étude du processus de management et de cartographie des risques : conception , mise en place et évaluation PDF

étude du processus de management et de cartographie des risques : conception , mise en place et évaluation PDF

étude du processus de management et de cartographie des risques : conception , mise en place et évaluation PDF

Selon la dernière enquête de l’IFACI menée en France, près des deux tiers des entreprises ayant répondu ont mis en place un processus de management des risques, mais les pratiques sont très diverses ; les processus sont dans certains cas peu formalisés et dans d'autres très élaborés. Face à une littérature déjà abondante sur ce sujet mais parfois disparate, il nous a semblé nécessaire d’écrire un guide aidant à la réflexion puis à l’élaboration d’un processus de management des risques adapté à un environnement industriel et commercial. Ce guide s’appuie sur les pratiques mises en œuvre dans une dizaine d’entreprises, grands groupes ou de taille moyenne. Il ne s’agit en aucune manière d’un
document normatif. À partir des exemples donnés, il appartient à chaque lecteur de mener
sa propre réflexion. Le glossaire figurant en annexe 5 explicite les termes spécifiques au
processus de management des risques.

La première partie met en lumière les objectifs et la démarche d’un processus de management des risques :

• Les risques de l’entreprise sont identifiés
• La direction générale (1) et les opérationnels déterminent le niveau de risques
acceptable ;
• Les contrôles internes sont définis et mis en place afin de réduire ou de gérer les risques ;
• Un suivi permanent est effectué, en particulier pour réévaluer périodiquement les
risques et l’efficacité des contrôles internes ;
• Le Conseil (2) et la direction générale sont informés périodiquement des résultats et
enseignements du processus de management des risques.
Les rôles et responsabilités des acteurs majeurs du processus sont définis dans la deuxième partie : le Conseil, la direction générale, les comités spécialisés du Conseil,l’audit interne, le risk management, le management et les opérationnels, le contrôleur de gestion et, en tant que prestataires externes, les commissaires aux comptes.Parmi ces acteurs, l’audit interne se distingue par son rôle fondamental dans le processus de management des risques. En effet, dans le cadre de leurs activités courantes, on attend des auditeurs internes qu’ils identifient et évaluent les risques significatifs. La vision d’ensemble qu’ils ont de l’entreprise et de ses processus les y aide nécessairement.

Ce rôle est approfondi dans la troisième partie à l’aide de questions clés liées aux éléments du processus les plus importants. En l’absence d’un processus de management des risques, quelques orientations sont données pour l'initier (prendre conscience des risques et de l’importance du contrôle interne, promouvoir la démarche, aider l’entreprise à identifier et évaluer les risques et faire évoluer le processus).
La construction de la cartographie des risques, abordée dans la quatrième partie, est une étape clé du processus. En fonction de la culture et de l’environnement de l’entreprise,deux approches peuvent être adoptées pour élaborer une cartographie des risques :
– l’approche bottom up, ou remontée des risques opérationnels vers les risques majeurs,
– l’approche top-down, à partir des risques majeurs identifiés pour les différentes parties prenantes.
Ces deux approches peuvent se combiner. En effet, il est important de souligner que, dans un grand groupe, il peut y avoir plusieurs cartographies des risques, indépendantes les unes des autres et qui, de ce fait, ne sont pas obligatoirement consolidées. Un groupe qui a des activités ou des implantations géographiques très différentes n’établira pas une cartographie mais plusieurs. En revanche, dans le cas où les activités et entités opérationnelles sont proches ou semblables, il est certain que des risques de même nature seront identifiés et alors agrégés au niveau de la direction générale, avec l’enrichissement apporté par la vision plus large de celle-ci.

La vision des risques de la direction générale est souvent différente de celle des opérationnels. Il appartient à la direction générale d’établir la cartographie des risques majeurs en se basant, certes sur les informations qui lui remontent des opérationnels, via les reporting traditionnels, mais également sur des informations en provenance de l’environnement extérieur. Bien entendu, il est essentiel que ces risques majeurs soient ensuite déclinés en plans d’actions par les opérationnels, à tous niveaux, et qu’ils donnent lieu à des reporting réguliers. Un acteur dans l’entreprise, qu’il s’agisse du risk

manager ou de l’auditeur interne, doit s’assurer de l’harmonisation de ces cartographies.
Ceci est une condition préalable à une bonne cohérence entre la stratégie, les objectifs et les plans d’actions dans l’entreprise.