Le positionnement de l’audit interne dans un dispositif d’Assurance (des) Risques : de l’identification des risques à un pilotage stratégique.
By 
Introduction
Les auditeurs internes ont pour rôle d’évaluer le design et l’efficacité opérationnelle des contrôles internes, et de communiquer leurs observations à la haute hiérarchie : direction et au conseil d’administration. Ce faisant, s’appuyant sur les mesures d’indépendance et une approche méthodologique, l’audit interne apporte une contribution essentielle au dispositif global de l’assurance, en apportant aux parties prenantes l’assurance que l’organisation progresse dans le sens de ses objectifs stratégiques.
Le paradigme dominant actuel en matière d’audit interne est celui de l’audit fondé sur les risques — à juste titre. Mais que signifie réellement « auditer à la vitesse du risque », comme l’a si bien formulé Richard Chambers ? Comment passer de l’identification des risques à l’audit des processus ? Et comment l’audit interne s’intègre-t-il dans le spectre plus large du dispositif d’assurance ?
Cet article propose une approche progressive pour une compréhension du rôle de l’audit interne — non pas comme un simple point de contrôle final, mais comme une composante active d’un processus coordonné d’assurance vis-à-vis des risques à l’échelle entreprise. L’audit interne est un acteur, parmi d’autres : le management, la gestion des risques, la conformité, les investigations et les équipes en charge de la gouvernance contribuent tous à la construction du puzzle de l’assurance.
Nous explorerons (dans une approche cyclique) la gestion des risques dans une organisation, comment cela alimente un plan d’audit interne basé sur les risques, qui sont les principaux intervenants dans ce dispositif d’assurance des risques à l’échelle entreprise, et comment construire une « matrice assurances-risques » (risk assurance map – RAM) adaptée pour améliorer la coordination et optimiser les efforts d’assurance à l’échelle de l’entreprise.
1. Comprendre la gestion des risques.
La gestion des risques à l’échelle entreprise est mieux cerné à travers l’approche séquentielle reprise dans la norme ISO 31000. Bien que souvent présenté de manière linéaire, ce processus est en réalité itératif et dynamique, nécessitant un engagement et un ajustement continu. Les étapes clés sont :
- L’Identification des risques : Identifier de manière proactive et réactive les risques, et les consigner dans les registres des risques et l’univers des risques de l’organisation.
- Évaluation des risques : Classer les risques selon des critères établis (responsabilité, description etc.) et évaluer leur gravité en fonction de l’appétence au risque, de la tolérance et de la capacité de l’organisation à accommoder les risques identifiés.
- Réponse aux risques : Définir et mettre en œuvre des stratégies d’atténuation/de riposte appropriées pour réduire la gravité ou la probabilité des risques identifiés.
- Surveillance des risques : Revoir en continu l’état des risques connus et l’efficacité des plans d’atténuation.
- Communication sur les risques : Assurer une communication factuelle et en temps opportun des informations liées aux risques — telles que les risques émergents, la réapparition/montée en puissance des risques connus, les résultats des revues — à la direction générale et au conseil d’administration.
Un livrable essentiel de ce processus est le registre des risques, qui répertorie les risques de manière structurée, ainsi que l’univers des risques, qui représente l’ensemble des risques potentiels auxquels l’organisation peut être confrontée. Toutefois, une gestion efficace des risques commence par une compréhension claire de la position actuelle de l’organisation, de sa mission et vision, ainsi que de ses objectifs stratégiques. Tout ce qui entraverait la réalisation de ces objectifs constituerait un risque stratégique — souvent au rang des 10 ou 20 principaux risques de l’univers des risques.
2. Élaboration d’un plan d’audit interne basé sur les risques… Une approche stratégique
L’univers des risques englobe tous les risques et processus potentiels que l’audit interne pourrait prendre en compte dans sa planification. Toutefois, tous les risques ne méritent pas d’être inclus dans le plan d’audit — c’est là qu’intervient le filtrage stratégique. Pour développer une stratégie d’audit interne ciblée et efficace, l’équipe d’audit devrait :
- Exclure les risques insignifiants : Les ressources de l’audit interne étant limitées, elles doivent être orientées vers les domaines où l’assurance aura le plus grand impact.
