Couverture

Titre

Copyright

Les auteurs (présentés pages 425-426) peuvent être joints à l’adresse :
controleinterne@maxima.fr

www.maxima.fr

Rejoignez-nous :

facebook.com/EditionsMaxima.VieProfessionnelle/

twitter : @maximaediteur

LinkedIn : Maxima Editions

8, rue Pasquier, 75008 Paris.

Tél : + 33 1 44 39 74 00 ‒ infos@maxima.fr

© Maxima, Paris, 2019.

ISBN : 978-2-8188-0865-8

Tous droits de reproduction, de traduction et d’adaptation réservés pour tous pays.

Sommaire

Préface

Introduction

I / Principes et concepts clefs

Chapitre 1 / Définition et objectifs de la gestion des risques
et du Contrôle Interne : la croisée des chemins

Section 1 – Concepts généraux et enjeux du Contrôle Interne

Section 2 – Les nombreux apports de la gestion des risques
et du Contrôle Interne

Section 3 – Les différents chantiers du Risk Management

Section 4 – Le Contrôle Interne et les autres fonctions de l’entreprise

Chapitre 2 / Éléments de réflexion sur la gestion des risques

Section 1 – Une nouvelle science d’organisation

Chapitre 3 / Méthodologies et composantes du Contrôle Interne

Section 1 – La méthodologie d’analyse des risques appliquée
au Contrôle Interne

Section 2 – Les composantes essentielles du Contrôle Interne

II / Réglementation et références méthodologiques

Chapitre 4 / Le COSO : un référentiel international

Section 1 – Le modèle américain : COSO 1 ET 2

Section 2 – Exemple d’application au sein d’une société industrielle

Chapitre 5 / Déchiffrer et comprendre les initiatives SOX, LSF…

Section 1 – LSF, SOX : quand les initiatives corporate governance
structurent la gestion des risques et le Contrôle Interne

Section 2 – La loi anti blanchiment d’argent

Section 3 – Des spécificités sectorielles : les secteurs de la banque,
de l’assurance et de la protection sociale

III / Les grandes étapes d’un dispositif de gestion intégrée

Chapitre 6 / La phase d’initialisation

Section 1 – Lancement du projet : la réflexion stratégique

Section 2 – Les séances de créativité

Chapitre 7 / La phase d’analyse

Section 1 – Identifier, évaluer et coter les risques : la cartographie des risques

Section 2 – Construire ses questionnaires de Contrôle Interne

Chapitre 8 / Communiquer sur les risques de la théorie à la pratique

Section 1 – Un enjeu stratégique

Section 2 – Fondements de la communication sur les risques

Section 3 – La communication des risques : mode d’emploi

IV / Les outils de pilotage et d’animation

Chapitre 9 / Les outils de gestion des risques (SIGR)

Section 1 – Le SIGR, un outil au service des Risk Managers

Section 2 – Les principaux axes fonctionnels et techniques d’un SIGR

Section 3 – Le niveau de réponse apporté par les SIGR

Section 4 – Les préalables à toute démarche d’outillage : les pièges à éviter

Chapitre 10 / Les outils managériaux

Section 1 – Maîtriser le risque de crise

Section 2 – La conduite du changement : un outil efficace et nécessaire

V / Conseils pratiques pour une gestion des risques
et un Contrôle Interne performants

Chapitre 11 / L’importance des Key Risk Indicators pour piloter
et suivre le processus de gestion des risques

Section 1 – Intégrer les indicateurs aux processus clés du contrôle des risques

Section 2 – Mesurer les effets d’expérience issus des indicateurs de risque,
rendre palpable l’apprentissage organisationnel

Conclusion

Annexes

Bibliographie

Liste des tableaux et schémas

Glossaire

Remerciements

Préface

C’est avec grand plaisir que j’ai répondu au souhait de Frédéric Bernard et Nicolas Dufour, praticiens et chercheurs de longues dates sur le sujet du Contrôle Interne et de la maîtrise des risques, de préfacer leur nouveau livre.

D’une part, parce que leur approche pragmatique, opérationnelle et illustrée par de nombreux exemples, en fait un outil complet, clair et efficace au service des professionnels de l’audit, mais aussi une excellente « entrée en matière » pour familiariser avec cette notion toutes les personnes en situation de responsabilité et de management d’équipes.

D’autre part, parce que nous partageons la même vision de l’intérêt du Contrôle Interne dans un monde où l’exigence croissante de sécurité engendre un refus des risques, alors même que la complexité de nos organisations et l’accélération des changements rendent l’incertitude d’autant plus prégnante.

Jamais le thème de la gestion des risques dans les entreprises et son corollaire le Contrôle Interne n’ont été autant d’actualité. Pourtant, force est de constater tous les jours à quel point la majorité des entreprises, privées comme publiques, par méconnaissance ou par négligence, néglige ces aspects.

En effet, il n’y a pas un jour où les journaux ne relatent des déficiences de Contrôle Interne, que ce soit dans le fonctionnement des organisations mais également dans la façon de gérer les crises.

Aussi, dans un contexte de globalisation croissante, les grands acteurs économiques se doivent aujourd’hui de penser à l’échelle mondiale quand il s’agit d’asseoir leur position dans n’importe quels industries ou secteurs que ce soit.

Le premier objectif de cet ouvrage est donc de faire prendre conscience à chacun que la gestion des risques et le Contrôle Interne sont à la croisée du mécanisme de transformation organisationnelle et du processus de création de valeur.

La maîtrise de ces risques ne peut plus se limiter à quelques bonnes paroles et engagements de principes relayés dans un rapport de Contrôle Interne trop souvent perçu comme une obligation de communication.

Il n’y a pas de bon dispositif sans une prise de conscience et une qualification des risques qui peuvent être de diverses natures, et mon expérience de Directeur Éthique et conformité chez EDF m’a permis d’en aborder un échantillon non négligeable.

L’ouvrage présente une vision complète des risques auxquels peut être confrontée l’entreprise. Je voudrais, quant à moi, rappeler que cette revue des risques ne peut s’accommoder d’aucune complaisance, d’aucune autocensure, même si quelquefois elle peut froisser certains, être assimilée à un manque de confiance, à de la défiance, y compris aux plus hauts niveaux de l’entreprise.

C’est là la contrepartie d’un état d’esprit rigoureux, de la mise en orbite du cercle vertueux décrit par les auteurs et dont les retombées sont multiples car elles touchent de nombreux domaines et fonctions de l’entreprise : financiers, humains, communication… n’en sont que des exemples.

Ce n’est pas un des moindres intérêts de cet ouvrage que de conférer une « assurance raisonnable » de succès aux projets de mise en œuvre d’un dispositif de Contrôle Interne avec des exemples concrets et nourris de démarches visant à familiariser l’ensemble des collaborateurs à la nécessité de sécurisation et d’amélioration des modes de fonctionnement.

Il faut toujours garder à l’esprit que la réalisation d’activités de contrôle n’a de sens qu’au terme d’un exercice approfondi, structuré et documenté d’identification et d’évaluation des risques potentiels auxquels l’organisation pourrait être amenée à faire face. Le principe de proportionnalité est donc primordial pour envisager la nécessité de mettre en place des contrôles parfois complexes et jugés bureaucratiques pour les opérationnels.

C’est en cela que l’approche psychologique mise en avant par les auteurs se révèle particulièrement intéressante : les facteurs psychologiques, les modes de management et la nécessité de convaincre les acteurs de l’intérêt de la démarche sont au cœur du déploiement de tout projet de Contrôle Interne.

Dès lors, il est facile d’imaginer combien la mise en place d’un dispositif de maîtrise des risques est vouée à l’échec ou, au mieux, à l’inefficacité, si elle n’est portée que par quelques-uns, alors que tout l’intérêt est de l’inscrire dans une démarche participative associant le plus grand nombre de collaborateurs. On aborde ainsi l’un des atouts majeurs du projet de Contrôle Interne, son côté accélérateur de changement. En effet, loin de s’apparenter à une lourdeur administrative de plus, il apparaît comme un point d’appui pour tous ceux qui sont prêts à réfléchir sur la pérennité de leurs habitudes, sur leur place au sein du processus de production, sur leur environnement de travail.

Les lecteurs puiseront dans cet ouvrage, non pas un catalogue mais des exemples pragmatiques sur ces bonnes pratiques. Tout dépendra alors de la capacité des dirigeants à l’intégrer dans un projet global, suffisamment motivant et éclairant pour l’avenir, à déployer une culture valorisant le besoin de contrôle, à montrer l’exemple et à rester cohérents avec les règles d’éthique qu’il sous-tend.

Tout dépendra aussi des qualités humaines des auditeurs appelés à le mettre en place, de leurs aptitudes à se mettre au service de leurs interlocuteurs et à trouver le juste milieu pour ne pas les déresponsabiliser, capacités qui, plus encore que la technique elle-même, seront déterminantes dans la réussite.

Alors, à quoi verra-t-on si le projet a réussi ? À son pilotage, au suivi organisé, aux actions correctrices engagées, à l’adhésion des opérationnels…

Après, il faudra le faire vivre, et c’est encore un autre défi !

Pierre Schick

Directeur Éthique et Conformité

Groupe EDF

Introduction

Le contrôle des organisations constitue, depuis les prémices de la théorie des organisations et de la pensée managériale, l’un des enjeux clés dans le fonctionnement de l’entreprise. Les premiers auteurs et les références clés du management font écho à la notion de contrôle (Taylor, Fayol, Ford, Power, Simon, etc.). On constate que dorénavant la notion de contrôle est extensive, elle sature l’actualité et il en découle de nombreux sous-ensembles :

•le Contrôle Interne, objet de cet ouvrage, fondé sur la capacité de l’organisation à maîtriser ses processus et procédures, ainsi que les risques opérationnels pouvant survenir lors du fonctionnement de ceux-ci,

•bien avant, le contrôle qualité, fondé sur la satisfaction client,

•le contrôle de conformité, en pleine extension sur la décennie 2010, fondé sur la capacité de l’organisation à maîtriser son environnement normatif, etc.

Plus globalement, d’autres disciplines s’intéressent à la notion de contrôle : contrôle financier et comptable, contrôle de gestion, contrôle des risques, etc.

L’enjeu de cet ouvrage n’est pas de retracer l’ensemble de ces disciplines mais bien de préciser les contours de la première fonction : le Contrôle Interne.

En détaillant, via différents retours d’expériences et constats, la notion de Contrôle Interne, nous prenons de nombreux exemples pour envisager ce qui évolue dans cette fonction (par exemple, l’essor du risque de fraude et des risques périphériques).

Le Contrôle Interne, loin d’être uniquement une science de la réponse au risque, est avant toute chose une science de l’organisation : savoir organiser des contrôles « détectifs », curatifs, préventifs, mais aussi savoir adapter les contrôles à l’organisation pour ne pas être invasif, rendre intelligent le contrôle, qui ne doit pas devenir administratif, bien gérer le coût des contrôles par rapport aux risques encourus, bien concevoir des contrôles parlants pour les métiers contrôlés et sources de valeur ajoutée du point de vue de la gouvernance… il s’agit d’autant de questionnements nous semblant essentiels et que nous avons cherché à envisager au travers de cet ouvrage, sans prétendre à l’exhaustivité tant la matière est riche et tant les risques à couvrir n’en finissent pas de nous surprendre.

I.
Principes et concepts clefs

Chapitre 1
Définition et objectifs de la gestion
des risques et du Contrôle Interne :
la croisée des chemins

Section 1 • Concepts généraux et enjeux du Contrôle Interne

>1.1. Qu’est-ce que le Contrôle Interne ?

Les professionnels du Contrôle Interne savent, par expérience, combien ce concept est parfois délicat à maîtriser. Les problématiques auxquelles s’attache le Contrôle Interne sont vastes et extensives : elles vont des risques relatifs à la fiabilité des informations financières et comptables initialement, en passant par l’ensemble des risques opérationnels auprès desquels la fonction de vérification du respect des processus et procédures ‒ le Contrôle Interne ‒ joue un rôle de garde-fous, de « ligne de défense » selon l’expression consacrée. La fonction revêt un caractère extensif au regard de nombreux événements d’actualité ayant concerné des entreprises de différentes tailles et secteurs : rôle de vérification de la conformité aux directives européennes, lois et règlements, rôle de contrôle des sous-traitants et activités externalisées, rôle dans la maîtrise des risques de corruption, conflits d’intérêts, et dans la démonstration d’une plus grande transparence de l’entreprise1.

En effet, le Contrôle Interne est souvent perçu avec difficultés, entre autres parce qu’il surprend nos « manières habituelles de voir ».

Voici donc un rappel de quelques définitions, dont le but est d’« imager » le Contrôle Interne.

Dans cette « manière de voir », il y a probablement, au fond de chacun de nous, une certaine forme de naïveté naturelle, qui porte à croire qu’à partir du moment où on a fait ce qu’il fallait pour que quelque chose « marche », on pouvait s’attendre en effet à ce que cela « marche ».

Le pire (pour comprendre le concept de Contrôle Interne, mais le meilleur pour notre vie quotidienne) est qu’effectivement « cela marche ». Jusqu’au jour où…

Chacun de nous aura, souvent à juste titre, tendance à penser que ce qu’il essaie de faire bien est bien fait, que ce qu’il essaie de bien contrôler est bien contrôlé, que ce qu’il a donné à faire est bien fait comme il s’y attend… Mais suffit-il de donner une instruction pour qu’elle soit exécutée ?

Notre principal effort est donc de contrarier cette tendance naturelle pour s’imposer de penser aussi, systématiquement, à ce qui se passerait si « cela ne marchait pas », malgré les efforts de protection déjà pris, jusqu’à ce que cela devienne un réflexe naturel.

Penser à ce qui se passerait si « cela ne marchait pas » s’appelle tout simplement faire de l’analyse de risque.

Pratiquer le Contrôle Interne c’est donc maîtriser ce que l’on fait, c’est-à-dire :

A)faire bien et gérer ce que l’on fait bien (les indicateurs et tableaux de bord de « production » comptent et représentent ce que l’on fait bien),

B)éviter de faire mal ce qu’on croyait pouvoir faire bien (donc fairede l’analyse de risque avant de se trouver dans cette situation et gérer ce que l’on fait mal),

C)faire tant bien que mal, « au mieux », quand on ne peut pas éviter (complètement) la situation redoutée ou la situation totalement imprévue, et gérer ce que l’on fait mal (ou pas du tout).

On voit que « maîtriser » n’est pas seulement « retenir » ce qui pourrait « mal marcher », mais c’est aussi « mieux exploiter » ce qui « marche bien ».

Dans les deux derniers cas (B et C), gérer ce qu’on fait mal revient, comme tout acte de gestion, à analyser les cas de « mal fait », les dénombrer par catégories (élaborer des indicateurs de « risques » et de « sinistres ») et construire une représentation des résultats (disposer de tableaux de bord des « risques » et des « sinistres »).

Un « sinistre2 » au sens large, n’est que la concrétisation d’un risque3 (dont la principale vertu, au contraire du sinistre, est d’être hypothétique).

Ce sont les tableaux de bord et indicateurs de « risques » et de « sinistres »4 qui manquent le plus actuellement alors que, a contrario, dans la culture de nos organisations, on sait depuis longtemps faire de la gestion de « production » et du contrôle de « production ».

Par analogie à la gestion de production, gérer les risques, c’est les identifier, en évaluer les enjeux pour pouvoir les hiérarchiser, décider ceux que l’on veut prévenir et protéger (donc, par défaut, ceux que l’on choisit d’assumer), chercher les solutions possibles, choisir celles que l’on veut mettre en place, et les mettre en place.

En revanche, par analogie au « contrôle de production », le « contrôle des risques » c’est disposer d’un observatoire des risques pour en suivre l’évolution (résorption, dérive, etc.), suivre les coûts des solutions, mesurer les performances des acteurs qui doivent les analyser et les gérer, etc.

Ce contrôle des risques, lui aussi, fait souvent défaut et c’est même un des aspects du Contrôle Interne les plus mal perçus et les plus mal compris (Dire : « Le Contrôle Interne, c’est mettre en place des contrôles pour éviter les dysfonctionnements » est une définition exacte et rapide mais insuffisante car elle n’apporte qu’une vue très réductrice de ce qu’est réellement ce concept).

On voit se dessiner une superposition de maîtrises :

‒je suis opérationnel et je fais,

‒un autre opérationnel (ou moi-même) contrôle ce que je fais,

‒mon hiérarchique contrôle que j’ai fait et que le contrôle opérationnel a été fait (c’est la définition de l’acte de supervision), etc.

‒un observatoire surveille tout cela,

‒un auditeur retourne sur « le terrain » de l’opérationnel voir s’il a bien fait ou sur le terrain des hiérarchiques voir s’ils ont bien fait leur supervision.

Cette superposition de maîtrises met en évidence deux aspects fondamentaux du Contrôle Interne :

‒le dispositif accompagne l’évolution de l’organisation et garantit donc une maîtrise PERMANENTE de l’activité. On parle ainsi de contrôle permanent (la fonction de contrôle opérationnel et de contrôle fonctionnel garantissant ce respect continu des processus et procédures),

‒il garantit même la capacité de réagir VITE, en cas de dérive,

‒ce dispositif repose aussi sur la capacité de savoir-faire assumer la succession de RESPONSABILITÉS de supervision jusqu’au niveau hiérarchique adéquat (sinon tous les risques seraient contrôlés au niveau majeur).

Qu’est-ce qui conduit généralement à un désastre, si ce n’est souvent l’accumulation d’incidents insuffisamment contrôlés ou dont les contrôles ne sont pas eux-mêmes gérés, alors qu’une bonne gestion aurait assuré une bonne maîtrise du risque et l’aurait limité ?

En fait, « faire du Contrôle Interne » c’est conduire, diriger, manager (ou n’importe quel autre synonyme), en sachant que pour progresser il ne faut pas se contenter d’avancer mais apprendre aussi à éviter de reculer (au moins de ne pas reculer trop loin, ni trop souvent).

