Le rôle de la gouvernance, de la conformité et du contrôle dans la transformation financière
Si l'on s'efforce de répertorier les divers aspects qui affolent le rythme cardiaque d'un directeur financier, la gouvernance, la conformité, le contrôle et l'audit ne figureront probablement que vers la fin de la liste. Les concepteurs des logiciels existants aboutissent probablement à une liste similaire car ils ne traitent le contrôle et la gouvernance qu'après coup, voire comme des aspects irritants, dans les modules financiers d'un logiciel ERP standard. Le contrôle n’est pas aussi urgent que le traitement des transactions, pas aussi visible que le reporting financier ou pas aussi attrayant que les analyses.
À vrai dire, au début des logiciels d’entreprise, dans les années 80, le contrôle n’était pas une priorité. Les lois Sarbanes-Oxley, Basel II et COSO/COBIT n’existaient pas encore et l'« audit hors logiciel » était monnaie courante. Et, en toute honnêteté, l'innovation technologique n'avait pas atteint un stade où le contrôle était même techniquement possible. À l'époque, un gigaoctet de stockage coûtait l'équivalent actuel de plus de 200 000 $ avec des contraintes similaires au niveau de la puissance de traitement. Les systèmes étaient rentabilisés simplement en capturant les entrées de journal et en les cumulant dans les soldes de grand livre. Il y avait alors un besoin ou une capacité faible d'examiner de très près les contrôles. Le monde a évolué.
Les concepteurs des logiciels traditionnels traitaient le contrôle et la gouvernance après coup, voire comme des aspects irritants, dans les modules financiers d'un logiciel ERP standard
Aujourd’hui, il n'est plus possible de considérer la gouvernance comme une seconde étape. Le coût lié à la non-conformité est simplement trop élevé. Les fournisseurs ERP traditionnels ont résolu ce problème de façon classique, en rachetant des technologies ou en créant des fonctionnalités ensuite intégrées dans les systèmes traditionnels. Toutefois, cette approche « après-vente » de la conformité et du contrôle ne va pas sans un certain nombre d’inconvénients, notamment :
Contrôles volontaires : C’est à l’utilisateur de définir, choisir et mettre en œuvre chaque contrôle. Chacun d'entre eux nécessite une réflexion poussée et pas mal d’efforts pour implémenter une solution minimale, souvent peu performante. Laisser l'institutionnalisation des contrôles à la charge de l'utilisateur est littéralement l'assurance que les contrôles ne seront pas mis en œuvre de manière uniforme.
Inefficacité de l'approche « après coup » : l’infrastructure de contrôle rajoutée après coup alourdit les processus qui n’ont jamais été conçus pour traiter une telle charge, ce qui se traduit par de faibles performances. Ceci pousse alors les utilisateurs à arrêter les contrôles du système et à gérer la conformité manuellement.
Documentaire difficile : Dans un environnement de contrôle moderne, la documentation des contrôles est pratiquement aussi importante que l’existence même de ces contrôles. Avec l’approche traditionnelle, la documentation est manuelle (feuilles de calcul, descriptions manuscrites et organigrammes personnalisés) avec mise à jour également manuelle à chaque modification.
Montagne de maintenance : Dans les systèmes d'entreprise, les risques liés aux contrôles clés surviennent au croisement des personnes et des processus. Le modèle de contrôle mis en œuvre après coup ne s’intègre jamais complètement avec le système RH. Résultat, les paramètres de contrôle doivent être gérés manuellement pour intégrer les changements liés au personnel et à l’organisation, fréquents dans les entreprises aujourd’hui.
Jamais complet, jamais exhaustif : Dans la mesure où des notions comme le workflow sont apparus longtemps après la conception des systèmes traditionnels, les moteurs de gestion des contrôles n’ont pas été pris en compte à l'occasion de la conception initiale. Pire, certains contrôles devaient même être appliqués de manière individuelle pour certains processus. Ainsi, à chaque fois qu'un processus devait être ajouté ou modifié, le contrôle ou l’audit devait être attentivement examiné et traité spécifiquement. Tout ceci ne peut que faire naître un doute constant sur l'efficacité et la couverture d'un tel système de contrôle.
