Recruter un Responsable Contrôle Interne
Le contrôle interne est la seule fonction de la direction financière dont le résultat est produit par des gens qui n'en font pas partie. Le titulaire conçoit, documente, teste et rend compte ; l'exécution appartient aux achats, à la paie, aux ventes, aux systèmes d'information et aux filiales. C'est ce qui rend ce recrutement particulier : la compétence technique se vérifie en une heure d'entretien, et elle ne dit presque rien de ce qui décidera du résultat — la capacité à obtenir qu'un contrôle soit réellement exécuté, tous les mois, par quelqu'un qui a autre chose à faire et un autre chef.
Aussi appelé Responsable du Contrôle Interne, Directeur du Contrôle Interne, Chargé de Contrôle Interne, Contrôle Interne Comptable et Financier, Internal Control Manager, Senior Internal Control, Internal Control Specialist, Head of Internal Control.
Ce que nous observons
Pourquoi un recrutement de responsable du contrôle interne échoue.
L'équipe qui exécute le dispositif n'est pas l'équipe du titulaire
Le brief annonce « animer le réseau des correspondants contrôle interne ». Le mot réseau passe inaperçu, et il porte pourtant tout le poste. Ces correspondants sont des salariés d'autres directions : leur manager n'est pas le titulaire, leurs objectifs annuels sont écrits ailleurs, leur part variable ne dépend pas du taux de réalisation des contrôles, et le temps qu'ils y consacrent est pris sur leur métier. Le titulaire dispose donc d'une méthode, d'un budget, souvent d'un accès au comité de direction — et d'aucun levier direct sur les seules personnes dont dépend son résultat. On évalue pourtant les candidats sur leur capacité à concevoir, qui est la partie facile du métier. Posez trois chiffres avant de lancer la recherche : combien de correspondants, combien d'entre eux ont le contrôle interne écrit dans leurs objectifs annuels, et qui arbitre le jour où un directeur refuse de libérer le sien. Si les trois réponses sont « on verra », vous recrutez quelqu'un qui passera deux ans à négocier ce que votre direction générale aurait pu trancher en une réunion.
Un avis se referme à sa date, un dispositif doit encore tourner dans trois ans
L'audit produit un avis : il porte sur une période, il se conclut, il est daté, et sa qualité s'apprécie le jour où il est rendu. Le contrôle interne produit un mécanisme, et la qualité d'un mécanisme ne s'apprécie qu'à l'usage, longtemps après. Les deux métiers partagent le vocabulaire, les référentiels et une bonne part des parcours, mais ils ne sont pas jugés sur la même chose — et un entretien ne sait regarder que ce qui se montre : une matrice risques / contrôles, un jeu de procédures, un outil déployé, une méthodologie de test. Autrement dit, la livraison. Un candidat peut avoir livré quatre dispositifs impeccables dont aucun ne fonctionnait encore dix-huit mois plus tard, et rien dans un processus classique ne le révèle. Une question le révèle : citez-moi un contrôle que vous avez conçu et qui est encore exécuté aujourd'hui, dites-moi par qui, et dites-moi ce que vous avez dû y changer la deuxième année pour qu'il survive. Celui qui a fait vivre un dispositif répond immédiatement, avec le détail de ce qu'il a dû simplifier ou abandonner. Celui qui a livré des dispositifs raconte la conception.
Vos contrôles sont déclarés faits, et personne n'a le mandat d'aller le vérifier
Hors banque et assurance, la supervision de second niveau repose très largement sur des campagnes déclaratives : un questionnaire part dans les directions, les correspondants répondent que le contrôle a été réalisé, les réponses sont consolidées, le tableau de bord passe au vert. Cela diffuse une culture, ce n'est pas un contrôle de second niveau. Un contrôle de second niveau va chercher la preuve : il tire un échantillon, il redemande la pièce, il rejoue l'opération, il confronte la déclaration à ce que dit le système. C'est la seule partie du métier qui produit une information que la direction générale ne possédait pas déjà, et c'est la première qui saute quand le poste est calibré à l'économie. Beaucoup de fiches de poste mentionnent des tests d'efficacité sans que personne n'ait donné au titulaire le droit d'exiger une pièce d'une filiale, ni le temps de la lire, ni l'arbitre en cas de refus. Réglez ces trois points avant de sourcer, puis faites-en un sujet d'entretien : demandez au candidat ce qu'il a trouvé la première fois qu'il est allé tester un contrôle déclaré conforme. Ceux qui ont exercé le métier ont tous une histoire précise, et elle en dit plus long qu'un exposé sur les référentiels.
