectuer cette évaluation en tenant compte des conclusions tirées des plaintes et des allégations, des résultats des contrôles de qualité des prestataires de services, des inspections effectuées par les organismes de contrôle et, enfin, de celles qui découlent du processus de prise de mesures correctives. À cet égard, il peut être important de comparer également les actions qui ont donné des résultats positifs avec les situations dans lesquelles des déficiences ont été constatées.

   Les déficiences seront évaluées en fonction de leur gravité et de leur incidence profonde sur le SGQ par :

   • la réalisation d’une analyse des causes, c'est-à-dire la recherche de la ou des cause(s) sous-jacente(s) des déficiences identifiées ;
   • l’évaluation de l'impact de la déficience identifiée, tant individuellement que globalement, sur le SGQ.

     L'analyse des causes comprend traditionnellement la collecte de toutes les conclusions (au niveau du cabinet et au niveau de la mission), qui sont ensuite examinées par le biais d'observations, d'entretiens, d'analyses de données, etc. afin de déterminer si la déficience est ponctuelle, si elle s'inscrit dans une tendance ou si elle est de nature systématique, et si elle a un impact spécifique ou global sur le SGQ. La profondeur de l'analyse des causes est importante pour pouvoir déterminer la cause « réelle » et ainsi mettre en œuvre et appliquer les mesures correctives appropriées. À titre d'exemple, une constatation relative à des procédures non exécutées lors d'une inspection peut résulter du fait que l'équipe chargée de la mission n'avait pas une connaissance suffisante des procédures à effectuer, elle-même due à une formation insuffisante, elle-même due au fait que certaines formations n'ont pas été suivies ou n'ont pas été suivies à temps. Les causes sous-jacentes de l'impossibilité de suivre des formations peuvent être multiples (charge de travail et priorités, planification insuffisante de temps pour suivre la formation jusqu'à son terme, achèvement trop rapide des formations, absence de tone at the top, etc.). Et ce n'est qu'après avoir franchi cette dernière étape que des mesures correctives peuvent être prises.

     À la suite des résultats de l'analyse des causes, le cabinet doit concevoir et mettre en œuvre un plan de prise de mesures correctives. Ce plan fera également l'objet d'évaluations futures et s'inscrit, pour ainsi dire, dans le cadre du suivi continu mentionné ci-dessus. Les mesures prises, telles que l'adaptation et l'ajustement des réponses (controls) aux risques identifiés, permettent-elles d'atteindre les objectifs de qualité fixés ? Si ce n'est pas le cas, les nouvelles conclusions doivent être examinées et évaluées afin de déterminer s'il existe de nouvelles déficiences dont la cause justifie d'autres mesures correctives.

     Le processus de suivi et de prise de mesures correctives est finalement un processus itératif dans lequel chaque étape ou action doit conduire à une amélioration de la qualité, tant au niveau du cabinet qu'au niveau des missions exécutées, et ce processus se répète sans cesse.

      

     

      

7. Inspections effectuées par les organes de supervision

   Alors que la norme ISQC 1 a été remplacée après 17 ans par la norme ISQM 1 actuelle, dans laquelle le SGQ des cabinets vise à identifier correctement les risques et à y répondre, avec une première évaluation prévue pour fin 2024 (fin 2025 pour la Belgique), une enquête menée par l'International Forum of Independent Audit Regulators (IFIAR) 14 sur les résultats des inspections 2024 au niveau du cabinet (période ISQC 1) montre que :

   • 35 % des cabinets inspectés présentaient des déficiences dans l'exécution des missions ;
   • 29 % des cabinets inspectés présentaient des déficiences en matière d'indépendance et de déontologie ;
   • 25 % des cabinets inspectés présentaient des déficiences en matière de suivi.

     Le Belgian Audit Oversight Board a également confirmé des résultats/constatations similaires dans son rapport d'activités 2024, en soulignant principalement les quatre déficiences suivantes :

     • 50 % des réviseurs d'entreprises EIP inspectés présentaient des déficiences en matière d'indépendance, notamment un respect insuffisant des procédures internes au cabinet relatives aux exigences d'indépendance financière personnelle ;
     • 25 % des réviseurs d'entreprises EIP inspectés présentaient des déficiences en matière d'évaluation de la qualité des missions, notamment l'utilisation de questionnaires d'évaluation de la qualité des missions qui ne couvraient pas toutes les diligences requises ;
     • 25 % des réviseurs d'entreprises EIP inspectés présentaient des déficiences concernant l'absence de procédures complètes garantissant un archivage en temps utile ;
     • 31 % de toutes les infractions constatées chez les réviseurs d'entreprises non-EIP inspectés concernaient des infractions à la loi AML.

