Le système de contrôle interne (SCI) dans un family office

Réponse courte

Un système de contrôle interne (SCI) assure que les paiements sont approuvés correctement, les positions rapprochées, les valorisations vérifiées et les accès restreints – et que cela peut être prouvé. Il se compose d’objectifs de contrôle, d’une matrice risques-contrôles, de contrôles clés documentés et de tests réguliers. Pour un family office, il doit être adapté : léger, mais complet pour les risques importants.

Pourquoi un SCI même dans un petit family office

Les family offices gèrent de grandes fortunes avec de petites équipes. Peu de personnes peuvent déclencher des paiements, modifier des données de base et produire des rapports – exactement la configuration dans laquelle erreurs et abus passent inaperçus. Un SCI protège la famille comme l’équipe : il évite les erreurs, les détecte et montre que le travail a été fait correctement. En Suisse, l’organe de révision vérifie lors d’un contrôle ordinaire l’existence d’un SCI (art. 728a CO) ; en cas de contrôle restreint ou d’opting-out, il reste une affaire de bonne gestion.

Les composantes selon le COSO

• Environnement de contrôle : attitude de la direction, rôles clairs, principe des quatre yeux comme culture.
• Évaluation des risques : quelles erreurs ou quels abus auraient des conséquences importantes ?
• Activités de contrôle : des contrôles concrets qui préviennent ou détectent ces risques.
• Information et communication : chacun connaît ses contrôles et signale les écarts.
• Pilotage : tests réguliers du fonctionnement des contrôles, et amélioration.

Matrice risques-contrôles (exemple)

Construire par étapes

1. Identifier les processus à risques importants : paiements, données de base, valorisation, reporting, accès, conformité.
2. Décrire et évaluer les risques de chaque processus.
3. Définir les contrôles clés : qui, quoi, quand, avec quelle preuve.
4. Intégrer les contrôles aux processus et aux systèmes plutôt qu’à des listes de contrôle séparées.
5. Tester une fois par an le fonctionnement des contrôles ; corriger et documenter les défaillances.
6. Rendre compte des résultats à la direction et à l’organe responsable.

L’adéquation plutôt que la bureaucratie

Un SCI n’est pas bon parce qu’il compte beaucoup de contrôles, mais parce qu’il couvre les risques importants et qu’il est réellement vécu. Un family office de quatre personnes n’a pas besoin de cent contrôles, mais d’une approbation complète des paiements, d’un rapprochement bancaire mensuel, d’un concept de droits d’accès et d’un calendrier des délais. Là où la séparation des fonctions est impossible en raison de la taille, des contrôles compensatoires aident, comme une revue ultérieure par la direction ou un mandat externe.

Exemple pratique (simplifié)

Dans un family office, une comptable expérimentée saisissait et approuvait seule les paiements ; la direction voyait une liste chaque mois. Après une évaluation des risques, l’approbation devient à deux niveaux : les paiements de plus de 10 000 francs exigent une deuxième personne, et les modifications de coordonnées bancaires sont confirmées par téléphone à un numéro connu et approuvées par une autre personne. Le premier test annuel révèle une lacune : les ordres permanents n’étaient pas couverts. Ils sont ajoutés au contrôle, et la défaillance est documentée et corrigée.

Faiblesses de contrôle typiques

Certaines faiblesses reviennent sans cesse dans les family offices. La plus fréquente est de réunir la tenue des données de base et l’approbation des paiements dans les mêmes mains : qui peut modifier les données des bénéficiaires et approuver des paiements n’a besoin d’aucun complice. Tout aussi répandus sont les mandats bancaires d’anciens collaborateurs, les rapprochements effectués mais non documentés, et les valorisations établies et vérifiées par la même personne.

Dans les petites équipes, les contrôles tombent aussi pendant les vacances faute de suppléant. Et les contrôles ne sont souvent pas adaptés au changement : une nouvelle banque, un nouveau compte ou un nouveau canal de paiement – comme les cartes de crédit ou les cryptoactifs – apparaît en dehors des contrôles existants. Une revue annuelle des processus, comptes et accès ajoutés comble cette lacune.

Dans FLIORE

FLIORE intègre des contrôles centraux aux processus : approbations selon le principe des quatre yeux, droits fondés sur les rôles avec connexion à deux facteurs pouvant être imposée, contrôles avec échéances dans le calendrier de conformité et piste d’audit complète comme preuve.

En bref

Termes de cette page

Principe des quatre yeux

Principe de contrôle selon lequel les opérations importantes, comme les paiements, sont vérifiées et validées par une seconde personne autorisée.

Piste d’audit

Journal inaltérable qui enregistre qui a créé, modifié, approuvé ou supprimé quelles données, et quand.

Questions fréquentes

Sources

• Code des obligations (CO, RS 220) – Fedlex
• COSO – Internal Control – Integrated Framework
• EXPERTsuisse – normes d’audit suisses
• Institut der Wirtschaftsprüfer (IDW) – institut allemand des experts-comptables
• ISO/IEC 27001 – systèmes de management de la sécurité de l’information

Cette page sert d’orientation et ne remplace pas un conseil juridique ou fiscal. Les sources juridiques citées font foi dans leur version applicable.

À lire aussi

Plus sur Exploitation, sécurité et technologie

• Introduire un logiciel de family office : le plan de projet
• Plan d’urgence cyber : que faire en cas d’attaque contre le family office
• Le modèle de données du patrimoine familial
• La clôture annuelle de toutes les structures familiales