RESTRICTED  
  
WT/BFA/W/451  
15 juin 2018 
(18-3623) Page: 1/29 
Comité du budget, des finances et de l'administration   
 
   
RAPPORT ANNUEL  
SUR LE S ACTIVITÉS DU BUREAU DU  CONTRÔLE INTERNE (BCI n) 
2017 -2018  
 
 
  WT/BFA/W/451  
- 2 - 
  Table des matières  
1  CONTEXTE  ................................ ................................ ................................ ....................  3 
2  INDÉPENDANCE DU BCIn  ................................ ................................ .............................  3 
3  BUDGET ET EFFECTIFS  ................................ ................................ ................................ . 3 
3.1  Budget  ................................ ................................ ................................ ...............  3 
3.2  Dotation en personnel  ................................ ................................ ..........................  4 
4  ACTIVITÉS MENÉES PAR LE BCI n DEPUIS JUIN 2017  ................................ ...................  4 
4.1  Consolidation des bases du BCIn  ................................ ................................ ...........  4 
4.2  Mise en œuvre du plan d'audit interne du BCIn pour 2017 -2018 ................................  6 
4.3  Conduite des enquêtes internes  ................................ ................................ .............  7 
4.4  Fourniture d'un soutien et de conseils à la direction, au personnel et aux 
parties prenantes  ................................ ................................ ................................ ....... 8 
5  CONTRÔLE INTERNE POUR LA PÉRIODE 2018 -2019  ................................ .....................  9 
ANNEXE 1 – PLAN D'AUDIT INTERNE POUR 2017 -2018  ................................ .................  10 
ANNEXE 2 – PLAN D'AUDIT INTERNE POUR 2018 -2019  ................................ .................  11 
ANNEXE 3 – AUTO -ÉVALUATION DE LA QUALITÉ DE L'AUDIT INTERNE – 2018  ..............  12 
ANNEXE 4 – ÉTAT DES RECOMMANDATIONS D E L'AUDIT INTERNE 
(1ER JUIN  2018)  ................................ ................................ ................................ .............  19 
ANNEXE 5 – RECOMMANDATIONS D'AUDIT QUI N'ONT PAS ENCORE ÉTÉ CLOSES 
(1ER JUIN 2018)  ................................ ................................ ................................ .............  20 
ANNEXE 6 – LISTE DES ACRONYMES  ................................ ................................ ..............  29 
  WT/BFA/W/451  
- 3 - 
  1  CONTEXTE  
1.1.  Le Bureau du contrôle interne (BCIn), établi en novembre  2015, est chargé de mener des 
audits internes, des enquêtes et toute autre forme d'évaluation qui pourra être nécessaire en ce 
qui concerne la gestion, le personnel et les ressources de l'OMC, et de fournir une évaluation 
professionnelle, indépendante, objective et documentée des pratiques de gestion, des dépenses, 
du contr ôle budgétaire et des allégations de fautes . 
1.2.  Conformément au  Mémorandum a dministrati f n° 9741, le BCIn  présentera un rapport annuel  
au Comité du budget, des finances et de l'a dministration ( CBFA) donnant, pour  information, un 
aperçu de ses activités au cou rs de l'année écoulée , et indiquant  toute situation dont il estime 
qu'elle peut avoir porté atteinte à son indépendance ou entravé de quelque autre manière sa 
capacité de s'acquitter de ses fonctions . 
1.3.  Dans la première section du présent  rapport , le chef du BCIn confirme l'indépendance du 
contrôle interne à l'OMC . La deuxième section du  document est consacrée au  budget et aux 
effectifs du BCIn . La troisième  section du document détaille  les activit és menées par le BCIn au 
cours de l'année . Enfin, les priorités  du BCIn pour la période  2018-2019 sont décrites dans la 
dernière section du rapport . 
2  INDÉPENDANCE DU BCIn  
2.1.  En vertu des Normes internationales pour la pratique professionnelle de l'audit interne 
(ci-après dénommées les normes de l'IIA2), le BCIn  doit rester indépendant et ne subir aucune 
ingérence lorsqu'il effectue ses travaux et confirmer son indépendance à un niveau hiérarchique 
suffisant au sein de l'Organisation pour permettre au service de contrôle interne d'exercer ses 
responsabilités . Par conséquent, le chef du BCIn est tenu de faire rapport chaque année au 
Directeur général et au CBFA, en indiquant toute situation qui pourrait avoir porté atteinte à son 
indépendance .1 
2.2.  Du point de vue fonctionnel et opérationnel, le BCIn est indépendant du  Secrétariat et des 
Membres de l'OMC dans l'exercice de ses activités . 
2.3.  Le chef du BCIn certifie qu'aucune situation n'a porté atteinte, dans les faits ou en apparence, 
à l'indépendance du BCIn ou entravé sa capacité d'exercer efficacement ses fonctions et ses 
responsabilités de manière impartiale, objective et indépendante . Ni le Directeur général ni aucun 
autre fonctionnaire de l'OMC n'ont influé sur les travaux du BCIn ni interféré autrement avec 
ceux-ci. 
2.4.  Le BCIn bénéficie d'un accès complet et illimité à  tous les dossiers et à tous les membres du 
personnel de l'OMC . Le chef du BCIn a un accès direct et illimité au Directeur général, à la haute 
direction et au Président du CBFA . 
3  BUDGET ET EFFECTIFS  
3.1.  Conformément à la norme 2030 de l'IIA, intitulée Gestion d es ressources , le chef du BCIn 
doit veiller à ce que les ressources affectées au contrôle interne soient adéquates, suffisantes et 
mises en œuvre de manière efficace pour réaliser le plan de travail du Bureau du contrôle interne . 
3.1  Budget  
3.2.  Le BCIn dispose de son propre budget opérationnel . Celui-ci est déterminé par le Directeur 
général, au moment de l'entrée en fonctions de chaque nouveau chef du BCIn . Le budget allo ué au 
BCIn pour 2017 et 2018  est présenté en détail  dans le tableau  1 – Budget et coûts réels du BCIn  
(en francs suisses ), avec les coûts réels encourus pendant la période considérée  (jusqu'au 
30 avril 2018). 
                                                
1 Mémorandum administratif n° 974 – Bureau du contrôle interne, OFFICE(15)/101, 30  novembre  2015.  
2 Les Normes internationales pour la pratique professionnelle de l'audit interne , promulguées par 
l'Institute of Internal Auditors (IIA), fournissent un cadre obligatoire, fondé sur des principes, pour la 
réalisation et la promotion de l'audit interne. Pour de plus amples renseignements, voir: 
https://na.theiia.org/standards -guidance .  WT/BFA/W/451  
- 4 - 
  Table au 1 – Budget et coûts réels du BCIn (en CHF) 
Désignation du compte  2017  2018  
 Budget  Coûts réels  Budget  Coûts réels 
(30 avril) 
Personnel/traitements  (y compris les  
pension s) 410 900 350 568 410 900 115 291 
Accords spéciaux de services   15 000 0 15 000 0 
Transport aérien et ferroviaire  8 000 7 068 8 000 0 
TOTAL  433 900 357 636 433 900 115 291 
 
3.3.  Le BCIn  a utilisé 82 % de son budget en 2017, et 27 % du budget en 201 8 (jusqu'au 
30 avril 2018). L'excédent budgétaire  du budget  était dû aux difficultés rencontrées par le BCIn 
pour se doter pleinement en personnel (voir infra). 
3.2  Dotation en personnel  
3.4.  Le BCIn  se comp ose actuellement du chef du BCIn (classe 10) et d'un assistant administratif 
(classe 4) . 
3.5.  Sur la base des points de repère fournis par le  Corps commun d'inspection des Nations Unies 
(CCI) et d'autres  organisations international es concernant la dotation en p ersonnel des bureaux du 
contrôle interne et compte tenu d u mandat du BC In à l'OMC,  il a été décidé de renforcer le BCIn 
avec au moins un professionnel du contrôle interne additionnel . 
3.6.  Compte tenu du plafonnement actuel du nombre de fonctionnaires à l'OMC et de la nécessité, 
pour la Division des ressources humaines  (DRH) , d'affecter les ressources additionnelles 
demandées par plusieurs divisions en fonction des priorités , le BCIn a décidé de recruter un 
auditeur interne/enquêteu r de l'Organisation internati onale du travail (OIT), qui a été détaché à 
l'OMC pour une période de six mois  (d'août 2017 à février  2018).  
3.7.  L'OMC et le BIT sont convenu s de proroger le contrat de l'auditeur interne/enquêteur (de 
mai 2018 à décembre  2019), sur la base d'un prêt interorga nisations . Malheureusement, en 
mai 2018, le BCIn a été informé que le BIT n'était pas parvenu  à un accord en interne avec le 
titulaire au sujet des conditions  du prêt interorganisations . 
3.8.  De plus, l'assistant a dministrati f (classe  4) du BCIn a eu un problèm e de santé en 
novembre  2017 et est en arrêt maladie de longue durée depuis lors . 
3.9.  Compte tenu  des circonstances susmentionnées, le BCIn ne disposait pas de ressources 
suffisantes pour réaliser certains objectifs de sa missio n pour 2017-2018 (voir infra). La limitation  
actuelle des ressources a eu une incidence sur la capacité du BCIn à remplir son mandat . 
3.10.   Néanmoins, le chef du BCIn s'efforcera  de mener à bien le processus d'embauche d'un 
auditeur interne/enquêteur (de préférence de classe 7 ou de classe supé rieure) dès que possible . 
4  ACTIVIT ÉS MENÉES PAR LE BCI n DEPUIS JUIN 2017  
4.1.  En utilisant une approche fondée sur les risques, le BCIn a identifié les objectifs suivants pour 
2017-2018: a) consolider les bases du BCIn ; b) accomplir les tâches incluses dans le plan d'audit 
interne du BCIn pour 2017 -2018; c) conduire des enquêtes internes ; et d) fournir d'autres formes 
de soutien et de conseil à la direction, au personnel et aux parties prenantes .3 
4.1  Consolid ation d es bases du BCIn  
4.2.  Le BCIn s'est efforcé de  renforce r le cadre réglementaire  dans lequel il opère et d'améliorer 
encore la protection des droits individuels des membres du personnel : 
                                                