Les contrôles les moins chers se posent dans le paramétrage, et le vôtre est déjà figé
Un contrôle préventif intégré au système ne coûte rien à exécuter et ne dépend de la discipline de personne : un profil d'habilitation qui interdit de créer un fournisseur et de payer sa facture, un seuil qui bloque une commande sans validation, un flux qui refuse une écriture non rapprochée. Un contrôle détectif ajouté après coup coûte du temps tous les mois, à quelqu'un, indéfiniment. Or les rôles et les habilitations d'un ERP se dessinent pendant le projet, par des équipes qui optimisent la mise en service et qui élargissent les profils pour que personne ne soit bloqué au démarrage. Le responsable du contrôle interne recruté ensuite hérite d'un système où la séparation des tâches ne peut plus être imposée sans rouvrir une conception et sans se fâcher avec toutes les directions ; il compense par des contrôles manuels, c'est-à-dire par les plus chers et les plus fragiles. Si une migration est prévue dans les dix-huit mois, recrutez avant la conception des rôles et écrivez dans le mandat que le titulaire siège dans les instances de conception. Si le démarrage a déjà eu lieu, dites-le dans le brief et assumez que la première année sera une reprise des habilitations : ce travail-là se recrute sur quelqu'un qui l'a déjà mené, pas sur un généraliste.
Le candidat n'a jamais eu à obtenir un contrôle : l'obligation l'obtenait pour lui
Le vivier le plus visible vient des groupes soumis à une obligation externe : filiales de sociétés cotées aux États-Unis, sociétés cotées en France, secteurs régulés. Ces profils sont souvent les mieux formés du marché — campagnes annuelles complètes, documentation selon un standard imposé, test d'un auditeur externe par-dessus le leur. Mais dans cet environnement, l'adhésion des opérationnels n'était pas à produire : elle était fournie avec l'obligation. On n'explique pas à un directeur de site pourquoi il doit signer, on lui rappelle une échéance. Placez ce candidat dans une entreprise sans obligation de ce type — et depuis 2005, l'obligation française de rendre compte du dispositif ne vise plus que les sociétés cotées — et il déploie la même mécanique sans le moteur qui la faisait tourner. Il produit alors ce que les équipes appellent de la paperasse. Tranchez d'abord ce qui porte votre dispositif : une obligation, une exigence d'actionnaire, une clause de financement, ou rien d'autre que la conviction de votre direction générale. Puis posez la question qui sépare les deux populations : racontez-moi une fois où un opérationnel a refusé d'exécuter un contrôle, et ce que vous avez fait. Beaucoup n'ont pas d'exemple — ce n'est pas éliminatoire, c'est une information sur ce qu'il faudra leur apprendre.
Un dispositif auditable et un dispositif utile ne se conçoivent pas de la même façon
Un contrôle conçu pour qu'un tiers puisse s'y appuyer doit laisser une trace : un document daté, signé, archivé, rejouable deux ans plus tard par quelqu'un qui n'était pas là. Un contrôle conçu pour attraper réellement les erreurs doit être rapide, peu nombreux, placé au bon endroit du processus, et supportable par celui qui l'exécute. Les deux objectifs sont légitimes et tirent en sens inverse : la traçabilité alourdit, l'efficacité allège. C'est l'arbitrage central du métier, il n'est presque jamais posé au moment du recrutement, et chaque candidat applique donc par défaut l'école d'où il vient. Un profil venu de l'attestation produira un dispositif solidement documenté que les équipes subiront ; un profil venu de l'opérationnel produira un dispositif que les équipes accepteront et sur lequel aucun tiers ne pourra s'appuyer — ce qui se paie le jour où vos commissaires aux comptes, un acquéreur ou un prêteur veulent précisément s'y appuyer. Décidez avant de chercher qui est le premier consommateur du dispositif, puis évaluez sur ce choix : le candidat présente un contrôle qu'il a conçu, et vous lui demandez quelle trace il laisse et combien de minutes il coûte chaque mois à celui qui l'exécute. Celui qui n'a jamais chiffré la seconde n'a pas rencontré le vrai obstacle du métier.
Le poste est créé après un incident, avec un mandat que le contrôle interne ne peut pas tenir
Une fraude au président, un détournement, un fournisseur fictif, un stock qui n'existait pas : beaucoup de ces recrutements se décident dans les semaines qui suivent. Le mandat implicite devient « que cela ne se reproduise jamais », et personne ne le corrige parce que personne n'a envie de dire l'inverse à ce moment-là. Or un dispositif de contrôle interne ne supprime pas la fraude. Il en réduit la probabilité, raccourcit le délai de détection, augmente le risque pour celui qui la tente — et reste, par construction, désarmé devant deux situations : la collusion entre plusieurs personnes, et le contournement par un dirigeant qui a le pouvoir de passer outre. Ce n'est pas une faiblesse de mise en œuvre, c'est une limite reconnue par tous les référentiels de la profession. Recruter sur une promesse impossible produit deux effets : vous sélectionnez le candidat qui promet le plus, et vous placez celui que vous retenez à un incident de l'échec déclaré. Réécrivez le mandat en termes que le poste peut tenir — couvrir tel et tel processus, rendre tel nombre de contrôles clés testables sur pièces, ramener sous tel seuil le délai de détection d'une anomalie de paiement — et gardez une question pour la fin de chaque entretien : qu'est-ce qu'un dispositif de contrôle interne ne peut pas empêcher ? Le candidat qui répond « rien, s'il est bien conçu » vient de vous rendre service.