- Exclure les risques significatifs accompagnés des mesures d’atténuation efficaces : Lorsque les revues de risques et le suivi des contrôles confirment que les stratégies d’atténuation fonctionnent efficacement, l’audit interne peut accorder une priorité moindre à ces domaines.
- Exclure les risques couverts par d’autres fournisseurs d’assurance : Le Responsable de l’Audit Interne (CAE) doit coordonner avec les autres fournisseurs d’assurance, internes et externes, pour comprendre leur périmètre et priorités, et éviter les duplications d’efforts. L’audit interne doit se concentrer sur les domaines où l’assurance est absente ou existante mais peu fiable.
Après avoir filtré l’univers des risques, les risques restants doivent être alignés sur les priorités du conseil d’administration et de la direction générale. Le résultat est un ensemble affiné de risques auditables, que le CAE doit apprécier en fonction des ressources disponibles — financières, techniques et humaines.
Cette approche stratégique garantit que l’audit interne reste concentré sur les risques les plus significatifs, coordonne efficacement avec les autres fonctions d’assurance, et contribue de manière significative au cadre global d’assurance des risques de l’organisation.
3.Saisir les dimensions du dispositif d’assurance des risques
Le paysage de la gestion des risques étant défini, il est essentiel d’identifier les rôles joués par chaque fournisseur d’assurance au sein du puzzle global de l’assurance des risques. Une méthode pratique consiste à aligner le Modèle des Trois Lignes avec les responsabilités de chaque acteur impliqué dans le processus d’assurance.
Première ligne : Gestion opérationnelle
- Le Management : Détient la responsabilité et gère les risques, identifie les risques émergents, met en œuvre les contrôles internes et exécute les plans d’atténuation des risques.
Deuxième ligne : Fonctions de supervision et de support
- La Gestion des Risques : Coordonne la gestion des risques à l’échelle de l’entreprise, surveille la mise en œuvre des plans de mitigation aux risques, tient à jour le registre des risques et veille à la mise à jour régulière de l’univers des risques.
- QHSE, Finance et Juridique : Gèrent des domaines de risques spécifiques (ex. : santé et sécurité, exactitude financière, responsabilité légale) et rendent compte de l’efficacité des contrôles et des stratégies mitigation associées.
- Conformité : Supervise les risques liés à la conformité dans le cadre éthique, juridique et réglementaire de l’organisation.
- Contrôle interne : Surveille en continu l’efficacité opérationnelle des contrôles internes et la mise en œuvre des réponses aux risques.
- Investigations : Examine les incidents signalés ou les défaillances de contrôle pouvant impliquer une fraude, identifie les causes profondes et recommande des actions correctives.
Troisième ligne : Audit interne
- Responsabilités : Fournit une assurance indépendante sur l’efficacité des processus de gouvernance, de gestion des risques et de contrôle interne à la première et la deuxième ligne.
L’assurance externe
- Consultants et auditeurs externes : Offrent une assurance indépendante et spécialisée sur des domaines de risques spécifiques, nécessitant souvent une expertise technique ou sectorielle.
La participation de multiples fournisseurs d’assurance met en évidence la complexité de l’écosystème d’assurance des risques. Sans coordination adéquate, les responsabilités peuvent se chevaucher, entraînant des inefficacités ou des lacunes dans le programme d’assurance. Cela souligne la nécessité d’un pilotage fort du conseil d’administration et d’un effort convaincu d’aligner les activités d’assurance sur les priorités de l’organisation en fonction des ressources disponibles.
