Fonction d’audit interne d’un family office : périmètre, lignes hiérarchiques et garanties d’indépendance

Les family offices présentant une complexité importante – en particulier ceux qui gèrent des patrimoines multigénérationnels dans plusieurs juridictions, avec divers véhicules d’investissement et prestataires de services – nécessitent une fonction d’audit interne formelle pour soutenir la gouvernance, la gestion des risques et la conformité réglementaire. La conception de cette fonction doit garantir son indépendance vis‑à‑vis de la direction opérationnelle tout en fournissant une assurance objective sur l’efficacité des contrôles internes, de l’atténuation des risques et des processus de gouvernance. Cet article décrit comment définir le périmètre du mandat d’audit interne, les lignes de reporting et les garanties d’indépendance, conformément aux attentes réglementaires et au Modèle des trois lignes de l’Institute of Internal Auditors.

La fonction d’audit interne d’un family office doit être mise en place au moyen d’une charte formelle approuvée par le conseil d’administration ou l’organe de gouvernance équivalent. La charte doit définir l’objet, l’autorité, le périmètre et les responsabilités de la fonction, en conformité avec les normes de l’Office of the Comptroller of the Currency (OCC) en matière de contrôle interne et de gouvernance de l’audit. Selon les manuels de l’OCC Internal Control et Internal and External Audits, la charte doit explicitement accorder à la fonction d’audit interne un accès illimité à tous les dossiers, au personnel et aux biens matériels nécessaires à l’exécution de ses missions. Elle doit également préciser que le responsable de l’audit interne rend compte fonctionnellement au comité d’audit et administrativement à un cadre supérieur, généralement le directeur général ou le président du conseil.

Le positionnement structurel de l’audit interne doit refléter le profil de risque du family office. Pour les offices gérant des portefeuilles de trust, de capital-investissement ou immobiliers, la fonction doit être placée à un niveau suffisant pour influencer les décisions stratégiques et obtenir des informations en temps utile. L’OCC souligne que la position organisationnelle de la fonction d’audit interne et ses relations de reporting sont essentielles à son efficacité et à son objectivité. Lorsque le family office est soumis à une supervision réglementaire – par exemple via des filiales de conseillers en investissement enregistrés – le mandat d’audit interne peut être soumis à des exigences supplémentaires prévues par les règles de la SEC applicables aux conseillers en investissement enregistrés, y compris la règle du programme de conformité du Advisers Act.

Le périmètre de l’audit interne doit être fondé sur les risques et dynamique, couvrant l’ensemble des activités commerciales matérielles, des systèmes et des contrôles. Selon les orientations de l’OCC, le périmètre doit prendre en compte la nature et l’étendue des activités, des gammes de produits, des services et des fonctions du family office par rapport à son profil de risque. Il comprend les processus de gestion d’investissement, l’administration de trusts et de successions, la conformité fiscale, la cybersécurité, les risques liés aux tiers (par ex. prestataires de services du family office, dépositaires, conseillers juridiques) et la supervision des transactions entre parties liées.

La fréquence et la profondeur des audits doivent être calibrées en fonction de l’exposition au risque : les zones à haut risque – telles que les positions concentrées, les stratégies dérivées ou les structures de fonds transfrontalières – doivent être examinées chaque année ou plus fréquemment ; les zones à faible risque – comme les fonctions de soutien administratif – peuvent être revues sur un cycle pluriannuel. Le périmètre doit également couvrir l’efficacité des activités de contrôle, y compris la séparation des fonctions, les seuils d’autorisation et les procédures de rapprochement. Lorsque le bureau s’appuie sur des fonctions externalisées (p. ex., tenue de livres, suivi de la conformité), l’audit interne doit évaluer la suffisance de la supervision, y compris la revue des rapports d’organisations de services (p. ex., SOC 1 ou SOC 2).

La fonction d’audit interne doit rendre compte fonctionnellement au comité d’audit afin de préserver son indépendance et d’assurer une escalade rapide des enjeux matériels. Cette ligne de reporting permet au directeur de l’audit interne de présenter les constats et recommandations directement au comité, sans interférence de la direction. Sur le plan administratif, la fonction doit relever d’un cadre supérieur – généralement le directeur général ou le président du conseil – afin de faciliter l’allocation des ressources, le staffing et la coordination opérationnelle.