Avant de chercher
Ce que nous cadrons avec vous.
Le brief conditionne tout le reste. Un cadrage approximatif se paie en candidatures hors sujet et en semaines perdues.
Les processus dans le périmètre, et leur propriétaire
Pas « les risques de l'entreprise » : une liste fermée de processus — achats, ventes, paie, stocks, trésorerie, systèmes d'information — et, en face de chacun, le directeur qui en répond. C'est ce document qui transforme une intention en poste : il fixe le niveau requis, il donne le nombre de correspondants, et il dit à quels métiers le titulaire devra parler toutes les semaines.
Le droit d'accès à la preuve, et l'arbitre
Ce que le titulaire peut exiger — pièces, extractions, accès aux systèmes, présence sur site —, auprès de qui, sous quel délai, et qui tranche en cas de refus. Nous formalisons ce point avant de sourcer : c'est lui qui sépare un poste de second niveau d'un poste de rédaction de procédures, et c'est l'un des premiers que vérifient les candidats confirmés.
La part de conception et la part de campagne
Un dispositif se construit une fois et se fait vivre indéfiniment. Dites quelle proportion de l'année relève de la conception et quelle proportion relève de la campagne : relances, tests, consolidation des résultats, plans de remédiation, comité. Les candidats qui aiment l'une supportent mal l'autre, et l'écart se paie la deuxième année, pas la première.
L'état réel du point de départ
Ce qui existe déjà, sans embellissement : une matrice risques / contrôles, des procédures écrites, un outil, une campagne déjà menée, ou rien. Reprendre un dispositif et en créer un ne demandent ni le même profil ni la même durée. Un titulaire qui découvre en arrivant que le tableau était optimiste passe son premier trimestre à défaire une attente au lieu de produire.
Lecture de marché
Ce que dit le marché aujourd'hui.
Fourchettes issues de notre baromètre des salaires, en brut annuel, pour la France.
Les fourchettes de notre baromètre s'établissent à 48-65 k€ pour un profil confirmé de trois à sept ans, 65-90 k€ pour un senior de sept à douze ans, et 90-130 k€ et au-delà au-delà de douze ans d'expérience. À l'intérieur d'une même fourchette, ce qui déplace le curseur n'est pas l'ancienneté : c'est le nombre d'entités couvertes, la dimension internationale réelle, l'existence d'une obligation d'attestation à tenir, et la profondeur informatique du périmètre — la séparation des tâches dans l'ERP et les contrôles automatisés se paient nettement au-dessus du reste.
La population la plus nombreuse et la mieux formée travaille dans la banque et l'assurance, où la fonction est ancienne, encadrée et dotée. C'est le premier vivier vers lequel se tourne une entreprise industrielle ou de services, et le transfert marche moins bien qu'annoncé : le contrôle permanent d'un établissement régulé s'exerce sur des processus normés, avec des moyens, un calendrier imposé et un régulateur en arrière-plan. Le même professionnel, dans une ETI industrielle, doit d'abord obtenir qu'on lui parle. Beaucoup réussissent cette transition, mais elle s'évalue — elle ne se déduit pas d'un nombre d'années.
En dehors du secteur financier, la supervision de second niveau reste peu structurée : beaucoup d'entreprises ont des contrôles de premier niveau intégrés à leurs processus et rien au-dessus, ou une campagne déclarative qui en tient lieu. La conséquence vous concerne directement : une part des candidats qui se présentent avec une expérience « contrôle interne » a en réalité exercé une supervision de premier niveau à l'intérieur d'une direction opérationnelle. Ce n'est pas un mensonge, c'est un flou de vocabulaire du marché, et il se lève en une question — dans votre organisation précédente, qui contrôlait vos propres contrôles ?
La tension ne porte pas sur le titre, qui attire beaucoup de candidatures, mais sur une intersection étroite : quelqu'un qui comprenne assez un processus opérationnel pour concevoir un contrôle que les équipes exécuteront, et assez un système d'information pour savoir ce qui peut être automatisé plutôt que contrôlé. Les parcours qui réunissent les deux sont rares, et c'est là que se joue la différence entre un dispositif qui vit et une bibliothèque de procédures que personne n'ouvre.
