Un système de contrôle interne (SCI) rend visible, en PME, quels processus importants sont sécurisés et si les contrôles prévus ont réellement lieu. Une signature ou une coche verte ne suffit pas : il faut un objet de vérification clair, une personne responsable et une preuve compréhensible. Ce guide distingue le classement juridique du contrôle ordinaire des recommandations organisationnelles pour le quotidien. Il ne décrit aucun catalogue de contrôles prescrit de façon générale.
Ce que dit la loi sur le SCI
Le Code des obligations (CO, OR) mentionne le système de contrôle interne en lien avec l’organe de révision, sans préciser à quoi un tel système doit ressembler. Détail des dispositions :
- Art. 728a, al. 1, ch. 3, CO : lors du contrôle ordinaire, l’organe de révision vérifie s’il existe un système de contrôle interne. La loi vise ici expressément l’existence du SCI ; la manière de la vérifier est fixée par les normes d’audit de la profession. Les constatations relatives au SCI figurent dans le rapport au conseil d’administration (art. 728b, al. 1, CO).
- Art. 728a, al. 2, CO : l’organe de révision tient compte du SCI lors de l’exécution du contrôle et de la détermination de son étendue.
- Art. 728a, al. 3, CO : la manière dont le conseil d’administration dirige la société n’est pas soumise au contrôle de l’organe de révision.
- Art. 728b, al. 1, CO : l’organe de révision établit à l’intention du conseil d’administration un rapport détaillé contenant des constatations relatives à l’établissement des comptes, au SCI ainsi qu’à l’exécution et au résultat du contrôle.
L’art. 727 CO règle qui doit être contrôlé de façon ordinaire. Selon l’al. 1, il s’agit premièrement des sociétés ouvertes au public, deuxièmement des sociétés qui dépassent deux des valeurs suivantes au cours de deux exercices successifs, troisièmement des sociétés tenues d’établir des comptes consolidés. Les valeurs sont un total du bilan de 20 millions de francs, un chiffre d’affaires de 40 millions de francs et 250 emplois à plein temps en moyenne annuelle. Selon l’al. 2, un contrôle ordinaire est aussi requis lorsque des actionnaires représentant ensemble au moins 10 % du capital-actions l’exigent. Selon l’al. 3, les statuts ou l’assemblée générale peuvent prévoir un contrôle ordinaire lorsque la loi ne l’exige pas. Pour l’organe de révision de la SARL, les dispositions du droit de la société anonyme sont applicables par analogie (art. 818, al. 1, CO).
| Type de contrôle | Quand | SCI dans l’objet du contrôle |
|---|---|---|
| Contrôle ordinaire | Cas de l’art. 727 CO | Oui : existence selon l’art. 728a, al. 1, ch. 3 |
| Contrôle restreint | Lorsque les conditions d’un contrôle ordinaire ne sont pas remplies (art. 727a, al. 1) | Non mentionné à l’art. 729a, al. 1 |
| Aucun contrôle (renonciation) | Avec le consentement de l’ensemble des actionnaires, pour un effectif d’au plus dix emplois à plein temps en moyenne annuelle (art. 727a, al. 2, CO) | Aucun contrôle par un organe de révision |
Indépendamment du type de contrôle, l’art. 716a, al. 1, ch. 3, CO attribue au conseil d’administration, comme attribution intransmissible, la fixation des principes de la comptabilité et du contrôle financier ainsi que du plan financier, pour autant que celui-ci soit nécessaire à la gestion de la société. Dans la SARL, les gérants ont une attribution correspondante (art. 810, al. 2, ch. 3, CO). La loi n’assimile pas expressément le « contrôle financier » au SCI de l’art. 728a, mais la disposition montre que la conception du contrôle relève de la direction suprême.
Pour votre entreprise, clarifiez l’obligation concrète de révision avec votre fiduciaire ou votre organe de révision ; le guide sur la collaboration avec la fiduciaire explique qui reste responsable de quoi. L’art. 728a n’implique notamment pas que chaque petite entreprise doive mettre en place le même volume de contrôles documentés. Des contrôles adéquats peuvent néanmoins être judicieux sur le plan organisationnel. Les recommandations suivantes relèvent de la pratique, non de la loi.
Du risque au contrôle adéquat
Partez d’un processus essentiel et d’une défaillance concrète. Lors de la saisie de coordonnées de paiement modifiées, un compte non autorisé ou mal repris pourrait par exemple être utilisé. Le contrôle doit influencer précisément ce risque. « Contrôler les finances » serait un objectif trop large.