       La norme ISQM 1, dont l'approche repose sur des mesures de contrôle fondées sur les risques (risk based controls), devra démontrer dans les années à venir que les déficiences susmentionnées (datant de la période ISQC 1) pourront être comblées grâce à une meilleure réponse aux risques identifiés.

       Le Belgian Audit Oversight Board n'a toutefois pas souhaité attendre la première évaluation obligatoire du système de gestion de la qualité prévue en Belgique pour fin 2025, et a procédé en 2024 à des inspections thématiques sur la norme ISQM 1 auprès de cabinets de révision de premier plan sélectionnés, tous membres d'un réseau. L'inspection s'est concentrée sur la conception et la mise en œuvre (i) du processus d’évaluation des risques ; (ii) sur la composante « Ressources humaines » et (iii) sur la composante « Gouvernance et équipe dirigeante ». Par le biais d’une approche pédagogique et de sensibilisation, le BAOB a acquis une compréhension progressive de la manière dont les réviseurs d'entreprises EIP comprennent et appliquent la nouvelle norme, et de la manière dont celle-ci contribue à la gestion des risques dans leur cabinet ainsi qu’à la qualité de leur activité d'audit.

       Les inspections thématiques exploratoires ont permis de dégager des enseignements que le BAOB a partagés avec le secteur 15 . Ces enseignements constituent un soutien précieux pour notre profession dans la poursuite du développement et de l'amélioration de l'organisation des cabinets.

       Bien qu'il ne soit pas dans notre intention d'examiner ces idées en détail ici, nous avons brièvement résumé les éléments les plus importants, ne serait-ce que pour faire comprendre aux réviseurs d'entreprises et aux cabinets que la conception, la mise en œuvre et l'évaluation du système de gestion de la qualité ne constituent pas un exercice ponctuel, mais un processus qui doit être constamment affiné et amélioré.

       Principaux enseignements et/ou constats :

       • Le cabinet reste responsable en dernier ressort de son système de gestion de la qualité, y compris des jugements professionnels concernant sa conception, sa mise en œuvre et son fonctionnement, même s'il fait partie d'un réseau qui, à son tour, applique des exigences en matière de réseau.
       • Dans le prolongement du point précédent, le cabinet est également responsable de son propre processus d’évaluation des risques, même si certains risques sont gérés par le réseau. Les cabinets doivent donc évaluer ces risques liés au réseau au niveau local et, le cas échéant, les adapter ou les compléter. Une documentation appropriée est essentielle à cet égard.
       • Le cabinet doit documenter le processus de suivi du système de gestion de la qualité, y compris les activités de suivi menées par le réseau au sein du cabinet ou dans tous les cabinets du réseau. Souvent, les cabinets n'ont pas accès aux détails des procédures mises en œuvre par le réseau.
       • En cas de variations terminologiques, le cabinet doit démontrer sa conformité aux exigences ISQM 1. Malgré la possibilité d'utiliser d'autres terminologies, il est important de pouvoir démontrer que les exigences ISQM 1 ont été respectées.
       • Une identification et une évaluation qualitatives des risques sont essentielles pour la conception et la mise en œuvre des réponses/controls. La granularité et l'exhaustivité des risques liés à la qualité sont à cet égard d'une grande importance. Elles doivent être évaluées et documentées selon une méthodologie spécifique et validées par la direction.
       • Le processus de suivi et de prise de mesures correctives conduit à une amélioration continue de la qualité. Ici aussi, il est fait référence à une combinaison d'activités de suivi continues et périodiques, notamment en ayant recours à des indicateurs de qualité d'audit.
       • Un jugement professionnel qualitatif est essentiel pour un processus de suivi efficace. Les éléments qui peuvent contribuer à une documentation adéquate et suffisamment convaincante démontrant la qualité et la cohérence du jugement professionnel sont, par exemple, une méthodologie indiquant comment se déroule l'évaluation d'une constatation, comment celle-ci donne lieu à une déficience, comment la gravité et l’incidence profonde sont évalués et comment l'enquête sur la cause principale doit être menée.
       • Les certifications formalisent le devoir de responsabilité des personnes jouant un rôle dans le système de gestion de la qualité.
       • Le « tone at the top » est déterminant pour la culture du cabinet. Parmi les mesures fréquemment prises, on peut citer l'introduction d'un code de conduite, la réalisation d'enquêtes anonymes, la mise en place d'un cadre de responsabilité (accountability framework), l'élaboration d'un plan de communication, l'attribution de rôles et de responsabilités clairement définis en matière de qualité, et l'élaboration d'un plan stratégique ainsi que d'un budget.