- Contrôle Interne Confirmé (3-7 ans)48-65 k€
- Senior Contrôle Interne (7-12 ans)65-90 k€
- Responsable Contrôle Interne (12+ ans)90-130 k€+
Questions fréquentes
Ce que les dirigeants nous demandent.
- Combien de temps pour recruter un responsable du contrôle interne ?
- Les premiers profils qualifiés vous sont présentés sous 10 jours ouvrés en CDI, et sous 48 heures en management de transition. La suite dépend de votre rythme de décision. Sur ce poste, prévoyez un entretien avec au moins un directeur opérationnel dont les équipes exécuteront les contrôles : c'est le seul échange qui teste ce sur quoi le poste sera réellement jugé.
- Combien coûte le recrutement d'un responsable du contrôle interne ?
- La facturation se fait au succès : pas d'avance, pas de retainer, aucun honoraire tant que le candidat n'a pas accepté l'offre. Si le candidat ne prend finalement pas son poste, les honoraires versés sont intégralement remboursés.
- Contrôle interne ou audit interne : lequel recruter en premier ?
- Dans presque tous les cas, le contrôle interne. Un audit interne n'a rien à évaluer tant qu'il n'existe pas de dispositif : ses constats se réduisent à signaler l'absence de procédures, ce qu'un diagnostic de quelques jours établit à moindre coût. L'ordre s'inverse dans un cas : quand la direction générale ignore où elle en est et veut un état des lieux indépendant avant d'investir. Une mission ponctuelle, en transition, y répond mieux qu'un recrutement.
- Faut-il un profil issu d'un cabinet d'audit ?
- C'est le vivier le plus fréquent et il apporte la discipline de preuve, la structure documentaire et la connaissance des référentiels. Il apporte aussi un réflexe à surveiller : documenter d'abord. Sur ce poste, la compétence rare n'est pas de savoir ce qu'il faudrait contrôler, c'est de savoir ce qu'on peut demander à une équipe qui a déjà trop à faire, et d'obtenir qu'elle le fasse. Un profil de cabinet ayant ensuite tenu un dispositif en entreprise, même deux ans, vaut mieux qu'un profil de cabinet seul ; sur un périmètre industriel ou logistique, un opérationnel du processus passé au contrôle est souvent le meilleur choix.
- À partir de quelle taille faut-il un responsable du contrôle interne à temps plein ?
- Il n'y a pas de seuil en chiffre d'affaires ni en effectif : le déclencheur est la perte de la vue directe. Tant qu'un dirigeant voit passer les commandes, les nouveaux fournisseurs et les paiements, il est le dispositif de contrôle interne. Le poste devient nécessaire quand cette vue disparaît — plusieurs sites, plusieurs filiales, un ERP qui a repris les autorisations, une croissance externe, ou un actionnaire qui demande à s'appuyer sur autre chose que la confiance. En deçà, un temps partagé ou une mission de quelques mois construit le socle pour beaucoup moins cher.
- Faut-il un seul poste pour le contrôle interne et la gestion des risques ?
- Les deux relèvent de la même ligne et ne demandent pas le même geste : l'un identifie et hiérarchise ce qui peut mal tourner, l'autre construit et fait fonctionner ce qui l'empêche. Les réunir sur un poste unique est courant et fonctionne, à une condition : que le brief dise laquelle des deux moitiés est la priorité des dix-huit premiers mois. Peu de candidats sont forts sur les deux, et un poste double mal cadré se remplit de lui-même par la moitié la plus confortable pour son titulaire.
- Recrutez-vous des profils contrôle interne en management de transition ?
- Oui, en freelance, avec des premiers profils sous 48 heures. C'est la réponse adaptée à une campagne de tests à mener avant un arrêté, à une reprise des habilitations après un démarrage d'ERP, à un dispositif à documenter avant une opération capitalistique, ou à la vacance du poste entre deux titulaires.
- Intervenez-vous en dehors de Paris ?
- Oui, sur toute la France. Le siège est à Paris et une part importante des mandats est francilienne, mais un dispositif de contrôle interne se déploie là où sont les processus — usines, entrepôts, centres de services partagés, filiales — et ces recherches font partie de notre activité courante.
- Que se passe-t-il si le recrutement échoue ?
- Le remboursement est intégral si le candidat ne prend pas son poste. C'est la contrepartie de la facturation au succès : le risque de casting reste chez nous, pas chez vous.
Aller plus loin
Les autres fonctions Finance que nous recrutons.
Voir aussi la fiche métier détaillée, notre expertise Finance ou les 6 offres ouvertes en Finance.
Décrivez le poste, nous cadrons le reste.
Un consultant Finance vous recontacte sous 24 heures ouvrées pour qualifier le mandat et arrêter la stratégie d'approche.