3 Voir le do cument WT/BFA/W/408 - Rapport sur le plan d'activité du BCIn pour 2017 -2018, 
14 février  2017.  WT/BFA/W/451  
- 5 - 
  a. Le BCIn a examiné la Procédure applicable à titre provisoire aux enquêtes 
administrativ es et aux actions disciplinaires4 et propos é plusieurs modifications pour 
mieux aligner la procédure sur les Lignes directrices uniformes en matière d'enquête5 et 
les bonnes pratiques appliquées dans d'autres organisations internationales . La 
procédure rév isée est actuellement examinée par le Comité consultatif mixte (CCM) .6 
b. Une politique de lutte contre la fraude a été rédigée ; elle définit ce qui constitue une 
fraude, clarifie les responsabilités en cas de  fraude et met en avant l'approche de l'OMC 
en mat ière de prévention et de lutte contre la fraude . En outre, le projet de politique  met 
en lumière la tolérance zéro de l'OMC à l'égard de la fraude . Le projet de politique est 
actuellement examiné par le CCM . 
c. La politique  de lutte contre le harcèlement7, élaborée par la  Division  des ressources 
humaines (DRH), récemment communiquée à tous les membres du personnel , promeut  
un environnement de travail plus efficace, exempt de discrimination, de harcèlement et 
d'abus de pouvoir . 
4.3.  Le BCIn, conjointement avec la Di vision de l'a dministration et des services généraux  (AGSD), 
a également travaillé à l'établissement d'un cadre de contrôle interne8 à l'OMC . L'objectif de ce 
cadre est de donner au Directeur général des assurance s raisonnable s au sujet de  la réalisation 
des objectifs de l'OMC  et de guider le Secrétariat de l'OMC dans l'étab lissement de contrôles 
internes  afin de veiller à ce que a ) les opérations so ient exécutées de manière éthique, 
économique, efficiente et efficace ; b) les obligations re dditionnelles soient satisfaites ; c) les actifs 
et les ressources de l'OMC soient bien protégés contre la perte, la mauvaise utilisation ou les 
dommages ; et d) les opérations soient menées conformément aux règlements, règles , politiques 
et mémorandums  administrati fs. Le cadre de contrôle interne projeté  est actuellement examiné 
par le Directeur général . 
4.4.  Enfin, le BCIn a mené un exercice d'auto -évaluation de la qualité . L'objectif de cet exercice 
était d'évaluer la conformité de s activité s du BCIn avec les n ormes de  l'IIA. Les résultats de 
l'exercice d'auto -évaluation de la qualité sont résumés dans l' annexe 3  – Auto-évaluation de la 
qualité de l'audit interne  – 2018.  
4.5.  D'après les résultats de l'auto -évaluation de la qualité, les activité s du BCIn  satisf ont 
pleinement à 82 % des normes de l'IIA  (c'est-à-dire 40 des 49 normes de l' IIA), et partiellement 
aux neuf (9) autres normes de l'IIA . 
4.6.  Le BCIn a identifié les domaines d'amélioration ci-après  en vue  de satisfaire pleinement à 
toutes les normes de l'IIA . 
a. La charte du contrôle interne , qui définit l'objet, l'autorité et la responsabilité du BCIn, 
devrait être achevée  et approuvée  (norme 1000 de l'IIA ). Le BCIn a inclus l'élaboration 
de ce document dans sa liste des priorités pour  2018-2019. 
b. Les ressources  en personnel du BCIn devraient être suffisantes et mises en œuvre d e 
manière efficace  (normes 2000, 2030 et 2230 de l'IIA ). Comme il est indiqué ci -dessus, 
le BCIn a l'intention de recruter  un auditeur interne/enquêteur dès que possible . 
c. Le programme d'as surance qualité devrait être davantage développé  (normes  1310, 
1311 et 1320 de l'IIA). Une évaluation externe de la qualité sera  demandée dès que le 
                                                
4 Procédure applicable à titre provisoire aux enquêtes administratives et aux actions disciplinaires , 
OFFICE(14)/17, 16  octobre  2014.  
5 Pour de plus amples rensei gnements: http://www.conf -int-investigators.org/?page_id=415 . 
6 Le Comité consultatif mixte (CCM) conseille le Directeur général sur des questions qui intéressent 
l'élaboration et la modifi cation des politiques en matière de personnel, les conditions d'emploi et le bien -être 
des fonctionnaires en général, ainsi que l'élaboration ou la modification du Statut du personnel, du Règlement 
du personnel et des Mémorandums administratifs concernant  le personnel.  
7 Mémorandum administratif n° 985 - Droit de travailler dans un environnement exempt de 
discrimination, de harcèlement et d'abus de pouvoir,  OFFICE(18)/37, 30  avril 2018.  
8 Le cadre de  contrôle interne est basé sur le modèle proposé par le Comité des o rganisations 
coparrainantes de la Commission Treadway  (COSO) et le modèle Trois lignes de maîtrise , promulgué par 
l'Institute of Internal Auditors (IIA).  WT/BFA/W/451  
- 6 - 
  Bureau sera pleinement opérationnel et qu'il aura atteint le niveau de maturité souhaité 
(dans deux à quatr e ans ). 
d. La conception, la mise en œuvre  et l'efficacité des objectifs, des programmes et des 
activités de l'OMC liés à l'éthique  devraient être évalués  (norme 2110-A1 de l'IIA ). Cette 
évaluation n'est pas perçue comme une priorité à ce stade, et sera examinée au moment 
où les futurs plans d'audit interne  seront définis . 
e. L'efficacité des processus de gestion des risques à l'OMC devrait être évaluée  
(norme  2120 de l'IIA ). Cette é valuation a été incluse dans le plan d'audit interne 
pour 2019. 
4.7.  Le BCIn s'engage à fournir des services professionnels de qualité à ses parties prenantes . Par 
conséquent, le BCIn poursuivra ses efforts en vue de parvenir à une pleine conformité avec le 
Code d' éthique et les normes de l'IIA et continuera à surveiller  de près la pertinence, l'efficacité et 
l'efficience de ses activités . 
4.2  Mise en œuvre du  plan d'audit interne du BCIn pour  2017 -2018  
4.8.  Le plan d'audit interne du BCIn fondé sur les risques pour 2017 -2018 a été présenté au CBFA 
en février  20179 et est présenté en détail  dans l'annexe 1  – Plan d'audit interne pour  2017-2018. 
4.9.  Compte  tenu des priorités, des contraintes et des attentes des parties prenantes, et 
conformément aux discussions intensives menées au  CBFA en 2017 au sujet des indemnités pour 
charges de famille, le BCIn a décidé de modifier le plan d'audit interne initial comme sui t: 
a. l'audit des indemnités pour charges de famille a été inclus dans le plan pour  2018; 
b. l'audit de la gestion du risque d'e ntreprise a été reporté à 2019 ( dans l'attente du 
recrutement d'un chef de la gouvernance, de la gestion des risques et de la conformi té 
qui sera  chargé de tenir à jour le  registre des risques  du Secrétariat . Le titulaire 
précédent avait pris la retraite ); 
c. l'audit de la gouvernance de la sécurité de l'information  (ISO 27001) a également été 
reporté à 2019 afin de ménager un délai suffisant à l a Division des solutions en 
technologies de l'information  (ITSD) pour achever la mise en œuvre des 
recommandations proposées dans l'audit de la sécurité de l'i nformation.  
4.10.   En raison des ressources limitées et de la charge de travail imprévue  en matière  d'enquête s, 
le BCIn n'a pas été en mesure d'accomplir dans leur intégralité  les tâches indiquées  dans le plan 
d'audit interne pour 2017-2018. Le statut des missions  d'audit interne prévues pour la période 
2017-2018 est le suivant : 
a. L'audit des inde mnités au titre des congés dans les foyers a été achevé en juin 2017.10 
Depuis lors, le BCIn travaille  en étroite collaboration  avec la DRH à la mise en œuvre des 
recommandations formulées dans le rapport d'audit  interne et à la rédaction d'une 
nouvelle pol itique en matière de congés dans les foyers . À la date de juin 2018, huit (8) 
des onze recommandations incluses dans le rapport d'audit  interne ont été pleinement 
mises en œuvre . De plus, la nouvelle politique en matière de congés dans les foyers a 
été rédigée et est actuellement examinée/validée par d'autres entités intervenant dans 
le processus . 
b. L'audit  des indemnités pour charges de famille  ainsi que celui de la politique concernant 
les cadeaux, gratifications et activités extérieures sont actuellement en cours . Les 
travaux sur le terrain ont été achevés et les deux rapports d'audit interne sont 
actuellement en cours de rédaction . Il convient de noter que l'audit des indemnités pour 
charges de famille  n'était pas inclus initialement dans le plan d'audit interne pour 
2017-2018. Le BCIn  travaille en étroite collaboration avec la DRH à la conception d'un 
                                                