Décrivez qui compare quelle information avec quelle base indépendante. Un contrôle qui compare seulement deux copies d’une même saisie non vérifiée apporte peu de sécurité supplémentaire. Ce qui compte, c’est la qualité de la base de comparaison, non le nombre de documents.
Fixez la fréquence en fonction du processus. Un contrôle à chaque modification de données de base n’a pas le même but qu’un aperçu périodique de toutes les modifications ; les deux peuvent se compléter. Une échéance mensuelle n’est toutefois pas automatiquement adéquate si l’opération décisive a lieu immédiatement après une modification.
Reliez le contrôle au risque décrit. Dans un registre des risques, vous pouvez retracer la situation de départ, les dispositions existantes et la réévaluation. On peut ainsi expliquer plus tard pourquoi un contrôle a été introduit ou adapté.
Exécution et preuve
Une description de contrôle exécutable répond aux questions d’objet, de comparaison, d’étendue et de réaction. Précisez si toutes les opérations ou un échantillon choisi délibérément sont examinés ; pour un échantillon, la délimitation en fait partie. Sinon, personne ne peut juger de la portée du résultat.
Le résultat devrait distinguer conforme, défaut et non applicable. « Non applicable » exige un motif, par exemple qu’aucune opération de ce type n’a eu lieu pendant la période. Un contrôle non effectué ne doit pas disparaître sous la même désignation.
La preuve comprend la date, la personne qui a exécuté le contrôle, la base examinée et le résultat. Une référence à la liste vérifiée peut suffire si celle-ci reste retrouvable sans ambiguïté. Évitez les copies non maîtrisées de données confidentielles lorsqu’un renvoi réglé porte aussi bien la preuve. Combien de temps conserver les documents commerciaux, le guide sur l’obligation de tenir une comptabilité l’explique.
Définissez aussi la suppléance et le traitement des exceptions. Si la personne qui contrôle a elle-même participé à une opération, il faut une alternative compréhensible. Une séparation des tâches judicieuse en principe sert peu si vacances ou absences maladie la suppriment régulièrement au quotidien.
Exemple pratique : Muster Handel AG
La Muster Handel AG est une entreprise fictive. Elle souhaite mieux sécuriser les modifications des comptes de ses fournisseurs. L’exemple illustre un processus organisationnel et n’indique pas si l’entreprise est soumise au contrôle ordinaire.
Pendant le mois considéré, dix coordonnées bancaires ont été modifiées. L’entreprise a convenu en interne de contrôler chaque modification à l’aide d’une base confirmée de façon indépendante, avant de l’utiliser pour un paiement. La personne qui contrôle ne doit pas être celle qui a saisi la modification.
Lors de l’aperçu mensuel, la responsable des finances trouve une preuve complète pour huit modifications. Pour l’une, la confirmation de la base de comparaison manque ; pour une autre, la vérification indépendante n’est pas documentée.
| Résultat de l’aperçu mensuel | Nombre | Part |
|---|---|---|
| Preuve complète | 8 | 80 % |
| Confirmation de la base de comparaison manquante | 1 | 10 % |
| Vérification indépendante non documentée | 1 | 10 % |
| Total | 10 | 100 % |
Deux preuves sur dix sont donc incomplètes, soit vingt pour cent. Ce taux décrit l’exécution documentée du contrôle, non un taux de fraude établi.
Les deux cas sont examinés individuellement. Jusqu’à clarification, la sécurité prévue est considérée comme non prouvée. Une vérification rattrapée ensuite est documentée avec sa date réelle ; elle ne doit pas donner l’impression que le contrôle d’origine a été exécuté à temps.
L’analyse des causes révèle une suppléance mal définie. L’entreprise adapte la répartition des tâches et vérifie spécifiquement les prochaines modifications comparables. Elle ne juge la mesure efficace que lorsque la nouvelle règle fonctionne au quotidien. Dix points de contrôle traités ne montreraient pas à eux seuls ce lien.
Traiter les défauts et améliorer les contrôles
Un défaut constaté exige une réaction appropriée. Clarifiez d’abord l’effet immédiat et sécurisez les opérations ouvertes ; déterminez ensuite la cause et l’amélioration nécessaire. Pour un traitement approfondi, un processus d’actions correctives sépare la mise en œuvre de la vérification de l’effet.
