Audit interne et gestion des risques opérationnels

3. L'identification et l'évaluation des risques

Les différentes activités et politiques de développement initiées par l'entreprise l'exposent à des risques opérationnels pouvant générer des pertes financières. Ces risques ne peuvent être appréhendés qu'avec l'instauration d'une véritable culture d'entreprise. La politique de gestion des risques opérationnels est le premier jalon de cet investissement après la définition de son profil de risque.

L'audit interne a un rôle clé à jouer au niveau du management des risques opérationnels^15(*) de l'entreprise. Il est le mieux d'alimenter le conseil d'administration en informations sur les faiblesses du système de contrôle interne ou sur les zones des risques susceptibles de nuire à l'atteinte des objectifs stratégiques, opérationnels, informationnels et de conformité.

En effet, l'auditeur interne exerce une influence sur cinq composantes du management des risques d'entreprise. Il donne une assurance raisonnable quant au processus de management des risques, que ces risques sont correctement évalués, que le processus de management des risques a été bien évalué, que le reporting sur les risques majeurs a été correctement établi et qu'un bilan sur la gestion des principaux risques a été dressé.

L'étape de l'identification et l'évaluation des risques n'est autre que la mise en oeuvre de la Norme 2210.A1 : « en planifiant la mission, l'auditeur interne doit relever et évaluer les risques liés à l'activité soumise à l'audit... »

3.1. L'identification des risques

Cette phase consiste à identifier et structurer les risques opérationnels qui seront présentés in fine dans un support de cartographie des risques.

Il existe plusieurs approches pour parvenir à ce résultat.

§ Approche par les processus : il s'agit d'effectuer à partir de la cartographie des processus un inventaire des différents risques opérationnels associés aux tâches qui composent ces processus. Pour cela, une analyse s'impose sur les inputs, les process de transformation et les outputs livrés à l'issue de chaque processus.

§ Approche par interview des opérationnels : ce procédé permet, à partir des questionnaires préétablis, de lister les risques opérationnels identifiés comme étant ceux qui affectent réellement ou potentiellement leurs activités.

Pour ce qui est l'approche par processus utilisant le tableau de risques, elle doit prendre en compte les trois facteurs successibles de toute nature :

§ L'exposition : ce sont les risques qui pèsent sur les biens (argent, stocks, immobilisation). Et ces risques sont multiples : vol, arnaque, malversation, incendies...

§ L'environnement : ce sont les risques liés au micro environnement (clients et fournisseurs) ou la macro environnement de l'entreprise.

§ La menace : elle constitue une contrainte dangereuse pour l'entreprise. Elle peut être liée à une fraude comme elle peut être la menace des catastrophes naturelles ou sociales

Quelle que soit l'approche retenue pour identifier les risques, il convient de la compléter par un rapprochement avec un benchmark sectoriel sur les risques opérationnels.

Le résultat de ces travaux doit être formalisé dans un support de cartographie qui présenterait par type de processus les risques associés.

Tableau5 : Modèle de cartographie des risques opérationnels

Source : VEOLIA

* 15 ^_ www.gt.co.za/publications/effectives-directors-guide/int-audit.asp