Résumé

  • Le procès-verbal du comité des risques du 8 décembre 2025 indique qu’un projet de révision a remplacé une exigence « cinq ans » par une périodicité non chiffrée.
  • La charte adoptée par le Conseil d’administration le 20 juillet 2026 renvoie aux normes professionnelles ; les Global Internal Audit Standards exigent toujours une évaluation externe au moins tous les cinq ans.
  • L’approbation de la charte de la fonction d’audit interne, le 25 août 2025, est le meilleur point de départ public disponible. Elle suggère, sous conditions, une échéance maximale au 25 août 2030.
  • Un registre public, limité aux métadonnées d’assurance, permettrait d’identifier la norme, la version, l’acte d’adoption, l’échéance, le mode d’évaluation et le suivi des corrections sans divulguer les dossiers d’audit.

Un mot souple peut porter une obligation dure

« Périodique » est un mot commode. Il indique qu’un acte se répétera, sans dire quand. Dans une note de service, cette souplesse peut être anodine. Dans une charte de gouvernance, elle déplace la question essentielle : qui possède le calendrier ?

Le procès-verbal du 8 décembre 2025 permet de voir le déplacement. Le Board Risk Committee, ou BRC, poursuivait l’examen d’une nouvelle version de sa charte. Le compte rendu mentionne expressément le passage d’un délai de cinq ans à une évaluation simplement périodique des activités d’audit interne. Il ajoute que la formulation devait mieux correspondre aux normes professionnelles et aux pratiques réelles du comité.

Le Conseil d’administration a ensuite adopté la charte du 20 juillet 2026. Son article consacré à l’audit interne charge le comité de veiller à ce que des évaluations externes soient menées périodiquement, conformément aux normes professionnelles.

Une lecture rapide produirait un verdict simple : le chiffre contraignant aurait été remplacé par une formule discrétionnaire. Ce verdict serait séduisant, mais faux ou, au minimum, incomplet. Une clause de renvoi ne se lit pas sans le texte auquel elle renvoie. Si la norme incorporée fixe toujours cinq ans, l’obligation demeure. Elle est seulement devenue moins visible sur la première page consultée.

Le problème n’est donc pas l’absence certaine d’un délai. C’est la capacité du public à le reconstruire sans supposer ce qu’ICANN n’a pas encore réuni dans un seul relevé.

La charte du comité n’est pas celle de la fonction

Deux documents portent presque le même nom et remplissent des rôles différents.

La charte du BRC répartit les pouvoirs de surveillance au niveau du Conseil d’administration. La charte de la fonction d’audit interne définit le mandat de cette fonction, son indépendance, ses relations hiérarchiques et la référence professionnelle qui gouverne ses travaux. Mélanger les deux conduirait à attribuer à une modification du comité un effet qu’elle n’a peut-être jamais eu sur la fonction.

La distinction apparaît dans la résolution du 13 mars 2025. Le Conseil d’administration y explique que l’audit interne devient un nouveau domaine de surveillance du BRC. ICANN avait grandi en taille et en complexité ; la portée des audits pouvait dépasser les comptes financiers ; le comité des risques était donc jugé plus adapté que le seul comité d’audit financier.

La charte adoptée en mars 2025 confiait au BRC l’examen de l’indépendance, de l’autorité, du périmètre, des plans et des budgets de l’audit interne. Il recevait les conclusions des missions et suivait l’exécution du plan. Pour les prestataires externes, il examinait leurs compétences et leur indépendance, puis recommandait au Conseil les décisions de maintien ou de révocation.

Cette version adoptée ne comportait pas d’article sur une évaluation externe tous les cinq ans. Le « cinq ans » cité en décembre appartenait donc à un projet ultérieur, dont le texte barré n’est pas publié dans le dossier examiné. Il faut résister à la tentation de transformer une modification de projet en abrogation d’une règle déjà en vigueur.

La séquence prouvée est plus précise : un projet a envisagé un rythme quinquennal ; le comité l’a reformulé en périodicité liée aux normes ; le Conseil a adopté cette seconde rédaction.

La norme incorporée remet le chiffre en place

Le maillon suivant se trouve dans les propres procès-verbaux d’ICANN.

Le 30 juin 2025, le BRC a examiné un projet de charte de la fonction d’audit interne. Le compte rendu précise que le document traitait notamment de l’autorité, de l’indépendance, du périmètre et de la conformité aux Global Audit Standards. Il indique aussi que le manuel et la méthodologie utilisaient les Global Internal Audit Standards, complétés par d’autres référentiels reconnus.