Par ailleurs, manager une organisation suppose évidemment d’en connaître le fonctionnement. C’est pourquoi le Contrôle Interne repose d’une part sur une analyse indispensable des activités de cette organisation et d’autre part sur l’existence de normes et de standard communs à cette organisation (c’est le but d’un référentiel issu d’une démarche de Contrôle Interne) pour que chacun des membres de cette organisation tienne le même langage.

En conclusion, « faire du Contrôle Interne » c’est, aujourd’hui, surtout, apprendre à gérer ET contrôler le risque et sa gestion même. Ceci suppose non seulement une méthodologie mais aussi une culture, des structures, etc.

Le rôle de la démarche de renforcement du Contrôle Interne est donc :

‒sur le plan stratégique, de fournir des instruments de réflexion et de choix politiques,

‒et, sur le plan pratique, d’apporter d’une part un rôle de vulgarisation de la méthodologie d’analyse de risque et d’autre part un rôle de changement pour faire en sorte d’atténuer la naïveté naturelle évoquée au début de cette section.

>1.2. Les portées du concept de Contrôle Interne

1 ‒ Qui est concerné ?

Une gestion des risques revient à une gestion des responsabilités. Toute personne exerçant une activité dans l’organisation a donc à gérer ses risques dans son domaine d’activité (en effet, s’il n’y a que celui qui ne fait rien qui ne risque rien, en corollaire, toute activité comporte ses propres risques). Il est de coutume de dire que l’ensemble des acteurs de l’entreprise sont responsables de leurs activités, cela va des managers aux opérationnels en comprenant aussi les dirigeants. La notion de propriétaire de risque ‒ « risk owner » ‒ comprend cet enjeu de responsabilisation : la capacité à rendre des comptes de son activité et à démontrer que sous contrainte d’objectifs opérationnels et de ressources, par principe limitées, les risques encourus sont connus, compris, mesurés et acceptés, au sens d’un niveau d’exposition résiduel (après mise en place des moyens nécessaires de couverture de risque)5.

On distingue néanmoins les opérationnels, dont la mission est de « bien faire », et les hiérarchiques dont la mission est de « bien faire faire », car les métiers ne sont pas les mêmes et les moyens de gérer les risques non plus.

Schéma 1 ‒ Les trois niveaux de Contrôle Interne

2 ‒ Comment cela marche ?

Rien n’est plus simple, cependant cette simplicité est loin d’être naturelle. À l’analyse des activités, on fait correspondre des menaces potentielles et on dégage ainsi des risques intrinsèques. Lorsque ceux-ci se révèlent alors plus ou moins bien couverts opérationnellement et/ou plus ou moins bien suivis hiérarchiquement, il en résulte des vulnérabilités résiduelles pour lesquelles il faut si possible apporter des solutions. La démarche de Contrôle Interne permet alors de chercher les solutions les plus simples et les moins coûteuses, loin de toute démagogie et de toute prétention illusoire.

3 ‒ Combien cela coûte ?

Chacun apportant sa contribution, l’effort total paraît important (à juste titre) mais reste très réduit individuellement (si tous les automobilistes apportaient, le même jour, leur voiture chez le même garagiste pour une vidange, cela lui paraîtrait impossible, mais si chaque automobiliste réalise sa vidange lui-même, l’effort de chacun est minime). Ici, les tâches sont réparties et étalées dans le temps, car tout le monde doit contribuer à cet effort global pour s’en approprier individuellement le résultat.

Sur le plan financier, la mise en place par un prestataire extérieur coûte environ 40 à 50 k€ pour 30/35 jours/homme.

4 ‒ Combien cela rapporte ?

Les résultats opérationnels directs se mesurent en nouvelles procédures de contrôle, en procédures de maîtrise (c’est le contrôle des procédures), en moyens (contractuels, matériels, logiciels, etc.), mais aussi en comportement (donc en variation de l’échelle des valeurs, c’est-à-dire en culture). Les retours d’investissements s’évaluent quantitativement en accroissement entre deux états de profit ou de service.

5 ‒ Comment s’y prendre ?

Le monde ne s’est pas construit en un jour. Il vaut parfois mieux prendre le temps de réussir dans quelques mois que de ne jamais arriver à un résultat visé trop tôt. Il suffit donc de commencer par un petit domaine de l’organisation, sans prendre de risques inutiles. C’est aussi le moyen de se mettre progressivement en confiance.

Nous verrons plus loin les grandes étapes de mise en œuvre.

« Du bon usage des contrôles »

par Béatrice Bon-Michel, Consultante associée, AFGES

« Le principe de contrôler pour réaliser une tâche est ancré dans nos modes de raisonnement et résulte d’une volonté de sécuriser les processus considérés comme les plus risqués. L’attention accrue portée sur la gestion des risques, que les entreprises s’attachent à formaliser pour prouver leur intérêt pour le sujet, tend à faciliter les prises de conscience de certains risques ; non que les risques n’étaient pas connus autrefois mais ils étaient bien souvent sous-estimés dans un rapport coût-béné icie bien connu. Si l’on perçoit bien l’intérêt d’une démarche par les risques, celle-ci peut être préjudiciable à la bonne marche de l’entreprise si elle contribue principalement à augmenter la vision sécuritaire des processus. La prise de connaissance de certains risques tend à renforcer les contrôles dans un objectif de réduction du risque ; les enjeux de conformité renforcent cette tendance, les organisations ne voulant pas être accusées, en cas de dysfonctionnement, de n’avoir rien fait.

La visibilité sur les risques peut alors dériver vers une in lation des contrôles qui inissent par déresponsabiliser les acteurs. Ceux-ci s’abritent derrière les procédures et autres reportings pour justi ier de leur obligation de moyen, et les contrôles s’inscrivent dans le cadre de routines organisationnelles. Le juge suprême est celui qui présente les résultats des contrôles à la Direction générale, cette dernière ayant à cœur de limiter les taux de non-conformité, toujours dans un contexte où le risque « compliance » est devenu un des ennemis numéro 1 des instances de gouvernance.

Or, les risques n’ont de sens que remis dans une perspective stratégique. Pas d’objectif, pas de risque ! Pas de risque, pas de contrôle ! Voire un risque mais pas de contrôle si le risque est perçu comme une opportunité. Le vocabulaire utilisé dans les directions des risques et des contrôles ‒ « vulnérabilité », « perte et incident », « limites », etc. ‒ fausse la perception du risque et l’entraîne dans une vision contraire à celle de développement stratégique.

Par ailleurs, la mise en œuvre des contrôles face à des risques, sans lien évident avec les objectifs sous-jacents et les perspectives futures, enferme ces contrôles dans un cercle où toute anomalie de contrôle devient un risque. Les risques parlent aux contrôleurs et vice-versa et cela augmente la déconnexion entre le business et les fonctions risques et contrôle. C’est pourquoi il est important de redonner de la place à la concertation et aux interactions, notamment entre les risques et le management. Il est parfois surprenant de voir certains contrôleurs qui font bien leur travail de contrôle mais qui ne sont pas capables d’identifier le risque sous-jacent et donc de saisir l’enjeu des dysfonctionnements. Les gestionnaires de risque, quant à eux, sont parfois plus préoccupés de remplir la case « cotation du dispositif de maîtrise des risques » que d’aborder la gestion des risques comme un ensemble d’élément interconnectés et qui n’ont de sens que si l’histoire est racontée dans le bon ordre. Les histoires de risque sont toujours liées aux objectifs dans un contexte donné, interne et/ou externe : c’est ce qui amène tel incident, déjà réalisé dans les mois précédents, à devenir un risque qui défraye la chronique. Les contrôles ne sont qu’un indicateur, c’est-à-dire un moyen permettant au management de piloter l’activité. Si l’activité souhaite se développer sur certaines zones géographiques, la visibilité sur les contrôles est importante sur ces nouvelles zones en fonction des risques identifiés.

Il faut arrêter de considérer que les contrôles sont créateurs de valeur : ils ont un coût évident, ne serait-ce que par le temps qui leur est consacré. En revanche, le dispositif de maîtrise des risques qui utilise l’indicateur de contrôle peut permettre de créer de la valeur car il va indiquer à quel moment il peut être opportun de freiner ou de changer une roue. Comme dans les courses de Formule 1, les contrôles, parce que les risques sont bien gérés, sont actionnés pour aider le pilote à franchir le premier la ligne d’arrivée ; tout arrêt supplémentaire au stand peut être fatal… »

>1.3. Une approche plus globale : le management des risques

Des accidents affectent des sociétés tous les jours, mais seule une infime partie d’entre eux est catastrophique. Les minimiser va au-delà d’une simple question d’assurance. La bonne stratégie réside dans une approche gestionnaire de risque et implique l’élaboration d’un plan en cas de catastrophe et d’une gestion de crise. Braithwaite (1989) explore la mise en place et l’organisation de ces régimes qui impliquent, entre autres choses, la relation et la coordination des risques, la définition des responsabilités, des back-up de contact, de soutien et de communication, des tests réguliers, le recours à l’assurance. L’auteur insiste sur le fait qu’à long terme la viabilité d’une entreprise doit inclure un développement de la stratégie quant à la gestion du risque, la prévention des pertes de contrôle et de confinement des dommages.

On constate parallèlement un essor des typologies de risques, des méthodes et techniques dédiées à la gestion des risques ; le tableau ci-après en fournit une illustration même si d’autres auteurs6 distinguent de manière plus précise les classes de risque.

Tableau 1 ‒ Classification des risques clés pour les organisations, d’après Verbano et Venturini (2011)

Risque d’atteinte
à l’intégrité
physique

Risques
financiers

Risques
opérationnels

Risques
stratégiques

Incendie et
dommages aux
biens

Risques naturels

Perte
d’exploitation,
interruption
d’activité

Infirmité, accident
de travail, risque
homme clé, etc.

Engagement
de responsabilité

Risque

technologique

Risque de prix

Risque de liquidité

Risque de crédit

Risque d’inflation

Risque pesant
sur la conduite
des opérations
(Risques

psychosociaux,
développement
produit, risque
de la chaine
de valeur)

Risques liés
aux systèmes
d’information,
au défaut de fiabilité
du reporting
comptable
et financier,
risque sur
l’évaluation
des investissements,
etc.

Risque
de réputation

Risque client

Risque
de changement
politique et
réglementaire

Risques liés
aux variables
démographique
et socioculturelle

Risques liés
à la concurrence

1 ‒ Une gestion des risques participative et globale

Cette évolution de la gestion des risques en entreprise va donc de ce qui était une gestion assurantielle du risque ou une gestion spécialisée dans un domaine de risque précis (par exemple les risques industriels) à une gestion globale du risque.

Comme l’exprime Jean-Paul Louisot (2007) : « Dans le contexte mondial actuel, il est clair que la vision traditionnelle et réactive de l’acheteur d’assurance protégeant le patrimoine de l’organisation est obsolète. Elle doit faire place à une vision proactive, dynamique, beaucoup plus large de la gestion des risques visant la protection des objectifs ou missions de l’organisation7 ».

La fin du XXéme siècle et le début du XXIéme siècle ont vu se développer un contexte propice à l’apparition progressive de l’ERM (Enterprise Wide Risk Management, aussi appelé Business Risk Management) ou gestion globale du risque. Dans un contexte où l’entreprise n’est plus une « boîte noire » isolée des autres parties prenantes de son environnement, mais bien en lien avec ces dernières8, la gestion globale des risques s’impose comme une nécessité. Le risque est aujourd’hui davantage le fruit d’une négociation que celui d’une simple décision par l’entreprise elle seule, car l’éthique constitue un risque à part entière.

Le référentiel COSO (2004, 2013) définit l’ERM comme un processus adopté par la direction de l’organisation, le personnel, le management, appliquant la stratégie dans l’ensemble de l’entreprise et visant à identifier les événements potentiels pouvant survenir et affecter l’entité. Ce processus est encore conçu pour déterminer l’appétence au risque tout en fournissant une assurance raisonnable quant à l’atteinte des objectifs de l’organisation.

L’ERM est fondé sur une approche organisationnelle, participative, visant à instaurer une certaine dynamique tournée vers le risque et la prise de décision (Arena et al. 2010).

Cette démarche appartient à une nouvelle vague d’approche auto-régulatrice débutant dans les années 1990 et conçue pour durer. Elle est la principale voie envisagée depuis cette période pour gérer l’incertitude entourant l’entreprise et a fait évoluer la gestion des risques d’une fonction périphérique de l’organisation à une fonction se rapprochant de la gouvernance d’entreprise. L’ERM lie la gestion des risques à la stratégie de l’entreprise et aux objectifs opérationnels de celle-ci, comprenant la prise de décision, les enjeux de contrôle et de comptabilité.

L’essor de cette fonction est lié à un environnement économique se complexifiant, une concurrence exacerbée, la recherche d’une rationalité accrue, la prise en compte de nombreux risques : interruption des systèmes d’information, fraudes, risques croissants de faillite, inflation normative et réglementaire, la surexposition financière de certaines firmes, une volatilité accrue des cours de bourse (Hunt, 2003). Ces éléments sont tels qu’il existe, selon certains auteurs, des pressions convergentes se traduisant par une « explosion du Risk Management » au sein des organisations (Power, 2004, p.9).

Ces dernières années, on constate un changement de paradigme quant à la manière de percevoir la gestion des risques. Au lieu de l’envisager selon une approche en silos, elle s’inscrit désormais dans une vision intégrée dite holistique. ERM et performance sont liés, la performance de l’entreprise est contingente de sa faculté à mettre en place un dispositif de management des risques efficace et suffisamment transverse pour s’appliquer a minima à toutes les fonctions stratégiques de l’entreprise. Cette approche est alors vue comme le moyen le plus performant de gérer le portefeuille de risques de l’entreprise (Liebenberg, Hoyt, 2003). Beasly et al. (2005) mettent encore en avant le fait que le comité exécutif et le senior management ont un rôle critique à jouer dans la réussite d’une implémentation de l’ERM. D’autres facteurs de contingence contribuent à influencer la mise en place de ce type de processus de gestion : le rôle joué par les auditeurs, la taille et le type de l’organisation (industrie, secteur des services, secteur financier, etc.), le pays d’appartenance de l’entreprise.

Schéma 2 ‒ L’Enterprise Risk Management (ERM), entre contingence et performance

Ces variables de contingence montrent la dépendance, en pratique, de l’ERM aux contextes sectoriels, à la stratégie de l’entreprise mais aussi au positionnement concurrentiel. On peut aussi y voir une limite des approches actuelles. Si la recherche de la performance est un objectif commun à toutes les entreprises, il n’est pas certain que les démarches d’ERM soient aussi efficaces dans tous les secteurs d’activité, comme l’illustre la crise financière de 2007-2008 dite des subprimes, qui a montré le caractère vulnérable de tels dispositifs.

2 ‒ Risk Management et contrôle de la firme

La dimension participative du Risk Management permet donc d’innover dans la prise en compte des risques en partageant de nombreuses expériences et en soulevant des propositions de solutions. Toutefois, uniquement communiquer sur le risque présente des limites. Les employés doivent avoir une compréhension des risques liés à l’activité de l’entreprise, de la nécessité de les prendre ainsi que de la manière dont ils sont gérés et réduits. Les risques ne sont pas uniquement l’affaire des dirigeants dans le cadre d’une stratégie d’ensemble de gestion des risques. L’un des rôles du Risk Manager est donc de fédérer les différents membres du management autour de cette notion de risque afin que ces derniers fassent redescendre la sensibilisation au niveau des entités leur étant allouées. En ce sens, intégrer la réflexion sur la culture comme instrument au service du contrôle des risques est une des conditions de réussite du Risk Management. Il s’agit du moins de l’un des objectifs que doit poursuivre une politique pertinente de gestion des risques. Une communication intégrée sur les risques est donc essentielle et ne peut être découplée du Risk Management (Niestat, 2005). Elle consiste à savoir discerner parmi la multitude de connaissances et d’informations dans l’organisation, celles réellement utiles quant à l’objectif de maîtrise des risques. À cet égard, la gestion des risques s’inscrit en tant qu’enjeu de savoirs construits voire « coconstruits » (Revet, 2013).

Cette communication visera alors une sensibilisation aux différents risques avec des adaptations selon les classes de risques, et des formations complémentaires s’avéreront pertinentes dans le cadre de cette démarche de sensibilisation.

En fin de compte, gérer les risques, c’est aussi gérer les relations en interne et avec l’extérieur.

D’autres auteurs développent une approche distincte du contrôle des risques. Cette dernière est fondée sur la vision du risque comme coût. Les actions de contrôle des risques auront pour principal but de réduire le coût du risque. Pour Fehle et Tsyplakov (2005), la nécessité de gérer les risques est liée aux imperfections de marché affectant les entreprises. Le Risk Management est envisagé comme un moyen de réduire les pertes financières mais aussi l’incertitude pesant sur le prix des consommations des entreprises ou encore les variables réglementaires et fiscales.

Pour Colquitt et al. (1999), la gestion des risques suppose une véritable vision stratégique et une approche intégrée car le marché du transfert de risque n’est en soi pas une option toujours suffisante. L’approche par le financement du risque trouve sa pertinence mais également ses limites (captives d’assurances9 notamment, rétention des risques par l’entité via un autofinancement). La gestion des risques suppose en effet de participer à la sauvegarde et à la création de valeur en prenant en compte des variables telles que la taille de la firme, sa stratégie, son environnement concurrentiel, etc.