9 Voir le document WT/BFA/W/408.  
10 Voir le document WT/BFA/W/423.  WT/BFA/W/451  
- 7 - 
  tableau de bord permettant de suivre la mise à jour en temps opportun  des indemnités 
pour le personnel (y compris les indemnités pour charges d e famille), conformément au 
Règlement et au Statut du personnel.  
c. Le BCIn  et le Service des achats  ont travaillé en étroite collaboration à l'identification, la 
prévention et la détection des fraudes potentielles en matière d'achats . L'audit des 
achats est prévu pour les troisième et quatrième trimestres de 2018. 
d. L'audit de l'indemnité  pour frais d'études sera mené en 2019 . Toutefois, le BCIn a 
travaillé en étroite collaboration avec la DRH afin de  déjà mettre en œuvre les contrôles 
internes nécessaires . Le Mémorandum administratif  sur l'indemnité pour frais d'études a 
été révisé afin d'incorporer les modifications proposées par le BCIn .11 
e. L'analys e des droits d'accès à la suite  E-Business  d'Oracle débutera au quatrième 
trimestre de 2018.  
f. Le BCIn  travaille avec la Section de la planification stratégique, du suivi et de 
l'évaluation de l'Institut de formation et de coopération technique  (IFCT) afin de suivre la 
mise en œuvre des recommandations formulées dans l'évaluation externe de l'assistance 
technique liée au commerce . Le BCIn tiendra le  CBFA informé dès que l'exercice sera 
achevé . 
4.11.   Enfin, le BCIn a continué à suivre régulièrement la mise en œuvre des recommandations de 
l'audit interne, sur la base des renseignements collectés auprès des division s concernées . L'état de 
la mise en œuvre des recommandations de l' audit est présenté en détail  dans l'annexe  4 – État de 
la mise en œuvre des recommandations de l'audit  (1er juin 2018) . 
4.12.   Le BCIn a décidé de clore 14  recomm andations depuis juin 2017, sur la base des 
renseignements justificatifs reçus des divisions concernées . Comme cela est demandé par le  CBFA, 
les recommandations de l' audit qui n'ont pas encore été closes sont présentées en détail  dans 
l'annexe 5 – Recomm andations d'audit qui n'ont pas encore été closes  (1er juin 2018). Le BCIn 
continuera à suivre de près la mise en œuvre des recommandations de l'audit interne . 
4.3  Condu ite des enquêtes internes  
4.13.   Le BCIn est l'entité de l'OMC exclusivement chargée d'enquêter sur les allégations de 
violation d 'une norme de l'OMC quelle qu'elle soit, applicable aux membres du personnel, quelle 
que soit la nature de leur contrat, et de transmettre au Directeur général12 les résultats de ces 
enquêtes conjointement avec des recommandations sur les mesures à prendre . 
4.14.   Depuis juillet  2017, le BCI n a été contacté au sujet de 14  cas de faute allégué e 
(allégations ). Le BCIn a analysé en détail chacune des allégations . Chaque fois que les allégations 
concernaient des problèmes professionnels (par exemple les conditions d'em ploi, les relations avec 
les superviseurs ou les collègues, la gestion du comportement professionnel) et non pas une faute, 
les personnes concernées ont été  redirigées vers d'autres voies prévues par l'OMC pour régler les 
litiges (comme le médiateur interne et/ou externe ou l'assistant social du personnel ). 
4.15.   Le BCIn a reçu des plaintes formelles pour cinq (5)  des allégations susmentionnées, et a 
mené une évalu ation préliminaire pour chacune de ces plaintes (avant de parvenir à la décision 
d'ouvrir (ou non) une enquête) . Un résumé de ces plaintes figure dans le tableau 2  – Résumé des  
enquêtes  (juillet  2017-juin 2018).  
                                                
11 Mémorandum administrati f n° 961/REV.13 – Indemnité pour frais d'études, OFFICE(18)/35, 
8 mai 2018.  
12 Ou, en cas d'allégation de violation commise par le Directeur général, un directeur général adjoint ou 
un membre du Bureau du Directeur général, au Président du Conseil général e t au Président du CBFA.  WT/BFA/W/451  
- 8 - 
  Table au 2 – Résumé des enquêtes  (juillet  2017-juin 2018)  
Numéro 
d'allégation  Type 
d'allégation  Enquête  
ouverte  Perte 
potentielle  
(CHF)  État Allégations 
confirm ées Sanction appli quée  
18 Faute  Non 0 Close  Non - 
22 Fraud e Oui 19 088 
(remboursés ) Appel  Oui Réduction  du 
traitement  
26 Usurpation  
d'identité d'un 
utilisateur  Oui 0 Close  Oui Renvoi  
27 Faute  Non 0 Close  Non - 
30 Harcèlement  Non 0 Close  Non - 
4.16.   Le Directeur général a décidé d'adopter une mesure disciplinaire dans deux cas (fraude et 
usurpation  d'identité d'un utilisateur) . Tous les montants de la fraude identifiés  (19 088 CHF) ont 
été remboursés à l'OMC . 
4.17.   Le chef du BCIn confirme que le Directeur général, les Directeurs généraux adjoints et les 
membres du Bureau du Directeur général n'ont pas fait l'objet d'enquêtes . 
4.18.   Le BCIn  a également participé à plusieurs  initiatives visant à promouvoir et à mainten ir une 
culture d'intégrité et de probité  à l'OMC : 
a. Un module vidéo a été mis au point avec la DRH afin d'expliquer le code de conduite et 
le rôle de la fonction d'audit interne à  l'OMC . Ce module vidéo fait désormais partie des 
documents d'accueil présentés aux fonctionnaires recrutés récemment.  
b. Une r éunion publique a été organisée en novembre  2017 afin de  discuter de l'importance 
de l'éthique dans les organisations international es et des moyens de renforcer la culture 
de l'éthique à l'OMC . 
c. Une autre réunion publique a été organisée en mai 2018 afin de présenter aux 
fonctionnaires les différent es voies disponibles à l'OMC pour traiter les litiges . 
4.4  Fourniture d'un soutien et de cons eils à la direction, au personnel et aux parties 
prenantes  
4.19.   Le BCIn a fourni des conseils indépendants au Directeur général, à la haute direction et aux 
membres du personnel afin de les aider à s'acquitter de leurs responsabilités envers  l'Organisation 
et ses Membres . Le BCIn a offert son soutien  à plusieurs divisions en vue de garantir ou  
d'améliorer l'efficacité  de leurs processus  de gouvernance, de gestion des risque s et de contrôle 
interne.  
4.20.   Le BCIn a également  eu des  contact s fréquents avec le vérificateur extérieur des comptes 
(Bundesrechnungshof), le médiateur interne et le conseiller juridique auprès de l'administration . Le 
BCIn considère que la collaboration et la communication avec ces différentes fonctions ont été 
positiv es et constructives . 
4.21.   Le chef du BCIn a représenté l'OMC à la Conférence  des enquêteurs internationaux de 2017  
(11-13 octobre 2017) et à la conférence annuelle des chefs des services de l'audit interne  (HOIA) 
en Europe ( 18-20 avril 2017).  
4.22.   En outre, le BCIn  est également  membre actif des réseaux des représentants des services 
de vérification interne des comptes et des représentants des services d'enquête et  du Réseau 
Déontologie des organisations multilatérales (ENMO) . Ces réseaux de chefs des services d'audi t 
interne/d'enquête/d'éthique des organisations internationales se réunissent dans des forums 
organisés afin de partager les bonnes pratiques et d'établir des orientations pour les audits 
internes/enquêtes dans le secteur public international . 
4.23.   Le chef du BCIn a également  participé au jury de recrutement du chef des opérations  
financières . WT/BFA/W/451  
- 9 - 
  4.24.   Enfin, le chef du BCIn a participé à un programme d'apprentissage par les pairs  (six 
séances ), dans le cadre duquel des dirigeant s de plusieurs organisations internationa les partagent 
leur expertise sur la manière d'améliorer les compétences en matière de gestion . 
5  CONTRÔLE INTERNE POUR LA PÉRIODE 2018 -2019  
5.1.  Selon la norme 2010 de l'IIA, intitulée Planification , le chef du BCIn doit établir un plan fondé 
sur les risques pour  déterminer les priorités du contrôle interne . 
5.2.  Les priorités du BCIn pour la période 2018-2019 découlent  principalement du registre des 
risques du Secrétariat de l'OMC tenu par l' AGSD,  des propositions reçues de la haute direction et 
des prescriptions du c adre de référence international des pratiques professionnelles (CRIPP) .13 
5.3.  Le BCIn a identifié les priorités ci -après pour la période 2018-2019:  
a. Comme cela a été indiqué précédemment, le BCIn s'efforcera de recruter  et de former 
des ressources humaines professionnelles additionnelles a fin d'améliorer et de renforcer 
ses capacité s et les moyens dont il dispose . 
b. Une charte du contrôle interne sera élaborée et définira le cadre dans lequel la fonction 
de contrôle interne devrait être exercée  à l'OMC . La cha rte sera communiquée au CBFA 
après approbation par le  Directeur général . 
c. Plusieurs  initiatives seront menées  en vue de renforcer la visibilité du BCIn et d'expliquer 
son mandat aux membres du personnel  et aux parties extérieures  (par exemple page 
spéciale sur le site Web et l' Intranet  de l'OMC , brochure d' information, participation au 
programm e d'accueil pour les nouveaux arrivants , etc.). 
d. Le BCIn  accomplira les tâches incluses dans le plan d'audit interne pour  2018-2019, tel 
qu'il est présenté en détail  dans l'annexe  2 – Plan d'audit interne pour  2018-2019. Le 
plan d'audit interne sera réexaminé au moins annuellement et il pourra être adapté en 
fonction de l'évolution des risques, des priorités et des attentes à l'OMC . 
e. Le BCI n continue ra de mener des enq uêtes administratives et œuvrera  plus avant, avec 
d'autres services, à la promotion et au maintien d'une culture d'intégrité et de prohibé  à 
l'OMC . Le BCIn continuer a à travailler avec le Service des achats pour sensibiliser aux 
risques liés aux fraudes en  matière d'achats et à la corruption . Le BCIn travaillera aussi 
avec la DRH, l'assistante sociale du personnel récemment nommée et le/les médiateurs 
afin de mettre en œuvre les politiques de lutte contre la fraude et le harcèlement à 
l'OMC . 
f. Le BCIn continu era à fournir un soutien et des conseils à la direction, au personnel et 
aux parties prenantes concernant l'exercice effectif de leurs responsabilités, et il aidera 
les divisions à mettre en œuvre les recommandations de l'audit interne . 
g. Enfin, le BCIn cont inuera à participer aux instances professionnelles internationales 
(comme les représentants des services de vérification interne des comptes , les 
représentants des services d'enquête et le Réseau Déontologie des organisations 
multilatérales (ENMO))  afin de  se tenir  informé des tendances et des meilleures 
pratiques ayant une incidence sur les fonctions de contrôle interne . 
5.4.  Le BCIn  présentera chaque année un rapport au CBFA qui  donnera un aperçu général de ses 
activités au cours de l'année écoulée et de l'état d'avancement des différentes tâches indiquées  
dans le plan d'audit interne . 
                                                
