Cartographie des risques La démarche de l’audit interne du Groupe TOTAL Club de l’Iris – JJ Yerle - 24 novembre 2005

De quels risques parle-t-on ? « Toute incertitude ou aléa que le Groupe doit anticiper pour atteindre les objectifs qu’il s’est fixés et protéger ses actifs tangibles et intangibles. »

L’historique: mise en place d’une structure projet Reporting to a corporate team BU managers + Corporate managers Autres ouvertures, branches, expertise Une équipe projet audit interne Consultant Experimenté (au départ de la démarche) Cartographie des risques Rapport pour le secteur Données d’entrée pour le plan d’audit N+1 Consolidation d’une méthodologie

L’approche évaluation des risques pour l’audit interne Expérience, rapports Compte-rendus Analyse préliminaire Equipe « mixte » Préparations Fiches de risques et liste préliminaire Entretiens Identification des risques Discussion, Confrontation Importance Maîtrise Evaluation collective Représentation cartographique Conclusions, validation et rapport Synthèse Une vision partagée, des définitions et un langage communs Une approche nouvelle pour la préparation du plan d’audit N+1 Un support pour les plans d’action des participants

Déroulement d’un projet type Préparation, mobilisation, connaissance du secteur d’activité Réunion d’ouverture en comité de direction du secteur Les 12 participants reçoivent un questionnaire préparatoire 18 entretiens réalisés (11 participants, 5 / USA, et 2 « experts » internes) 220 fiches de risques individuels créées Synthèse : 25 risques essentiels et génériques Revue et hiérarchisation en séminaire de direction avec les 12 participants … Rapport, évaluations, restitutions soit au total une équipe de 2 auditeurs internes pendant 2 mois

La connaissance préalable du secteur d’activité   La nature du métier Les matières premières, les grands produits (et applications), les principes de production et procédés, niveaux des immobilisations, l’offre et la demande et les grands cycles, sécurité industrielle et matières dangereuses, la croissance. Les caractéristiques de la profession Les acteurs (fournisseurs, coproducteurs, concurrents, clientèle), les régulateurs, particularités du contexte légal et environnemental, les « règles du jeu ». La culture de l’entreprise dans ce métier Les origines et la fusion, les valeurs, les priorités, la stratégie, le style de management, les référentiels majeurs, « core competenties », reporting, plan, système d’information. Les caractéristiques de l’activité Les flux, les taux de rotation, le compte de résultat (simplifié), la croissance, les évènements majeurs au plan (gros investissements, fermetures, acquisitions, cessions, alliances, priorités marchés), les grandes familles de produits, les sites de production, les indicateurs clés. Autres observations Forces ou faiblesses particulières.

Un « modèle » de risques issu de la préparation Engagements financiers Risques liés à l'environnement général Information pour l'aide à la décision Risques sur les processus internes Opérations Engagements contractuels Événements Évolutions Marchés Évolutions réglementaires Management de projets Ressources Humaines Capacités managériales Gestion des compétences Conflits sociaux Gestion de la sous-traitance Culture sécurité Culture sûreté Risque produits Systèmes d’information Intégrité des installations Mise en cause pénale Risque pays Innovation Risque environnemental Éthique Rôles et responsabilités Transport Gestion de crise Interruption d’activité Reporting opérationnel Image

L’évaluation collective: séminaire de hiérarchisation Le matin : Revue des risques essentiels et génériques issus de la démarche : définitions, exemples, confrontations, discussions. L’après-midi : Évaluation de chacun des risques essentiels et génériques : importance du risque s’il se produit degré de maîtrise du risque s’il se présente La représentation cartographique

Un exemple de cartographie

Un rapport de conclusion Introduction Évaluation des risques et cartographie obtenue Présentation des risques et commentaires Risques liés à l’environnement externe Risques liés à nos processus internes Opérations Évènements Ressources humaines Risques liés à l’information de décision Annexes Participants Planning Méthodologie Classements analytiques

Un exemple de présentation des risques essentiels ou génériques Définition L’évolution de l’environnement pays (économie, boycott, mesures protectionnistes, choix politiques…) remet en cause une activité.   Le risque pays est par essence de nature politique, les crises économiques (ou les évènements type boycott) découlant généralement de décisions ou de crises politiques. Exemples Remise en question de la pérennité des accords au xxxxxxxx. Crise politique – économique en xxxx. Mise en place de mesures protectionnistes, par exemple aux xxxxx, … Risques liés au boycott de l’xxx par les xxx, à la crise économique en xxxxxx. Commentaires sur les votes Le risque est jugé très important : On considère que les risques pays ne se réalisent pas tous en même temps (risque xxxx + risque xxxxx + …), et que chacun de ces risques pris isolément reste supportable. Les perspectives de croissance de certaines activités sont étroitement liées à des développements d’activités dans des pays considérés « à risque ». Pour le xxxx, le risque pays est critique car les résultats sur cinq ans sont vraiment dépendants de la réussite des projets xxxxx et xxxxx, même si l’essentiel des revenus viendra toujours des pays de l’xxxxx. Le niveau de maîtrise est jugé satisfaisant : Toute décision d’investir dans un nouveau projet est prise normalement en tenant compte des risques pays, et en mettant en place des moyens pour en limiter les impacts (exemple en diversifiant le portefeuille des marchés).

Evaluation de la démarche Démarche nouvelle pour le Groupe, facilement expliquée, admise et bien accueillie. Pluridisciplinarité, décloisonnement, échanges, mise en commun, « émergences ». Le caractère subjectif de la démarche est finalement bien admis, sa relativité dans le temps également. La vision globale ne s’oppose pas aux approches industrielles (études de danger, modèles déterministes, probabilistes) ou assurances (risque assurable), HSE… Une démarche de management, pertinente et collégiale : à l’issue du séminaire de hiérarchisation, la vision d’ensemble est partagée par l’équipe de direction, elle renforce la cohésion.

Résultats de la démarche Une démarche féconde pour le plan d’audit interne chimie Une vision plus proche des priorités du métier des audités Un programme de missions pour trois ans, … De nombreuses missions dont la portée dépasse largement le secteur Un recentrage de missions classiques de contrôle interne Un rapport d’étape pour les participants Le processus d’amélioration continu de nos produits, processus, sécurités, … Les résultats viennent enrichir et affermir les plans d’actions en cours ou prévus. Évaluation des actions mises en œuvre par les participants : un compte rendu et une communication en Comité de Direction seront nécessaires un an après.