Le Risk Management est lié à une culture du calcul dans l’entreprise, cela suppose un lien avec le contrôle de gestion et la contingence avec les variables décrites ci-après par Mikes (2009) :

Schéma 3 ‒ Risk Management et culture du risque (Mikes, 2009)

L’approche quantitative et assurantielle manque à elle seule de sens, notamment en ce qui concerne les risques organisationnels (tels que les risques humains ou les risques opérationnels). Il faut passer d’une approche en silos, séparant différentes fonctions, à une approche intégrée pour mieux prendre en compte « l’agrégation des risques dans l’entreprise » (Mikes, 2009, p.24). On retrouve ainsi la notion de culture du risque qui doit être diffusée via des politiques d’entreprise et donner du sens au dispositif global de maîtrise des risques.

En étudiant plusieurs établissements bancaires, Mikes décrit différentes approches caractérisant la gestion des risques que l’on peut observer dans les organisations. On retrouve notamment, outre l’approche en silos où les fonctions dédiées au risque sont séparées, une approche visant l’intégration des risques, une approche basée sur une mesure de performance incluant les risques (Risk-based Management) et enfin une approche holistique du Risk Management qui vise à tenir compte de manière significative des risques non quantifiables. Cette approche se veut encore plus englobante en intégrant la notion d’incertitude dans le processus de Risk Management.

Ces quatre idéaux-types du Risk Management se résument ainsi :

Tableau 2 ‒ Les idéaux-types de la gestion des risques
(Adapté de A. Mikes, 2009)

Approche
en silos

Approche
intégrée

Approche risque
performance

Approche globale
(ou holistique)

Cadre
institutionnel

Régulation
internationale
et allocation
de capital

Notation
des agences
et allocation
de capital

Impératif
d’augmentation
de la valeur
de l’entreprise

Essor d’une
approche risque et
Contrôle Interne
dans la décision

Thématique
de risque

Quantification
des risques

Agrégation
des risques

Approche
risque basée
sur la mesure
de performance

Gestion
des risques
non quantifiables
également prise
en compte

Objectifs
poursuivis,
focus

Mesure et
contrôle des
risques en silos,
calcul du minimum
de capital
requis (dans
les secteurs
réglementés
type banque)

Assignation
d’un dénominateur
commun selon
les différents
silos (capital
économique)

Calcul de la
création de
valeur pour les
actionnaires,
lien entre
performance
et mesure
du risque

Inclusion
des risques
non quantifiables
dans le processus
de gestion
des risques
(sur la base
d’avis du senior
management

Techniques
utilisées

Loss Distributions
Approach (LDA),
modélisation

Capital
économique

RAROC (Risk
Adjust Return
On Capital),
transfert
de risque

Analyse de scénarios,
analyse de sens,
revue des risques

Les techniques de gestion des risques doivent toutefois être fréquemment revues et ajustées pour ne pas devenir obsolètes, comme le démontre Mikes. Ainsi, aux approches purement techniques et financières de gestion des risques se sont substituées les approches organisationnelles en développement aujourd’hui. Cette nouvelle donne de la gestion des risques positionne les questions de culture organisationnelle au centre des enjeux de gestion des risques.

Les enjeux de la culture organisationnelle liés au risque

Dès 1986, Singh analyse la relation entre prise de risque dans le processus de décision et performance organisationnelle (Singh, 1986). Les recherches montrent alors qu’il existe une relation indirecte entre ces notions, via une médiation par le biais d’un management incitatif, visant le développement d’une culture organisationnelle introduisant la prise de risque et permettant une performance accrue. Dans la lignée de ces travaux, Klein (2011) démontrait que la culture d’entreprise, au même titre que la stratégie, peut être développée par les managers et dirigeants en vue de renforcer la performance de l’entreprise. La culture est contingente de la stratégie développée ; la stratégie permet de faire émerger une certaine culture d’entreprise qui déterminera l’appétence au risque, la recherche de la performance, de revenus supérieurs, etc. Construire une norme culturelle implique de développer une approche de qualité là où des normes défensives dans l’organisation ne le permettent que de manière relative. Buehler et al., dans un article paru dans la Harvard Business Review en 2008, identifient les éléments d’un état d’esprit orienté risque et de la diffusion d’une culture du risque.

Schéma 4 ‒ Les risques : entre état d’esprit et culture (d’après Buehler et al. 2008)

Ces mêmes auteurs démontrent alors que cette approche culturelle apparaît comme pertinente si elle implique conjointement le Chief Risk officer (CRO) et le Chief Financial Officer (CFO)10 en vue de faire redescendre parallèlement les enjeux de risque et les enjeux financiers dans les différents centres d’activités. En outre, grâce à des outils sophistiqués, cela permet d’éviter une surexposition au risque de même qu’une couverture d’assurance excessive.

Le schéma ci-dessous, issu de travaux de recherche de Buehler et al. (2008), traduit le positionnement du CRO que l’on retrouve le plus fréquemment et de son rôle dans l’organisation quant à la diffusion d’une culture du risque. Ces éléments nous amènent à décrire la gestion des risques dans une approche globale qui consiste en un mouvement d’aller-retour Top Down / Bottom-Up11

Schéma 5 ‒ Positionnement du Risk Management dans l’organisation, d’après Buehler et al. (2008b)

>1.4. Les enjeux actuels du Contrôle Interne

L’une des tendances actuelle est d’affirmer que l’organisation évolue peu à peu d’un contrôle de type coercitif / sanction à un contrôle qui se veut interactif. Nous pouvons nous référer aux travaux fondateurs de R. Simons (1995) pour qui le contrôle interactif est cette forme de contrôle qui focalise l’attention des managers sur les incertitudes stratégiques. Ils favorisent l’innovation et l’émergence de nouvelles stratégies intégrant l’incertitude dans la prise de décision tout en favorisant le dialogue et les débats réguliers dans l’organisation (Renaud, 2013).

La littérature dans ce domaine (Tani, 1995) distingue ainsi le contrôle vertical (échanges intensifs et réguliers entre managers, dirigeants et opérationnels), et horizontal (via des confrontations de savoirs entre managers et fonctions de l’organisation autour d’un projet commun). Le rôle de la fonction de Contrôle Interne et de celle de gestion des risques s’inscrit clairement dans l’approche de contrôle interactif horizontal. Il faut néanmoins ajouter que les différents niveaux de contrôle nous permettent d’affirmer qu’il est en fait question de concomitance entre approche verticale (le contrôle de premier niveau évoqué dans le chapitre 2) et horizontale (les contrôles de second niveau ainsi que l’Audit Interne et la gestion des risques tels que décrits dans ce même chapitre).

Le schéma ci-après reprend les éléments clés du contrôle interactif tels que présentés par R. Simons. Pour cet auteur, les systèmes de croyances déterminent l’axe des valeurs de l’entreprise de la même manière que les systèmes de frontières (délimitation du champ d’intervention de l’entreprise) déterminent les risques à éviter dans le cadre du modèle stratégique. Ces deux premières composantes supposent de faire cohabiter les systèmes de contrôle interactifs (de type contrôle organisationnel) et les systèmes de contrôle de diagnostics (de type audit comptable et contrôle de gestion), les premiers ayant un impact sur le niveau d’incertitude stratégique auquel est soumise l’organisation et les seconds concernant la performance de l’entreprise.

Schéma 6 ‒ Système de contrôle interactif (d’après R. Simons, 1995)

Une telle approche du contrôle, loin d’être récente comme le montrent les travaux d’Ouchi (1977), a été reprise et développée récemment (Cappelletti, 2009).

Dans ce modèle (schéma 7) basé sur différents cas d’entreprises, Audit Interne, gestion de la qualité, systèmes de management et contrôle de gestion sont en interaction avec le Contrôle Interne des risques de l’entreprise. La nature de ces interactions est d’ordre horizontal et contribue à déterminer ce qu’est un contrôle des risques effectif et efficace. Il est effectif dès lors qu’il s’appuie sur une réelle implication des managers de l’entreprise et mobilise également les systèmes de contrôles orientés processus mais aussi performance de l’entreprise. Dans cette approche, il revient au Contrôle Interne des risques d’être l’acteur clé entre ces différents contrôles et les managers opérationnels en vue non seulement de répondre aux exigences réglementaires mais aussi de contribuer à la réduction des incertitudes entourant l’organisation et, par ce biais, d’améliorer sa performance durable.

Schéma 7 ‒ Modèle d’animation d’une fonction de Contrôle Interne, d’après Cappelletti, 2009

Section 2 • Les nombreux apports de la gestion des risques et du Contrôle Interne

La gestion des risques constitue un sujet d’attention stratégique, et de nombreux cas médiatiques démontrent une forte attention pour la capacité des entreprises à maîtriser leurs risques. Les quelques exemples exposés ci-après permettent de s’en rendre compte. Ces cas, illustratifs, se basent uniquement sur les articles et sources publiques auxquels ils font référence :

L’exemple de Daimler et des interdictions de vente de Mercedes en France

Le 12 juin 2013, le constructeur allemand Mercedes a fait l’objet d’une interdiction de vente en France de ses nouvelles versions des modèles Classe A, B et CLA. Les autorités françaises ont reproché au constructeur de ne pas respecter la directive européenne en date du 1er janvier 2013 sur les systèmes de climatisation (respect de normes environnementales). Cette directive étant prévue de longue date et connue des différents constructeurs, Mercedes apparaît comme fragilisée par rapport à ses concurrents. Une question centrale se posant est celle du coût d’opportunité. « Daimler/Mercedes a décidé de ne pas se conformer à ces exigences », indique dans un communiqué le ministère de l’Écologie. Cette situation s’analyse sous l’angle du coût d’opportunité : ne pas se conformer à une réglementation dont la mise aux normes implique des coûts, et prendre le risque de subir des sanctions (l’interdiction d’immatriculation en l’espèce). Si le constructeur a réussi, par voie de négociation, à obtenir l’accord d’autres pays voisins, une telle approche n’a pas fonctionné en France. Le coût de cette prise de risque se traduit par un manque à gagner important pour le constructeur (bien que difficilement chiffrable), s’agissant de ses modèles les plus vendus en France. In fine, l’entreprise aura réussi à obtenir la levée de l’interdiction après plusieurs mois de négociation.

Coût d’opportunité et arbitrage-risque : le cas des 24 heures du Mans, 195512

La course des 24 heures du Mans des 11 et 12 juin 1955 coûta la vie à un pilote français ainsi qu’à quatre-vingt spectateurs à la suite de la sortie de piste de l’une des voitures participantes qui s’est détériorée à l’approche des gradins et dont certaines pièces ont été projetées à forte vitesse.

Suite à ce drame, la décision fut prise de ne pas arrêter la course, ce qui aujourd’hui encore peut surprendre. Cette décision a eu lieu pour plusieurs raisons :

‒ L’argument financier : arrêter la course n’était possible dans le règlement que si la piste était impraticable. En l’espèce elle ne l’était pas. Stopper la course aurait donc supposé un non respect du règlement, donc le remboursement de l’ensemble des billets des spectateurs et des sommes engagées par les partenaires.

‒ L’argument sécuritaire : si la course avait été stoppée, des milliers de personnes se seraient retrouvées sur les routes au même moment, rendant très difficile l’intervention des secours arrivant et repartant en ambulance.

Après cet accident, la piste fut élargie en vue de dessiner des virages plus courts incitant les pilotes à freiner davantage. Le dispositif d’alerte est passé de 6 à 35 ambulances et un hôpital avec une salle d’opération a été installé sur place.

Le cas de Generali face au risque de détournement de fonds

En 2011, l’assureur italien a eu à faire face dans sa filiale française à un cas de tentative de détournement de fonds par l’un de ses collaborateurs, en charge de la gestion des contrats d’assurance. L’employé était alors soupçonné d’être membre d’un réseau présumé ayant tenté de détourner près de 1,2 million d’euros pour des faits remontant à 2009 : « C’est un cas ancien de fraude que notre direction du Contrôle Interne a détecté peu après qu’il soit survenu », a confirmé à l’AFP le directeur juridique de Generali, Michel Becker, dans un courrier électronique. L’assureur italien a alors déposé plainte « et la brigade financière a mené une enquête qui a permis d’identifier une personne suspecte parmi nos salariés », a-t-il poursuivi. Prudent, M. Becker rappelle que « la présomption d’innocence (…) doit être accordée au collaborateur en question jusqu’à la fin de l’enquête ». Generali se veut en outre rassurant vis-à-vis de ses clients. Cette affaire « n’implique aucune conséquence financière négative à l’égard de nos assurés », a assuré Michel Becker, soulignant que son groupe a toujours renforcé ses dispositifs de contrôle.13

Cette affaire, au-delà du cas spécifique, montre l’importance de mettre en œuvre un dispositif de Contrôle Interne efficace, y compris sur les cas de fraude interne, pouvant s’étendre sur plusieurs années et n’échappant pas à la nécessité d’investir dans une détection des éventuels cas de fraude.

La Banque Postale et le cas d’escroquerie14

La Banque Postale fut victime en 2016 d’une escroquerie de plus d’1,2 million d’euros impliquant notamment deux de ses anciens collaborateurs. Seize personnes ont été condamnées. Dans cette affaire, l’escroquerie se fondait sur le fait de dérober dans les boîtes aux lettres les relevés de comptes des clients, ensuite revendus à des intermédiaires achetant des renseignements sur les titulaires des comptes, obtenus avec la complicité des deux agents complice (condamnés à 18 mois de prison avec sursis dans cette première instance ainsi qu’à une interdiction d’exercer une activité bancaire pour une durée de trois ans). Ces données étaient ensuite utilisées par des complices qui achetaient de faux papiers pour ensuite procéder à des retraits d’espèces et à des virements en ciblant les comptes les plus aisés.

Ce cas rappelle que la fraude interne est à envisager comme un risque « ressources humaines » à part entière que peuvent faire peser des collaborateurs malhonnêtes ayant accès à des données sensibles. Les risques RH, comme d’autres risques, font ainsi l’objet de contrôle, notamment sur les processus ayant un impact en matière de sécurité financière, de données sensibles ou de données personnelles.

Section 3 • Les différents chantiers du Risk Management

>3.1. La gouvernance des risques

1 ‒ Origine et enjeux de la gouvernance

La gouvernance est, au départ, pour beaucoup, un concept abstrait qui donne de l’importance à ceux qui l’emploient à tel point que l’on peut se demander si ce ne serait pas un de ces mots ésotériques dont certains initiés se gargarisent.

L’objet de cet ouvrage est de démontrer que ce vocable, s’il peut être utilisé abusivement, correspond à une réalité. Notre pratique de la gouvernance nous mène à la conclusion que ce concept permet, dans un premier temps, une prise de conscience d’un fonctionnement et peut devenir vecteur de progrès dans un second temps. De même que la connaissance permet de mieux vivre, la connaissance de sa gouvernance permet de développer une vision stratégique. Nous espérons donc susciter chez le lecteur le désir de s’approprier ce concept concret dans son environnement de travail.

a ‒ Historique du concept

L’origine du mot est grecque : kubernân signifie « piloter un navire ou un char ». Il fut utilisé pour la première fois par Platon pour désigner le fait de gouverner les hommes. Il a donné naissance au verbe latin gubernare. Le mot latin a engendré en français les notions de gouverner, gouvernement, gouvernance, etc.

Le terme « gouvernance » a d’abord été utilisé au XIIIe siècle comme équivalent de « gouvernement » (art ou manière de gouverner) puis, à partir du XVe siècle, pour désigner certains territoires du Nord de la France dotés d’un statut administratif particulier, avant de s’appliquer aussi, dans un contexte purement domestique, à la charge de gouvernante.

Le mot est ensuite tombé en désuétude car il était associé à l’Ancien Régime. Il a été conservé, en revanche, par les Anglais qui l’avaient adopté au XIVe siècle, donnant naissance au terme governance (« action ou manière de gouverner »).

Governance a été utilisé dans les années 1990 par des économistes anglo-saxons dans le cadre d’une réflexion sur les dérives du système boursier. On recherchait alors qui avait la légitimité pour prendre les décisions qui engagent la structure.

Pour la gouvernance, la décision, au lieu d’être la propriété et le pouvoir d’un nombre réduit de personnes, doit résulter d’une participation des parties prenantes. La prise en compte des divers protagonistes (actionnaires, dirigeants, employés, etc.) constitue une des clés de la gouvernance.

La gouvernance peut être analysée comme un système démocratique de gestion car elle reprend, dans une logique de décision et d’administration, les ingrédients de la démocratie : pacte fondateur, égalité, participation.

À cette notion s’ajoute celle de développement durable apparue dans les années 70. Pour ce courant de pensée, la gouvernance doit prendre en considération toutes les dimensions de la modernisation économique tant pour ce qu’elle crée (produits/services) que pour ce qu’elle détruit et pour ce qu’elle coûte. Le développement des entreprises, la création de valeur économique doivent préserver l’avenir des générations futures.

L’idée d’une gouvernance mondiale apparaît, pour certains, comme seule réponse possible à la gestion des ressources naturelles…

Il n’est pas neutre que la réflexion sur la gouvernance apparaisse dans les années 70/80, soit après les révolutions « sexuelles » dans les pays occidentaux qui remettent en question un ordre établi où celui qui a l’autorité légitime l’exerce de manière unilatérale.

À partir de cette période, celui qui a l’autorité légitime, dans un groupe (chef de famille, chef d’entreprise, gouvernant…) est contesté dans son autorité s’il n’associe par les autres membres du groupe (épouse et enfants, salariés et consommateurs, société civile et média) à sa décision. La première vague de modernisation consiste donc à faire « participer » les acteurs à la décision et à les informer. C’est la notion de participation des parties prenantes à la décision.

Dans un deuxième temps, apparaît l’idée de nécessaires contre-pouvoirs ou organismes de contrôle. On parle alors de régulation, de contrôle et d’audit.

b ‒ La gouvernance d’entreprise

La gouvernance d’entreprise est l’ensemble des organes et règles de décision, d’information, de transparence et de surveillance permettant aux ayants droit et partenaires d’une institution de voir leurs intérêts respectés et leurs voix entendues dans le fonctionnement de celle-ci.