         Le BAOB a également communiqué aux cabinets de révision non EIP les enseignements tirés des contrôles réalisés en 2024 16 .

         Les premières inspections menées par le BAOB auprès des réviseurs d’entreprises non EIP montrent que la mise en œuvre de la norme ISQM 1 est bien engagée dans la plupart des cabinets. Dans le même temps, le BAOB a identifié plusieurs points d’attention récurrents ainsi que des bonnes pratiques offrant des enseignements utiles pour le développement ultérieur d’un système de gestion de la qualité efficace.
       • Les cabinets membres d’un réseau doivent évaluer de manière critique si les exigences et les services du réseau sont suffisamment adaptés à leur propre nature, à leur taille et à leurs risques, et les ajuster ou les compléter si nécessaire.
       • Dans plusieurs cabinets, certaines réponses spécifiques explicitement requises par la norme ISQM 1 faisaient encore défaut, notamment concernant les procédures relatives à l’indépendance, le traitement des plaintes ou la communication sur le système de gestion de la qualité.
       • Certains cabinets ne tenaient pas suffisamment compte de l’incidence des fournisseurs de services sur leur système de gestion de la qualité, alors même qu’ils en demeurent responsables.
       • Le BAOB encourage les cabinets à actualiser et à affiner en permanence leurs risques liés à la qualité, en tenant compte des évolutions de leur organisation, de leur portefeuille de clients ou de l’environnement dans lequel ils exercent leurs activités.
       • Le recours à des sources d’information externes, telles que les publications du BAOB, de l’ICCI et de l’IRE, peut également contribuer à une identification et à une évaluation plus étayées des risques liés à la qualité.
       • Parmi les bonnes pratiques, le BAOB souligne notamment l’utilisation de logiciels de gestion de la qualité 17  ainsi qu’une évaluation structurée des risques liés à la qualité fondée sur une analyse de la probabilité (occurence) et de l’incidence (effect).

       Ces premières constatations confirment que la norme ISQM 1 ne constitue pas un exercice de mise en œuvre ponctuel, mais bien un processus dynamique et itératif nécessitant une évaluation et une amélioration continues du système de gestion de la qualité.

        

8. Conclusion

L'introduction de la norme ISQM 1 représente une avancée fondamentale pour la profession de réviseur d’entreprises. En passant d'une approche purement fondée sur des principes (comme dans la norme ISQC 1) à une approche fondée sur les risques, la norme ISQM 1 offre aux cabinets la flexibilité nécessaire pour adapter leur système de gestion de la qualité à leurs propres risques. Ainsi, le contrôle de la qualité n'est plus un processus statique ou purement administratif, mais un système dynamique et en constante amélioration, profondément ancré dans le fonctionnement quotidien du cabinet.

L'impact positif de la norme ISQM 1 se manifeste à différents niveaux :

• Amélioration de la qualité et de la fiabilité : l'identification et l'atténuation des risques liés à la qualité réduisent considérablement le risque de déficiences, ce qui se traduit par une meilleure qualité des missions réalisées et des rapports établis.
• Professionnalisation de la profession : la norme encourage une culture d'amélioration continue, de transparence et de responsabilité, axée sur le leadership et la gouvernance.
• Attention portée aux personnes et aux ressources : la norme ISQM 1 reconnaît l'importance des ressources humaines, technologiques et intellectuelles, et souligne l'importance de la formation, de la communication et de la coopération au sein du cabinet.
• Renforcement de la confiance sociale : en mettant l'accent sur l'éthique, l'indépendance et l'intérêt public, la norme ISQM 1 contribue à renforcer la confiance des parties prenantes dans le travail des réviseurs d'entreprises.

En résumé, la norme ISQM 1 a une influence positive et durable sur la profession, car elle améliore non seulement la qualité des services, mais aussi la résilience et la flexibilité des cabinets dans un environnement de plus en plus complexe.