Évaluation des risques dans lA planification des missions HCCAF 3 Octobre 2018 Évaluation des risques dans lA planification des missions Georges Bernède

Adopter un un raisonnement basé sur les risques Toute organisation a le devoir d’identifier les problèmes pertinents vis-à-vis de sa stratégie qui pourraient potentiellement affecter sa capacité à accomplir ses objectifs. Ces problèmes peuvent être internes ou externes. Toute la difficulté consiste à avoir une stratégie et des activités orientées vers les résultats tout en prenant en compte les risques associés.

Adopter un un raisonnement basé sur les risques D’après le COSO 2013 le contrôle interne a pour vocation d’apporter une confiance raisonnable dans la capacité de l’organisation à atteindre ses objectifs en particulier dans les domaines suivants: Efficacité et Efficience des activités opérationnelles Fiabilité (sincère et véritable) des comptes Conformité avec les lois et règles applicables

Adopter un un raisonnement basé sur les risques

Adopter un un raisonnement basé sur les risques Le plan d’audit doit couvrir les risques identifiés, en respectant les composantes du COSO 2013, il faut donc: Répartir les audits sur les 3 composantes même si certains audits apporteront peu sur la maitrise des risques (conformité par exemple) Auditer ce qui est nécessaire plutôt que ce qui est facile, Auditer les projets de changement Prévoir un audit périodique du processus de gestion des risques, Privilégier la qualité (pertinence, opportunité), et non la quantité (la taille d’un rapport d’audit n’est pas une indicateur adéquat) Etablir une synergie avec les autres entités d’audit (qualité, sécurité des installations, sécurité du travail…)

Recommandations de l’IIA sur le rôle de l’audit interne dans la gestion des risques En l’absence de gestion des risques formalisée, il est tentant pour l’audit de se substituer à la Direction. Cette question a été (est encore) débattue à l’IIA qui a émis des recommandations très claires en accord avec le modèle des 3 lignes de défense. Donner une assurance raisonnable sur le processus de gestion des risques Donner une assurance raisonnable que les risques sont évalués correctement Evaluer les processus de gestion des risques Evaluer le reporting sur les risques critiques Analyser la gestion des risques critiques Faciliter l’identification et l’évaluation des risques Guider la Direction en matière de réponse aux risques coordonner les activités de gestion des risques Produire un rapport consolidé sur les risques Développer et maintenir le cadre de la gestion des risques Etre le champion de la mise en place de la gestion des risques Développer la stratégie en matière de gestion des risques pour son approbation par le conseil de Direction Définir le niveau de risque acceptable Imposer les processus de gestion des risques Assurer la gestion des risques Prendre des décisions en matière de réponses aux risques Mettre en œuvre les actions relatives aux risques au nom de la Direction Etre responsable de la gestion des risques

Utiliser le plan de management des risques pour planifier les missions Le plan de management des risques identifie les risques majeurs et critiques pour l’organisation. Il est du devoir de l’audit de s’assurer de la qualité de ce plan en évaluant: L’exhaustivité de l’identification des risques L’évaluation correcte des probabilités et des impacts La pertinence des actions de traitement. Et de la réalité de sa mise en œuvre (exécution et résultats des actions décidées, reporting sur l’état d’avancement…)

Utiliser le plan de management des risques pour planifier les missions Ces vérifications peuvent être faites à l’occasion des audits portant sur les activités, complétés par un audit spécialisé si des manquements sont constatés. Ce travail très conséquent doit tirer profit des actions menées par d’autres services appartenant à la deuxième ligne de défense (qualité, sécurité des installations…).

Que faire en l’absence d’un plan de management des risques Deux approches complémentaires: Exécuter une analyse de risques sommaire (liste de contrôle) Construire un plan d’audits couvrant les composantes du contrôle interne selon le COSO et l’exécuter. Corréler les informations Faire le lien entre les problème rencontrés et la liste de risques identifiés en 1. Présenter la situation à la Direction pour faire bouger les choses