Cette notion fait appel à celle de « parties prenantes », base de la réflexion RSE (Responsabilité sociétale/sociale de l’entreprise) car elle implique de prendre en considération, dans la stratégie, les intérêts de l’ensemble des acteurs dans et autour de l’entreprise et plus uniquement, comme cela a pu être le cas, les intérêts des dirigeants et actionnaires.

Cette réflexion prend sa source aux États-Unis à la fin des années 1990, période d’exubérance boursière et de dérives de toutes sortes. Le scandale boursier de l’entreprise Enron, en 2001, constitue un cas d’école d’une gouvernance viciée. Lorsque le scandale éclate au grand jour, il suscite une prise de conscience collective du manque d’éthique de certains gouvernants d’entreprise. En effet, Enron affichait une croissance de 90 % chaque année en masquant ses dettes et en falsifiant sa comptabilité. Enron entraîne dans sa chute Andersen, cabinet international d’audit en charge de la certification des comptes qui a cautionné, par son inaction, les pratiques malhonnêtes des dirigeants.

En France, la réflexion sur la gouvernance conduit à la loi du 3 juillet 2008 portant diverses dispositions d’adaptation du droit des sociétés au droit communautaire. Cette loi vient renforcer les lois NRE (Nouvelles Régulations Économiques) et Sécurité financière. Elle accroît considérablement les obligations de transparence des sociétés en matière de gouvernement d’entreprise et de Contrôle Interne.

La gouvernance d’entreprise repose sur le concept de transparence des décisions, des qualités et intérêt à agir de chacun des acteurs de la décision et de transparence des informations financières, bien entendu.

Outre la sécurité financière et l’efficacité, la gouvernance peut être vue comme un moyen de préserver les intérêts de l’ensemble des parties prenantes. On intègre alors les salariés et la société civile parmi les personnes impactées par la décision. Il s’agit alors de veiller à l’information de chacun mais aussi à la responsabilisation des dirigeants.

c ‒ La gouvernance imposée par les lois et les réglementations

La gouvernance des acteurs doit s’adapter à des règles de décision reposant sur la délégation des pouvoirs et la responsabilisation à différents niveaux de l’organisation. Une telle conception s’accompagne systématiquement de dispositifs de contrôle pour s’assurer que les pouvoirs et les opérations délégués obéissent aux règles et entrent dans un cadre qui a été préalablement fixé.

Plusieurs lois et règlements sont élaborés pour éviter la fraude et les malversations des dirigeants d’entreprise afin de protéger les actionnaires.

La loi Sarbanes-Oxley

Le Sarbanes-Oxley Act (SOX), voté en juillet 2002 par le Congrès américain, est une loi qui organise la plus grande réforme dans le domaine financier depuis la crise économique de 1930.

Cette loi repose sur trois grands principes :

‒exactitude et accessibilité de l’information comptable et financière,

‒responsabilité,

‒indépendance des auditeurs.

Elle impose une analyse de l’environnement de Contrôle Interne de chaque société cotée, aboutissant à une évaluation du domaine comptable et financier sous la responsabilité du Directeur Général et du directeur financier.

De nombreuses obligations sont mises à la charge des dirigeants des sociétés cotées qui doivent publier des rapports trimestriels et annuels très détaillés.

Les dirigeants des sociétés doivent délivrer un rapport trimestriel et garantir que :

‒le rapport trimestriel a été étudié par leurs soins,

‒à leur connaissance, le rapport ne contient aucune fausse déclaration ni n’omet de déclarer un élément majeur lors de la publication des comptes,

‒à leur connaissance, les déclarations financières et autres renseignements financiers figurant dans le rapport reflètent la réalité financière.

En outre, les dirigeants doivent garantir que les processus de production et de publication des états financiers sont efficaces :

‒Il leur incombe d’établir et de maintenir des contrôles leur permettant d’avoir connaissance de toutes les informations importantes, particulièrement pendant la période au cours de laquelle est préparé le rapport périodique.

‒Ils doivent évaluer l’efficacité des contrôles sur le processus de production et de publication des états financiers dans les 90 jours qui précèdent la date de dépôt du rapport, et présenter, dans le rapport, leurs conclusions sur l’efficacité des contrôles.

‒Ils doivent signaler aux Commissaires aux Comptes et au Comité d’Audit toutes les anomalies significatives, en termes de conception et d’exécution du dispositif de Contrôle Interne, qui pourraient porter préjudice à la capacité de la société à enregistrer, traiter, résumer et publier des données financières ; toute faiblesse significative en termes de Contrôle Interne ; toute pratique frauduleuse, qu’elle soit ou non significative, qui implique la direction ou d’autres employés concernés par le dispositif de Contrôle Interne ; et l’existence ou l’absence de changements significatifs dans le dispositif de Contrôle Interne ou d’autres facteurs qui pourraient impacter le dispositif après la date de l’évaluation, et toutes mesures de correction sur les anomalies et faiblesses significatives.

En matière de Contrôle Interne, le Directeur général doit rédiger :

‒Une déclaration de responsabilité quant à la création et au maintien du dispositif de Contrôle Interne approprié.

‒Une déclaration sur les moyens mis en œuvre par la Direction générale pour évaluer l’efficacité du dispositif de Contrôle Interne de la société.

‒L’évaluation par la Direction générale de l’efficacité du dispositif de Contrôle Interne à compter de la fin de l’exercice fiscal le plus récent, avec une déclaration mentionnant si le dispositif de Contrôle Interne est efficace.

‒Le Commissaire aux Comptes doit attester d’avoir audité le dispositif de Contrôle Interne.

Les sanctions prévues sont très lourdes puisque toute irrégularité consciente ou involontaire est pénalisée et que les dirigeants encourent jusqu’à 20 ans d’emprisonnement.

La loi sur la Sécurité financière

À l’instar de la loi Sarbanes-Oxley, la loi de Sécurité financière se veut « une réponse, à la fois politique et technique, à la crise de confiance dans les mécanismes du marché et aux insuffisances de régulation dont le monde économique et financier a pris conscience suite à divers scandales financiers. »

La loi de Sécurité financière, votée le 1er août 2003, impose au Président du Conseil d’Administration ou de Surveillance de toute société anonyme de rendre compte :

‒ des conditions de préparation et d’organisation des travaux du Conseil,

‒ des procédures de Contrôle Interne mises en place au sein de la société.

Par conséquent, sous la responsabilité du Conseil d’Administration (ou de Surveillance), il revient à la Direction générale ou au Directoire de définir et de mettre en œuvre des procédures de Contrôle Interne adéquates et efficaces et d’en rendre compte dans un rapport spécifique.

La responsabilité civile collective des administrateurs / membres du Conseil de Surveillance peut être engagée, ainsi que celle du Directeur Général / Directoire, pour toute faute commise dans l’exécution de leur mandat (notamment en cas de défaut de Contrôle Interne).

Les rapports Viénot et Bouton

En France, deux rapports ont particulièrement développé et précisé la notion de gouvernance et de contrôle des entreprises ; ce sont les rapports de Marc Viénot (à l’époque Président-Directeur Général de la Société Générale) de juillet 1995 et juillet 1999 et de Daniel Bouton (à l’époque Président-Directeur Général de la Société Générale) en 2002.

On peut en retenir les grandes recommandations suivantes :

Une valorisation des administrateurs indépendants : choisis en raison de leurs compétences et de leur indépendance vis-à-vis des actionnaires, ils viendraient garantir une meilleure gestion. Ils constituent jusqu’à deux tiers des membres des conseils d’administration et sont rémunérés pour leurs fonctions.

La séparation des pouvoirs entre les fonctions de Président etcelles de Directeur Général vient sonner le glas de l’ancien PDG omnipotent.

Le rapport Bouton insiste sur le rôle de l’Audit Interne.

Le rapport Bouton axe également ses recommandations sur ladiffusion de l’information aux administrateurs.

Les deux rapports visent particulièrement la transparence del’information financière donnée aux actionnaires et militent pour la création de comités spécialisés au sein du Conseil d’Administration pour s’assurer que l’information financière et comptable est pertinente et fiable.

La Loi Breton de 2006 préconise que les Conseils d’Administration déterminent tous les éléments de rémunération des dirigeants d’entreprise, dont certains feront l’objet d’un vote en Assemblée Générale (par exemple les Indemnités de Fin de Carrière) alors que les rémunérations des dirigeants étaient jusque là adoptées en conseil d’administration, parfois via un comité des rémunérations.

Autres initiatives publiques ou privés sur la gouvernance

De nombreuses organisations ou principes réglementaires sont intervenues en matière de gouvernance d’entreprise en France ou en Europe.

On peut citer par exemple :

La Loi NRE (Nouvelle réglementation Economique) qui apporte des modifications sur le fonctionnement des instances dirigeantes et la limitation du cumul des mandats des administrateurs.

Des initiatives menées par des organismes privés comme l’Institut Montaigne avec son rapport de mars 2003 sur « mieux gouverner l’entreprise » ou l’IFA (Institut Français des Administrateurs) qui compte 1 200 membres et qui émet des recommandations pour les Conseils d’Administration des entreprises.

En 2004, l’OCDE (Organisation de Coopération et de Développement Économiques) a publié pour les états membres un rapport sur les « principes de gouvernement d’entreprise ». Approuvé en 1999 par les Ministres des pays de l’OCDE, ce rapport présente les grands principes et orientations dans le domaine de la gouvernance d’entreprise à l’échelon international.

Les directives européennes : Le comité d’audit (8éme directive)

L’article 14 de l’ordonnance n°2008-1278 du 08/12/2008 oblige les mutuelles de livre II du Code de la Mutualité ainsi que les institutions de prévoyance régies par le titre III du livre II du Code de la Sécurité sociale à se doter d’un comité d’audit. Selon la nouvelle législation, le comité d’audit est chargé, en plus de l’évaluation du processus d’élaboration de l’information financière, d’assurer le suivi des points suivants :

▪l’efficacité des systèmes de Contrôle Interne et de gestion des risques15 ;

▪le contrôle légal des comptes annuels et, le cas échéant, des comptes consolidés par les commissaires aux comptes ;

▪l’indépendance des commissaires aux comptes.

À la lecture des dispositions de l’article 14, le comité d’audit a également pour fonction de :

▪rendre compte régulièrement au Conseil d’Administration ou à l’organe de surveillance de l’exercice de ses missions et de l’informer sans délai de toute difficulté rencontrée ;

▪émettre une recommandation sur les commissaires aux comptes proposés à la désignation par l’assemblée générale ou l’organe exerçant une fonction analogue.

La mission du comité d’audit est étendue au-delà de sa charge de supervision de l’information comptable et financière, il est dorénavant un acteur essentiel du dispositif de gestion des risques. De ce fait, il s’inscrit dans une vraie démarche d’évaluation des procédures et de traitement des risques. Pour autant, le comité d’audit ne se substitue pas au Conseil d’Administration (ou de surveillance). Le comité d’audit est un organe d’instruction et d’étude qui n’a pas de pouvoir propre de décision, son rôle est à la fois de :

▪Préparer l’information que le Conseil d’Administration utilisera dans ses débats16.

▪Garantir la fiabilité de l’information comptable et financière.

▪Superviser et évaluer le dispositif de Contrôle Interne et de gestion des risques.

Ce dernier point est capital pour les mutuelles qui, du fait du durcissement de la réglementation, ont l’obligation de renforcer le contrôle de leurs activités. Les membres du comité d’audit ont donc pour mission de :

▪identifier les risques et vérifier que la cartographie des risques est mise à jour grâce à l’évaluation de certains indicateurs ;

▪étudier la concordance entre le dispositif de Contrôle Interne mis en place et la stratégie choisie par le Conseil d’Administration et par la Direction générale de la mutuelle.

Pour ce faire, les membres doivent travailler étroitement avec les commissaires aux comptes, le service d’Audit Interne et la direction financière de la mutuelle.

Dans le cas des mutuelles qui n’ont pas de service d’Audit Interne, le rôle du comité d’audit est d’autant plus capital qu’il est alors le seul acteur à évaluer et critiquer le dispositif de Contrôle Interne.

d) Indépendance et responsabilité du comité d’audit

Le comité d’audit est une émanation du Conseil d’Administration. À ce titre, l’indépendance entre le comité d’audit et la Direction générale est un critère fondamental pour qu’il puisse remplir sa mission.

Concernant la responsabilité des administrateurs du comité d’audit, Daniel Lebègue, Président de l’Institut Français des Administrateurs (IFA) de 2003 à 2014, indique : « En ce qui concerne la responsabilité des administrateurs membres du Comité d’Audit, il n’existe pas de responsabilité additionnelle ou aggravée pesant sur la tête des membres du comité d’audit ». L’AMF, dans son rapport sur le comité d’audit du 14 juin 2010 défend le même point de vue : « L’article L.823-19 du Code du commerce signifie que les agissements du comité d’audit doivent être rattachés à la responsabilité du Conseil, et non en qualité de membres du comité spécialisé »17.

Le rapport de l’AMF, dit groupe « de Place »

À la suite de la Loi de Sécurité Financière (LSF) du 1er août 2003 et notamment de son article 117, l’Autorité des Marchés Financiers (AMF) a confié, en avril 2005, à un groupe de travail « de Place » le choix et/ou l’adaptation d’un référentiel de Contrôle Interne à l’usage des sociétés françaises soumises aux obligations de la loi.

Le groupe de travail précis que la Direction générale ou le Directoire conçoivent le dispositif de Contrôle Interne qui fait l’objet d’une communication adéquate en vue de sa mise en œuvre par le personnel.

Le niveau d’implication des Conseils d’Administration ou de Surveillance en matière de Contrôle Interne varie d’une société à l’autre. Il appartient donc à la Direction générale ou au Directoire de rendre compte au Conseil (ou à son comité d’audit lorsqu’il existe) des caractéristiques essentielles du dispositif de Contrôle Interne. En tant que de besoin, le Conseil peut faire usage de ses pouvoirs généraux pour faire procéder par la suite aux contrôles et vérifications qu’il juge opportuns ou prendre toute autre initiative qu’il estimerait appropriée en la matière.

Le Contrôle Interne est d’autant plus pertinent qu’il est fondé sur des règles de conduite et d’intégrité portées par les organes de gouvernance et communiquées à tous les collaborateurs. Il ne saurait en effet se réduire à un dispositif purement formel en marge duquel pourraient survenir des manquements graves à l’éthique des affaires.

Le dispositif de Contrôle Interne, qui est adapté aux caractéristiques de chaque société, doit prévoir, en matière de gouvernance, une organisation comportant une définition claire des responsabilités, disposant des ressources et des compétences adéquates et s’appuyant sur des procédures, des systèmes d’information, des outils et des pratiques appropriés.

e ‒ Les lignes directrices en matière de gouvernance de l’OCDE

Comme nous l’avons vu plus haut, 12 lignes directrices proposées par l’OCDE complètent les principes révisés de gouvernement d’entreprise de 2004 :

•L’identification des responsabilités (définition des pouvoirs).

•Le fonctionnement des structures de décision (Directeur, Conseil d’Administration, Conseil de surveillance…).

•Les fonctions et responsabilités des Conseils d’Administration en matière de contrôle, de supervision, de compétence et d’efficacité.

•La composition et le professionnalisme des membres administrateurs salariés ou non salariés (durée du mandat, sélectivité, qualification…).

•La responsabilité et le périmètre d’actions des membres du Conseil d’Administration (tenue de réunions régulières, information et communication, relation avec les parties prenantes).

•Le rôle et les missions de l’actuaire (normes actuarielles, responsabilités, contrôle…).

•L’intervention des Commissaires aux Comptes (« fonction d’alerte » sur les comptes sociaux).

•La protection des assurés dans le cas des assureurs mutualistes.

•La diffusion externe des informations aux parties prenantes.

•La notion de recours (permettre aux assurés de saisir à tout moment les autorités de contrôle).

f ‒ Les recommandations de l’autorité de contrôle des assurances (devenue l’ACPR)

En 2005, la CCMIP (ancien nom de l’autorité de contrôle prudentiel) relance l’étude menée en 2003 par la CCA (Commission de Contrôle des Assurances) sur le rôle de surveillance de l’autorité de contrôle en matière de gouvernance sur ses membres en l’étendant aux seuls problèmes de gouvernance des institutions de prévoyance et aux mutuelles (article L951.2 du Code de la Sécurité sociale et L 510-3 du Code de la Mutualité).

La mission du groupe de travail a permis alors de fixer quelques lignes directrices sur le rôle, les missions et le périmètre d’action des structures de gouvernance.

Plus exactement, dans son chapitre sur l’organisation et le fonctionnement des pouvoirs, l’autorité de contrôle réaffirme le rôle central du Conseil d’Administration dans la conduite stratégique des affaires de la mutuelle. Plusieurs recommandations sur la sélection, la formation et l’indépendance des administrateurs sont émises.

Un autre sujet ‒ au cœur de la gouvernance ‒ fait l’objet d’une recommandation : l’équilibre des pouvoirs entre le Conseil d’Administration et la Direction générale. Là encore, l’Autorité de contrôle recommande que le Conseil d’Administration définisse une liste de décisions stratégiques qui ne peuvent pas être déléguées au Directeur Général.

g ‒ Les spécificités sectorielles : exemple dans les domaines de l’assurance et de la mutualité

La directive Solvabilité II (2009/138/CE)

Force est de constater que les années à venir s’annoncent riches en changements pour les sociétés d’assurance, les mutuelles et les instituts de prévoyance européens. En effet, les groupes d’assurance cotés doivent, comme toutes les sociétés cotées de l’Union Européenne, appliquer le nouveau référentiel comptable IFRS (dont la phase 1 d’IFRS 4, relative à la classification des contrats d’assurance). De plus, sous l’impulsion bâloise, il est apparu nécessaire de repenser le système de solvabilité des assureurs à travers l’élaboration de la directive européenne Solvabilité II applicable depuis le 1er janvier 2016.