4. Élaboration d’une ‘matrice d’assurance des risques’ (RAM) pour une coordination stratégique
Une matrice d’assurance des risques est un outil puissant permettant de coordonner les efforts d’assurance à travers l’organisation. Elle confronte, visuellement, les expositions aux risques significatifs (sur un axe) et les fournisseurs d’assurance (sur l’autre), offrant une vue claire de qui fournit une assurance sur quoi, et où se situent les lacunes ou les chevauchements.
Dans le cadre de la planification annuelle de l’audit — ou plus largement, de la planification annuelle de l’assurance des risques — les intersections sur la matrice indiquent si un risque est pris en charge, par quel fonction d’assurance, et à travers quel type d’activité (ex. : audit, revue, conseil).
Avantages d’une matrice d’assurance des risques (RAM).
La RAM permet au conseil d’administration et la direction d’avoir une visibilité panoramique sur un nombre d’aspects:
- Identifie les lacunes d’assurance : Met en évidence les risques significatifs qui ne sont pas suffisamment couverts.
- Révèle les duplications : Montre où plusieurs acteurs couvrent le même risque, ce qui permet d’optimiser les efforts.
- Optimise les ressources : Aide le Responsable de l’Audit Interne (CAE) et le comité d’audit à allouer les ressources d’assurance de manière plus efficace à travers l’organisation.
Pour obtenir ce template basique d’une matrice d’assurance des risques, et pour des conseils sur vos projets d’assurance des risques, me contacter à l’adresse suivante : [email protected].
Rendre la matrice interactive
Pour améliorer l’utilité de votre matrice, elle peut être rendue interactive en intégrant :
- Un code couleur pour indiquer le niveau ou le type d’assurance (ex. : audit vs. conseil).
- Des fenêtres surgissantes ou guides d’utilisation affichant les dates prévues, les équipes responsables et les statuts à jour.
- Des liens vers des documents de référence tels que les rapports d’audit, les évaluations de risques ou les plans de mitigation.
Réalisation de la matrice
Pour construire la matrice d’assurance des risques, le DAI peut utiliser une variété d’outils — allant de simples tableurs comme Excel ou Google Sheets à des plateformes plus avancées telles que Power BI, Tableau, ou des systèmes GRC (ex. : MetricStream, RSA Archer), ainsi que des outils collaboratifs comme Airtable ou Smartsheet.
Les outils avancés permettent d’améliorer l’interactivité de la matrice , de faciliter les mises à jour en temps réel, et de mieux visualiser et coordonner les activités d’assurance. Le choix de l’outil dépend de la taille de l’organisation, de la complexité de ses opérations, et de la maturité de son dispositif de gestion des risques et d’assurance.
Conclusion: Vers un cadre d’assurance des risques intégrée et stratégique
Autant les entreprises évoluent dans des environnements à risque de plus en plus complexes, le rôle de l’audit interne doit passer des évaluations isolées à une participation stratégique dans un cadre coordonné d’assurance des risques. En comprenant comment les risques sont gérés, en élaborant une stratégie d’audit basée sur les risques, en cartographiant l’écosystème d’assurance et en utilisant des outils tels que la matrice d’assurance des risques, l’audit interne peut se positionner comme un acteur central dans la fourniture d’une assurance pertinente au conseil d’administration et à la direction générale.
Cette approche intégrée permet non seulement d’améliorer l’efficacité des activités d’assurance, mais aussi de garantir que les ressources sont déployées là où elles sont le plus nécessaires — sur les risques qui menacent la réalisation des objectifs stratégiques. En fin de compte, la valeur de l’audit interne ne réside pas uniquement dans l’identification des faiblesses de contrôle, mais dans sa capacité à aider l’organisation à avoir une vision globale des risques et de l’assurance, et à agir conformément avec clarté et confiance.
Comments (2)
Très bel article Ronald !!!
Effectivement passer de la cartographie des risques au plan d’audit interne est une étape cruciale et c’est là que le RAI peut démontrer aussi sa valeur ajoutée dans la maîtrise des risques de l’entreprise
Merci Olivier.
Certainement, avoir une démarche structurée est indispensable.