Le comité d’audit est responsable de l’approbation de la charte d’audit interne, du plan annuel et du budget, ainsi que de l’évaluation de la performance du directeur de l’audit interne. Le comité doit se réunir avec l’audit interne séparément de la direction pour discuter des questions sensibles, notamment des conflits potentiels ou des limitations de périmètre. Le manuel Corporate and Risk Governance de l’OCC indique que les conseils d’administration et les comités doivent évaluer la pertinence de la fonction d’audit interne dans le cadre plus large de la gouvernance des risques, y compris l’indépendance des auditeurs et la qualité des constats d’audit.

L’indépendance est préservée grâce à des garanties structurelles, procédurales et culturelles. Sur le plan structurel, le directeur de l’audit interne ne doit exercer aucune responsabilité opérationnelle et ne doit pas relever de la direction opérationnelle. Sur le plan procédural, la fonction doit disposer d’un accès libre à tous les dossiers, systèmes et personnel, et doit pouvoir faire appel à des experts ou consultants externes sans approbation préalable de la direction lorsque cela est nécessaire. L’équipe d’audit interne ne doit pas être chargée de mettre en œuvre des contrôles ou de concevoir des systèmes – ces tâches relèvent de la responsabilité de ligne selon le Three Lines Model.

Le Three Lines Model de l’Institute of Internal Auditors précise que l’audit interne (troisième ligne) fournit une assurance indépendante sur l’efficacité de la première ligne (unités opérationnelles) et de la deuxième ligne (fonctions risque et conformité). Pour maintenir l’objectivité, le personnel d’audit interne doit s’abstenir d’auditer les zones où il a occupé un rôle de direction ou de mise en œuvre pendant au moins un an. Les évaluations de performance du directeur de l’audit interne doivent être réalisées exclusivement par le comité d’audit, avec la contribution de directeurs indépendants le cas échéant.

Les family offices compromettent souvent l’efficacité de l’audit interne en le confondant avec la surveillance de la conformité, la préparation fiscale ou le support opérationnel. L’audit interne ne doit pas exercer de fonctions de gestion, telles que la préparation des états financiers, la réalisation de due diligence sur de nouveaux investissements ou la rédaction de politiques. Lorsqu’il est utilisé comme une équipe opérationnelle de fait, son objectivité est altérée et le contrôle réglementaire s’intensifie.

Une autre erreur fréquente consiste à restreindre l’accès à l’information ou au personnel. La direction peut refuser de donner accès aux membres de la famille, aux conseillers de confiance ou aux systèmes propriétaires. Pour y remédier, la charte d’audit interne doit explicitement accorder les droits d’accès et exiger que l’ensemble du personnel et les membres du conseil coopèrent aux demandes d’audit. Si la résistance persiste, le directeur de l’audit interne doit escalader le problème directement au comité d’audit et, en l’absence de résolution, au conseil d’administration dans son ensemble.

Considérez un family office gérant 1,2 milliard de dollars d’actifs répartis sur trois entités juridiques : une société d’investissement familiale, une société de fiducie et une fondation privée. La fonction d’audit interne, composée de deux professionnels, élabore un plan annuel basé sur une matrice de risque qui pondère la juridiction, la concentration d’actifs, l’exposition aux tiers et l’exposition réglementaire. Les zones à haut risque comprennent les contrôles fiduciaires de la société de fiducie, les investissements de fonds transfrontaliers et la conformité des subventions de la fondation. Elles sont programmées pour des revues trimestrielles, tandis que les fonctions administratives (p. ex., RH, installations) sont revues tous les deux ans.

Le directeur de l’audit interne rend compte administrativement au président du conseil et fonctionnellement au comité d’audit. Le comité d’audit se réunit chaque trimestre avec l’audit interne en séance exécutive et reçoit des rapports écrits sur tous les mandats. Lorsqu’un contrôle révèle une lacune dans le processus d’examen des conflits d’intérêts de la société de fiducie, la constatation est immédiatement transmise au comité, qui ordonne alors à la direction de mettre en place un flux d’approbation révisé et de former à nouveau le personnel. L’équipe d’audit interne ne conçoit ni ne met en œuvre le nouveau flux – cela reste une responsabilité de ligne – garantissant ainsi le maintien de l’indépendance.