Les principes retenus pour la mise en place de Solvabilité II résident dans la capacité de l’organisation cible à fournir aux autorités de contrôle les outils et les moyens d’évaluer la solvabilité générale par :

•une approche prospective, basée sur les risques dits quantitatifs (ex. couverture du programme de réassurance, adéquation entre les actifs et les passifs (ex. : ALM, etc.) ;

•un processus opérationnel sur la gouvernance, le système deContrôle Interne et la gestion des risques (ex. défaillance des systèmes d’information, fraude, etc.) fondé sur une approche semi-quantitative ou qualitative.

Dans son pilier 2, le projet impose en particulier la mise en œuvre de procédures de Contrôle Interne du management opérationnel : processus de décision, personnes et responsabilités, sécurité physique, etc.

En matière de gouvernance, les articles 41 à 49 de la Directive énoncent les grands principes.

Les articles 42 et 43 de la Directive sur l’honorabilité et les compétences des personnes, demandent que les organismes s’assurent par des procédures spécifiques que les dirigeants élus ou administratifs (mais également des personnes clés comme l’actuariat et l’Audit Interne) possèdent un niveau de compétence, de qualification et de réputation irréprochables (principe en anglais de « fit and proper » qui est prévu à l’article L 114-21 du Code de la mutualité). Une obligation leur est faite de communiquer tout changement dans la gouvernance à l’autorité de contrôle.

Les articles 47 et 48 qui sont le véritable outil de supervision du dispositif de gouvernance, indiquent que la fonction actuarielle et la fonction d’Audit Interne émettent un avis d’expert sur le système de Contrôle Interne et le pilotage technique de l’organisme.

Les décrets spécifiques pour les secteurs de l’assurance et les mutuelles

Le décret n° 2005-7 du 3 janvier 2005

Ce décret impose la rédaction par le président du Conseil d’Administration d’un rapport annuel sur le Contrôle Interne mis en place. Certains principes de la LSF sont donc transposés aux mutuelles. À noter également que depuis 1993, les mutuelles du régime obligatoire doivent disposer d’un Contrôle Interne des risques financiers.

Le décret n° 2006-287 du 13 mars 2006

Il modifie le Code des Assurances et impose aux sociétés d’assurances :

•La mise en place d’un dispositif de Contrôle Interne conformeaux dispositions imposées par ce décret.

•Un rapport annuel sur les dispositifs de Contrôle Interne à destination de l’autorité de tutelle et validé par le Conseil d’Administration ou de surveillance.

Le décret n°2008-468 du 19 mai 2008

Il faut attendre le décret du 19 mai 2008 pour que l’obligation de mettre en place un dispositif de Contrôle Interne soit étendue aux mutuelles. Elles doivent également rendre annuellement à l’Autorité de Contrôle Prudentiel (ACP) un rapport de Contrôle Interne. Le renforcement de la législation française fait preuve d’une certaine anticipation de nouvelles contraintes réglementaires liées à l’adoption de la directive européenne Solvabilité II.

2 ‒ Comment s’intègre le dispositif de Contrôle Interne au sein de la gouvernance ?

Si les missions attribuées au Contrôle Interne sont claires, son intégration au sein de l’organisation est plus délicate à cerner. Il convient alors de s’interroger sur la place qu’il doit prendre et sur ses interactions avec les organes de contrôle et les services opérationnels.

a ‒ Rappel sur le rôle du Contrôle Interne

Le Contrôle Interne a pour mission de garantir une assurance raisonnable quant à :

•la réalisation et l’optimisation des opérations et des processus ;

•la fiabilité des informations financières ;

•la traçabilité des opérations effectuées ;

•la conformité aux lois et réglementations en vigueur.

Schéma 8 ‒ Les différents niveaux de contrôle

À ces fins, le Contrôle Interne met en place et supervise les procédures de maîtrise des activités sur plusieurs niveaux :

▪Niveau 0 : le contrôle est réalisé par l’opérationnel qui vérifie la validité des informations, la présence des pièces justificatives, la cohérence des informations, etc. (auto-contrôle) ou par au autre opérationnel (contrôle mutuel).

▪1er niveau : le contrôle est exercé par le supérieur de l’opérationnel en charge de la tâche (contrôle de supervision).

▪2ème niveau : le service de Contrôle Interne :

▪traite de façon permanente les informations relatives à la maîtrise des risques ;

▪supervise la conformité des opérations avec les réglementations en vigueur et avec la stratégie définie par le Conseil d’Administration et la Direction générale ;

▪évalue l’efficacité des dispositifs de contrôle.

▪3ème niveau : l’Audit Interne évalue de façon périodique l’efficacité et la pertinence du dispositif de Contrôle Interne. Les missions d’audit permettent également de veiller au respect des règles de fonctionnement et des réglementations. Enfin, l’Audit Interne rapporte directement auprès du comité d’audit, auquel il transmet ses recommandations éventuelles d’amélioration du dispositif de Contrôle Interne.

b ‒ Qu’est-ce qu’une filière de contrôle ?

Pour mettre en place un dispositif de Contrôle Interne, des filières de contrôle par activité ou par risque sont créées. Ces filières ont pour fonction de transmettre au service de Contrôle Interne les informations nécessaires aux contrôles des différents processus. Chaque filière possède un responsable qui détermine les acteurs (techniciens SI, gestionnaires, etc.) devant effectuer les contrôles. Il vérifie également le respect des procédures de contrôle par ces mêmes acteurs.

Les différentes filières du dispositif de Contrôle Interne créent une circulation à la fois transversale et horizontale au sein de l’organisation. Le dispositif de Contrôle Interne est un projet fédérateur puisqu’il contribue au rapprochement des métiers et facilite la communication entre les opérationnels et le top management.

c ‒ Auprès de qui le service de Contrôle Interne doit-il rapporter ?

Il existe presque autant d’organigrammes possibles que de mutuelles pour structurer un dispositif de Contrôle Interne. Cependant, nous avons retenu deux types d’organisations qui permettent au Contrôle Interne de jouer pleinement son rôle.

Schéma 9 ‒ 1er modèle d’organisation : le Contrôle Interne est rattaché à la Direction financière

Dans ce scénario, le service de Contrôle Interne dépend directement de la Direction financière. De ce fait, l’interlocuteur direct du responsable du Contrôle Interne est le directeur financier auprès de qui il effectue le reporting. Cette organisation permet au Contrôle Interne, de par sa proximité, de vérifier pleinement la qualité de l’information comptable et financière.

Un deuxième modèle est le rattachement du Contrôle Interne à la Direction générale (voir schéma 10 ci-dessous).

Schéma 10 ‒ 2ème modèle d’organisation : le Contrôle Interne est rattaché à la Direction générale

Le rattachement direct à la Direction générale permet au service de Contrôle Interne de bénéficier d’une plus grande indépendance par rapport aux autres directions, ce qui lui permet d’avoir une plus grande légitimité dans la vérification de l’application de la stratégie générale fixée par le Conseil d’Administration.

Dans tous les cas, le service de Contrôle Interne doit être sollicité régulièrement par le Conseil d’Administration, auprès duquel il rend compte notamment des points suivants :

•Niveau de maîtrise des risques au sein de la mutuelle.

•Conformité aux lois, règlements et normes professionnelles.

•Maîtrise des activités.

•Etc.

De plus, comme nous l’avons déjà mentionné, l’efficacité du dispositif de Contrôle Interne doit être évaluée par l’Audit Interne ou le Comité d’Audit et par les commissaires aux comptes. De ces évaluations découlent naturellement plusieurs recommandations visant à améliorer le dispositif de Contrôle Interne et la maîtrise des activités.

>3.2. La Comitologie associée à la gouvernance

La comitologie constitue dans les entreprises la manière dont les organisations mettent en œuvre des processus de gouvernance adaptés et formalisés, notamment via différents comités, constitués de membres de la gouvernance opérationnelle (Direction générale notamment, membre du comité de direction) ou politiques (administrateurs) ainsi que d’experts opérationnels ou issus de fonctions dédiées au Contrôle Interne : directeur des risques, directeur du Contrôle Interne, responsable contrôle permanent, responsable Audit Interne, compliance officer, responsable sécurité informatique, etc.

On note qu’il existe dans les organisations des comités d’audit, prévus par la réglementation, mais aussi une tendance au développement de comités dédiés au Contrôle Interne et à la gestion des risques (lesquels se réunissent souvent à fréquence trimestrielle voire mensuelle dans les entreprises ayant le plus investi dans ces sujets).

Ainsi, on pourra citer les comités des risques, composé des membres de la gouvernance, des opérationnels concernés (Directeur SI, directeur commercial, directeur financier, etc.) et des Risk Managers, dont le rôle est le suivant :

‒statuer sur les principaux risques de l’entreprise, et revoir le cas échéant la priorisation des cartographies des risques en se fondant notamment sur différents indicateurs de risques ;

‒passer en revue les évolutions importantes de l’organisation, faits marquants, nouveaux projets majeurs, justifiant d’une attention particulière en termes de gestion des risques ;

‒passer en revue les incidents significatifs sur une période donnée ;

‒passer en revue les avancements de plans de contrôle permanent de second niveau ;

‒passer en revue les réponses aux recommandations d’audit avec un scoring risque élevé ;

‒revoir, mettre à jour ou définir des politiques de Contrôle Interne et de gestion des risques adaptées aux évolutions de l’organisation ;

‒définir ou revoir l’appétence aux risques, c’est-à-dire les risques acceptés en l’état et les risques à traiter, à piloter.

Nous préconisons une tenue a minima trimestrielle des comités des risques, toutefois, dans des organisations avec un suivi précis des risques, la fréquence mensuelle semble adaptée pour insuffler une réelle dynamique et une réelle logique de responsabilisation dans l’entreprise sur les risques. Cela évite aussi un désintérêt pour les sujets de risques opérationnels qui sont le quotidien des organisations et nécessitent une attention à fréquence plus soutenue que trimestrielle, quitte à avoir des comités davantage axés « gouvernance » à fréquence plus éloignée et des comités davantage axés « suivi » à fréquence plus forte.

Au besoin, des comités thématiques peuvent également être mis en place :

‒comité sécurité financière (blanchiment, corruption, lutte contre la fraude, etc.),

‒comité conformité et déontologie,

‒comité des investissements et risques financiers,

‒comité risques fournisseurs et achats, appels d’offres,

‒comité de suivi des contrôles permanents, etc.

>3.3. Les reportings et l’enjeu du pilotage

Comme l’illustrent les tableaux ci-après, extraits des rapports ORX sur le risque opérationnel, il existe différentes manières de représenter le coût du risque opérationnel.

Tableau 3 ‒ Pertes liées au risque opérationnel,
classement des montants de pertes moyennes par ligne d’activité

Type d’activité

Perte moyenne par événement
de risque opérationnel majeur

Rang

Corporate Finance

1 865 106 €

1

Trading and Sales

810 031 €

2

Asset Management

720 984 €

3

Commercial Banking

454 252 €

4

Private Banking

343 414 €

5

Retail Brokerage

299 649 €

6

Agency Services

235 366 €

7

Clearing

219 855 €

8

Retail Banking

210 558 €

9

Source : 2012 ORX Report on Operational Risk Loss Data

Tableau 4 ‒ Pertes liées au risque opérationnel,
classement des montants de pertes pour 100 euros de revenu brut par activité

Type d’activité

Perte brute liée au risque
opérationnel pour 100 euros
de revenus bruts

Rang

Trading and Sales

3,04 €

1

Private Banking

2,24 €

2

Asset Management

2,03 €

3

Retail Brokerage

1,88 €

4

Corporate Finance

1,74 €

5

Agency Services

1,67 €

6

Retail Banking

1,31 €

7

Commercial Banking

1,24 €

8

Clearing

0,65 €

9

Source : 2012 ORX Report on Operational Risk Loss Data

>3.4. Les processus et les procédures associées

Il convient également, au-delà des politiques et de la gouvernance associées aux risques, de définir des procédures dédiées, au titre desquelles on peut citer a minima :

‒la procédure de collecte, déclaration et traitement des incidents opérationnels, définissant les incidents devant être remontés par les opérationnels à la fonction risques, les actions à mener en fonction de seuils d’exposition aux risques, les cas particuliers devant être transmis à des services dédiés (fraude, corruption, blanchiment, déontologie, risques RH, incidents de sécurité SI, etc.) ;

‒les procédures de contrôle permanent, définissant des contrôles automatiques paramétrés dans les outils (de type gestion d’alerte par seuil et par scénario comme cela existe pour la lutte anti-blanchiment ou pour les flux comptables) ou des contrôles manuels à réaliser par les métiers, par date, par domaines et par type de contrôle (préventif, détectif, post-opération, avant saisie, etc.) ;

‒les procédures d’analyse et de cartographie des risques, notamment opérationnels, définissant les seuils de mise en œuvre de plans d’action et de moyens de maîtrise en fonction des risques prioritaires ;

‒les procédures dédiées à certains risques, notamment remontée d’alertes sur incidents de sécurité SI, etc.

Il existe en somme potentiellement autant de procédures que de domaines d’application des risques. Il convient de rester pragmatique pour avoir le bon niveau de procédure, ne pas chercher à tout formaliser sans priorisation, et surtout prévoir des procédures maintenables, ni trop courtes ni trop longues, et tenant compte des spécificités et de la taille de l’organisation concernée, de la nature et de la complexité de ses risques et de ses exigences réglementaires notamment.

>3.5. La gestion des fraudes

De nombreux cas médiatiques récents illustrent la nécessité de ne pas relâcher les efforts en matière de lutte contre la fraude. Le dernier baromètre du Risk Manager (Amrae, 2015) situe la fraude dans les premières préoccupations des Risk Managers, bien avant les risques de gouvernance ou les risques stratégiques et financiers. D’autres études, (EY, 2014 ; UFC-Que Choisir 2014, PWC, 2015) insistent sur le fait que la fraude reste un enjeu clé, bien souvent sous-estimé, et pour lequel une attention continue reste nécessaire, les schémas de fraude évoluant et les fraudeurs se professionnalisant.

Fixer des orientations en matière de lutte anti-fraude : le rôle des politiques de gestion des risques et Contrôle Interne.

18Une première étape consiste à définir une ou des stratégies de lutte anti-fraude. Cette dernière doit être réalisée en cohérence avec les orientations présentes dans la politique de gestion des risques et de Contrôle Interne de l’entreprise, pouvant intégrer ce type d’orientations. Cela suppose de répondre en pratique à certaines questions clés (qui, incidemment, ne concernant pas uniquement le risque de fraude) :

‒Quelles sont les activités les plus susceptibles de subir un risque de fraude ?

‒Quelles activités sont jugées critiques et à sécuriser en priorité au regard de fraudes potentielles ou de la connaissance des cas avérés ?

‒Quelles limites de risques fixer : à partir de quand est-il rentable d’investir dans la lutte anti-fraude voire de traiter un cas de fraude (au regard du coût de la fraude et de la probabilité de survenance des cas ainsi que du coût de la détectabilité des cas) ?

‒Quels cas de fraude doivent impliquer une réponse de l’entreprise et un traitement prioritaire, même pour des cas peu coûteux, du fait de leur impact image/réputation et réglementaire ?

La réponse à ces questions implique de définir différentes stratégies, pouvant être adoptées indépendamment ou être complémentaires selon les cas.

Tableau 5 ‒ Quelques stratégie de lutte anti-fraude

Stratégie
proposée

Définition et objectifs

Déclinaison de la stratégie

Stratégie
orientée
conformité

Stratégie visant à répondre essentiellement aux obligations de conformité de l’entreprise en cas de suspicion ou de détection de fraude : telle que la déclaration auprès des autorités publiques notamment en charge de la répression des fraudes et de la lutte anti-blanchiment.

Transmission aux autorités de contrôle et brigades de lutte anti-fraude des dossiers de fraude constitués (détails des opérations et activités concernés, résultats des contrôles, éléments de preuve associés).

Stratégie
orientée
recouvrement
financier et
ROI

Stratégie visant à recouvrer tout ou partie des sommes perdues au titre des cas de fraude.

Mise en place d’actions de recouvrements amiables ou pré-contentieux (huissier, société de recouvrement).

Mise en place d’actions de recouvrement contentieuses (action civile).

Stratégie
orientée
dissuasion

Stratégie orientée sur une réponse ferme et sur une coercition des fraudeurs. La potentialité de la sanction est au coeur de la réponse apportée. L’objectif de recouvrement des sommes fraudées étant ici secondaire ; les impacts image et réputation pour l’entreprise et la volonté d’enrayer rapidement une pratique frauduleuse priment.

Communication interne et externe à l’entreprise en termes de vigilance fraude / Alerte des clients sur les fraudes pouvant survenir.

Action pénale et civile.

Communication d’informations inter-entreprise / intra-groupe et coopération étroite avec les pouvoirs publics.

Stratégie
orientée
prévention

Stratégie visant à mettre en oeuvre des actions d’analyse des (nouveaux) clients avant de leur fournir un service et/ou de leur vendre un produit et/ou de bénéficier d’une prestation… L’objectif est de déterminer si la personne qui entre en contact avec l’entreprise a une identité réelle et à laquelle on peut faire confiance.

Mise en place d’actions d’analyse des informations collectées dans le cadre du processus de vente, d’enrôlement et/ou durant la vie du contrat.

Ces données peuvent être enrichies avec des données internes et /ou externes. Un outil s’appuiera sur des règles, scoring et autres analyses pour déterminer les cas à risque. Ils seront étudiés par un analyste qui validera ou non la demande.

Stratégie
orientée
supervision
des flux

Stratégie visant à superviser en temps réel des flux financiers directs ou indirects. L’objectif est de détecter des comportements atypiques qui font penser à une fraude réalisée par ou l’encontre du détenteur du service.

Mise en place d’une collecte des flux et d’outils d’analyse de comportement. Les comptes client qui ressortent comme ayant un comportement atypique se voient restreindre leur usage avant une décision quant à la fermeture du service par un analyste.

