Gestion des risques et Processus 4 avril 2006 AFAI – Management par les processus © 2006 Protiviti SAS.

La gestion des risques est un processus Agenda Que nous dit l’enquête? La gestion des risques est un processus Un propriétaire Des responsables Un cycle La gestion des risques doit-t-elle s’appuyer sur des processus ? Exemple de la cartographie des risques © 2006 Protiviti SAS.

Gains du management par les processus Gains attendus Que nous dit l’enquête ? Gains du management par les processus Gains attendus Détection des dysfonctionnements et risques 3% Mais Capacité à mettre en œuvre une stratégie 27 % Gains reconnus Maîtrise des risques environnementaux 0 % Détection des dysfonctionnements et risques 10 % Mise en place d’une Gestion du risque Réalisée 32,5 % En projet 30 % Non envisagé 12,5 % © 2006 Protiviti SAS.

La gestion des risques est un processus © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Réduire la variabilité non maîtrisée des résultats Améliorer la capacité à anticiper et à répondre à des événements importants Améliorer la constance de la performance opérationnelle, en réduisant la volatilité des revenus Répondre efficacement aux risques à faible probabilité, mais impact fort Améliorer le taux de succès dans l’atteinte des objectifs et la réalisation de la stratégie © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Aligner et intégrer les visions différentes sur les risques et leur gestion Evaluer le besoin de nommer un Risk Manager, son rôle et son pouvoir Intégrer la gestion des risques dans le management des activités Accroître la capacité d’identifier et de comprendre l’exposition aux risques dans les différentes entités de l’organisation © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Montrer la capacité du management à gérer les risques et à générer des gains en relation avec les risques pris Montrer sa capacité à s’approprier les problématiques du secteur et à soutenir la comparaison avec la concurrence Accroître la transparence sur la capacité à gérer les risques Introduire de la discipline pour rendre plus mature la gestion des risques critiques Construire la confiance des investisseurs et des parties prenantes © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Renforcer la gouvernance du Conseil Respecter les attentes du régulateur Communiquer efficacement les stratégies de gestion de risques en lien avec les objectifs business Clarifier les rôles, responsabilités et niveaux d’autorisation Renforcer la corporate governance © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Regarder vers l’avenir Construire la confiance du management sur l’identification, la priorisation et la gestion des risques Gérer les alliances S’ajuster à la compétition Améliorer l’allocation des ressources Répondre avec succès aux changements de l’environnement © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Accroître sa capacité à identifier les risques Améliorer l’équilibre entre la prise de risques et la peur des risques Améliorer ses outils d’appréciation de l’exposition aux risques Renforcer la responsabilisation dans la gestion des risques Aligner la stratégie avec la culture de l’entreprise © 2006 Protiviti SAS.

Pourquoi mettre en place un management des risques de l’entreprise ? Réduire la variabilité non maîtrisée des résultats Aligner et intégrer les vues différentes sur les risques et leur gestion Construire la confiance des investisseurs et des parties prenantes Renforcer la corporate governance Répondre avec succès aux changements de l’environnement Aligner la stratégie avec la culture de l’entreprise © 2006 Protiviti SAS.

Management des risques de l’entreprise - Définition Selon COSO II * "Le management des risques est un processus mis en œuvre par le Conseil d’Administration, la direction générale, le management et l’ensemble des collaborateurs de l’organisation. Il est pris en compte dans l’élaboration de la stratégie ainsi que dans toutes les activités de l’organisation. Il est conçu pour identifier les événements potentiels susceptibles d’affecter l’organisation et pour gérer les risques dans les limites de son appétence pour le risque. Il vise à fournir une assurance raisonnable quant à l’atteinte des objectifs de l’organisation." * Traduction du COSO II Report par l’IFACI, PriceWaterhouseCoopers et Landwell & Associés Selon COSO II * "Le management des risques est un processus mis en œuvre par le Conseil d’Administration, la direction générale, le management et l’ensemble des collaborateurs de l’organisation. Il est pris en compte dans l’élaboration de la stratégie ainsi que dans toutes les activités de l’organisation. Il est conçu pour identifier les événements potentiels susceptibles d’affecter l’organisation et pour gérer les risques dans les limites de son appétence pour le risque. Il vise à fournir une assurance raisonnable quant à l’atteinte des objectifs de l’organisation." * Traduction du COSO II Report par l’IFACI, PriceWaterhouseCoopers et Landwell & Associés © 2006 Protiviti SAS.

Management des risques de l’entreprise - Définition En détail : Processus : continu et transversal à l’organisation Elaboration de la stratégie : anticiper plutôt que réagir Toutes les activités de l’entreprise : implique des changements dans l’organisation et le comportement des gens Appétence pour le risque : définir ce qui acceptable et ce qui ne l’est pas, préalable à l’élaboration de la stratégie Atteinte des objectifs de l’organisation : comprendre les objectifs permet de comprendre les risques que l’entreprise choisit de prendre et ceux qu’elle décide d’éviter © 2006 Protiviti SAS.

Management des risques de l’entreprise – COSO II Objectifs Objectifs stratégiques Objectifs opérationnels Objectifs de reporting Objectifs de conformité Eléments du dispositif Environnement interne Fixation des objectifs Identification des événements Evaluation des risques Traitement des risques Activités de contrôle Information et communication Pilotage © 2006 Protiviti SAS.

Une approche de mise en œuvre Déterminer les motivations Développer un plan projet détaillé Améliorer et intégrer les capacités Identifier et prioriser les risques Développer un langage commun Définir l’approche projet Evaluer l’état actuel et la cible Construire l’infrastructure ERM Mettre en place une structure de supervision Phase I Phase II Phase III Adopter un cadre commun © 2006 Protiviti SAS.

La gestion des risques doit-t-elle s’appuyer sur des processus La gestion des risques doit-t-elle s’appuyer sur des processus ? Exemple de la cartographie des risques © 2006 Protiviti SAS.

Comment mener la cartographie des risques ? Partons de 2 approches possibles Approche Top-Down Interroger les managers Risques pour l’atteinte des objectifs stratégiques 5 risques de leur sphère de responsabilité 5 risques hors de leur sphère de responsabilité Instruire une liste de 20 risques environ avec le commanditaire Tenir un atelier avec un panel pour Echanger sur les risques et arrêter la liste Prioriser les risques, par vote A ce stade, pas besoin de processus © 2006 Protiviti SAS.

Comment mener la cartographie des risques ? Partons de 2 approches possibles Approche Bottom-Up Préparer/Découper l’objet cartographié Identifier les activités Proposer des risques Faire évaluer les risques par un panel Consolider les résultats et publier la cartographie Appui sur les processus dès la phase préparatoire © 2006 Protiviti SAS.

Que faire de la cartographie ? Définir des stratégies de gestion des risques : Eviter Réduire Partager (notamment via l’assurance) Accepter Réduire via les activités de contrôle Analyse fine des tâches Conception et mise en œuvre des contrôles Dans cette étape, l’existence de processus est une aide précieuse Logique enchaînement Vision complète, non limitée par les responsabilités des acteurs Clarté des Responsabilités © 2006 Protiviti SAS.

www.protiviti.fr © 2006 Protiviti SAS. Confidentiel