Cette approche « après coup » de la gouvernance et du contrôle était peut-être appropriée dans le passé, mais dans l’économie moderne où la responsabilité, la transparence, la réglementation et la responsabilisation sont très importantes, elle peut se traduire par un désastre. Selon Workday, un système d’entreprise doit s’appuyer sur un socle de gouvernance et de contrôle solide. Si les processus gérant les données transférées dans le système ne sont pas fiables, le système est compromis avant même sa mise en service.
Il est littéralement impossible de disposer en couches les logiciels de contrôle sur un système d'entreprise préexistant.
Pour combattre ces lacunes, Workday a commencé par un principe de gouvernance fondamental : vous ne pouvez pas créer la gouvernance et le contrôle via l'audit. Vous pouvez les tester, mais vous ne pouvez pas les créer. Même une lecture en diagonale des structures de gouvernance telles que COBIT et COSO indique très clairement que pour établir un environnement de gouvernance efficace, les concepts et les capacités de contrôle doivent être ancrés dans le tissu même du système. Il est littéralement impossible de disposer en couches les logiciels de contrôle sur un système d'entreprise préexistant et d'assurer un environnement de contrôle efficace, complet, documentable, maintenable, économique et auditable.
Ces caractéristiques doivent être délibérément développées et conçues dans le système dès le début, et c'est pourquoi la possibilité pour Workday de partir d'une feuille blanche était tellement essentielle à notre approche de la gouvernance. Ceci nous a pour l'essentiel permis de concevoir le contrôle et la gouvernance au cœur de notre système. Voici les cinq éléments clés que nous avons utilisés afin de concevoir Workday Financial Management et qui, nous pensons, sont nécessaires pour que les systèmes financiers répondent aux exigences de conformité des entreprises actuelles :
Contrôles s'associant aux structures de processus d'entreprise : Toute l'activité d'entreprise doit être modelée et gouvernée au sein d'une infrastructure Business Process Framework (BPF). Aucun élément ne doit se déplacer s'il n'est pas modelé dans la BPF.
Unifié avec le système d'enregistrement utilisateur : Un environnement de conformité efficace est possible uniquement si l’ensemble du système d'entreprise connaît parfaitement ses utilisateurs, leurs rôles, leurs autorisations, leurs limites d’approbation, leurs managers et leurs relations avec les nombreux départements. L'objet « salarié » ne doit pas être un aspect RH séparé des finances : il doit être un aspect de l'entreprise partagé par les systèmes des finances et RH.
Documentation automatique : Les processus d'entreprise sont fournis définis et documentés dans l'outil BPF de Workday. Tout changement de processus s'effectue dans l'outil de sorte que les processus soient documentés automatiquement. Et parce que les informations sont unifiées à travers le système, cette documentation indique qui a effectué le changement et quand.
Audits continus : Les structures de données « in-memory » modernes permettent d’accéder à toutes les données système, à tout moment et en temps réel, grâce à un accès continu aux éléments probants d’audit. Par tradition, l’audit consiste essentiellement à évaluer le passé et à garantir la conformité.
Faire l'audit du modèle et non pas de la transaction : Le test des transactions est souvent le facteur de coût principal de l'effort et des honoraires liés à l'audit. Les systèmes traditionnels, n'ayant pas incorporé de véritable modèle de gouvernance complet, ont nécessité de nombreux détails pour le test des transactions. Un système basé sur une structure de contrôle et de gouvernance unifiée prend en charge l'approche « tester le modèle » beaucoup plus efficace.
Même si les discussions autour de la gouvernance et du contrôle ne constituent peut-être pas la partie la plus intéressante de la gestion financière, elles doivent être organisées de manière appropriée. Une gouvernance et un contrôle réussis peuvent faire une grande différence sur le long terme pour les systèmes d’entreprise et jouer un rôle important dans ce qui distingue les systèmes et approches nouveaux des systèmes ERP traditionnels.
Lisez la quatrième partie de la série d’articles publiés par Mark Nittler, « Partner Perfect: How the Finance Team Can Help Guide Business Strategy.”
Cette parole d'expert, écrite par Mark Nittler, a été publiée initialement en anglais sur le blog Workday.