VI.2.2. Modèle empirique d'analyse du processus de
management des risques de la DGI
L'évaluation du PMR de la DGI, s'appuiera sur un
modèle d'analyse construitsur la basedes caractéristiques
essentielles que doivent revêtir tout processus de management des risques
efficace,à la lumière des référentiels tels que le
COSO ERM et l'ISO 31000 sans toutefois se focaliser particulièrement
sur l'un d'entre eux.Également, le modèle prendra en compte
les spécificités de l'évaluation des risques dans les
administrations fiscales qui ont souvent recours à des outils
spécifiques d'évaluation des risques fiscaux.
Notre modèle d'analyse comprend un modèle de
maturité et un questionnaire d'évaluation en cohérence
avec ce dernier.
a). Modèle
de maturité du PMR
Un modèle de
maturité est un ensemble d'indicateurs servant à mesurer le
niveau de maîtrise actuel d'un domaine donné par une organisation
ainsi que les progrès réalisés (IIA, 2019).
Proposer un modèle de maturité pour analyser
unPMR d'une organisation est un défi croissant en raison du nombre
important de normes et de référentiels. Chacun d'eux propose des
principes que les organisations devraient prendre en compte lors de la
conception d'un PMR global.
Cependant, indépendamment duréférentiel
utilisé, pour mettre en oeuvre le management des risques, certains
éléments caractéristiquesfondamentales peuvent aider
l'organisation à mesurer sa maturité. Ainsi donc, un
modèle de maturité peut être construit en s'appuyant sur
ces caractéristiques. C'est ce que propose l'IIA dans son guide
d'évaluation du PMR. Le guide propose des modèles de
maturité pour l'évaluation d'unprocessus de management des
risques (IIA, 2019).
Recourir aux modèles de maturité proposés
par l'IIA procure les avantages suivants :
- c'est évaluer le PMR à partir des
caractéristiques fondamentales que doivent revêtir tout processus
de management des risques efficace,indépendammentdu
référentiel utilisé : cela procure l'avantage de
limiter l'impact, du passage à un nouveau référentiel ou
del'utilisation de plusieurs référentiels combinés.
- c'est aussi profiter de gages de fiabilité qu'offrent
des modèles de maturité construits par une autorité
reconnue et un leader incontesté dans la formation, la formulation de
normes, lignes directrices et certifications en matière d'audit interne
dont la mission principale est d'évaluer et de contribuer à
l'amélioration du PMR et du contrôle interne.
Le guideénoncetrois caractéristiques (ou
composantes) propres à un management des risques
matureindépendamment du référentiel à savoir:
- la culture du risque : intégration des risques
à tous les niveaux du processus de décision, de
rémunération et de primes, et de fixation des objectifs ;
- la gouvernance des risques:participation de toute
l'organisation au processus de management des risques par
l'intermédiaire de collaborateurs qualifiés et
compétents ;
- etle processus de gestion des risques: identification,
priorisation, traitement, suivi et reporting des risques dans toute
l'organisation.
Les détails relatifs à ces trois composantes ont
déjà été exposésdans ce document au point
« II.2.2. Composantes d'un processus de management des
risques efficace ».
Le guide de l'IIAa définiun modèle de
maturité décrivantcinq étapes de développement
pouvant caractériser un processus de management des
risques.Cemodèle que nous adopterons dans le cadre de cette étude
se présente comme suit :
Tableau 3 : modèle de
maturité du processus de management des risques
|
Niveau
|
Culture
|
Gouvernance
|
Processus
|
|
1- Initial
|
Les risques relèvent surtout de l'activité de
l'audit interne.
|
Responsable de l'audit interne/président du comité
d'audit.
|
Audit fondé sur les risques.
|
|
2- Reproductible
|
Le risque est considéré en fonction des besoins.
|
Managers opérationnels.
|
Processus d'auto-évaluation des risques et des
contrôles en fonction des besoins.
|
|
3- Défini
|
Les informations sur les risques sont partagées entre
l'audit interne et les fonctions de contrôle.
|
Membres de la direction générale/du Conseil.
|
Un langage
de risque commun et un processus d'évaluation des risques sont
utilisés par l'audit interne, les fonctions de contrôle et les
managers opérationnels.
