Bonne pratique 32
OBJECTIF : UNE POLITIQUE DYNAMIQUE DE GESTION DES RISQUES
G5.1 #31.32 Maîtrise des risques
L’entité met en oeuvre les plans d’action, les procédures internes et les contrôles aptes à prévenir les principaux risques identifiés et à en réduire leurs impacts.
Pourquoi ?
La cartographie des risques réalisée (B.P. 31) permet d’identifier les risques auxquels l’entité est confrontée. Ce faisant, l’entité établit ensuite les mesures ( plans d’actions, procédures, contrôles..) lui permettant de leur donner une réponse adaptée: prévention des risques majeurs et réduction des impacts. Ces actions sont établies par ordre de priorité selon la criticité des risques et dans une démarche proportionnée.
Comment ?
Formalisation et validation :
- Des actions et/ou des procédures et/ou des contrôles de prévention et/ou réduction des risques décidées lors de l’analyse des risques identifiés.
- Identification des responsables des actions.
- Date de réalisation et/ou des étapes intermédiaires.
Une synthèse des principaux chantiers (couvrant les risques majeurs) est élaborée pour en assurer le suivi rapproché. Une revue de l’avancement des actions est réalisée a minima annuellement.
On pourra utiliser d’autres sources d’information pour définir des plans d’action et améliorer le contrôle interne :
- Les recommandations des commissaires aux comptes,
- Les recommandations des audits internes et externes (y des autorités de contrôle, selon les secteurs d’activités),
- Les enseignements des incidents et dysfonctionnements survenus
Critères qualitatifs ?
- Suivi périodique formalisé du Plan de contrôle des risques (actions de prévention et/ou réduction des risques)
- Présentation annuelle en OCA.
Questions / Commentaires
Points d’attention pour conforter la réalisation des plans d’action :
- Définir des actions SMART (Spécifiques, Mesurables, Atteignables, Réalistes, Temporelles) : avec des actions trop générales (Exemples : "Renforcer le contrôle interne.", "Améliorer la communication interne.", "Former les équipes.") … on risque l’absence d’action.
- Attribuer un responsable par action … sinon risque d’absence d’action.
- Fixer des échéances réalistes (sinon, risque de délais). Et attention aux délais sur les risques critiques qui doivent être plus rapprochés.
- Valider les actions avec les opérationnels pour tenir compte des contraintes et des capacités des équipes… sinon risque de résistances ou, d'inapplicabilité…
- Suivre régulièrement si possible mensuellement, (pas annuellement)... en particulier les risques critiques.
Description d'un tableau de présentation des exemples de parades associées à différents domaines de risques avec leur mise en œuvre.
Ce tableau est structuré par domaine de risque (stratégique, juridique, opérationnel, IT, réputation, financier) et précise pour chacun des actions de prévention et d’atténuation.
Chaque action est associée à un responsable identifié et à un délai de réalisation planifié dans le temps.
L’ensemble illustre comment organiser concrètement le traitement des risques en définissant des actions, des responsabilités et un calendrier de mise en œuvre.
Pour exemple, une liste de deux actions est présente :
- Valider les parades
- Ne pas oublier de :
- désigner la personne en charge de chaque sujet
- fixer le calendrier de mise en oeuvre