13 Le CRIPP, promulgué par l'IIA, est un cadre conceptuel qui organise les orientations faisant autorité 
pour les professionnels de l'audit interne.  WT/BFA/W/451  
- 10 - 
  ANNEXE 1 – PLAN D'AUDIT INTERNE  POUR 2017 -2018  
Sujet de l'audit  Source  Portée/objectif de l'audit  2017  2018  
Gestion des congés dans 
les foyers  Cas de fraude  
Demande de la 
direction  Respect de la politique . Examen de 
l'économie, de l'efficience et de l'efficacité 
des processus et des contrôles internes . 
Calcul des indemnités au titre des congés 
dans les fo yers. Analyse des variations et 
des tendances en matière de coûts.  x  
Achats  Registre des 
risques  
CBFA En 2017 : le BCIn s'occupera en priorité de 
la prévention des fraudes en matière 
d'achats (par le biais d'ateliers/de 
formations)  puisque les vérificateurs 
extérieurs des comptes ont procédé à un 
audit des achats en 2015 et que les Règles 
de gestion financières révisées de l'OMC 
ainsi que le nouveau Manuel des achats 
sont actuellement mis en œuvre.  
En 2018 : l'audit interne inclura l 'évaluation 
des processus et des contrôles internes, et 
l'examen de la mise en œuvre du nouveau 
Manuel des achats et du chapitre IX des 
Règles de gestion financières révisées.  x x 
Politique concernant les 
cadeaux, gratifications et 
activités extérieures  Registre des 
risques  Évaluation des politiques concernant:  
- l'acceptation de cadeaux, de 
gratifications ou d'autres faveurs de la part 
de vendeurs ou de parties extérieures;  
- les activités extérieures rémunérées des 
fonctionnaires;  
- la gestion du Fonds d'entraide du 
personnel;  
- les obligations postérieures à l'emploi.  x  
Indemnité pour frais 
d'études  Demande de la 
direction  Respect de la politique . Examen de 
l'économie, de l'efficience et de l'efficacité 
des processus et des contrôles . Calcul des 
indemnités.   x 
Gestion du risque 
d'entreprise  Normes de l'IIA  Analyse des modes d'évaluation, de 
gestion et d'atténuation des risques à 
l'OMC (processus de gestion des risques et 
registre des risques).   x 
Droits d'accès à la suite 
E-Business d'Oracle 
(progiciel de gestion 
intégré, PGI)  Registre des 
risques  
Vérification de la 
sécurité des TI  Examen des processus et des mesures de 
sécurité, analyse des droits/autorisations 
d'accès et séparation des tâches dans 
Oracle (PGI).   x 
Gouvernance de la 
sécurité de l'information  Registre des 
risques  
Demande de la 
direction  Analyse des lacunes et feuille de route 
pour la mise en œuvre de la norme  
internationale ISO  27001 (système de 
management de la sécurité de 
l'information).   x 
Suivi des 
recommandations 
formulées dans le cadre 
de l'évaluation externe 
de l'assistance technique 
liée au commerce (ATLC)  Registre des 
risques  
Demande de la 
direction  Examen indépendant de la mise en œuvre 
des recommandations formulées dans le 
rapport d'évaluation externe de l'ATLC de 
l'OMC.  x x 
Suivi des 
recommandations d'audit  Normes de l'IIA  Examen périodique de la mise en œuvre 
des recommandations de l'audit interne.  x x 
Audits ad hoc , le cas 
échéant  - À déterminer  - - WT/BFA/W/451  
- 11 - 
  ANNEXE 2 – PLAN D'AUDIT INTERNE POUR 2018 -2019  
Sujet de l'audit  Source  Portée/objectif de l'audit  2018  2019  
Politique concernant les 
cadeaux, gratifications 
et activités extérieures   Registre des 
risques  Évaluation des politiques concernant:  
– l'acceptation de cadeaux, de gratifications 
ou d'autres faveurs de la part de vendeurs 
ou de parties extérieures;  
– les activités extérieures rémunérées des 
fonctionnaires;  
– la gestion du Fonds d'entraide du 
personnel ; 
– les obligations  postérieures à l'emploi . x  
Indemnités pour 
charges de famille  Demande de la 
direction  Évaluation des contrôles internes 
concernant le traitement des indemnités 
pour charges de famille (et autres 
indemnités) . x  
Achats  Registre des 
risques  Évaluation des processus et des contrôles 
internes, et examen de la mise en œuvre du 
nouveau Manuel des achats et du chapitre 
IX des Règles de gestion financières 
révisées .  x  
Indemnité pour frais 
d'études  Demande de la 
direction  Évaluation de la conformité avec le  Statut 
et le règlement du personnel . Examen de 
l'économie, de l'efficience et de l'efficacité 
des processus et des contrôles internes .  x 
Gouvernance de la 
sécurité de 
l'information  Registre des 
risques  
Demande de la 
direction  Analyse des lacunes et feuille de route pour 
la mise en œuvre de la norme 
internationale ISO  27001 (système de 
management de la sécurité de 
l'information) .  x 
Droits d'accès à la suite  
E-Business d'Oracle 
(progiciel de gestion 
intégré, PGI ) Registre des 
risques  
Vérification de la 
sécurité des TI  Examen des processus et des mesures de 
sécurité, analyse des droits/autorisations 
d'accès et séparation des tâches dans 
Oracle (PGI).  x x 
Gestion du risque 
d'entreprise  Normes de l'IIA  Analyse des modes d'évaluation, de gestion 
et d'atténuation des risques à l'OMC 
(processus de gestion des risques et 
registre des risques).   x 
Suivi des 
recommandations 
formulées dans le 
cadre de l'évaluation 
externe de l'assistance 
technique liée au 
commerce  Registre des 
risques  
Demande de la 
direction  Examen indépendant de la mise en œuvre 
des recommandations formulées dans le 
rapport d'évaluation externe de l'ATLC de 
l'OMC . x x 
Suivi des 
recommandations 
d'audit  Normes de l'IIA  Examen périodique de la mise en œuvre 
des recommandations de l'audit interne . x x 
Audits ad hoc , le cas 
échéant  - À déterminer  - - 
 WT/BFA/W/451  
- 12 - 
  ANNEXE 3 – AUTO -ÉVALUATION DE LA QUALITÉ DE L'AUDIT INTERNE – 2018  
Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
1000 La mission, les pouvoirs  et les responsabilités de l 'audit 
interne doivent être formellement définis dans une 
charte d 'audit interne, en cohérence avec la mission de 
l'audit interne et les  dispositions obligatoires du Cadre 
de référence international des pratiques professionnelle s 
(CRIPP) de l 'audit interne (les Principes fondamentaux 
pour la pratique professionnelle de  l'audit interne, le 
Code de déontologie, les Normes et la Définition de 
l'audit interne) . Le responsable de l 'audit interne doit 
revoir périodiquement la charte d 'audit interne et la 
soumettre à l 'approbation de la direction générale et du 
Conseil .  x  
1100 L'audit interne doit être indépendant et les auditeurs 
internes doivent effectuer leurs travaux avec objectivité.  x   
1110 Le responsable de l 'audit interne doit être rattaché à un 
niveau de l 'organisation qui permette à la fonction 
d'audit interne d 'exercer ses responsabilités . Le 
responsable de l 'audit interne doit, au moins chaque 
année, confirmer au Conseil, l 'indépendance de l 'audit 
interne  dans l 'organis ation. x   
1111 Le responsable de l 'audit interne doit communiquer et 
dialoguer directement avec le Conseil . x   
1112 Lorsque le responsable de l 'audit interne se voit confier, 
des rôles et/ou des responsabilités qui ne relèvent pas 
de l'audit interne, des précautions doivent être prises 
pour limiter les atteintes à l 'indépendance ou à 
l'objectivité . x   
1120 Les auditeurs internes doivent avoir une attitude 
impartiale et non biaisée, et éviter tout conflit d 'intérêts . x   
1130 Si l'indépendance ou l 'objectivité des auditeurs internes 
sont compromises dans les faits ou en apparence, les 
parties concernées doivent en être informées de 
manière précise . La forme de cette communication 
dépendra de la nature de l 'atteinte à l 'indépendance . x   
1210 Compétence : Les auditeurs internes doivent posséder 
les connaissances, les savoir -faire et les autres 
compétences nécessaires à l 'exercice de leurs 
responsabilités individuelles . L'équipe d 'audit interne 
doit collectivement posséder ou acquérir les 
connais sances, les savoir -faire et les autres 
compétences nécessaires à l 'exercice de ses 
responsabilités . x   
1220 Conscience professionnelle : Les auditeurs internes 
doivent apporter à leur travail la diligence et le 
savoir -faire que l 'on peut attendre d 'un auditeur interne 
raisonnablement averti et compétent . La conscience 
professionnelle n 'implique pas l 'infaillibilité . x   
1230 Les auditeurs internes doivent améliorer leurs 
connaissances, leurs savoir -faire et autres compétences 
par une formation professionnelle continue . x   
1300 Le responsable de l 'audit interne doit concevoir et tenir 
à jour un programme d 'assurance et d 'amélioration 
qualité portant sur tous les aspects de l 'audit interne . x   
1310 Le programme d 'assurance et d 'amélioration qualité doit 
comporter des évaluations tant internes qu 'externes .  x  
1311 Les évaluations internes doivent comporter : 
- une surveillance continue de la performance de l 'audit 
interne;  
- des évaluations périodiques, effectuées par 
auto-évaluation ou par d 'autres personnes de 
l'organisation possédant une connaissance suffisante 
des pratiques  d'audit interne . 
 x  WT/BFA/W/451  
- 13 - 
  Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
1312 Des évaluations externes doivent être réalisées au 
moins tous les 5 ans par un évaluateur ou une équipe 
qualifiés, indépendants et extérieurs  à l'organisation . Le 
responsable de  l'audit interne doit s 'entretenir avec le 
Conseil au sujet : 
- des modalités et de la fréquence de l 'évaluation 
externe;  
- des qualifications de l 'évaluateur ou de l 'équipe 
d'évaluation externes ainsi que de  leur indépendance , y 
compris au regard de tout conflit d 'intérêts potentiel . Sans objet    
1320 Le responsable de l 'audit interne doit communiquer les 
résultats du programme d 'assurance et d 'amélioration 
qualité à la direction générale ainsi qu 'au Conseil . Cette 
communication devrait inclure : 
-  le périmètre et la fréquence des évaluations internes 
et externes ; 
- les qualifications et l 'indépendance du (ou de s) 
évaluateurs  ou de l 'équipe d 'évaluateurs y compris les 
conflits d 'intérêts potentiels ; 
- les conclusions des évaluateurs;  
- les plans d 'actions correctives .  x  
1321 Indiquer que l 'audit interne est conforme aux Normes 
internationales pour la pratique professionnelle de 
l'audit int erne est approprié seulement si  les résultats 
du programme d 'assurance et d 'amélioration qualité le 
confirment . x   
1322 Quand la non -conformité de l 'audit interne avec le Code 
de déontologie ou les Normes a une incidence sur le 
périmètre ou sur le fonctionnement de l 'audit interne, le 
responsable de l 'audit interne doit informer la direction 
générale et le Conseil de cette non -conformité et de ses 
conséquences.  x   
2000 Le responsable de l 'audit interne doit gérer efficacement 
cette activité de façon à garantir qu 'elle apporte une 
valeur ajoutée à l 'organisation .  x  
2010 Le responsable de l 'audit interne doit établir un plan 
d'audit fondé sur une approche par les risques afin de 
définir des priorités cohérentes avec les objectifs de 
l'organisation . x   
2010.A1  Assurance : Le plan d 'audit interne doit s 'appuyer sur 
une évaluation des risques  documentée et réalisée au 
moins une fois par an . Les points de vue de la direction  
générale et du Conseil doivent être pris en compte dans 
ce processus . x   
2010.A2  Assurance : Le responsable de l 'audit interne  doit 
identifier et prendre en considération les attentes de la 
direction générale, du Conseil et des autres parties 
prenantes concernant les opinions et d 'autres 
conclusions de l 'audit interne . x   
2020 Le responsable de l 'audit interne doit communiquer à la 
direction générale et au Conseil son plan d 'audit et ses 
besoins en ressources, pour examen et approbation, 
ainsi que tout changement important susceptible 
d'intervenir en cours d 'exercice . Le responsable de 
l'audit interne doit également signaler l 'impact de toute 
limitation de ses ressources . x   
2030 Le responsable de l 'audit interne doit veiller à ce que les 
ressources affectées à l 'audit interne soient adéquates, 
suffisantes et mises en œuvre de manière efficace pour 
réaliser le plan d 'audit approuvé .  x  
2040 Le responsable de l 'audit interne doit établir les règles 
et procédures pour guider l 'audit interne . x   WT/BFA/W/451  
- 14 - 
  Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
2050 Le responsable de  l'audit interne devrait partager des 
informations et coordonner les activités avec les autres 
prestataires internes et externes d 'assurance et de 
conseil . Le responsable de  l'audit interne devrait 
envisager d'utiliser les travaux des autres prestataires 
internes et externes d'assurance et de conseil . x   
2050 Le responsable de l'audit interne devrait assu rer une 
couverture adéquate et éviter les doubles emplois.  x   
2060 Le responsable de l 'audit interne doit rendre compte 
périodiquement à la direction générale et au Conseil des 
missions, des pouvoirs et des responsabilités de l 'audit 
interne, du niveau de réalisation du plan d 'audit ainsi 
que de la conformité avec le Code de déontologie et les 
Normes .  x   
2060 Le responsable de l'audit interne  doit notamment rendre 
compte : des risques significatifs, y compris les risques 
de fraude, et des contrôles correspondants , des sujets 
relatifs à la gouvernance et  de tout autre problème 
nécessitant l 'attention de la direction générale et/ou du 
Conseil . x   
2070 Lorsque l 'audit interne est réalisé par un prestataire de 
service externe, ce dernier doit avertir l 'organisation 
qu'elle reste responsable du maintien de l 'efficacité de 
cette activité . Sans objet    
2100 L'audit interne doit évaluer les processus de 
gouvernance de l 'organisation, de management des 
risques et de contrôle, et contribuer à leur amélioration 
sur la base d 'une approche systématique, méthodique 
et fondée sur une approche par les risques . La 
crédibilité et la valeur de l 'audit interne sont renforcées 
lorsque les auditeurs internes sont proactifs,  
que leurs évaluations offrent de nouv eaux points de vue 
et prennent en considération les impacts futurs . x   
2110 L'audit interne doit évaluer et formuler des 
recommandations appropriées en vue d 'améliorer les 
processus de gouvernance de l 'organisation pour:  
- les prises de décisions stratégiques et opérationnelles;  
- la surveillance des processus de management des 