Tableau 6 ‒ La fraude dans les télécoms19

Type
d’activité

Exemples de fraudes
possibles

Actions de prévention
envisageables

Actions de protection
envisageables

Appels et SMS générés par les clients

Fraudes aux appels et SMS surtaxés : le fraudeur génère des appels / SMS en masse vers des numéros surtaxés (ex : 4,5 € le SMS). Il est en relation avec le propriétaire du service surtaxé. Il ne paie pas les factures générées de plusieurs milliers d’euros.

Contrôle des nouveaux clients qui acquièrent des lignes.

Blocage a priori de certains flux payants pour les clients inconnus qui n’ont pas d’historique.

Charte déontologique et actions de lutte contre la fraude des éditeurs de service.

Analyse des flux d’appels et de SMS pour détecter les comportements atypiques.

Blocage des flux le plus rapidement possible pour limiter la perte.

Refus de payer les gains au service qui a bénéficié de la fraude car ce ne sont pas des communications normales.

Vente de packages ligne mobile + smartphone

Fraudes aux smartphones dans les offres : le fraudeur va acquérir un pack en payant seulement 20 % du téléphone. Il ne paie aucune facture liée à son engagement de 24 mois.

Contrôle des nouveaux clients qui acquièrent des lignes.

Demande de garanties : avance sur consommation, paiement plus élevé du mobile avec remboursement ultérieurement.

Actions contre les mauvais payeurs : recouvrement, plainte, etc.

Interdiction de souscrire une nouvelle ligne sans paiement de la dette.

Forfait SMS illimités

Spam SMS : envoie de SMS en masse à des numéros pour faire appeler un numéro surtaxé sans service associé

Interdiction des envois en masse dans les conditions générales.

Contrôle des nouveaux clients qui acquièrent des lignes.

Analyse des flux en temps réel des envois de SMS par ligne pour détecter des comportements anormaux.

Suspension des lignes.

Usage télécom

Fraudes au PBX : le fraudeur utilise le réseau télécom d’une entreprise pour générer des appels surtaxés ou revendre des flux. L’entreprise constate une augmentation de ses factures.

Une entreprise doit piloter son réseau télécom : interdire les appels payants, fermer certaines plages horaires…

Mettre en place une supervision anti fraude commune avec son opérateur.

Analyse des flux télécoms d’une entreprise pour détecter des appels atypiques.

Prévenir l’entreprise que certaines lignes ont un comportement anormal.

Action de l’entreprise pour rechercher les failles : boîte vocale, outil paramétrage…

1 ‒ La fraude dans les mutuelles santé

a ‒ Comment lutter contre la fraude ?

La réforme de l’Assurance Maladie a mis en lumière la nécessité d’agir face à la recrudescence de la fraude. Depuis, de nombreuses mutuelles ont mis en place des dispositifs de lutte contre la fraude.

La CNAMTS a élaboré un programme d’actions de lutte contre la fraude, auquel les mutuelles délégataires du régime obligatoire ont été associées. Dans le cadre du Plan de Contrôle Interne, les mutuelles gestionnaires du régime obligatoire mènent un certain nombre d’actions afin de lutter contre la fraude.

Types de fraude :

Les principaux types de fraude qui touchent les mutuelles se répartissent en trois catégories :

• Fraude Adhérents :

▪abus et fraudes à la carte Vitale (usurpation des droits, utilisation de cartes Vitales perdues ou volées pour obtenir un remboursement) ;

▪doubles ou multiples paiements frauduleux ;

▪fraude à la facturation ;

▪fausses déclarations (CMU, rentes AT, pensions d’invalidité) ;

▪méga-consommant ;

▪fraude des traitements de substitution des dépendances aux opiacés, etc.

• Fraude Tiers :

▪facturation d’actes fictifs (médecin, dentiste, infirmier, etc.) ;

▪quantité de médicaments délivrée non conforme avec la prescription ;

▪fraude des établissements ;

▪fourniture de certificats de complaisance ;

▪facturation de transport fictif, etc.

• Fraude Interne :

▪falsification de chèques ;

▪falsification de RIB ;

▪détournement de prestations en espèces ;

▪détournement de capitaux.

La fraude consiste dans la plupart des cas en un contournement du dispositif de Contrôle Interne. C’est pourquoi il est nécessaire de mettre en place plusieurs mesures visant à limiter la vulnérabilité de la mutuelle.

Sept actions simples à mener pour limiter la fraude

1. Contrôler :

Renforcer le rôle du comité d’audit et de l’Audit Interne qui supervisent le projet de lutte contre la fraude.

2. Identifier :

Évaluer les zones d’exposition aux risques (cartographie des risques de fraude), puis identifier les moyens de contrôle.

3. Définir :

Se doter d’un code de bonne conduite définissant les valeurs et la conduite éthique attendues pour chacun des employés.

4. Réagir :

Définir un plan de réaction en cas de détection de fraude (signalement, contrôle).

5. Former :

Former l’ensemble du personnel et communiquer au sujet des enjeux de la lutte contre la fraude.

6. Examiner :

Mettre en place une politique RH adaptée : les services de ressources humaines doivent examiner les antécédents du personnel recruté (qualification, références, éthique).

7. Faciliter :

Mettre à disposition des salariés, des adhérents et des tiers, un moyen d’indiquer de façon anonyme une fraude à la mutuelle.

Schéma 11 - Exemples de scenarii de fraude

a. Fraude externe

Un adhérent reçoit une prestation médicale. Le praticien lui transmet une feuille de soin pour le remboursement. L’adhérent copie et falsifie la feuille de soin qui lui sert à effectuer plusieurs demandes de remboursement espacées dans le temps, pour la même et unique prestation. Les contrôles possibles peuvent porter sur la qualité du praticien, sur l’existence de feuilles de soin, sur l’analyse des versements de même montant, de même nature, etc.

b. Fraude interne

Un salarié passe de fausses commandes auprès d’un fournisseur complice. La mutuelle effectue le versement au bénéfice du fournisseur qui reverse une part au salarié.

Des contrôles sur les factures, la justification des dépenses, l’intégrité des fournisseurs, ainsi que des procédures d’achat avec seuils de validation et passage en appel d’offre au-delà de certains montants peuvent être mis en place.

La mise en place d’un dispositif anti-fraude

L’instauration d’un système interne visant à réduire la fraude est un chantier important. Il est nécessaire que la Direction générale s’implique dans ce projet et y fasse adhérer toute l’organisation. La mise en place d’un dispositif de lutte contre la fraude se déroule en plusieurs étapes :

1. Créer une équipe projet

Le projet doit être conduit par une équipe dédiée comprenant des spécialistes en fraude et en contrôle ‒ internes ou externes à l’entreprise ‒ et des directeurs opérationnels.

2. Établir un planning prévisionnel

Les phases suivantes du projet doivent être planifiées. La direction doit aussi mettre en place un plan de communication interne afin de sensibiliser l’ensemble du personnel concerné par le projet.

3. Diagnostic

Des actions d’identification permettent de cerner l’exposition de la mutuelle au risque de fraude et de cibler les zones sur lesquelles porteront les améliorations.

4. Élaboration d’un programme d’amélioration

Des actions d’amélioration du contrôle doivent être planifiées dans le but de diffuser une culture de lutte contre la fraude et de renforcer les processus présentant des vulnérabilités.

5. Mise en œuvre du dispositif

Des règles de fonctionnement sont déployées dans les fonctions opérationnelles en vue de renforcer la vigilance face aux actes de fraude, et un dispositif d’alerte est mis en place permettant au personnel de faire part anonymement des anomalies qu’ils constatent et pouvant donner lieu à des investigations.

6. Audits de conformité

Les services font l’objet d’interventions visant à évaluer le respect des règles, le bon fonctionnement de l’entité et à émettre des recommandations.

>3.6. Développement durable dans la gestion des risques

De nombreuses raisons incitent à saisir les opportunités qu’offre la montée en puissance du développement durable dans notre société. Dans ces temps très mouvementés, de nouvelles chartes et ordonnances font leur apparition pour réglementer et engager les entreprises vers une démarche de croissance pérenne. Ainsi, la charte développement durable de l’AFA du 20 janvier 2009 imposant aux acteurs du monde de l’assurance de nouveaux objectifs qualitatifs de responsabilité sociétale en est le parfait exemple. Elle s’inscrit dans une démarche novatrice, porteuse de sens dans un secteur d’activité aux valeurs profondément ancrées dans la sphère sociale.

1 ‒ Qu’est-ce que la Responsabilité Sociétale d’Entreprise (RSE) ?

La Responsabilité Sociétale d’Entreprise est la déclinaison pour l’entreprise des concepts de développement durable, intégrant les piliers environnementaux, sociaux, et économiques, dans leurs activités et dans leurs interactions avec leurs parties prenantes.

L’engouement pour la RSE, accéléré par un besoin croissant d’assainissement du monde des affaires, correspond à des problématiques d’entreprises émergentes : le développement durable se matérialise au sein des entreprises, les enjeux liés à la conformité s’imposent à tous, les réglementations en matière de protection de l’environnement se durcissent. Ainsi, l’entreprise se voit aujourd’hui grandement incitée à mettre en place des politiques et des indicateurs de développement durable afin de piloter ses pratiques sociales et environnementales.

2 ‒ Quels sont les objectifs et les enjeux de la RSE ?

La RSE implique de nombreux facteurs de compétitivité, chacun d’entre eux représentant de réels leviers de création de valeur pour les entreprises :

• Optimiser la dimension humaine

Créer une démarche fédératrice et canalisatrice des forces vives de l’entreprise, par une vision qui mobilise les équipes et transcende toute l’entreprise, parce qu’elle est fondée sur des valeurs positives et qu’elle représente un fort vecteur de cohésion interne.

• Augmenter le chiffre d’affaires

Adapter ses produits au marché, face à des consommateurs de plus en plus sensibles aux conditions de fabrication des produits et au respect de l’environnement, permettant ainsi de capturer de nouveaux clients et de déplacer le chiffre d’affaires de ses concurrents vers ses propres produits.

Se procurer des opportunités de partenariats commerciales et économiques, grâce à l’obtention de sources d’informations stratégiques.

• Réduire les risques et les coûts

Optimiser son processus de production, afin de déployer une culture de l’économie et augmenter sa rentabilité.

Protéger son marché, grâce à une mise en conformité permanente et un lobbying efficace pour faire face aux contraintes réglementaires croissantes.

• Adapter son business model aux évolutions rapides du marché

Construire une entreprise innovante et souple, capable, grâce à un pilotage efficace et optimal, d’anticiper les transformations des business models et de la préparer aux métiers et aux façons de consommer de demain.

3 ‒ Quelle est la législation RSE en vigueur ?

Très tôt, la notion de développement durable a été retranscrite dans la loi française.

Ainsi, l’article 116 de la loi n°2001-420 du 15 mai 2001 relative aux nouvelles régulations économiques (loi NRE) impose aux sociétés cotées de mentionner des informations sur la manière dont elles prennent en compte les conséquences sociales et environnementales de leur activité. La liste est fixée par décret en Conseil d’État et comprend par exemple la consommation de ressources, les démarches d’évaluation ou de certification entreprises en matière d’environnement, les embauches, etc. Cet article a été à l’origine de la dotation par de nombreuses entreprises d’un rapport spécifique développement durable, d’outils de pilotage et de reporting liés au développement durable.

En 2010, la loi d’Engagement National pour l’Environnement (ENE ou Grenelle II) publiée au JO du 13 juillet 2010 confirme cette nouvelle contrainte pour toutes les entreprises de plus de 500 salariés et l’ensemble des collectivités, ainsi que la mention de critères extra-financiers dans la gestion d’actifs. Elle impose également des mesures liées à la lutte contre le réchauffement climatique, telles que la réalisation d’un bilan carbone tous les trois ans accompagné d’un plan d’actions, la réalisation de diagnostic et de travaux d’amélioration de performance énergétique.

4 ‒ Comment mettre en place une stratégie RSE efficace ?

La mise en place dès aujourd’hui d’une politique efficace de RSE, afin de transformer les risques liés à ces futures contraintes en réels bénéfices, s’impose donc désormais comme une priorité pour les organisations assujetties. Plusieurs éléments peuvent être mis en place :

• Sensibilisation et communication

Tout d’abord, il est important d’établir une vision fédératrice forte qui canalise toutes les forces vives de l’entreprise, et permet de créer un véritable projet d’entreprise :

a.Affirmation du rôle et des valeurs de l’entreprise auprès de l’ensemble des parties prenantes (pouvoirs publics, ONG, adhérents, collectivités territoriales, etc.).

b.Formation de la Direction générale afin qu’elle exprime un engagement permanent.

c.Sensibilisation de l’ensemble des salariés à l’adoption de comportements respectueux de l’environnement et de la société.

• Prise en compte des parties prenantes

Il est également nécessaire d’identifier, de comprendre et de hiérarchiser les attentes de l’ensemble des parties prenantes, et ce afin d’optimiser une prise de décision efficiente :

a.Cartographie pondérée des parties prenantes et de leurs attentes.

b.Promotion d’une politique d’investissements responsables.

c.Déploiement d’une politique d’achats responsable permettant d’intégrer des critères durables dans la procédure de sélection des fournisseurs.

• Diagnostic environnemental et diagnostic RSE

D’autre part, la réalisation d’un diagnostic interne va permettre d’assurer une efficacité optimale dans la mise en place d’une stratégie responsable :

a.Base d’intégration des procédures existantes au sein de l’entreprise.

b.Cartographie des risques liés au Développement Durable.

c.Réalisation d’un bilan carbone afin d’évaluer les impacts environnementaux et de réduire les coûts énergétiques.

Par ailleurs, de nombreuses normes telles que la SD 21000 ou ISO 26000, spécifique à la RSE, permettent de réaliser un diagnostic complet de l’entreprise en matière de développement durable et de formaliser une stratégie.

• Outil de reporting

Enfin, il peut être nécessaire de mettre en place un outil informatique de reporting, pour piloter le déploiement et l’enracinement de la stratégie RSE :

a.Choix d’indicateurs adaptés et relatifs au bilan sociétal des normesinternationales.

b.Cahier des charges sur le déploiement d’un outil de reporting environnemental.

c.Mobilisation des personnes motrices de la démarche en interne.

Il est important de noter que les considérations environnementales et sociales peuvent être dorénavant prises en comptes dans le cadre des placements financiers. En effet, rentabilité et performance ne sont pas antinomiques du développement durable. La finance éthique se développe aujourd’hui lentement mais sûrement et de plus en plus de d’entreprise, y compris des assureurs et des mutuelles, investissent dans l’ISR (Investissement Socialement Responsable). Ces investissements intègrent des critères extra-financiers.

Par contre si la finance éthique se développe, l’étiquetage développement durable des produits mutualistes reste un sujet de réflexion.

5 ‒ Mettre en place une stratégie de communication en développement durable

a ‒ Qu’est-ce qu’une stratégie de communication en développement durable ?

L’intérêt d’un plan de communication entreprise est de présenter la fonction économique de l’organisation, sa culture et ses valeurs. En revanche, un plan de communication en développement durable met en avant de façon plus spécifique la démarche de Responsabilité Sociétale de l’Entreprise (RSE) mise en place au sein de l’organisation.

Avec l’essor de la RSE, il faut désormais étendre le champ de vision de l’entreprise ; en plus des parties prenantes habituelles (clients, salariés, politiques, autorités de tutelle, partenaires sociaux, etc.), il est également devenu nécessaire de prendre en compte le citoyen.

En effet, la voix du citoyen représente désormais des risques pour l’organisation, notamment celui de réputation ou d’image. Elle doit donc adapter son discours global et mettre en place une communication spécifique relative à son impact environnemental et social sur la société.

Afin de répondre à cet enjeu, la communication ouverte à pris le pas sur les méthodes de communication plus traditionnelles. Ce nouveau concept de communication suppose :

•Le décloisonnement entre la communication interne et la communication externe.

•La prise de conscience de la notion d’entreprise citoyenne.

•L’ouverture de l’organisation aux principaux débats de société.

Cette communication ne se limite ainsi plus à une présentation des valeurs de l’organisation, mais concerne également sa politique de RSE, ou de développement durable. L’organisation se doit d’être en capacité de répondre aux interpellations de plus en plus nombreuses de la société civile, et de ses parties prenantes en général.

b ‒ Quels sont les objectifs et quels sont les enjeux ?

Trois objectifs majeurs ressortent d’une communication sur le développement durable :

•L’image : une communication en développement durable permet de construire ou de restaurer, voire de renforcer, l’image de l’organisation dans le contexte actuel de pression médiatique.

•La transparence : le rôle des parties prenantes s’est accentué ces dernières années, obligeant les organisations à prendre en compte leurs attentes et à savoir y répondre. La transparence implique aussi de savoir mettre en lumière les dysfonctionnements et les solutions apportées pour y remédier. L’apprentissage et la progression sont appréciés, s’ils sont réels. D’autant plus que le devoir de transparence s’impose aux mutuelles de plus de 500 salariés. En effet dans la lignée de la loi NRE de 2001, le Grenelle II, entré en vigueur en 2010, impose la rédaction d’un rapport social et environnemental.

•La mobilisation des salariés : une communication en développement durable met en avant la culture, les valeurs et la place citoyenne de l’entreprise. Elle suppose donc une sensibilisation de ses salariés, ce qui permet de les mobiliser et de les fédérer autour des projets lancés en interne (Plan Déplacement Entreprise, campagne de sensibilisation sur les gestes éco-responsables au bureau, lancement de nouveaux produits développement durable, etc.).

À ces objectifs s’associent des enjeux importants :

•L’anticipation des risques : l’un des enjeux majeurs d’une stratégie de communication axée sur le développement durable est la gestion de crise. Plus la taille de l’organisation est importante, plus elle se doit d’anticiper les crises éventuelles. En cas de crise environnementale, sociale, les risques juridiques, sociaux et de réputation sont importants. De fait, l’organisation doit pouvoir répondre rapidement aux nombreuses sollicitations des différentes parties prenantes. En effet, les conséquences de ces situations peuvent porter gravement atteinte à l’image de la société.

