Une séquence documentée d'étapes ou d'activités spécifiques qui met en œuvre opérationnellement un ou plusieurs contrôles, précisant les intrants, les acteurs, les actions systèmes, les résultats attendus et les éléments de preuve démontrant le bon fonctionnement du contrôle.

Principe

Transposer les exigences de gouvernance en activités reproductibles et vérifiables afin que l'exécution des contrôles soit cohérente, observable et fournisse des preuves d'audit.

Démonstration

Une procédure d'approbation de facture exigeant : la mise en correspondance des bons de commande, les signatures d'approbation autorisées via un flux de travail électronique, la vérification de l'imputation comptable et la conservation des journaux d'approbation comme preuve.

Mauvaise application

Rédiger des procédures excessivement détaillées (entravant le jugement et alourdissant la maintenance) ou trop générales (ne précisant pas les étapes critiques et les preuves), ou ne pas mettre à jour les procédures après un changement de système ou de processus.

Conséquence

Des procédures correctes assurent une exécution cohérente, réduisent les erreurs, créent des traces d'audit et facilitent la formation et la transmission des responsabilités lors des changements de personnel.

Inversion

Sans procédures claires, l'exécution dépend du jugement individuel ou du savoir informel, entraînant variabilité, preuves affaiblies et difficultés à étendre ou auditer le contrôle.

Limite

Les procédures mettent en œuvre la politique au niveau opérationnel mais ne remplacent pas les décisions de politique sur l'appétit pour le risque ; elles peuvent référencer des configurations système mais ne constituent pas en elles-mêmes une documentation de conception technique.

Tension sémantique

La tension existe entre procédure, mode opératoire et règle métier : la procédure décrit les étapes de bout en bout pour l'exécution du contrôle, le mode opératoire peut être plus détaillé et la règle métier peut être implémentée dans le système ; confondre ces couches crée une confusion de responsabilités et de maintenance.

Synthèse

La procédure de contrôles transforme la politique en une suite d'actions responsables et d'exigences de preuve qui aboutissent à des résultats de contrôle cohérents et vérifiables.