Examinez aussi le contrôle lui-même. Était-il décrit de façon compréhensible ? La base de comparaison était-elle disponible ? La personne responsable était-elle en mesure de l’exécuter, sur le plan technique et du temps ? Un rappel ne remplace ni une autorisation manquante ni une consigne de contrôle impraticable.
Des résultats répétés sans défaut sont aussi une occasion de réfléchir. Peut-être le processus fonctionne-t-il bien ; peut-être le contrôle est-il trop superficiel ou ne porte-t-il pas sur les opérations pertinentes. Au besoin, consultez quelques justificatifs pour vérifier la portée de l’exécution.
Introduire un petit SCI
Commencez par quelques processus importants et des contrôles compréhensibles. Rédigez la description avec les personnes qui contrôleront ensuite. Faites dérouler une opération réaliste et voyez si des ambiguïtés ou des informations manquantes apparaissent.
Convenez ensuite d’un examen commun des premiers résultats. Décidez quel contrôle est conservé, adapté ou remplacé ; chaque modification devrait montrer en quoi elle atteint mieux l’objectif de contrôle. Quelques points de contrôle adéquats valent souvent mieux qu’une longue liste sans lien visible avec le risque.
Pour la direction, un aperçu des contrôles échus, exécutés et défectueux est utile. Ces catégories ne doivent pas être mélangées. Un contrôle exécuté à temps peut révéler un défaut notable et remplir ainsi son but. Un contrôle manqué reste ouvert, même si aucun dommage n’est connu par hasard. À la clôture annuelle, un coup d’œil aux contrôles concernés vaut la peine ; la checklist de clôture annuelle en énumère les étapes typiques.
Checklist
- La question de la révision (art. 727 CO) est clarifiée séparément de l’organisation pratique.
- Chaque contrôle a un risque et un objectif concrets.
- Base de comparaison et étendue du contrôle sont compréhensibles.
- Fréquence et moment correspondent à l’opération.
- Responsabilité et suppléance sont réglées.
- Résultat et date réelle d’exécution restent traçables.
- « Non applicable » et « non effectué » sont motivés.
- Les défauts donnent lieu à des mesures avec suivi propre.
- Une exécution manquante ne compte pas comme résultat positif.
La solution KMU | base
Dans QMS | base, vous ouvrez les contrôles dans le menu, sous « Exploitation et preuves », au point « Contrôles internes (SCI) ». Avec « Nouveau contrôle », vous en créez un.
Contrôles SCI avec fréquence. Vous définissez des contrôles avec objectif, lien avec un risque et un processus, responsable, fréquence de quotidienne à annuelle et points de contrôle. Le déroulement prévu se pilote ainsi de façon structurée. Le lien avec une entrée de « Risques et opportunités » est possible. L’adéquation du contrôle sur le fond, vous la jugez d’après votre activité.
Effectuer le contrôle. Vous répondez aux points de contrôle ; un défaut génère, si vous le souhaitez, une mesure, et la prochaine échéance est calculée. La mesure est créée lorsque l’option « Créer une mesure en cas de défaut » est cochée lors du contrôle. Un point marqué « non applicable » ne compte pas comme défaut ; dans le portail, le formulaire exige une remarque. Un contrôle non effectué se saisit avec un motif. Ne saisissez un résultat qu’après la vérification effective et décrivez la base de façon suffisamment concrète.
Contrôles SCI échus. La personne responsable reçoit une notification le jour de l’échéance. Le rappel ne confirme ni l’exécution ni l’efficacité du système de contrôle ; il aide à rendre la tâche convenue visible à temps.
Ce que le logiciel ne vérifie pas : que la personne qui contrôle est une autre que celle qui a saisi l’opération. Cette séparation des tâches, vous la réglez sur le plan organisationnel.
Le guide de QMS | base explique l’utilisation. Consultez la démo, ouvrez un compte d’essai ou contactez-nous via la page de contact.
Sources
- Code des obligations (CO, OR, RS 220), art. 727 al. 1 à 3, art. 727a al. 1 et 2, art. 728a al. 1 à 3, art. 728b al. 1, art. 729a al. 1, art. 716a al. 1 ch. 3, art. 810 al. 2 ch. 3 et art. 818 al. 1, état au 1er octobre 2026 : fedlex.admin.ch, consulté le 27.10.2026.
Les processus organisationnels et les exemples sont des aides rédactionnelles et non des exigences légales.
Ce guide ne remplace aucun conseil juridique ou fiscal. État des informations : 27.10.2026.