risques et de contrôle;  
- la promotion des règles d 'éthique et des valeurs 
appropriées au sein de l 'organisation;  
- une gestion efficace des performances de 
l'organisation, assortie d 'une obligation  de rendre 
compte;  
- la communication aux services concernés des 
informations relatives aux risques et aux contrôles;  
- la coordination des activités et la communication des 
informations entre le Con seil, les auditeurs externes, les 
auditeurs internes, les autres prestataires d 'assurance, 
et le management . x   
2110.A1  Assurance : L'audit interne doit évaluer la conception, la 
mise en œuvre et l 'efficacité des objectifs, des 
programmes et des activités  de l'organisation liés à 
l'éthique .  x  
2110.A2  Assurance : L'audit interne doit évaluer si la 
gouvernance des systèmes d 'information de 
l'organisation soutient la stratégie et les objectifs de 
l'organisation . x   
2120 L'audit interne doit évaluer l 'efficacité des processus de 
management des risques et contribuer à leur 
amélioration .  x  WT/BFA/W/451  
- 15 - 
  Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
2200 Les auditeurs internes doivent concevoir et documenter 
un plan pour chaque mission . Ce plan de mission précise 
les objectifs, le périmètre d 'intervention, le calendrier de 
la mission, ainsi que les ressources allouées . Ce plan 
doit prendre en considération la stratégie, les objectifs 
et les risques de l 'organisation pertinents au regard de 
la mission . x   
2201 Lors de la planification de la mission, les auditeurs 
internes doivent prendre en compte : 
- la stratégie, les objectifs de l 'activité auditée et la 
manière dont elle pilote sa performance;  
- les risques significatifs liés aux objectifs de l 'activité, à 
ses ressources et à ses opérations,  ainsi que les moyens 
par lesquels l 'impact potentiel des risques est maintenu 
à un niveau acceptable;  
- la pertinence et l 'efficacité des processus de 
gouvernance, de management des  
risques et de contrôle de l 'activité, en référence à un 
cadre ou un modèle approprié ; 
- les opportunités d 'améliorer de manière significative 
les processus de gouvernance,  de management des 
risques et de contrôle de l 'activité . x   
2210 Les objectifs doivent être précisés pour chaque mission . x   
2220 Le périmètre d 'intervention doit être suffisant pour 
atteindre les objectifs de la mission . x   
2230 Les auditeurs internes doivent déterminer les ressources 
appropriées et suffisantes pour atteindre les objectifs de 
la mission . Ils s'appuient sur une évaluation de la nature 
et de la complexité de chaque mission, des contraintes 
de temps et des ressources disponibles .  x  
2240 Les auditeurs internes doivent élaborer et documenter 
un programme de travail permettant d 'atteindre les 
objectifs de la mission . x   
2300 Les auditeurs internes doivent identifier, analyser, 
évaluer et documenter les informations nécessaires pour 
atteindre les objectifs de la mission . x   
2310 Les auditeurs internes doivent identifier les informations 
suffisantes, fiables, pertinentes et utiles pour atteindre 
les objectifs de la mission . x   
2320 Les auditeurs internes doivent fonder leurs conclusions 
et les résultats de leur mission sur des analyses et 
évaluations appropriées . x   
2330 Les auditeurs internes doivent documenter les 
informations suffisantes, fiables, pertinentes et utiles 
pour étayer les résultats et les conclusions de la 
mission . x   
2340 Les missions doivent faire l 'objet d 'une supervision 
appropriée afin de garantir que les objectifs sont 
atteints, la qualité assurée et le développement 
professionnel des auditeurs effectué . x   
2400 Les auditeurs internes doivent communiquer les 
résultats des missions . x   
2410 La communication doit inclure les objectifs, le périmètre 
d'intervention, et les résultats de la mission . x   
2410.A1  Assurance : La communication finale des résultats de la 
mission doit inclure les  conclusions ainsi que les 
recommandations et/ou les plans d 'actions appropriés . 
Le cas échéant, l 'opinion des auditeurs internes devrait 
être fournie . Une opinion doit prendre en compte les 
attentes de la direction générale, du Conseil, et des 
autres parties prenantes . Elle doit également s 'appuyer 
sur une information suffisante, fiable, pertinente et 
utile. x   
2410.A2  Assurance : Les auditeurs internes sont encouragés à 
faire état des points forts  constatés, lors de la 
communication des résultats de la mission . x   WT/BFA/W/451  
- 16 - 
  Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
2410.A3  Assurance : Lorsque les résultats de la mission sont 
communiqués à des destinataires ne faisant pas partie 
de l'organisation, les documents communiqués doivent 
préciser  les restrictions à observer en matière de 
diffusion et d 'exploitation des résultats . x   
2420 La communication doit être exacte, objective, claire, 
concise, constructive, complète et émise en temps utile . x   
2421 Si une communication finale contient une erreur ou une 
omission significative, le responsable de l 'audit interne 
doit faire parvenir les informations corrigées à tous les 
destinataires de la version initiale . x   
2430 Indiquer que les missions sont "conduites conformément 
aux Normes internationales pour la pratique 
professionnelle de l 'audit interne " est approprié 
seulement si les résultats du programme d 'assurance et 
d'amélioration qualité le démontrent . x   
2431 Lorsqu 'une mission donnée n 'a pas été conduite  
conformément au Code de déontologie ou aux Normes, 
la communication des résultats doit indiquer:  
- les principes et règles de conduite du Code de 
déontologie, ou les Normes avec  lesquels la mission n 'a 
pas été en conformité;  
- la ou les raisons de la non -conformité;  
- l'incidence de la non -conformité sur la mission et sur 
les résultats communiqués . x   
2440 Le responsable de l 'audit interne doit diffuser les 
résultats aux destinataires appropriés . x   
2440.A1  Assurance : Le responsable de l 'audit interne est chargé 
de communiquer les résultats définitifs aux destinataires 
à même de garantir que ces résultats recevront 
l'attention nécessaire . x   
2440.A2  Assurance : Sauf indication contraire de la loi, de la 
réglementation ou des statuts,  le responsable de l'audit 
doit accomplir les tâches suivantes avant de diffuser les  
résultats à des destinataires ne faisant pas partie de 
l'organisation:  
- évaluer les risques potentiels pour l 'organisation;  
- consulter la direction générale et/ou, selon les cas, un 
consei l juridique;  
- maîtriser la diffusion en imposant des restrictions 
quant à l 'utilisation des résultats . x   
2450 Lorsqu 'une opinion globale est émise, elle doit prendre 
en compte la stratégie, les objectifs et les risques de 
l'organisation ainsi que les attentes de la direction 
générale, du Conseil et des autres parties prenantes . 
L'opinion globale doit également s 'appuyer sur une 
information  suffisante, fiable, pertinente et utile . 
La communication précisera:  
- le périmètre d 'intervention, y compris la période 
concernée par l 'opinion ; 
- les limitations de périmètre ; 
- le fait de prendre en compte d 'autres travaux 
connexes, y compris ceux d 'autres  prestataires 
d'assurance;  
- une synthèse des informations qui étayent l 'opinion;  
- le référentiel des risques  ou des contrôles ou tout 
autre critère utilisé pour formuler l 'opinion globale;  
- l'opinion globale, l 'avis ou la conclusion donnée . Sans objet    
2500 Le responsable de l 'audit interne doit mettre en place et 
tenir à jour un système permettant de surveiller les 
suites données aux résultats communiqués au 
management . x   
2500.A1  Assurance : Le responsable de l 'audit interne doit mettre 
en place un processus de suivi permettant de surveiller 
et de garantir que des mesures ont été effectivement 
mises en œuvre par le management ou que la direction 
générale a accepté de prendre le risque de ne rien faire . x   WT/BFA/W/451  
- 17 - 
  Norme 
de l'IIA  Déclaration   Pleinement 
conforme  Parti ellement 
conforme  Non 
conforme  
2600 Lorsque le responsable de l 'audit interne conclut que le 
management a accepté un niveau de risque qui pourrait 
s'avérer inacceptable pour l 'organisation, il doit 
examiner la question avec la direction générale . Si le 
responsable de l 'audit interne estime que le problème 
n'a pas été résolu, il doit soumettre la question au 
Conseil . x   
Pour les missions de conseil : 
Norme 
de l'II A Déclaration   Pleinement 
conforme  Partiellement 
conforme  Non 
conforme  
1000 La nature des missions de conseil doit être définie 
dans la charte d 'audit interne .  x  
1130 Les auditeurs internes peuvent être amenés à réaliser 
des missions de  conseil liées à des opérations  dont ils 
ont été auparavant responsables  x   
1130 Si l'indépendance ou l 'objectivité des auditeurs 
internes sont susceptibles d 'être compromises lors des 
missions de conseil qui leur sont proposées, ils doivent 
en informer le client donneur d 'ordre avant  de les 
accepter . x   
1210 Le responsable de l 'audit interne doit refuser une 
mission de conseil  ou obtenir l 'avis et l 'assistance de 
personnes qualifiées si les auditeurs internes ne 
possèdent pas les connaissances, les savoir -faire et les 
autres compétences nécessaires pour s 'acquitter de 
tout ou partie de la mission .  x   
1220 Les auditeurs internes doivent apporter à une mission 
de conseil toute leur conscience professionnelle, en 
prenant en considération les éléments suivants:  
- les besoins et  attentes des clients, y compris à 
propos de la nature de la mission, du calendrier et de 
la communication des résultats;  
- la complexité de la mission et l 'étendue des travaux 
nécessaires pour atteindre les objectifs fixés ; 
- son coût par rapport aux avan tages escomptés . x   
2010 Lorsqu 'on lui propose une mission de conseil, le 
responsable de l 'audit interne, avant de l 'accepter, 
devrait considérer dans quelle mesure elle est 
susceptible  de créer de la valeur ajoutée, d 'améliorer 
le management des risques  et le fonctionnement de 
l'organisation . Les missions de conseil qui ont été 
acceptées  doivent être intégrées dans le plan d 'audit. x   
2120 Au cours des missions de conseil, les auditeurs 
internes doivent couvrir les risques liés aux objectifs 
de la mission et demeurer vigilants vis -à-vis de 
l'existence de tout autre risque susceptible d 'être 
significatif . x   
2120 Les auditeurs internes doivent utiliser leurs 
connaissances des risques acquises lors de missions de 
conseil, pour évaluer le s processus de management 
des risques de l 'organisation . x   
2120 Lorsque les auditeurs internes accompagnent le 
management dans la conception et l 'amélioration des 
processus de management des risques, ils doivent 
s'abstenir d 'assumer une responsabilité opérationnelle 
en la matière . x   
2130 Les auditeurs internes doivent utiliser leurs 
connaissances des dispositifs de contrôle acquises lors 
de missions de conseil lorsqu 'ils évaluent les processus  
de contrôle de l 'organisation . x   WT/BFA/W/451  
- 18 - 
  Norme 
de l'II A Déclaration   Pleinement 
conforme  Partiellement 
conforme  Non 
conforme  
2201 Les auditeurs internes doivent conclure avec le client 
donneur d 'ordre un accord sur les objectifs et le 
périmètre d 'intervention de la mission de conseil, les 
responsabilités de chacun et plus généralement sur les 
attentes du client donneur d 'ordre . Pour les missions 
importantes, cet accord doit être formalisé . x   
2210 Les objectifs d 'une mission de conseil doivent porter 
sur les processus de gouvernance, de management 
des risques et de contrôle dans la limite convenue  avec 
le client . x   
2210 Les objectifs de la mission de conseil doivent être en 
cohérence avec les valeurs, la stratégie et les objectifs 
de l'organisation . x   
2220 Quand ils effectuent une mission de conseil, les 
auditeurs internes  doivent s 'assurer que le périmètre 
d'intervention permet de répondre aux objectifs  
convenus . Si, en cours de mission, les auditeurs 
internes émettent des réserves sur  ce périmètre, ils 
doivent en discuter avec le client donneur d 'ordre afin 
de décider  s'il y a lieu de poursuivre la mission . x   
2220 Au cours des m issions de conseil, les auditeurs 
internes doivent examiner les dispositifs de contrôle 
pertinents par rapport aux objectifs de la mission . Ils 
doivent également être attentifs aux enjeux 
significatifs de contrôle .  x   
2240 Les programmes de travail des missions de conseil 
peuvent varier, dans leur forme et leur contenu, selon 
la nature de la mission .  x   
2330 Le responsable de l 'audit interne doit définir des 
procédures concernant la protection et la conservation 
des dossiers de la mission de conseil ainsi que leur  
diffusion à l 'intérieur et à l 'extérieur de l 'organisation . 
Ces procédures doivent être cohérentes avec les 
orientations définies par l 'organisation et avec les 
exigences réglementaires ou toute autre exigence 
pertinente .  x   
2410 La communication sur l 'avancement et les résultats 
d'une mission de conseil varie dans sa forme et son 
contenu en fonction de la nature de la mission et des 
besoins du client donneur d 'ordre .  x   
2440 Le responsable de l 'audit interne est chargé de 
communiquer les résultats définitifs des missions de 
conseil à son client donneur d 'ordre . x   
2500 L'audit interne doit surveiller les suites données aux 
résultats des missions de conseil conformément à 
l'accord passé avec le client donneur d 'ordre .  x     
  WT/BFA/W/451  
- 19 - ANNEXE 4 – ÉTAT DES RECOMMANDATIONS DE  L'AUDIT INTERNE (1ER JUIN 2018)  
ÉTAT DES RECOMMANDAT IONS D'AUDIT  
Activit é d'audit  Année 
considérée * Nombre total de  
recomm andations  Nombre de 
recomm andations  
prioritaires  État de la mise en œuvre  
au 01/06/2017  État de la mise en œuvre  
au 01/06/2018  
    % Close s TEC Ouvertes  Close s TEC Ouvertes  
Gestion des congés maladie  2014 33 26 79% 30 0 3 31 2 0 
Sécurité des TI  2014 19 5 26% 5 10 4 10 7 2 
Indemnités au titre des congés dans les 
foyers  2017 11 2 18% 0 0 11 8 1 2 
Totaux - 63 33 52%  56%  16%  28%  78% 16% 6% 
* Toutes les  recomm andations figurant dans les rapports d'audit interne publiés pendant la période 2009 -2013 ont été mises en œuvre et closes . 
 
