Étude du Processus de Management et de Cartographie des Risques
RÉSUMÉ
Selon la dernière enquête de l’IFACI menée en France, près des deux tiers des entreprises
ayant répondu ont mis en place un processus de management des risques, mais les pra tiques sont très diverses ; les processus sont dans certains cas peu formalisés et dans
d’autres très élaborés.
Face à une littérature déjà abondante sur ce sujet mais parfois dispa- rate, il nous a semblé nécessaire d’écrire un guide aidant à la réflexion puis à l’élaboration d’un processus de management des risques adapté à un environnement industriel et commercial.
Ce guide s’appuie sur les pratiques mises en œuvre dans une dizaine d’entreprises, grands groupes ou de taille moyenne.
Il ne s’agit en aucune manière d’un
document normatif.
À partir des exemples donnés, il appartient à chaque lecteur de mener sa propre réflexion.
Le glossaire figurant en annexe 5 explicite les termes spécifiques au processus de management des risques.
La première partie met en lumière les objectifs et la démarche d’un processus de manage-
ment des risques :
- Les risques de l’entreprise sont identifiés ;
- La direction générale (1) et les opérationnels déterminent le niveau de risques
acceptable ; - Les contrôles internes sont définis et mis en place afin de réduire ou de gérer les risques ;
- Un suivi permanent est effectué, en particulier pour réévaluer périodiquement les
risques et l’efficacité des contrôles internes ; - Le Conseil (2) et la direction générale sont informés périodiquement des résultats et
enseignements du processus de management des risques.
Les rôles et responsabilités des acteurs majeurs du processus sont définis dans la
deuxième partie : le Conseil, la direction générale, les comités spécialisés du Conseil,
l’audit interne, le risk management, le management et les opérationnels, le contrôleur de
gestion et, en tant que prestataires externes, les commissaires aux comptes.
Parmi ces acteurs, l’audit interne se distingue par son rôle fondamental dans le processus
de management des risques. En effet, dans le cadre de leurs activités courantes, on attend
des auditeurs internes qu’ils identifient et évaluent les risques significatifs. La vision d’en-
semble qu’ils ont de l’entreprise et de ses processus les y aide nécessairement.
Ce rôle est approfondi dans la troisième partie à l’aide de questions clés liées aux éléments
du processus les plus importants. En l’absence d’un processus de management des
risques, quelques orientations sont données pour l’initier (prendre conscience des risques
et de l’importance du contrôle interne, promouvoir la démarche, aider l’entreprise à
identifier et évaluer les risques et faire évoluer le processus). - La construction de la cartographie des risques, abordée dans la quatrième partie, est uneétape clé du processus. En fonction de la culture et de l’environnement de l’entreprise,deux approches peuvent être adoptées pour élaborer une cartographie des risques : – l’approche bottom up, ou remontée des risques opérationnels vers les risquesmajeurs, – l’approche top-down, à partir des risques majeurs identifiés pour les différentes parties prenantes. Ces deux approches peuvent se combiner. En effet, il est important de souligner que, dansun grand groupe, il peut y avoir plusieurs cartographies des risques, indépendantes lesunes des autres et qui, de ce fait, ne sont pas obligatoirement consolidées. Un groupe quia des activités ou des implantations géographiques très différentes n’établira pas une cartographie mais plusieurs. En revanche, dans le cas où les activités et entités opération-nelles sont proches ou semblables, il est certain que des risques de même nature serontidentifiés et alors agrégés au niveau de la direction générale, avec l’enrichissement apportépar la vision plus large de celle-ci.La vision des risques de la direction générale est souvent différente de celle des opéra-tionnels. Il appartient à la direction générale d’établir la cartographie des risquesmajeurs en se basant, certes sur les informations qui lui remontent des opérationnels, viales reporting traditionnels, mais également sur des informations en provenance de l’environnement extérieur. Bien entendu, il est essentiel que ces risques majeurs soientensuite déclinés en plans d’actions par les opérationnels, à tous niveaux, et qu’ils don-nent lieu à des reporting réguliers. Un acteur dans l’entreprise, qu’il s’agisse du riskmanager ou de l’auditeur interne, doit s’assurer de l’harmonisation de ces cartographies.Ceci est une condition préalable à une bonne cohérence entre la stratégie, les objectifs et lesplans d’actions dans l’entreprise.
téléchargements pdf cliquez ici