Après révision, le BRC a approuvé cette charte le 25 août 2025. Lors de la même réunion, il a approuvé la recommandation d’ICANN concernant un prestataire principal et un prestataire de réserve, ainsi que l’architecture générale de la méthodologie.

Les Global Internal Audit Standards de l’IIA sont explicites. La norme 8.4 impose au responsable de l’audit interne de préparer un plan d’évaluation externe et d’en discuter avec le Conseil. Une évaluation doit avoir lieu au moins une fois tous les cinq ans. Elle doit être conduite par un évaluateur indépendant et qualifié, ou prendre la forme d’une autoévaluation validée de manière indépendante.

Le chiffre n’est qu’une partie du dispositif. Le Conseil doit aussi participer à la définition du périmètre et de la fréquence, approuver le plan, recevoir directement le résultat complet, approuver les mesures correctives et surveiller leur exécution. La norme relie donc calendrier, indépendance, décision et réparation.

À cette lumière, le terme « périodique » ne crée pas un vide. Il incorpore un paquet de règles plus riche qu’un simple nombre. Mais ce paquet reste vérifiable seulement si ICANN publie la version du référentiel qu’elle considère applicable et l’acte qui l’a rendu opératoire.

Le 25 août 2025 est un point de départ, pas encore une certitude

Une échéance de cinq ans exige une date zéro. L’interprétation publique de l’IIA situe le début du cycle au moment où la fonction adopte formellement les normes. Elle cite comme éléments de preuve les procès-verbaux du comité, les mises à jour de la charte interne et les déclarations de conformité.

Le dossier d’ICANN offre alors une hypothèse solide. En juin 2025, la charte était encore à l’état de projet. En août, le comité l’a approuvée. Le compte rendu de juin avait déjà précisé qu’elle contenait une obligation de conformité aux normes globales. Si l’approbation du 25 août constitue l’adoption formelle au sens de la norme 8.4, l’échéance maximale serait le 25 août 2030, sauf évaluation externe achevée entre-temps et susceptible de faire repartir le cycle.

Il faut maintenir tous les verbes au conditionnel. Le texte complet de la charte interne approuvée ne figure pas dans les sources publiques réunies ici. Un acte distinct pourrait fixer l’adoption. Une évaluation antérieure ou ultérieure pourrait modifier le calcul. ICANN n’a pas publié, dans ce dossier, une décision disant : « notre prochaine échéance est le 25 août 2030 ».

La fragilité n’est pas dans l’arithmétique. Elle réside dans le fait qu’un tiers doit la produire. Une institution qui choisit l’incorporation par référence doit publier les coordonnées nécessaires à cette opération : version, acte d’adoption, événement de départ et événements qui remettent le compteur à zéro.

La révision a aussi rapproché certains pouvoirs du comité

La périodicité n’est pas le seul changement de la charte 2026. Les verbes d’autorité ont eux aussi évolué.

En 2025, le BRC recommandait au Conseil la sélection des auditeurs et la décision de conserver ou de remplacer un prestataire. En 2026, il examine et approuve la sélection ou le maintien des prestataires externalisés, sur recommandation du responsable de l’audit interne. Il examine et approuve également le périmètre, les plans et les budgets associés, selon une approche fondée sur les risques.

Le comité doit désormais recevoir des informations sur les risques importants, les défaillances de contrôle, les préoccupations de gouvernance et l’état des mesures correctives de la direction. Cette surface de surveillance est plus structurée. Elle rapproche l’autorité d’approbation de l’organe qui suivra les conclusions.

Le procès-verbal de décembre signale parallèlement une discussion destinée à confirmer que le Conseil conserve l’autorité finale pour les éléments qui lui sont recommandés. La charte adoptée le dit clairement pour l’appétit global pour le risque : le BRC formule une recommandation au Conseil pour approbation. Les clauses d’audit interne, elles, emploient directement le verbe approuver.

Il n’en résulte pas que le Conseil aurait abandonné ses pouvoirs généraux. Il en résulte qu’un relevé d’assurance doit identifier, pour chaque transition, l’acteur et la base d’autorité. Le registre ne peut pas se contenter de dire « approuvé » ; il doit dire par qui, en vertu de quel texte et pour quel objet.