   
  WT/BFA/W/451  
- 20 - ANNEXE 5 – RECOMMANDATIONS  D'AUDIT QUI N'ONT PAS ENCORE ÉTÉ CLOSES (1ER JUIN 2018)  
A) GESTION DES CONGÉS MALADIE  
Recomm andation  d'audit  État de la mise en œuvre communiqué  
par la division concernée  État Priorité  Observations  
du BCIn   Date limite  
26. Le Service médical et la DRH 
devraient rapprocher les données sur 
les congés de maladie enregistrées 
dans Oracle et dans CHIMED  afin de 
vérifier qu'elles sont exactes, 
cohérentes et fiables pour être 
communiquées aux diverses parties 
prenantes et que tous les écarts sont 
justifiés . CHIMED  est fait pour enregistrer le travail effectué par le Service 
médical (par exemple combien de certificats médicaux sont 
reçus) . Il donne une idée générale du nombre de jours de congés 
de maladie mais ne permet pas d'obtenir efficacement des 
statistiques su r les congés de maladie (il ne permet pas, par 
exemple, de calculer les heures ou les demi -journées d'absence) . 
Le système devra donc être modifié/remplacé.  
 
Un nouveau logiciel – Préventiel – a été identifié et choisi par le 
Service médical et la DRH . La mise en œuvre de Préventiel est 
prévue pour 2018. Dans le cadre du projet de mise en œuvre, les 
données enregistrées dans Oracle seront rapprochées des 
renseignements contenus dans Préventiel . TEC Moyenne  La recommandation sera close 
quand le projet de mis e en 
œuvre du nouveau logiciel – 
Préventiel – sera achevé . 30/12/2018  
28. L'ITSD devrait fournir à la DRH une 
solution pour faciliter l'appropriation, la 
responsabilité, la gestion et la 
communication des données ; et 
dispenser une formation appropriée 
aux fonctionnaires de la DRH pour 
assurer leur indépendance dans 
l'utilisation de la solution . L'ITSD, la DRH et la LDIMD utilisent maintenant la nouvelle 
fonctionnalité développée dans Oracle pour permettre aux 
assistants de division de notifier les congés d e maladie 
(directement dans le système).  
Cette fonctionnalité sera étendue aux autres divisions en 2018 . TEC Moyenne  La recommandation sera close 
quand la fonctionnalité Oracle 
aura été étendue à toutes les 
divisions . 30/12/2018  
 
