La démarche SAS70 : une maîtrise des risques liés à l’externalisation des services

Thèmes abordés

Démarche SAS70, maîtrise, risques, externalisation des services

Résumé du document

La profession de juriste ou d'avocat d'affaires est susceptible de se soumettre à divers référentiels et certifications.
Un référentiel est un document d'exigences ou de recommandations que l'entreprise a retenu, puis éventuellement adapté pour répondre à ses besoins stratégiques. Il peut s'agir d'un document d'origine externe (par exemple les normes élaborées par l'Organisation internationale de normalisation, aussi dénommée ISO) ou interne (référentiel de certification de services rédigé par l'entreprise pour ses propres besoins). Les exigences contenues dans le référentiel servent de base aux opérations d'évaluation conduisant à une reconnaissance : la certification.
La certification est quant à elle une activité par laquelle un organisme reconnu et indépendant des parties en cause, donne une assurance écrite qu'une organisation, un processus, un service, un produit ou des compétences professionnelles sont conformes à des exigences spécifiées dans un référentiel. La certification est une démarche volontaire.
La plupart des cabinets d'avocats optent pour une démarche qualité et ont recours à ce titre aux normes ISO et plus particulièrement à la certification ISO 9001. La certification ISO 9001 est une démarche classique s'inscrivant dans une volonté d'offrir un service de qualité à la clientèle et d'obtenir la confiance de celle-ci. C'est personnellement le référentiel que j'ai le plus souvent rencontré au sein des organisations dans lesquelles j'ai pu travailler.
Les référentiels de certification de services sont également monnaie courante au sein des cabinets d'affaires. Ces référentiels sont élaborés en interne afin de structurer les processus au sein du cabinet.
Bien entendu, les juristes exerçant leurs activités au sein d'un service intégré à une entreprise seront directement concernés par tous les référentiels et certifications auxquels l'entreprise en cause aura choisi de se soumettre.
De l'autre côté du miroir, le recours à un cabinet d'affaires pour une entreprise représente l'externalisation d'un service lorsque cette entreprise ne dispose pas de son propre service juridique. L'entreprise va se concentrer sur son cœur de métier afin d'améliorer de façon permanente et pérenne ses processus de production et va donc avoir recours à l'externalisation d'un service plus ou moins étendu voir d'une activité complète.
La problématique à laquelle sera confrontée l'entreprise sera alors celle de la maitrise des risques liés à l'externalisation dès lors que les activités ainsi externalisées auront un impact direct sur leurs comptes et la présentation de l'information financière ou sur les activités exercées dans l'environnement du contrôle interne. Les prestataires de service se doivent de justifier que des contrôles ont été mis en place et qu'ils fonctionnent de manière adéquate afin de maitriser les risques. C'est l'objet de la norme SAS 70 qui s'adresse à ce titre tant à l'utilisateur du service qu'au prestataire afin de justifier de la qualité du contrôle interne mis en place par ce dernier.

Extraits

[...] Rapport de type II dressé à l'issu d'une période d'étude d'au moins 6 mois. Si le premier rapport constatait simplement la mise en place effective de contrôles à un instant le rapport de type II va s'exprimer sur l'efficacité opérationnelle des processus sur l'ensemble de la période d'audit. Le vérificateur va remettre son rapport à l'entité auditée qui se chargera elle-même de le diffuser à sa clientèle. Les travaux du tiers vérificateur seront ensuite utilisés par les auditeurs des clients du prestataire de services afin de déterminer les travaux d'audit à effectuer. [...]

[...] La SAS 70 s'appliquera ainsi à toutes sociétés auditées selon les règles de l'AICPA aux Etats Unis. Selon certains auteurs, la SAS 70 n'est pas une norme à proprement parler dans la mesure où aucun texte émanant d'un organe normatif n'y fait référence. Il s'agirait en fait d'un simple ensemble de guides d'audit et de bonnes pratiques. La SAS 70 a été remise au goût du jour outre Atlantique à la suite de l'adoption de la loi Sarbanes-Oxley en 2002 réformant la comptabilité des sociétés cotées, renforçant la protection des investisseurs et imposant de nouvelles règles sur la comptabilité et la transparence financière. [...]

[...] Quant au client, la SAS 70 est souvent considérée comme ayant atteint son objectif premier qui est d'offrir d'avantage de visibilité sur les risques des activités externalisées. Aboutissement de la reconnaissance par l'ensemble des acteurs de la norme SAS 70, l'approche a été reprise par l'International Federation of Accountants » (IFAC) à travers la norme ISA 402. Les prestations fournies en droit des affaires sont éminemment soumises à la SAS 70 dans la mesure où le juriste d'affaires sera très souvent amené à manier l'information financière notamment à travers l'élaboration des rapports de gestion, la préparation des assemblées générales des sociétés visant à se prononcer sur des opérations financières et à prendre part à ses opérations financières telles que les opérations dites de « haut de bilan » concernant les capitaux propres, impliquant par exemple l'émission, la cession ou le rachat d'instruments financiers telles que des actions et obligations. [...]

[...] Le premier inconvénient que l'on peut relever concerne l'élaboration de la documentation nécessaire à la certification SAS 70 et qui servira de support à celle-ci. La norme laisse en effet aux utilisateurs la liberté de définir le périmètre de l'audit mais in fine il sera de toute façon nécessaire de recourir à un référentiel afin de « parler un langage commun » avec le client et les auditeurs. Ensuite, la certification de type I va se contenter de décrire l'organisation du prestataire de service à un instant T et non sur une période donnée. [...]

[...] Bien entendu, les juristes exerçant leurs activités au sein d'un service intégré à une entreprise seront directement concernés par tous les référentiels et certifications auxquels l'entreprise en cause aura choisi de se soumettre. De l'autre côté du miroir, le recours à un cabinet d'affaires pour une entreprise représente l'externalisation d'un service lorsque cette entreprise ne dispose pas de son propre service juridique. L'entreprise va se concentrer sur son cœur de métier afin d'améliorer de façon permanente et pérenne ses processus de production et va donc avoir recours à l'externalisation d'un service plus ou moins étendu voir d'une activité complète. [...]