Une conscience limitée des risques internes d’irrégularités

[48] Les stratégies retenues en termes d’organisation administrative pour le traitement des dossiers sont très diverses et plus ou moins protectrices face aux irrégularités. Au-delà des problématiques de contrôle interne de second et de troisième niveau (cf. voir 2.2), les OPCA doivent mettre en œuvre différentes actions pour le traitement des dossiers :

 Instruction des demandes de prise en charge (DPC)

 Décision de prise en charge

 Contrôle du service fait au stade de la réception de la facture

 Emission du bon à payer

 Paiement

14 Il est à noter que la mission a concentré ses investigations sur le contrôle de la réalité et de la conformité du service fait en ne s’intéressant à la question du contrôle de qualité que lorsque cette dernière pouvait avoir une incidence sur les deux thématiques de la réalité et de la conformité.

15 A la date de rédaction de ces lignes, le décret sus-mentionné n’était pas encore publié.

[49] La maîtrise par un même service, voire par un même collaborateur, de plusieurs de ces étapes (ex. instruction de la demande de prise en charge et contrôle du service fait) génère le risque qu’un agent ait des pratiques irrégulières sans que celles-ci soient détectées. En dehors de l’étape du paiement que presque tous les OPCA centralisent au siège, certains ont fait le choix de confier à leurs antennes régionales tout ou partie des autres tâches (cf. instruction des demandes de prise en charge et contrôle du service fait). Or, les délégations régionales sont souvent de modeste taille¹⁶. Elles ont, outre les activités administratives de traitement des demandes de prise en charge, la mission de rencontrer et de conseiller au quotidien les entreprises. Les ETP effectivement dévolus aux activités administratives sont donc souvent limités, ce qui peut avoir comme conséquence l’obligation de confier à un même agent plusieurs tâches à la fois. Il est à noter cependant que, même dans les OPCA ayant des délégations régionales de taille importante, la séparation des fonctions n’est pas systématiquement assurée. Ce manque de précaution démontre que les risques d’irrégularités internes ne sont d’une façon générale pas correctement pris en compte et que la sécurisation des activités administratives de l’OPCA n’est pas une priorité dans la réflexion sur l’organisation interne.

[50] Il est difficile d’établir une synthèse pour l’ensemble des OPCA sur ces problématiques d’organisation interne dans la mesure où elles diffèrent parfois à l’intérieur même d’un OPCA entre ses différentes délégations¹⁷ : la mission a ainsi constaté au sein de la délégation régionale d’un OPCA que les agents avaient en charge à la fois les fonctions d’instruction et de contrôle tandis que dans une autre région, toujours pour le même OPCA, ces fonctions étaient séparées. Relevons cependant que trois OPCA ayant déconcentré en délégation régionale l’instruction des demandes de prise en charge ont fait le choix de centraliser au siège le contrôle du service fait, ce qui sépare de facto les fonctions. Au global, plus du tiers des OPCA concentrent l’activité de contrôle du service fait sur le seul site du siège.

[51] Les risques d’irrégularité interne du fait d’une maîtrise insuffisante de la répartition des fonctions sont réels : à titre d’exemple, plus de la moitié des OPCA contrôlés sur site ont mentionné l’existence dans le passé d’un ou plusieurs cas de fraudes imputés à un de leurs collaborateurs. Ces situations sont souvent à l’origine d’une prise de conscience par l’OPCA concerné de la nécessité de mieux sécuriser ses activités internes. A l’inverse, les OPCA n’ayant jamais constaté de telles fraudes sont logiquement moins alertés sur les risques à maîtriser.

[52] La séparation des tâches joue un rôle déterminant dans la qualité des contrôles internes. Au-delà des situations de fraude, se pose plus globalement la question de la maîtrise des erreurs éventuelles de traitement des dossiers. Le premier motif invoqué par les OPCA pour les demandes de remboursement (cf. 70 % d’entre eux le mentionnent) tient ainsi au constat d’une erreur de l’OPCA lui-même au moment du paiement (trop versé). Un OPCA s’est par ailleurs livré à un contrôle a posteriori effectué sur l’ensemble des dossiers de contrats de professionnalisation validés par sa délégation Ile-de-France entre le 1er et le 30 novembre 2013, travail qui a montré que près de 40 % des dossiers présentaient des irrégularités, du fait d’erreurs ou d’imprécisions non identifiées par ses services.

16 Excepté un Opca qui déclare plusieurs dizaines de salariés en moyenne dans chacune de ses délégations, les effectifs moyens par Opca en délégation varient de 1,5 à 21. Pour une large majorité des Opca, l’effectif moyen de leurs délégations est inférieur à dix personnes.

17 Il est à noter que non seulement les implantations régionales diffèrent complètement d’un Opca à l’autre (cf. nombre d’implantation et choix des lieux) mais aussi l’étendue des missions qui leur sont confiées (cf. conseil aux entreprises, réception et traitement des demandes de prises en charge, décision de prise en charge, contrôle du service fait, émission du bon à payer notamment).