    
  WT/BFA/W/451  
- 21 - B) INDEMNITÉS AU TITRE DES CONGÉS DANS LES FOYERS  
Recomm andation  d'audit  État de la mise en œuvre communiqué par  
la division concernée  État Priorité  Observations  
du BCIn  Date limite  
1. Il convient de trouver le bon 
équilibre entre la nécessité 
d'encourager l'utilisation des montants 
forfaitaires et la nécessité d'assurer 
une utilisation rationnelle des 
ressources afin de favoriser l'économie, 
l'efficience et l'efficacité du processus.  
Par conséquent, le BCIn incite le 
Directeur de la Division des ressources 
humaines à surveil ler étroitement les 
coûts et les avantages pour l'OMC du 
versement des montants forfaitaires, 
en tenant compte du niveau des 
incitations en espèces octroyées au 
personnel par le biais du montant 
forfaitaire ; et à adopter les 
ajustements nécessaires si ce 
versement était considéré comme 
excessif.  La direction souscrit à la recommandation et s'efforcera de 
surveiller de près les montants forfaitaires accordés . OUVERTE  Moyenne  Le premier suivi sera 
effectué en octobre  2018. 30/09/ 2018 
10. Le Directeur de la DRH devrait 
élaborer une politique détaillée 
concernant les congés dans les foyers 
en tenant compte des 
recommandations susmentionnées . 
Cette politique devrait être 
communiquée à tous les employés de 
l'OMC .  La DRH a rédigé la nouvelle po litique de congé dans les foyers et 
visite familiale (projet), qui incorpore les recommandations 
susmentionnées . Le projet a été soumis au BCIn pour examen et 
des améliorations font l'objet de discussion entre  l'AGSD (Unité 
des voyages) n la DRH et le BCI n. La politique sera publiée une 
fois qu'elle aura été examinée par le Comité consultatif mixte 
(CCM) et approuvée par le Directeur général . TEC Élevée  La recommandation est 
considérée comme faisant 
l'objet de TEC jusqu'à 
l'approbation finale du 
texte par le  Directeur 
général et la 
communication de la 
nouvelle politique aux 
fonctionnaires . 31/12/2018  
11. Le système MobileXpense devrait 
être configuré en tenant compte des 
recommandations formulées dans le 
rapport d'audit interne . [Extrait – la 
recomm andation donne des 
renseignements détaillés 
supplémentaires sur les contrôles à 
mettre en œuvre ]. La suggestion selon laquelle ces contrôles devraient être faits 
spécifiquement dans MobileXpense est trop prescriptive . La 
faisabilité d'ajouter de nouvelles fonctionn alités à MobileXpense 
doit être discutée avec le Directeur de l'ITSD . Ce dernier peut 
proposer d'autres mesures à prendre sur la base de cette 
recommandation . 
MobilXpense est également mentionné dans le rapport des 
vérificateurs extérieurs des comptes  puisqu'ils ont entrepris un 
audit de performance co ncernant les voyages en 2017/ 18.  OUVERTE  Moyenne  - 31/12/2018  
   
  WT/BFA/W/451  
- 22 - C) SÉCURIT É DES TI  
Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
4: Gouvernance de la sécurité des TI : 
GOV 04 – Processus de gestion des 
risques . 
 
La fonction de sécurité de l'information 
devrait examiner régulièrement le 
registre des risques pour assurer une 
identification adéquate et rapide des 
risques liés à  la sécurité de 
l'information . Sur la base de cet 
examen, la fonction de sécurité des TI 
devrait :  
1. déterminer les cas où une réponse 
devrait être apportée en matière de 
sécurité des TI ;  
2. veiller à ce que les réponses 
appropriées en matière de sécurit é des 
TI figurent dans la section des 
"mesures d'atténuation proposées" ;  
3. veiller à ce que les réponses en 
matière de sécurité des TI soient mises 
en œuvre et opérationnelles . Les risques liés à la sécurité de l'information ont été inclus dans 
l'exercic e annuel de gestion du risque d'entreprise (GRE) mené 
par le Responsable de la gestion des risques à l'OMC (en 2017).  
 
Cette  recomm andation sera mise en œuvre après les  
recommandations  GOV 05 (Inventaire des ressources 
d'information importantes de l'OMC ) et GOV 06  (Structure des 
politiques de sécurité de l'information ). TEC Élevée  L'état de la  recomm andation 
reste inchangé  en attendant la 
finalisation du registre des 
risques des TI et la mise en 
œuvre des recommandations 
GOV 05 et GOV 06.  31/12/2018 
5: Gouvernance de la sécurité des TI : 
GOV 05 a) – Inventaire des ressources 
d'information importantes de l'OMC . 
 
La LDIMD et l'ITSD doivent coordonner 
la création et le maintien d'un 
inventaire des ressources d'information 
importantes de toute l'Organisation 
comme les données, les informations, 
les documents et les publications . Cet 
inventaire devrait inclure : les 
définitions des rôles et des 
responsabilités des détenteurs de 
ressources d'information, le niveau de 
classification des ressources 
d'information et les prescriptions de 
base en termes de contrôle et de suivi 
des ressources d'information ;  L'inventaire des ressources d'information importantes sera 
effectué une fois que la politique de classification  des 
renseignement s aura été adoptée  (prévue pour le t roisième 
trimestre  de 2018).  TEC Moyenne  Le Bureau de la sécurité de 
l'information travaillera à 
l'inventaire des ressources 
d'information importantes . 31/12/2018    
  WT/BFA/W/451  
- 23 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
la définition devrait prendre en compte 
chaque division qui développe ou a 
accès à des ressources d'information 
importantes. La fonction de sécurité 
des TI devrait effectuer une évaluation 
des risques pour la sécurité, basée sur 
la liste des ressources d'information 
importantes, afin de déterminer le 
niveau de protection requis pour 
chaque r essource d'information 
importante.       
6: Gouvernance de la sécurité des TI : 
GOV 06 – Structure des politiques de 
sécurité de l'information . 
 
Réexaminer la structure et 
l'exhaustivité des politiques, normes, 
lignes directrices et procédures en 
matière de  sécurité des TI ; définir et 
appliquer les diverses politiques des TI, 
y compris les politiques de sécurité, la 
politique d'évaluation des risques pour 
la sécurité des TI, la politique de 
reprise après sinistre et la politique 
d'évaluation des risques pour  la 
sécurité de l'information qui est alignée 
sur la politique de gestion des risques . L'ITSD a notablement  progressé  dans l'établissement de la 
structure des politiques de sécurité de l'information : 
a. politique de sécurité de l'i nformation : achevée  
(29 septembre  2017);  
b. politique de contrôle de l'accès : achevée  (sera publiée 
prochainement ); 
c. politique de gestion des incidents : rédaction en cours ; 
d. politique de c lassification des renseignements : sera présentée 
pour examen aux directeurs en mai -juin 2018, l'adoption étant 
planifiée en juillet ; 
e. politique d'évaluation des risques pour la sécurité des TI : sera 
rédigée après l'adoption finale de la politique de classification des 
renseignements confidentiels ; 
f. politique de reprise après sinistre : en cours ; 
g. politique relative à l'utilisation acceptable des ressources 
informatiques : en cours de révi sion. TEC Moyenne  Le Bureau de la sécurité de 
l'information travaille à 
l'établissement de la structure 
des politiques de sécurité de 
l'information . 31/12/2018  
Politique 
d'évaluation 
des risques 
informat ique: 
31/03/2019  
8: Gouvernance de la sécurité des TI : 
GOV 07 – Présentation de rapports sur 
la sécurité des TI à la direction de 
l'OMC (partie II) . 
 