|
|
4- Maîtrisé
|
Les risques sont intégrés dans la planification
stratégique ; l'appétence pour le risque est définie et
communiquée.
|
Tous les niveaux du management et le Conseil.
|
Un langage commun du risque et un
processus d'évaluation des risquescohérents sont en place dans
toute l'organisation y compris la direction. Il existe des outils de profilage
des contribuables et des opérations en fonction des risques.
|
|
5- Optimisé
|
Les risques sont intégrés dans toutes les prises de
décisions, la stratégie de rémunération et la
définition des objectifs.
|
Participation totale.
|
Un langage commun du risque et un reporting des risques
agrégés sont établis dans toute l'organisation.
|
Source :adapté de l'IIA (2019)
Commentaire :
Le modèle définit cinq étapes de
maturité : de la moins avancée (1-Initial) à la plus
avancée (5-Optimisé). Par composante, les explications sont les
suivantes :
La « Culture du risque »
voit sa maturité croître lorsque le risque est davantage
intégré au processus de prise de décision. De façon
plus explicite :
- un niveau de
maturité« 1-initial »,
signifie que les risques relèvent surtout de l'activité d'audit
interne ;
- unniveau de maturité
« 2-Reproductible », signifieque le risque est
pris en compte par moment. Cela pourrait être le cas, lorsque le
management des risques obéit surtout à un besoin de
conformité règlementaire ;
- un niveau de maturité
« 3-Défini »,signifie que l'audit interne
collabore avec les fonctions de contrôle (contrôle interne, gestion
des risques, conformité) en partageant des informations sur les risques.
L'activité de management des risques devient plus
régulière comparativement au niveau précédent.
- un niveau de maturité
« 4-Maîtrisé », signifie que le
risque est pris en compte dans l'élaboration de la stratégie de
l'organisation.
- enfin, un niveau de maturité
« 5-Optimisé », signifie
que le risque est pris en compte dans toutes les prises de décisions, la
stratégie de rémunération et la fixation des objectifs.
Au niveau de la « Gouvernance des
risques », plus les dirigeants sont impliqués dans le
processus et mieux la gouvernance est mature. Si en plus des dirigeants,
l'audit interne, les managers opérationnels ainsi que leurs
collaborateurs participent au processus : la participation devient totale
et la gouvernance se situe au
niveau« 5-Optimisée ».La gouvernance est à un
niveau «1-Initial » lorsque l'activité de management des
risques n'est réalisée que par l'audit interne et/ou le
comité d'audit.
Au niveau de la composante « Processus de
gestion des risques », plus le processus s'étend dans
l'organisation avec pour socle un langage commun et cohérent, mieux il
est jugé mature.
De façon plus explicite :
- un niveau de maturité «1-Initial»
signifie que le processus de management des risques se limite essentiellement
au processus d'audit basé sur les risques ;
- un niveau de maturité
«2-Reproductible» signifie qu'il existe un processus
d'auto-évaluation des risques et des contrôles mis en oeuvre par
les managers eux-mêmes ;
- un niveau de maturité «3-Défini
», signifie que l'audit interne et les fonctions de
contrôle partagent un langage commun du risque et un processus
commun d'évaluation des risques ;
- un niveau de maturité
«4-Maîtrisé », signifie que dans toute
l'organisation, il existe un langage du risque commun et un processus
d'évaluation des risques cohérent ;
- et un niveau de maturité
«5-Optimisé », signifie qu'un langage commun du
risque et un reporting des risques agrégés sont
établisdans toute l'organisation.
Il est important de mentionner les clarifications suivantes
que l'IIA (2019) apporteconcernant le modèle de
maturité qu'il propose :
- plusieurs éléments au sein de la même
organisation peuvent se trouver à différents niveaux de
maturité à tout moment. Par exemple, le niveau de maturité
de la culture d'une organisation peut différer de celui de sa
gouvernance et de son processus.
- il n'est pas nécessairement optimal ou pratique pour
toutes les organisations de fonctionner à un niveau de maturité
maximal. Atteindre un niveau 2 ou 3 peut être satisfaisant. Chaque
organisation devrait définir le niveau de maturité optimal pour
sa situation.
Le modèle de maturité ayant été
défini, nous abordons maintenant, le questionnaire d'évaluation
qui permettra d'apprécier le niveau de maturité du PMR de la
DGI.
| 
