Étudedu Processus de Management et de Cartographie des Risques
Étude
du Processus
de Management
et de Cartographie
des Risques
RÉSUMÉ
Selon la dernière enquête de l’IFACI menée en France, près des deux tiers des entreprises ayant répondu ont mis en place un processus de management des risques, mais les pra-tiques sont très diverses ; les processus sont dans certains cas peu formalisés et dans d’autres très élaborés. Face à une littérature déjà abondante sur ce sujet mais parfois disparate, il nous a semblé nécessaire d’écrire un guide aidant à la réflexion puis à l’élaborationd’un processus de management des risques adapté à un environnement industriel et commercial.
Ce guide s’appuie sur les pratiques mises en œuvre dans une dizaine d’entreprises, grands groupes ou de taille moyenne. Il ne s’agit en aucune manière d’undocument normatif.
À partir des exemples donnés, il appartient à chaque lecteur de mener sa propre réflexion. Le glossaire figurant en annexe 5 explicite les termes spécifiques au processus de management des risques.
La première partie met en lumière les objectifs et la démarche d’un processus de manage-ment des risques :
• Les risques de l’entreprise sont identifiés ;
• La direction générale (1) et les opérationnels déterminent le niveau de risques acceptable ;
• Les contrôles internes sont définis et mis en place afin de réduire ou de gérer les risques ;
• Un suivi permanent est effectué, en particulier pour réévaluer périodiquement lesrisques et l’efficacité des contrôles internes ;
• Le Conseil (2) et la direction générale sont informés périodiquement des résultats renseignements du processus de management des risques.
Les rôles et responsabilités des acteurs majeurs du processus sont définis dans la deuxième partie :
le Conseil, la direction générale, les comités spécialisés du Conseil, l’audit interne, le risk management, le management et les opérationnels, le contrôleur de gestion et, en tant que prestataires externes, les commissaires aux comptes.
Parmi ces acteurs, l’audit interne se distingue par son rôle fondamental dans le processus de management des risques.
En effet, dans le cadre de leurs activités courantes, on attend des auditeurs internes qu’ils identifient et évaluent les risques significatifs.
La vision d’en-semble qu’ils ont de l’entreprise et de ses processus les y aide nécessairement. Ce rôle est approfondi dans la troisième partie à l’aide de questions clés liées aux élémentsdu processus les plus importants.
En l’absence d’un processus de management des risques, quelques orientations sont données pour l’initier (prendre conscience des risques de l’importance du contrôle interne, promouvoir la démarche, aider l’entreprise à identifier et évaluer les risques et faire évoluer le processus).
La construction de la cartographie des risques, abordée dans la quatrième partie, est une
étape clé du processus.
En fonction de la culture et de l’environnement de l’entreprise, deux approches peuvent être adoptées pour élaborer une cartographie des risques :
– l’approche bottom up, ou remontée des risques opérationnels vers les risques majeurs,
– l’approche top-down, à partir des risques majeurs identifiés pour les différentes
parties prenantes.
Ces deux approches peuvent se combiner.
En effet, il est important de souligner que, dans
un grand groupe, il peut y avoir plusieurs cartographies des risques, indépendantes les
unes des autres et qui, de ce fait, ne sont pas obligatoirement consolidées. Un groupe qui
a des activités ou des implantations géographiques très différentes n’établira pas une cartographie mais plusieurs.
En revanche, dans le cas où les activités et entités opération-nelles sont proches ou semblables, il est certain que des risques de même nature seront identifiés et alors agrégés au niveau de la direction générale, avec l’enrichissement apporté par la vision plus large de celle-ci.
La vision des risques de la direction générale est souvent différente de celle des opéra-
optionnels.
Il appartient à la direction générale d’établir la cartographie des risques majeurs en se basant, certes sur les informations qui lui remontent des opérationnels, via les reporting traditionnels, mais également sur des informations en provenance de l’environnement extérieur.
Bien entendu, il est essentiel que ces risques majeurs soient ensuite déclinés en plans d’actions par les opérationnels, à tous niveaux, et qu’ils don-nent lieu à des reporting réguliers. Un acteur dans l’entreprise, qu’il s’agisse du risk
manager ou de l’auditeur interne, doit s’assurer de l’harmonisation de ces cartographies.
Ceci est une condition préalable à une bonne cohérence entre la stratégie, les objectifs et les
plans d’actions dans l’entreprise.