En outre, la fonction de sécurité des TI 
devrait : 
• définir et mettre en œuvre un 
ensemble de paramètres à appliquer 
aux processus de sécurité de 
l'information, basés sur les résultats de 
l'évaluation des risques des ressources 
d'information importantes ; Le CDTSI  a approuvé le projet présenté par l e Bureau  de la 
sécurité de l'i nformation de créer un Centre  des opérations de 
sécurité . La demande de propositions  (RFP)  concernant le Centre 
des opérations de sécurité sera publiée en juin 2018 (pour une 
mise en œuvre pour fin 2018 ). Une fois établi, le Centre de s 
opérations de sécurité définira l es informations objectives 
permettant de déterminer les indicateurs de performance clés . TEC Moyenne  Le Centre des opérations de 
sécurité, qui doit être créé au 
quatrième trimestre de 2018, 
sera chargé d'identifier les 
indicateurs de performance 
clés. 31/03/2019    
  WT/BFA/W/451  
- 24 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
• élaborer un ensemble exhaustif et 
cohérent de mesures (indicateurs de 
performance clés/indicateurs de risque 
clés) pour faciliter l'établissement de 
rapports, sur la base des paramètres 
définis.       
9: Gouvernance de la sécurité des TI : 
GOV 08 – Stratégie de l'OMC en 
matière de sécurité des TI . 
L'OMC devrait formellement définir sa 
stratégie et ses objectifs concernant la 
fonction de sécurité des TI, en tenant 
compte des résultats de l'inventaire des 
ressources d'information importantes et 
de l'évaluation des risques.  
La stratégie en matière de sécurité des 
TI devrait être réexaminée afin de 
s'assurer qu'elle est alignée sur les 
objectifs des activités de l'Organisation . Le plan d'action intérimaire po ur les technologies de l'information 
pour 2019 a été approuvé par le CDTSI le 3 mai 2018. La 
stratégie et les objectifs concernant la fonction de sécurité des TI 
seront achevés après l'achèvement de la recommandation 
GOV 04  TEC Moyen L'état de la recommandation 
reste inchangé . 31/03/2019  
10: Gouvernance de la sécurité des TI : 
GOV 09 – Alignement des objectifs de 
la fonction de sécurité des TI sur une 
stratégie en matière de sécurité des TI . 
La fonction de sécurité des TI devrait 
élaborer un ensemble d'objectifs clairs 
qui devraient être alignés sur la 
stratégie en matière de sécurité des TI 
indiquée dans la recommandation 
GOV 08 ci-dessus . Les objectifs intérimaires de la fonction de sécu rité des TI ont été 
identifiés ( mais pas formellement documentés ). Les objectifs à  
long term e seront définis une fois que la stratégie concernant la 
fonction de sécurité des TI aura été définie  (recomm andation 
GOV 08).  OUVERTE  Faible  L'état de la recommandatio n 
reste inchangé . 31/03/2019  
12: Contrôles de sécurité des TI : 
ITSC-01: – Configuration de la sécurité 
du PGI . 
 
la fonction de sécurité devrait : 
• définir une situation de référence 
globale et complète en matière de 
sécurité pour le PGI, sur la base des 
données fournies par l'unité de soutien 
et des lignes directrices d'Oracle 
concernant la sécurité des systèmes ; Toutes les vulnérabilités techniques spécifiques mentionnées 
dans la recommandation ITSC -01 ont été corrigées lors de la 
migration vers la nouve lle version du PGI (achevée en 
février  2015). 
 
Les meilleures pratiques du fournisseur ("Secure Configuration 
Guide for Oracle E -Business Suite Release 12") ont été adoptées 
comme configuration de référence en matière de sécurité . s.o. Élevée  Le BCIn  a décidé d'inclure ce 
sujet dans son plan d'audit 
interne pour 2018/19 . Cette 
recommandation fera l'objet 
d'un audit interne distinct . -   
  WT/BFA/W/451  
- 25 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
• exécuter un examen global de la 
sécurité informatique de la 
configuration du PGI  incluant la couche 
application, la couche base de données, 
la couche système d'exploitation, la 
couche réseau et la couche stockage.       
L'unité de soutien devrait:  
• modifier les paramètres de sécurité 
par défaut des utilisateurs de la base de 
données Oracle ou attribuer un 
nouveau profil de sécurité plus solide à 
tous les utilisateurs de la base de 
données Oracle;  
• modifier le mode de définition par 
défaut du mot de passe des utilisateurs 
de la base de do nnées Oracle et obliger 
les 228  utilisateurs qui ont encore le 
mode de définition par défaut à 
changer de mot de passe.  Ces 
paramètres devraient être harmonisés 
avec la politique de Windows en 
matière de mot de passe qui est en 
place.  
• examiner la liste des comptes 
utilisateurs d'E -Business et de la  base 
de données Oracle et supprimer les 
comptes utilisateurs qui ne sont pas 
utilisés;  
• effectuer un examen global de la 
sécurité du PGI, y compris les contrôles 
des processus de travail requis pour 
protéger les données financières de 
l'OMC.       
14: Contrôles de sécurité des TI : 
ITSC-03 – Gestion des comptes 
utilisateur s. Les procédures de gestion des comptes utilisateur s sont traitées 
dans la politique de contrôle des accès qui a été achevée et sera 
adoptée au troisième trimestre  de 2018.  TEC Moyenne  L'état de la  recomm andation 
reste inchangé jusqu'à 
l'adoption finale de la politique 
de contrôle d'accès . 30/09/2018    
  WT/BFA/W/451  
- 26 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
Réexaminer les droits d'accès des 
utilisateurs et les limiter au minimum.       
En outre, l'unité de sécurité des TI 
devrait réguliè rement réexaminer les 
comptes utilisateur s et les droits 
d'accès aux systèmes et aux 
applications de traitement de 
l'information afin de faire en sorte qu'ils 
soient appropriés et conformes à la liste 
du personnel de l'OMC. Ce réexamen 
devrait être initié par la fonction de 
sécurité des TI et complété par les 
unités responsables de ces systèmes.  
Enfin, un formulaire devrait être 
élaboré pour la création, la modification 
et la suppression des comptes 
utilisateur s dans les systèmes (par 
exemple Windows Active  Directory).       
Ce formulaire devrait être formellement 
réexaminé et approuvé par le 
propriétaire du processus opérationnel 
et la Division des ressources humaines.       
15: Contrôles de sécurité des TI : 
ITSC-04 - Cadre de contrôle de la 
séparation des tâches  
 
L'unité de soutien et la fonction de 
sécurité des TI de l'OMC devraient : 
 
1. définir un cadre de séparation des 
tâches, en tenant compte du fait qu'il 
faut trouver un équilibre entre les 
exigences de sécurité  et les ressources 
disponibles (par exemple un suppléant 
pour une fonction spécifique doit se voir 
attribuer les droits d'accès appropriés 
pour exécuter les opérations de 
soutien) ; La question de la séparation des tâches dans le cadre du PGI sera 
abordée p ar la DRH, l'AGSD et l'ITSD suite au résultat de l'audit 
de sécurité du PGI (voir la recommandation ITSC -01). OUVERTE  Moyenne  Cette recommandation sera 
mise en œuvre après 
l'évaluation de la sécurité du 
PGI.  31/03/2019    
  WT/BFA/W/451  
- 27 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
2. définir une procédure pour la gestion 
des exceptions au cadre de séparation 
des tâches. Cette procédure devrait 
inclure la documentation formelle des 
écarts par rapport au cadre de 
séparation des tâches et la validation 
formelle par le superviseur de 
l'utilisateur;  
 
3. réexaminer la configuration actuelle 
des rôles et responsabilités du PGI (par 
exemple les profils du PGI) par rapport 
au cadre de séparation des tâches pour 
s'assurer que des droits contradictoires 
ne sont pas donnés aux employés sans 
validation préalab le du superviseur de 
l'utilisateur.       
17: Contrôles de sécurité des TI : 
ITSC-06 – Gestion et suivi des journaux 
du PGI  
 
La fonction de sécurité des TI devrait 
donner des renseignements sur les 
modifications qui devraient être 
enregistrées dans un journal, en tenant 
compte des prescriptions en matière 
d'éléments de preuve  en ce qui 
concerne la gestion des incidents , des 
exigences en matière de confidentialité 
des données, de l'environnement 
juridique et réglementaire et des 
mesures de protection des  éléments de 
preuve collectés (par exemple stocker 
les fichiers journaux du PGI à distance 
sur un serveur distinct qui n'est 
accessible qu'à la fonction de sécurité 
des TI) .  Les journaux du système  d'exploitation ont été envoyés  vers un  
système  de central isation des journaux . Les journaux du PGI 
seront collectés une fois que l e Centre  des opérations de sécurité 
aura été établi .  TEC Faible  L'état de la recommandation 
reste inchangé . 31/12/2018    
  WT/BFA/W/451  
- 28 - Recomm andation  d'audit  État de la mise en œuvre communiqué par la division 
concernée  État Priorité  Observations du BCIn  Date limite  
Deuxièmement, l'unité de soutien 
devrait activer la fonction de journal 
d'audit dans le PGI pour tous les 
modules du PGI qui traitent des 
informations importantes comme les 
ressources financières, les informations 
de paiement ou les données 
fournisseurs. E n outre, le fichier journal 
devrait être conservé dans une base de 
données distincte du PGI, dont l'accès 
devrait être limité à la fonction de 
sécurité des TI pour garantir la 
préservation des éléments de preuve 
en cas d'enquête ou d'analyse 
criminalistiqu e (par exemple dans une 
enquête concernant un soupçon 
d'activité frauduleuse).       WT/BFA/W/451  
- 29 - 
  ANNEXE 6 – LISTE DES ACRONYMES  
AGSD  Division de l'administration et des services généraux  
ATLC Assistance  technique liée au commerce  
BCIn Bureau  du contrôle interne  
CBFA    Comité du budget, des finances et de l'administration  
CCI Corps commun d'inspection des Nations Unies  
CCM Comité  consultatif mixte  
CDTSI  Comité directeur  des technologies et de la sécurité de l'information  
CHF Franc suisse (monn aie) 
COSO  Comité des organisations coparrainantes de la Commission Treadway  
CRIPP  Cadre  de référence international des pratiques professionnelles  
DRH Division des ressources humaines  
ENMO  Réseau Déontologie des organisations multilatérale s 
GRE Gestion du r isque d'entreprise  
HOIA  Réseau des chefs des services de l'audit interne des organisations 
internationales en Europe  
IFCT Institut  de formation et de coopération technique  
IIA Institute of Internal Auditors  
ISO Organisation internationale de normalisation  
ITSD Division des solutions en technologie s de l'information  
LDIMD  Division des services linguistiques, de la documentation et de la gestion de 
l'information  
OIT Organisation internationale du travail  
OMC Organisation  mondiale du commerce  
PGI Progiciel de gestion intégré  
RFP Demande de propositions  
s.o. Sans objet  
TEC Travaux  en cours  
 
 
__________