1.2.2 L’enregistrement des tiers requiert une attention particulière

[53] L’enregistrement des tiers (nouvelle entreprise, nouvel organisme de formation…) constitue une étape particulièrement critique dans la mesure où le franchissement de cette étape facilite les prises en charge ultérieures. A titre d’exemple, un OPCA a subi une fraude dans laquelle il avait reçu l’adhésion d’une entreprise fictive et l’envoi de demande de prise en charge pour une formation fictive dispensée à des salariés imaginaires auprès d’un organisme de formation créé de toutes pièces et sans aucune activité réelle.

[54] La création des comptes adhérents dans la base se fait dans la grande majorité des cas à l’occasion des campagnes de collecte, qui est confiée à un service ad hoc situé au siège, voire parfois à un prestataire délégué. Il n’y a que les adhésions en cours d’année qui sont parfois gérées par les services traitant les demandes de prise en charge. Une articulation est dans ces cas-là prévue avec le service du siège afin de récupérer les données relatives à la cotisation de l’adhésion, sans que cette articulation soit pourtant toujours bloquante pour la décision de prise en charge.

[55] La création des organismes de formation dans la base fait en revanche l’objet de pratiques plus hétérogènes d’un OPCA à l’autre. Tandis que certains laissent à l’appréciation des gestionnaires de dossiers le soin de créer l’OF dans la base, d’autres ont mis en place des procédures plus rigides. Le cas le plus courant est l’envoi par les gestionnaires à l’OF concerné d’une fiche d’identification dont le retour est un préalable à l’instruction de prise en charge. Un OPCA a décidé de centraliser ces fiches au siège dans un service dont l’activité est dédiée au contrôle des OF, afin de vérifier la fiabilité des informations saisies dans le système d’information¹⁸.

[56] Pour effectuer leurs paiements, les OPCA ont recours soit au procédé des lettres chèques soit au paiement par virement bancaire, soit à l’un et à l’autre. La plupart des OPCA sont en train de basculer des lettres chèques vers les paiements dématérialisés afin d’économiser les frais d’affranchissement et d’éviter les risques de perte ou détournement des chèques. Cependant, une telle bascule est très chronophage pour l’OPCA dans la mesure où elle nécessite d’enregistrer les RIB/Iban de plusieurs centaines de milliers d’entreprises adhérentes et de plusieurs milliers d’organismes de formation. Qu’ils aient recours à l’un ou l’autre procédé, les OPCA rencontrés par la mission ont mis en place des procédures permettant de sécuriser les paiements par exemple via un second niveau de contrôle de la fiabilité de la liste des destinataires par un prestataire bancaire extérieur.

[57] Quelle que soit l’option retenue quant à la forme des moyens de paiement, tous les OPCA veillent à une stricte séparation entre les opérations administratives et les opérations proprement comptables : il n’existe pas de confusion entre le service (ou le collaborateur) qui décide du paiement et celui qui y procède.

18 Une telle démarche trouve son entière pertinence en l’accompagnant d’un travail rigoureux mené en parallèle de purge des fichiers pour les OF avec lesquels l’Opca ne travaille plus ou dont les caractéristiques ont changé.

1.2.3 Le recours à la délégation de gestion est générateur de risques supplémentaires

[58] Si cette pratique n’est pas en soi prohibée, elle appelle de la part de l’OPCA une vigilance et un contrôle particulier du délégataire, sans quoi la maîtrise des risques n’est pas assurée.

[59] Un OPCA a ainsi fait le choix de déléguer l’intégralité de son activité administrative relative aux actions de formation concernant les entreprises de plus de 10 salariés. Les délégataires sont des associations paritaires en région. A travers l’obligation d’utiliser son propre système d’information, l’OPCA conserve cependant une relative maîtrise sur les procédures mises en œuvre par les associations délégataires. Le montage retenu reste néanmoins préoccupant dans la mesure où il amène des personnes qui ne sont pas les préposés de l’organisme collecteur et sur lesquelles celui-ci n’a aucune autorité hiérarchique à prendre des engagements financelui-ciers et à exercer des contrôles pour le compte de l’OPCA (décision de prise en charge pour certains dossiers, mise en paiement pour d’autres) et dont il est comptable au titre de ses obligations légales vis-à-vis de l’Etat.

[60] Il existe certes dans la convention qui lie l’OPCA à ces associations une disposition qui prévoit que l’OPCA, dans le cadre de son pouvoir de contrôle, « se réserve la possibilité d’effectuer régulièrement des opérations de contrôle et d’évaluation des actions mises en œuvre, en faisant notamment appel à des prestataires extérieurs ». Cependant il résulte des constats effectués en région par la mission que de tels contrôles restent exceptionnels, de sorte que l’OPCA considéré n’est pas à l’abri d’une dérive, volontaire ou accidentelle, dans la manière dont la délégation est assurée. A tout le moins, une telle procédure de délégation devrait pourtant conduire à s’assurer de manière très régulière des conditions et des effets de sa mise en œuvre.