•L’engagement : un deuxième enjeu de la mise en place une politique RSE est de faire reconnaître sa démarche, au-delà de la labellisation et des certifications, en particulier auprès des adhérents et des salariés.

•La confiance : la base de la communication réside dans l’information, c’est-à-dire des faits concrets et des réalisations. L’enjeu d’une communication en développement durable est de ne surtout pas verser dans le greenwashing, très surveillé aujourd’hui. Ce concept englobe les pratiques de détournement du message de développement durable pour construire une vitrine « verte ». Il s’agit alors d’une simple communication qui ne repose sur aucune action concrète.

6 ‒ Comment organiser cette stratégie de communication ?

Tout comme un plan de communication, une stratégie de communication en développement durable se prépare. L’entreprise doit définir, organiser et structurer sa politique de communication.

Pour cela, il lui faut :

•Identifier et hiérarchiser l’ensemble des parties prenantes de son secteur d’activité (clients, adhérents, partenaires/fournisseurs, salariés, associations, etc.).

•Définir les attentes, intérêts et risques liés à chacune des parties prenantes.

•Construire des plans de communication ciblés pour répondre à leursattentes spécifiques.

La communication en développement durable induit également d’adapter les supports de communication aux messages spécifiques véhiculés. Il s’agit d’imaginer et de créer des supports de formation, de sensibilisation et/ou de documentation, adaptés à chaque cible (interne ou externe), via des documents originaux, simples, pédagogiques et fédérateurs.

Enfin, il est important de recueillir les réactions des différentes parties prenantes concernant les messages véhiculés par la communication de développement durable afin de les adapter en conséquence.

>3.7. La gestion des erreurs opérationnelles

L’erreur humaine constitue l’une des illustrations les plus simples de ce que peut être le risque opérationnel. Qu’il s’agisse d’erreurs à forte fréquence (à titre d’exemple Le Point a consacré un article aux erreurs médicales engendrant plus de 1 000 décès par an20) ou à fort impact (par exemple les cas de « fat finger » en finance de marché, c’est-à-dire la vente plutôt que l’achat en masse d’actifs financiers par un opérateur de marché), l’erreur humaine est l’illustration de la représentation du facteur humain comme cause première de risque opérationnel. S’agit-il pour autant d’une fatalité pour les organisations ? Nous illustrons l’importance de ce type de risque opérationnel ainsi que de la difficulté à prendre en compte ce risque pourtant « classique » dans le cadre de dispositif de contrôle des risques21.

1 ‒ Les facteurs explicatifs de la récurrence des erreurs humaines

L’erreur humaine est-elle une fatalité ? Un risque subi inhérent à toute activité ? « Plus l’on traite de dossiers, de flux, plus il y a de risque d’erreur, cela fait partie de l’activité » nous confiait un responsable des opérations dans le cadre d’un atelier de cartographie des risques.

Au-delà des réflexions proposées par J. Reason sur la prédominance du facteur humain dans tout événement de risque22, l’étude des causes associées à l’erreur humaine est également à envisager à une échelle plus globale. L’enjeu de la gestion globale des risques consistera à dépasser l’idée de l’erreur humaine comme un risque sur lequel on ne peut pas agir. En effet, la propension d’une organisation à prévenir, à traiter en réactif voire à sanctionner les erreurs opérationnelles est également un facteur explicatif de la récurrence des incidents ou des conséquences associées à ce type de risque. Ainsi, en l’absence d’un dispositif de contrôle suffisamment robuste (qu’il s’agisse de contrôles intégrés dans les processus et procédures ou d’audit), la résilience d’une organisation semble ainsi compromise face à une multitude de facteurs sources d’erreurs : turn-over, méconnaissance par les nouveaux arrivants des processus et procédures, surcharge d’activité, dérogations trop nombreuses par rapport à un processus initialement défini, recours accru à la sous-traitance insuffisamment contrôlé, inattention face à des activités fortement répétitives, etc.

La qualité du management constitue également un facteur permettant d’agir sur la propension à commettre des erreurs opérationnelles. Au titre des actions possibles, on note le fait de prévoir des dispositifs d’accompagnement, de formation-sensibilisation, de définir des objectifs de performance intégrant le taux d’erreurs et la feuille de route pour réduire ce taux par équipe / par processus / par collaborateur. Des organisations dotées d’un faible taux de formalisation des processus (le « qui fait quoi ») et procédures (règles de gestion et contrôles associés) ainsi que de contrôles principalement manuels (faible taux d’automatisation des contrôles de type fenêtre pop-up / blocage informatique) seront également beaucoup plus exposées au risque d’erreur opérationnelle.

Enfin, et sans prétendre à l’exhaustivité, les erreurs opérationnelles sont souvent sous-estimées déjà au stade de l’identification mais également, et à plus forte raison peut-être, en termes d’évaluation. Ainsi, on peut considérer l’erreur opérationnelle comme un coût caché lorsqu’elle ne fait pas l’objet d’un poste de coût clairement identifié, d’un système de mesure dédié et de récupération des sommes perdues permettant de réduire ces coûts, ainsi que d’un système de contrôle adéquat s’y rapportant. Ces trois composantes permettent de mieux qualifier ce type de risque, d’en saisir l’importance et d’éviter de considérer l’erreur opérationnelle comme un risque subi, un coût intégré au fonctionnement normal de l’activité, voire un surcoût qu’il est possible de refacturer aux clients.

2 ‒ Le lien entre l’erreur et les fraudes

L’une des questions souvent sous-estimée concernant les erreurs opérationnelles consiste à déterminer, au niveau de la qualification même de l’incident, si derrière l’erreur (l’acte non intentionnel se caractérisant plus par une négligence) il n’existe pas une fraude (donc un acte intentionnel avec une notion d’enrichissement personnel illicite / malveillant). En effet, derrière une erreur de type paiement en doublon d’une facture pour une prestation financière par exemple, il peut exister une organisation dissimulée avec une collusion d’intérêt. Ces occurrences, bien que difficiles à détecter en pratique, doivent attirer l’attention des acteurs en charge du contrôle des risques mais aussi des propriétaires de risques (directeurs, managers) ayant en charge le pilotage des processus.

3 ‒ Le rôle des erreurs de représentation

Le sous-marin, comme tout système complexe mis en œuvre par des opérateurs humains, peut être objet d’erreurs humaines de la part de son équipage. Compte tenu des conditions d’environnement de la navigation sous-marine, toute détection d’anomalie exige un traitement qui doit être quasi immédiat dans certaines circonstances mettant en danger mortel le navire et son équipage.

Cependant, l’opérateur responsable, quel que soit son niveau dans la chaîne fonctionnelle (commandant ou autorité délégataire, exécutants), est amené à « décider dans l’incertitude » faute d’informations exhaustives. Il est alors tributaire de ses sens comme de la capacité de détection et de traitement des systèmes d’aide à la décision et à la conduite. Les actions vitales nécessitant des actions réflexes sont généralement automatisées, cependant le sous-marin étant un système complexe, il est en interaction avec un environnement qui peut s’avérer imprévisible donc non programmable.

Dans cette situation et en l’absence d’intelligence artificielle de niveau « humain », l’opérateur reste seul juge des actions à mener. Il sera donc la plupart du temps conduit à décider de ce qui peut lui apparaître « la moins mauvaise solution » à la suite d’une rapide évaluation de risques, qui peut être de l’ordre de moins d’une minute voire de quelques secondes. La disposition couramment adoptée est celle dite du « veto » qui permet à l’opérateur d’annuler à tout moment une action automatique de sécurité pour préserver un enjeu jugé plus important (par exemple sauver l’équipage ou, en temps de guerre, assurer la mission ordonnée).

Cette décision est comparable dans sa philosophie à celle du sapeur pompier en intervention qui doit savoir « faire la part du feu » en acceptant des dommages inévitables pour prévenir des dommages plus graves. À bord d’un sous-marin comme de tout navire militaire en opérations, cette décision peut conduire, à l’extrême, au sacrifice délibéré de personnels pour sauver le plus grand nombre.

Le navire de guerre, comme tout autre système complexe mis en œuvre par des opérateurs humains, peut être affecté en termes de risque d’erreur de représentation de la part du personnel chargé de sa mise en œuvre. Le risque d’erreur humaine est en outre inévitable en opérations de guerre, dans la mesure où l’autorité responsable (« chef militaire ») devra décider dans l’incertitude.

L’accès aux intentions et au libre arbitre de l’adversaire reste aléatoire. Compte tenu des caractéristiques des systèmes d’armes en service comme de certains modes d’action asymétrique (attaque suicide), le délai de prise de décision en matière d’autodéfense se chiffre en minutes, voire en secondes. Il est donc couramment fait appel à l’automatisation de fonctions de sécurité ou d’autodéfense vitales.

Cependant, dans un environnement complexe et « flou » (le « brouillard de la guerre » selon Clausewitz), les systèmes automatisés peuvent être déclenchés de manière inadéquate avec des conséquences graves (effets fratricides ou collatéraux). La destruction par erreur du vol 655 Iranair par l’USS Vincennes en opérations côtière en 1988 est un exemple type de cette problématique d’erreur de représentation. Confronté à des attaques répétées par les forces iraniennes, le Vincennes avait détecté au radar un aéronef dont le profil de vol conjugué aux informations stockées en mémoire et à son absence de réponse aux appels radios, avait entraîné automatiquement son classement comme « hostile » et déclenché un tir de missiles d’autodéfense du navire.

Le système de combat disposait en mémoire de tous les éléments nécessaires sauf de trois informations de dernière minute : la modification du plan de vol, la panne de transpondeur IFF de l’avion et une possible panne radio. Cette destruction en vol, parfaitement logique et rationnelle dans un contexte de guerre asymétrique, n’en a pas moins été une erreur aux conséquences humaines et politiques graves.

Tableau 7 ‒ L’erreur humaine et son potentiel d’accumulation catastrophique

Événements

Types d’erreur
humaine

Causes identifiées

Conséquences

1977

Crash aérien (cas d’école en aérospatial)

Négligence et mauvaise écoute : Percussion de deux avions sur la même piste

Dysfonctionnement dans l’équipage.

Mauvaise communication.

Erreur dans la programmation des ordinateurs de vol.

Pertes humaines importantes.

Perte d’exploitation.

Coûts importants.

Sensibilisation au travail d’équipe, au respect et à l’écoute.

1988

Plateforme pétrolière Pipa Alpha

Mauvaise communication et perte de documents

Défaut de conception de la plateforme.

Dysfonctionnement dans l’équipage.

Erreur dans le traitement opérationnel.

Mauvaise communication.

Pertes humaines importantes.

Catastrophe écologique.

Coûts importants.

1989

L’Exxon Valdez

Prise de fonction sous emprise de l’alcool :

Échouement du pétrolier américain sur la côte de l’Alaska.

Abandon de poste lors d’une manœuvre délicate à effectuer.

Non respect de la réglementation.

Manque d’encadrement de l’équipage.

Tentative dangereuse de déséchouement.

Catastrophe écologique (marée noire).

Poursuite judiciaire.

Renforcement du contrôle des périodes de repos des navigateurs.

Coûts importants.

2000

Accident de métro du 30 août

Perte de réflexe et inattention prolongée :

Pilotage automatique en panne depuis 8 mois sur la Ligne 12 imposant une conduite manuelle.

Mauvaise sensibilisation du conducteur sur les zones à risques.

Dysfonctionnement dans l’application des procédures.

Négligence des délais de réparation.

Manque de balises de contrôle de vitesse aux endroits dangereux.

Perte d’exploitation.

Dégâts humains : blessés.

Formation régulière désormais imposée en conduite manuelle.

Dispositif de contrôle ponctuel de vitesse installé aux points critiques du réseau.

Coûts.

2014

Étude publiée dans le bulletin épidémiologique hebdomadaire

Erreur médicale : Les médecins généralistes feraient une erreur tous les deux jours, 2 % de ces dernières pouvant avoir des conséquences graves

Problèmes pratiques dûs à une mauvaise gestion de l’organisation.

Déclaration d’EIG réglementée.

Défaut de connaissance dans une erreur sur cinq.

Risque d’invalidité temporaire pour le patient.

Sanctions pénales et civiles pouvant être encourues.

2014 ‒ Institut Pasteur de Paris

Inattention / Négligence : Perte de 2 349 échantillons de fragments de virus SRAS (maladie infectieuse transmise principalement par voie aérienne) lors d’un déménagement d’un laboratoire haute sécurité.

Dysfonctionnement de l’organisation.

Défaut d’application et de formalisation de la procédure de sécurité.

Moyens insuffisants.

Dégradation de l’image du laboratoire.

Procédure de sécurité à renforcer.

Perte d’exploitation.

Risque infectieux encouru (Déclaré nul suite à l’enquête).

Plainte contre X déposée par l’Institut pour déterminer s’il s’agit ou non d’un acte de malveillance.

>3.8. La gestion du risque de sous-traitance

Le tissu industriel d’une économie ou d’un secteur est composé majoritairement de TPE-PME, agissant comme fournisseurs pour de plus grandes structures. Certaines entreprises du CAC 40 estiment ainsi avoir recours à plusieurs milliers de sous-traitants.

Les exigences de polyvalence, de qualité de services, de performance accrue ainsi que les normes rendent incontournables le recours à la sous-traitance. Ce constat n’est pas récent et répond à l’idée couramment répandue en management qu’il est bien souvent plus rentable, voire plus pertinent pour une entreprise de sous-traiter afin de se concentrer sur son cœur de compétences. Les risques associés à la « sous-traitance » au sens large sont cependant bien souvent sous-estimés. Il suffit pour s’en convaincre de demander à un fournisseur (assurant une prestation non reproductible en interne) ou à un sous-traitant (assurant une prestation reproductible en interne mais confiée à un tiers) de livrer une analyse des risques liés à son intervention. Le rendu est alors bien plus souvent « politiquement correct » qu’objectif, car l’exercice peut avoir un caractère engageant (mise en place d’actions de prévention, de moyens de maîtrise) pour ledit fournisseur, notamment via des clauses de Contrôle Interne dans le contrat de sous-traitance. Cela transforme ainsi ce qui est bien souvent en pratique une obligation de moyen, « faite de bonne intelligence » entre client et fournisseur, en une obligation de résultat.

Un tel enjeu trouve particulièrement à s’appliquer dans des secteurs réglementés (industrie lourde, industrie pharmaceutique, services financiers) où les obligations de contrôle des entreprises clientes se répercutent sur leur chaîne d’approvisionnement ou entraînent la délégation d’activité cœur de métier ou support.

1 ‒ Des cas médiatiques cachant la multitude des risques fournisseurs : enjeux stratégiques, financiers, de réputation et opérationnels

Différents cas médiatisés d’entreprises dans le secteur automobile (suite à la catastrophe Fukushima) ou dans l’industrie agroalimentaire permettent de constater l’importance d’une maîtrise des risques liés à la chaîne d’approvisionnement et, plus largement, aux fournisseurs (continuité d’activité, risque projet, risques d’erreur opérationnels, retards de livraison, dérives des budgets, défaut de qualité des livrables, non-conformité des pratiques des sous-traitants pouvant avoir un impact image sur l’entreprise cliente). Au-delà du risque d’opportunisme (pertes de compétences, transfert du savoir remettant en cause le business model de l’entreprise), les risques majeurs associés à la sous-traitance peuvent aller de la rupture de continuité d’activité au défaut de qualité de service, en passant par les failles de sécurité SI, les fraudes ou encore le risque de contentieux fournisseur. Les enjeux associés à la maîtrise du risque fournisseur sont non seulement stratégiques et financiers, mais peuvent aussi être juridiques et opérationnels, comme le montrent certains contentieux en matière d’intégration de système d’information entre l’entreprise cliente et l’intégrateur.

2 ‒ Vers des méthodes pragmatiques pour réduire le risque de sous-traitance

Dans certains secteurs, le recours à la sous-traitance a explosé : agroalimentaire, téléphonie, banques, assurances. Ces quelques exemples illustrent la nécessité de piloter ces activités en mettant en place un ensemble de démarches de gestion de l’activité sous-traitée.

Une première démarche, top-down, suppose la définition d’une politique de sous-traitance, validée par la gouvernance et portant les grandes orientations de l’entreprise en matière d’activités pouvant/ devant être sous-traitées et, le cas échéant, dans quelles limites. Par exemple, cette politique fixera des orientations consistant à limiter la capacité du sous-traitant à pouvoir lui-même subdéléguer l’activité confiée (dans une logique de traçabilité des opérations), de limiter la part du chiffre d’affaires ou des portefeuilles clients dont la gestion sera déléguée, d’instaurer une politique de mise en concurrence et de backup systématique des prestataires critiques (dans une logique de continuité d’activité).

Également, en application d’une telle politique, l’entreprise souhaitant sous-traiter aura tout intérêt à décliner dans ses conditions générales d’achats ainsi que dans ses cahiers des charges et a fortiori dans ses contrats, différentes clauses de contrôle et de pilotage du sous-traitant : obligations de reportings réguliers, de transmission d’éléments de Contrôle Interne, de continuité d’activité, d’engagement à se conformer à des audits périodiques, d’engagements en matière de qualité de service et de satisfaction client, etc.

Enfin, au-delà des enjeux de gouvernance et de contrôle du risque, la maîtrise des activités sous-traitées suppose aussi un véritable processus achat, lequel ne se limite pas à la réalisation d’appel d’offres systématiques au-delà de certains montants, mais comprend également un accompagnement des métiers pour les aider à définir et formaliser leur besoin d’externalisation, à suivre la couverture de ce besoin une fois le fournisseur sélectionné et enfin à réaliser des évaluations fournisseurs régulières. Une telle démarche ne part pas nécessairement du principe que l’externalisation est plus rentable, plus sécurisante ou toujours réalisée dans une relation de confiance, mais elle permet d’objectiver la relation fournisseur tout en démontrant ladite relation de confiance dans la durée, et non uniquement lors de la revue des contrats.