La meilleure défense de « périodique »

Une charte n’est pas forcément le bon endroit pour recopier toutes les exigences d’un organisme professionnel.

Si l’IIA révise la norme, un délai gravé dans la charte d’ICANN pourrait rester figé alors que les obligations de qualification, d’indépendance ou de suivi auraient changé. Un renvoi dynamique peut éviter ce décalage. Il peut également permettre une évaluation plus fréquente lorsqu’un changement de direction, de prestataire, de méthode ou de profil de risque le justifie.

Cette défense mérite d’être prise au sérieux. La norme 8.4 vaut précisément davantage que son délai de cinq ans. Elle organise le dialogue avec le Conseil, la réception directe du résultat et la responsabilité des corrections.

Mais plus la référence est dynamique, plus la discipline de version devient nécessaire. ICANN doit dire si une nouvelle édition s’applique automatiquement ou exige une nouvelle décision. Elle doit conserver le texte qui gouvernait chaque période. Elle doit documenter l’effet d’une évaluation achevée sur la prochaine échéance.

Une référence vivante sans historique devient une norme choisie rétrospectivement. Ce serait l’inverse de l’assurance.

Ce que les documents actuels montrent — et ce qu’ils ne montrent pas

La résolution du 20 juillet 2026 affirme que la charte révisée reflète les exigences actuelles de gouvernance et les pratiques réelles du comité. Le Board Governance Committee avait recommandé son adoption. La page du comité classe désormais correctement la version de juillet comme charte en vigueur.

La fonction se construit également. Le 29 mai 2026, ICANN expliquait que le registre des risques actualisé servirait à définir l’univers d’audit, le plan fondé sur les risques et la programmation pluriannuelle. Les discussions finales sur les prestataires externalisés se poursuivaient.

Rien de cela ne prouve un retard, un défaut d’indépendance ou l’absence d’un plan. La première échéance plausible est encore éloignée. Une planification interne peut exister sans avoir été publiée.

Ce que le public ne peut pas encore faire est plus limité : calculer une échéance officielle à partir d’une source unique et savoir quel acte la modifierait. Cette lacune de lisibilité est réparable sans transformer l’audit interne en spectacle public.

Un registre d’assurance, pas un entrepôt de conclusions sensibles

Le registre proposé tient sur une page structurée.

Il nomme l’organisme normatif, le titre exact, l’article, la version et la date d’effet. Il relie ces éléments à la décision d’adoption d’ICANN, à l’organe qui l’a prise et au jour qui déclenche le délai. Il calcule la date maximale et distingue cette limite d’un objectif interne plus ambitieux.

Pour chaque évaluation, il indique le mode choisi : évaluation externe complète ou autoévaluation avec validation indépendante. Il consigne le périmètre et la fréquence approuvés, l’autorité de sélection, les qualifications exigées, le contrôle d’indépendance, la gestion des conflits et la date d’approbation du plan.

À l’issue du travail, une disposition publique limitée suffit : date d’achèvement, mode, organe ayant reçu le résultat, conclusion ou niveau de conformité publiable, existence d’actions correctives, responsable, échéance et état de clôture. Les vulnérabilités exploitables, les données personnelles, les avis juridiques et les dossiers de travail restent protégés.

Le registre conserve enfin les anciennes versions. Il ne remplace pas une norme devenue caduque comme si elle n’avait jamais existé. Il montre comment une nouvelle édition, une nouvelle charte ou une évaluation achevée a modifié le calcul.

La publication de ces métadonnées ne réalise pas l’audit. Elle rend vérifiable la chaîne qui doit le réaliser.

La vraie horloge est institutionnelle

L’échéance finale n’est que le dernier maillon visible.

L’IIA fixe un minimum. ICANN l’adopte. Le responsable de l’audit élabore un plan. Le comité et le Conseil exercent leurs pouvoirs respectifs. Un tiers indépendant examine la fonction. La direction répond aux insuffisances. Le comité surveille la clôture. Le résultat ou une nouvelle norme ouvre le cycle suivant.

Si l’un de ces actes perd son auteur, sa date ou sa base juridique, le calendrier devient décoratif. Un délai sans adoption est arbitraire. Une adoption sans version est impossible à interpréter. Une évaluation sans indépendance n’est qu’une auto-description. Une conclusion sans responsable de correction devient une cérémonie.

« Périodique » peut donc rester dans la charte. Mais la chaîne qui lui donne un sens doit devenir lisible.