«  Apporter un regard objectif et neutre sur la maitrise des risques  »

Romain Boully a un parcours atypique : cet ancien responsable qualité dans un laboratoire privé est aujourd’hui responsable de l’audit interne de l’Université de Strasbourg et membre du directorie de la jeune association francophone des auditeurs internes de la recherche et de l’enseignement supérieur (Afaires).

Pour Campus Matin, il décrit cette fonction bien connue des grandes universités européennes et que les françaises s’approprient progressivement. À la fois inspecteurs, journalistes et experts, les auditeurs internes se dévoilent. 

Comment est née l’association Afaires ?

Romain Boully : Les auditeurs internes au sein des universités sont peu nombreux (une trentaine) et souvent seuls au sein de leurs établissements. Ils sont généralement adhérents de l’Institut français de l’audit et du contrôle internes (Ifaci), mais nous ressentions le besoin de nous fédérer au sein de l’écosystème de l’ESR, pour davantage partager nos méthodes et pratiques.

Un petit noyau de collègues se connaissant mutuellement depuis 2010 s’est structuré, ce qui a débouché, quand le groupe a pris de l’ampleur, sur la création de l’association en 2017. Au-delà des collègues français, dès le départ, elle a inclus des francophones, belges et suisses, pays où l’audit interne est présent depuis plus longtemps dans les universités.

À quand remonte la mise en place de la fonction d’audit interne dans les universités ?

Il y a un effet de masse critique : c’est plutôt dans les grands organismes de recherche (CNRS) ou les grosses universités post-fusion/Idex que l’on retrouve des auditeurs internes. Les services d’audit sont composés d’un à trois auditeurs internes en général.

Une volonté de s’aligner sur les meilleures pratiques des universités de recherche européennes

En France, l’Université de Strasbourg a été la première, en 2009 au moment de la fusion, à mettre en place la fonction d’audit interne. Il y a eu à l’époque une volonté de s’aligner sur les meilleures pratiques des universités de recherche européennes, qui étaient dotées de cette fonction. Quand mon prédécesseur a monté ce service à l’Université de Strasbourg, il s’est donc rapproché de ses rares homologues francophones : le CNRS, l’Université catholique de Louvain et l’Université de Genève.

Depuis, de l’eau est passée sous les ponts et nous bénéficions d’une certaine reconnaissance : le décret relatif à la gestion budgétaire et comptable publique nous dédie son article 216 et l’Agence française anticorruption (AFA) recommande notre mise en place dans les établissements.

Les auditeurs internes sont peu nombreux, vous le disiez, dès lors qui regroupe votre association ?

Nous comptons 80 membres, dont moins de la moitié sont de purs auditeurs internes ; nous fédérons aussi des contrôleurs internes, quelques qualiticiens et des contrôleurs de gestion, à qui l’on demande ponctuellement des missions d’audit.

Audit interne, contrôle interne, contrôle de gestion… en quelques mots pouvez-vous nous expliquer qui fait quoi ?

Dans notre jargon, il faut en effet distinguer différentes « lignes » de maîtrise. Il y a la première ligne, c’est ceux qui « font », les opérationnels, ceux qui assurent les missions courantes de nos établissements.

La seconde, ce sont par exemple, les personnels chargés de la qualité, il s’agit d’accompagner les différents métiers à se conformer à un référentiel, dans une logique d’amélioration continue. Les contrôleurs de gestion et le contrôle interne constituent aussi cette seconde ligne. Les premiers assurent le suivi de production, l’affectation de ressources, le suivi et le pilotage. Tandis que les contrôleurs internes adoptent une approche par les risques. Ce dernier métier est né dans la banque-assurance, on les trouve donc principalement dans les services comptables et financiers. Ils élaborent des cartographies et plans d’action pour maitriser les risques.

Nous agissons quasiment comme un organisme externe

Enfin, l’audit interne constitue la troisième ligne : nous agissons quasiment comme un organisme externe. Notre rôle est d’apporter un regard objectif et neutre sur la maitrise des risques dans un établissement. Nous évaluons si le contrôle interne, les démarches de pilotage et d’amélioration continue, ou le management sont bien dimensionnés pour maitriser les risques et les opérations.

Quel est le profil des auditeurs internes d’universités ?

Nos métiers aussi sont nés dans la banque-assurance, donc les titulaires des postes affichent principalement des profils financiers. Mais cela s’ouvre, on trouve des collègues passés par des postes d’encadrement intermédiaires, voire des profils plutôt séniors comme des anciens directeurs de services. 

J’ai pour ma part un profil plutôt atypique puisque, plus jeune que mes homologues, j’étais responsable qualité en laboratoire privé. Je suis arrivé à l’Université de Strasbourg sur une mission de maîtrise des risques d’un an, financée par l’Idex (initiative d’excellence). À la fin de celle-ci j’ai été recruté par le service d’audit qui cherchait son deuxième auditeur.

Les salaires proposés sont bien inférieurs à ceux du privé, ils vont du simple au double ! Mais, personnellement, au travers de notre travail de « gestion », je trouve beaucoup de sens à participer à l’aventure de l’université : produire de la science et la transmettre. 

De qui dépendez-vous en interne et à qui adressez-vous vos rapports ?

Nous sommes en général rattachés fonctionnellement à la présidence ou à la direction générale. Nous rendons directement compte au président en indiquant les points forts et faibles des processus que nous auditons, et surtout, en proposons des recommandations d’amélioration.

Comment assurez-vous l’indépendance de vos travaux ? 

À Strasbourg, le pilotage de la fonction est assuré par un comité d’audit qui est composé de personnalités extérieures nommées par le conseil d’administration sur proposition du président. Ce rattachement indépendant et au plus haut niveau nous assure la liberté nécessaire pour auditer convenablement : absence de censure et libre accès à tous documents ou personnes nécessaires à nos travaux. Nous sommes soumis en contrepartie à une stricte confidentialité.

Comment procédez-vous pour vos audits ?

Savoir briser la glace

Nous utilisons des référentiels comparables à ceux de l’inspection générale (Igésr). Une des méthodes principales de travail ce sont les entretiens et les interviews ; il faut qu’on puisse « ouvrir les placards », ce qui suppose de créer de la confiance (notamment en assurant la confidentialité des échanges) et de savoir briser la glace.

Ce n’est qu’avec la participation active des collègues que nous élaborons des recommandations de qualité. En ça, notre approche est certainement un peu différente des corps d’inspection et de contrôle.

Votre prochain séminaire annuel aura lieu à Rabat sur la question des données de l’ESR. Qu’en attendez-vous ? 

Un des objectifs de l’association est de créer des liens entre nos membres. Le séminaire annuel est un des moyens que nous avons pour y parvenir. En novembre dernier, nous l’avons ainsi organisé sur la réforme de la responsabilité des gestionnaires publics. Et cette année, ce sera autour de la donnée à Rabat du 16 au 17 novembre.

Nous avons lancé un appel à communication en amont, afin de recueillir un maximum de proposition et d’ouvrir le séminaire à différentes communautés (administratifs, chercheurs, dirigeants, corps d’inspection ou de contrôle… tous ceux qui véhiculent, consomment et agissent sur de la donnée) afin de mixer le plus possible les approches.