La performance durable de l’activité sous-traitée s’évalue alors qu’il s’agisse de sous-traiter des activités non maîtrisées en interne ou d’externaliser des activités déjà gérées historiquement ; et ce, que l’activité de sous-traitance soit réalisée en mode projet ou dans le cadre du fonctionnement normal d’un processus.

3 ‒ Quand la sous-traitance devient un enjeu de conformité

Enfin, comme le montrent certaines directives européennes (Solvabilité II par exemple dans le secteur assurantiel), l’enjeu de maîtrise des activités sous-traitées devient un sujet de conformité : l’entreprise doit être capable de gérer la conformité aux règles, normes, processus et procédures (le défaut de Contrôle Interne étant devenu un risque à part entière), y compris sur les activités déléguées. Dans cette optique, il faut alors insister sur le fait que le principal risque n’est pas en soit de sous-traiter, mais bien de vouloir sous-traiter en omettant qu’un fournisseur doit être piloté, tout comme le serait une activité en interne. Se pose également la question d’exiger un niveau de contrôle plus important du fait de la dispersion des acteurs, des règles ainsi que de la diversité des cultures d’entreprises entrant ainsi en confrontation. Si un tel constat est établi pour les grandes organisations, cet enjeu reste prégnant concernant les PME.

>3.9. La gestion de crise

De nombreux cas médiatisés de gestion de crise attestent d’une forte complexité et d’une difficulté d’analyse rapide de la situation devant amener à circonscrire une situation pour déterminer les actions les plus adaptées à mener dans l’urgence. Cela concerne des situations d’encerclement de pompiers confrontés à des incendies d’ampleur majeure (Weick, 1993)23 ainsi que des cas bien documentés comme celui de Tepco et de l’explosion des réacteurs de la centrale Fukushima (2011), de la gestion de crise post Ouragan Katrina (2005) en passant par la gestion de crise par Toyota aux USA (2009)24 ou Samsung et son Galaxy Note 7 (2016)25 où plusieurs difficultés d’analyses trop longues, mal réalisées, manquant de recul, ont conduit à des décisions erronées ou retardées. Le général Vincent Desportes a parfaitement résumé ces situations dans le cas des conflits armés et plus généralement de la guerre, dans son ouvrage Décider dans l’incertitude.

Il convient de tenter de « définir » (sans prétendre à l’exhaustivité) ce qu’est une crise complexe. Certains auteurs de référence dans ce domaine en donnent des illustrations26 et notamment en ce qui concerne les crises dites hors cadres : celles dont la complexité dépasse l’entendement humain et pour lesquelles il est difficile d’en circonscrire le périmètre géographique mais aussi temporel : les causes, les conséquences, les acteurs concernés.

La gestion d’une crise, quelle qu’en soit sa nature et ses causes, nécessite la connaissance d’un minimum d’éléments d’information (ou renseignement en terme militaire) pour en établir le diagnostic et déterminer de manière raisonnée et efficace les actions à conduire pour la traiter. C’est une démarche rationnelle, intuitive et de bon sens qui paraît évidente. Toutefois, lorsque le système affecté est un système complexe, c’est-à-dire un système dont les composants sont en interactions multiples entre eux et avec l’environnement (au sens de Rosnay ou d’Edgar Morin) évolutif, la solution est loin d’être simple. Une analyse exhaustive qui semblerait en première approche nécessaire pour prendre des décisions en toute connaissance de cause peut demander un temps prohibitif, elle peut même se révéler inaccessible. Les systèmes technologiques, tout comme les sociétés humaines, deviennent de plus en plus complexes, à l’imitation de l’évolution darwinienne du vivant. Une complexité qui s’avère utile, sinon nécessaire, pour l’amélioration de l’efficacité du système, qu’il soit technologique, sociétal ou symbolique. Le droit du travail est un exemple de système immatériel complexe en interactions multiples, et son adaptation à l’environnement se paie en contrepartie d’une vulnérabilité croissante aux configurations qui s’écartent de l’environnement nominal pour lequel le système est optimisé. Dans le domaine nucléaire, les configurations hors normes sont dites « hors dimensionnement », c’est-à-dire non prises en compte dans la conception du système. Il n’y a donc pas de solution « planifiée » (c’est-à-dire prévue) pour les traiter lorsqu’elles surviennent de manière inattendue. On parle alors de « crise hors cadre ». L’analyse des systèmes complexes a mis en évidence les rôles respectifs de l’information, de la finalité, de la rétroaction, de la variété et de leurs structures.

Les crises susceptibles de s’appliquer à des systèmes technologiques ou sociétaux peuvent nécessiter la même obligation de « décider dans l’incertitude » que dans les crises de type militaire, en fonction de l’importance des conséquences possibles et donc des enjeux. C’est le cas des crises majeures (dites hors cadre), dans lesquelles le décideur ne dispose plus de référentiels auxquels se raccrocher. Il est alors naturellement, et en toute logique, tenté d’attendre de disposer de tous les informations qui lui semblerait nécessaires pour agir avec efficacité. Il se trouve dans la même situation que le chef militaire.

Nous illustrerons cette problématique par quelques exemples concrets de crises récentes dans lesquelles les décideurs se sont trouvés confrontés au dilemme de décider dans l’incertitude, et dans lesquelles l’attente de résultats d’analyse a pu conduire à une paralysie temporaire.

L’ouragan Katrina a dévasté la Nouvelle Orléans en 2005 avec des conséquences catastrophiques que les autorités responsables ont été dans l’incapacité totale de traiter dans un premier temps. L’analyse de cet événement « hors cadre » (Moulin, 2014) a mis en évidence l’incapacité du gouverneur de l’État de Floride à prendre la décision de demander l’aide du gouvernement fédéral et l’incapacité de ce dernier à anticiper les besoins locaux, avec pour tous les deux une excellente raison, après analyse juridique. Le gouverneur estimait n’avoir pas tous les éléments nécessaires pour justifier sa demande de concours au gouvernement fédéral et ce dernier se referait à la Constitution qui lui interdit strictement d’intervenir sans la demande du Gouverneur de l’État concerné. L’amiral Thad Allen, commandant les garde-côtes, disposait de moyens navals de soutien importants sur zone27. Sa proposition d’intervention de secours étant refusée par le gouvernement fédéral il a pris l’initiative d’organiser dans le strict cadre de ses attributions réglementaires et responsabilités légales un exercice d’entraînement, grandeur réelle, à une opération de secours. Ce qui lui a permis de disposer immédiatement des moyens nécessaires lorsque l’intervention de secours a été légalement requise par le Gouverneur auprès du gouvernement fédéral.

Le deuxième exemple est celui de l’éruption du volcan islandais Eyjafjallajökull en mars 2010. La pollution étendue de l’atmosphère par des cendres volcaniques avait conduit l’OACI à recommander l’interruption de tous les vols commerciaux sur l’Atlantique Nord en raison des risques potentiels présentés par les cendres en suspension pour le fonctionnement des réacteurs. Cette mesure de sécurité répondant au principe de précaution était basée sur une estimation a priori du risque, aucun élément concret n’étant disponible car n’ayant jamais été étudié dans le passé. L’interdiction de vol a été ensuite levée après analyse technique du phénomène rencontré et validation par de expérimentations. En attendant, l’activité aérienne a bien été effectivement paralysée pendant toute la durée de l’analyse.

1 ‒ Le cas d’une crise complexe concernant un projet de migration SI28

Le schéma 12 présente, de manière synthétique, un cas de crise complexe (multidimensionnel) se traduisant par différents volets d’incidents sur une période de temps assez courte. Il concerne une entreprise du secteur financier confrontée à l’interruption de son Système d’Information Client, suite à un projet stratégique de migration informatique.

La rupture de continuité de service constatée se conjugue à des incidents en cascade : certains clients ne recevant plus de services de prestations financières pendant plusieurs semaines), panique et surcharge de travail en interne pour les équipes devant fonctionner en manuel, hors outil, et sur des procédures différentes, inhabituelles), problème technique (lié à la correction des nombreux bugs empêchant le fonctionnement de l’outil sur la majorité des applicatifs majeurs), impact sur les Ressources Humaines (nécessité de recruter des équipes complémentaires sur des métiers techniques et opérationnels pour compenser le sous-effectif lié à cette surcharge de travail), impact financier (avances de montants importants et insuffisance de trésorerie liées aux écoulements en peu de temps des prestations non payées qui s’étaient accumulées).

Au regard de l’urgence, s’agissant d’une crise touchant un projet de migration informatique, une méthodologie classique de gestion de projet (consistant à prioriser les anomalies bloquantes puis les anomalies majeures) n’aurait pas permis une résorption rapide et un retour à la normale satisfaisant, l’outil étant déjà en production. La réponse apportée a donc consisté à mener un diagnostic flash des principaux incidents constatés et à les prioriser par nature d’impact avéré sur le plan de l’image, sur le plan financier et sur le plan réglementaire notamment.

L’analyse par priorisation des traitements à réaliser a également conduit à identifier les risques potentiels subsistants pour sortir du réactif, une fois les principaux incidents clôturés, et ainsi éviter une phase d’aggravation de la crise, voire une période de stabilisation trop longue. L’analyse a donc été réalisée uniquement sur les incidents critiques afin de prioriser le traitement des cas complexes pouvant générer des incidents en cascade (une quarantaine d’incidents et une vingtaine de risques identifiés). Les anomalies post-production identifiées avant l’ouverture de la cellule de crise (plus de 350) ont été simplement abandonnées pour correction future une fois la crise clôturée. Une analyse poussée de ces anomalies n’aurait pas permis de répondre à cette contrainte d’urgence et aurait ainsi fait émerger des risques et des incidents au mieux redondants avec ce qui pouvait être remonté en intégrant les différents experts et métiers impactés dans la cellule de crise (opérations, finance, RH, techniques SI, juristes, Risk Management).

Cet exemple, qui pourrait toucher toute entreprise de moyenne taille, montre la nécessité de faire preuve de pragmatisme face à la surcharge d’informations éparses, de différents niveaux de granularité et de qualité diverse, qui caractérise une crise complexe. Cela revient à faire le deuil d’une analyse trop poussée qui peut être aggravante si elle retarde la prise de décision.

Schéma 12 ‒ Illustration synthétique d’un cas de crise complexe
concernant un projet de migration SI

Section 4 • Le Contrôle Interne et les autres fonctions de l’entreprise

>4.1. Le Contrôle Interne et l’Audit Interne

Le dispositif de Contrôle Interne est complété par la fonction d’Audit Interne, organe indépendant au sein de l’organisation, rattaché de préférence à la Direction générale et véritable pierre angulaire de l’édifice, dont les missions sont d’être garant du respect et de la bonne application des règles du Groupe et d’évaluer l’efficacité de règles locales qui ont été édictées et mises en œuvre sur le terrain.

L’Audit Interne évalue le degré de maîtrise des opérations au sein d’une organisation, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.

L’Institut de l’Audit Interne (IFACI) précise que : « L’Audit Interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.

Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d’entreprise, et en faisant des propositions pour renforcer leur efficacité ».

L’Audit Interne évalue donc la maîtrise du processus de Contrôle Interne

Le Contrôle Interne et le management de la qualité

Le système de management par la qualité est l’élément du système de management de l’organisme qui se concentre sur l’obtention des résultats, en s’appuyant sur les objectifs qualité, pour satisfaire, selon les cas, les besoins, les attentes ou les exigences des parties intéressées.

Il repose en général sur huit grands principes :

‒orientation client,

‒leadership,

‒implication du personnel,

‒approche par processus,

‒management par approche système,

‒amélioration continue,

‒approche factuelle pour la prise de décision,

‒relation mutuellement bénéfique avec les fournisseurs.

Le système de management de la qualité apparaît comme une composante du système de Contrôle Interne focalisée sur la dimension « respect des objectifs qualité » et ciblée sur les attentes des clients et des autres parties intéressées.

Le Contrôle Interne et le « Risk Management »

Le « Risk Management » est une politique d’entreprise qui permet d’assurer la continuité de l’activité coûte que coûte. Il doit avoir une vision globale de l’activité dans son actualité et par rapport à des situations extrêmes afin de pouvoir apporter des solutions concrètes.

Le « Risk Management » s’inscrit dans un processus d’auto-identification du risque afin de bâtir une auto-prévention de ce risque. On parle alors de risque pur et de risque spéculatif.

Dans le cadre du « Risk Management », le Contrôle Interne est un outil indispensable à l’élaboration d’une politique de contrôle des risques.

Le Contrôle Interne et la déontologie

Le contrôle éthique et déontologique se porte garant que l’organisation (et ses collaborateurs) se conforme à la lettre et à l’esprit de tous les codes, lois, règlements, normes et bonnes pratiques professionnelles.

Cette fonction garantie que l’activité est exercée avec intégrité et professionnalisme. La déontologie sert à protéger l’image de l’organisation. Son responsable devra précisément identifier les points de contrôle déontologiques.

Le déontologue doit donner un avis sur une situation ; la tendance est à un déontologue qui se porte garant de tout manquement significatif dans l’organisation, vis-à-vis des régulateurs extérieurs.

Le Contrôle Interne se doit d’intégrer la définition des règles et le cadre de référence de la fonction déontologie dans la mise en place des procédures.

Le Contrôle Interne et le contrôle de gestion

Le contrôle de gestion est un processus visant à mieux connaître et mieux comprendre l’activité de l’entreprise. Ses actions prennent place tant en prévisions et travaux préalables qu’en constatations postérieures, tant en réflexions, analyses et conseils qu’en production de tableaux de bord et de commentaires.

Il intègre les données comptables mais aussi les éléments commerciaux, techniques, qualitatifs et humains.

Il se doit de donner une meilleure visibilité générale afin de permettre à l’organisation une réactivité accrue par rapport aux risques et opportunités.

Le Contrôle Interne est un outil pour garantir au contrôle de gestion la fiabilité des informations traitées et pour améliorer la réalisation des objectifs.

1. « Dossier Éthique et Conformité : Des entreprises conduites à être plus vertueuses », Atout Risk Manager n°9, Juin 2016 (Amrae).

2. Pour un assureur, un « sinistre » désigne toute situation de pertes, qu’elles soient fortes ou faibles.

3. Un risque est un événement éventuel dont la survenue réelle est susceptible de provoquer un dommage non négligeable.

4. Par la suite on assimilera les deux mots à « risque » pour simplifier le texte.

5  Veret-Jost Catherine, Mékouar Richard, (2005) : Fonction Risk Manager, Dunod.

6. Sur les 13 classes de risque en entreprise, voir notamment : J-D. Darsa, 2011, La gestion des risques en entreprise, Gereso.

7. RiskAssur Hebdo, 2007.

8. Voir sur ce point les travaux relatifs au modèle institutionnel de l’entreprise (Williamson, 1985 ; Jameux, Munier, 1977). L’entreprise est face à de nombreux acteurs : fournisseurs, clients, États et collectivités territoriales, associations diverses (notamment défenseurs de l’environnement), opinion publique. Voir encore l’article de Ronald Coase, 1937, The nature of the firm.

9. Une captive d’assurance est une compagnie (d’assurance ou de réassurance) filiale d’une entreprise ou d’un groupe industriel ou commercial.

10. Respectivement responsable / directeur des risques et directeur financier.

11. Descente d’informations relatives au risque entre le Top Management et les différents étages de l’organisation (Top Down) et remontée d’informations vers la hiérarchie (Bottom Up).

12. Source : documentaire Ina, 24 heures du Mans, La course à la mort.

13. Un employé de Generali France soupçonné de détournement, AFP, le 12 octobre 2011.

14. « Vaste escroquerie à la Banque postale : 16 personnes condamnées », Ouest-France, 06/12/2016.

15. À ce titre, le Comité d’Audit est aussi en charge du suivi du traitement des défaillances (Gestion de Crise et Plan de Continuité d’Activité).

16. Une charte doit définir la périodicité et la forme de ses comptes rendus.

17. « Comités d’audit : l’AMF rassure les administrateurs », Option Finance, n°1082, lundi 21 juin 2010.

18. La fraude étant généralement envisagée comme un acte illicite ayant pour but, pour un agent économique, de s’enrichir personnellement au détriment d’une organisation. Plusieurs définitions de la fraude reprennent ce critère d’acte illicite avec enrichissement indu (Code pénal, Code des assurances, etc.).

19. Les illustrations fournies ne concernent pas une entreprise dédiée mais illustrent des axes de réflexion proposés par les auteurs, sur la base d’un benchmark.

20. Le Point, 25 août 2016.

21. Propos recueillis par l’un des auteurs dans le cadre d’une démarche de cartographie des risques opérationnels.

22. J. Reason, (1993), L’erreur humaine, PUF. Voir également Teneau G., Dufour N., Moulin M., (2015), Erreur Humaine, modèles et représentations, l’Harmattan.

23 . Karl E. Weick. Reprinted from “The Collapse of Sensemaking in Organizations : The Mann Gulch Disaster”, Administrative Science Quarterly, Volume 38 (1993) : 628-652.

24. http://www.lemonde.fr/economie/article/2016/10/11/arret-du-galaxy-note-7-samsung-doit-circonscrire-la-crise-et-stabiliser-son-image_5011911_3234.html

25. http://www.lemonde.fr/economie/article/2016/10/11/arret-du-galaxy-note-7-samsung-doit-circonscrire-la-crise-et-stabiliser-son-image_5011911_3234.html

26  Guilhou X., Lagadec P., La fin du risque zéro, Eyrolles, 2002.

27. Marie Caroline Moulin, La gestion des crises hors cadre, l’Harmattan, 2014.

28. Le nom de l’entreprise a été masqué dans la restitution de ce cas réel.