Cartographie des risques : le jour où l'auditeur demandera ce qui a changé

Pourquoi cartographier ses risques ne suffit plus, et comment passer d'un exercice ponctuel à un véritable pilotage.

Un passage obligé... qui s'arrête souvent au passage

Dans le secteur public, la démarche est désormais bien identifiée. On identifie les risques, on les évalue, on définit des actions, on présente la cartographie en instance, puis on suit le plan d'action.

Sur le papier, tout y est. Une question reste pourtant sans réponse : que se passe-t-il entre deux campagnes ?

Pendant ce temps, l'organisation continue de vivre. Un agent clé quitte son poste, une délégation est modifiée, un audit émet des recommandations, une action corrective prend six mois de retard, une réglementation évolue. Le document validé en instance, lui, décrit toujours la situation d'il y a un an.

Les attentes des contrôleurs ont changé de nature. Il ne s'agit plus seulement de connaître ses risques. Il s'agit de montrer ce qu'on en fait, dans la durée.

Ce que disent les chiffres : un outil encore rare

Commençons par le constat. Dans le secteur public local, la cartographie des risques reste l'exception.

Selon la deuxième enquête nationale de l'Agence française anticorruption (AFA), 10,3 % des répondants déclarent s'être engagés dans une cartographie des risques de corruption, contre 1,7 % en 2018. La hausse cache toutefois de fortes disparités : les offices publics de l'habitat (44,7 %), les départements (26,7 %) et les entreprises publiques locales (18,5 %) se situent loin devant les communes (1,7 % toutes tailles confondues, 7,4 % pour les plus grandes).

L'échantillon n'a rien d'anecdotique. L'enquête a couvert 34 965 communes, 95 départements, 1 253 EPCI à fiscalité propre, 9 065 syndicats, 95 centres de gestion, 237 offices publics de l'habitat et environ 1 300 entreprises publiques locales.

L'enseignement supérieur n'est pas en avance sur tous les plans. Dans un rapport sur le contrôle interne des universités, la Cour des comptes constate que le contrôle interne comptable et budgétaire y est globalement plus avancé, mais que le contrôle interne métier reste hétérogène et insuffisamment développé, en particulier pour les processus opérationnels et les risques émergents comme les menaces cyber. Elle ajoute que l'animation et le pilotage du dispositif restent insuffisants, dans les établissements comme du côté des tutelles, et que le contrôle interne est encore trop souvent l'affaire de spécialistes.

Cartographier n'est pas maîtriser

Les référentiels publics ne présentent pas la cartographie comme un livrable. Ils en font le point de départ d'une boucle.

L'AFA organise son référentiel autour de trois piliers : l'engagement de l'instance dirigeante, la connaissance des risques par la cartographie, et la gestion de ces risques par des mesures de prévention, de détection et de remédiation. La Cour des comptes suit la même logique pour les universités. Selon la lecture qu'en fait La Gazette des communes, la démarche doit évaluer les risques, notamment par des cartographies, les couvrir par des contrôles inscrits dans des plans d'actions, rendre compte des résultats, diffuser les procédures et superviser l'ensemble.

La chaîne ressemble donc à ceci :

Cartographie → Évaluation → Plan d'actions → Contrôles → Preuves → Pilotage → Réévaluation

Une cartographie qui n'évolue pas finit par ne montrer qu'une photographie du passé.

Il faut toutefois éviter un contresens. Les textes n'imposent pas de tout refaire en continu. Pour l'AFA, la nécessité éventuelle d'actualiser la cartographie est appréciée chaque année. L'exigence ne porte pas sur la fréquence de mise à jour. Elle porte sur la capacité à savoir quand la mettre à jour. Cette capacité suppose que l'information remonte.

Le vrai problème : la fragmentation

Dans la plupart des organisations publiques, les informations nécessaires existent déjà. Elles sont simplement dispersées.

Les risques vivent dans une cartographie, souvent un tableur. Les actions sont suivies dans un plan d'action à part. Les contrôles se trouvent dans des fichiers métiers, et les preuves dans des dossiers partagés. Les procédures dorment dans la GED ou sur l'intranet. Les responsabilités et les délégations sont éparpillées entre organigrammes et actes administratifs. Les recommandations d'audit restent dans des rapports, tandis que les incidents et les alertes circulent dans les outils métiers ou par mail.

Le problème n'est donc pas l'absence d'information, mais l'absence de lien entre ces informations. Un risque peut être identifié sans être relié à aucun contrôle. Une recommandation d'audit peut être suivie sans être rattachée au risque qu'elle traite. Une procédure peut changer sans que la cartographie bouge.

L'AFA attend précisément l'inverse. Selon ses recommandations, les anomalies découvertes lors des contrôles comptables peuvent conduire à compléter des procédures ou à mettre à jour la cartographie des risques. De même, parmi les suites d'une enquête interne consécutive à une alerte figure la mise à jour de la cartographie. L'information doit donc circuler dans les deux sens : un contrôle défaillant fait remonter un risque, et une action close fait évoluer le niveau de maîtrise.

Les 5 conditions d'un dispositif vivant

1. Chaque risque a un propriétaire, aujourd'hui

Une cartographie sans responsable nommé n'est qu'une liste de mauvaises nouvelles. La bonne question n'est pas de savoir qui a participé à l'atelier, mais qui répond de ce risque aujourd'hui.

L'AFA répartit d'ailleurs clairement les rôles. L'instance dirigeante valide la stratégie de gestion des risques et s'assure de la mise en œuvre du plan d'actions. Le service responsable communique la cartographie à l'instance dirigeante à chaque mise à jour, avec le suivi du plan d'actions. Les responsables de processus contribuent à son élaboration et à sa mise à jour.

2. Chaque risque est relié à des contrôles

Une action corrige une faiblesse. Un contrôle vérifie, dans la durée, que la maîtrise fonctionne. Il faut donc passer d'une chaîne « risque → action » à une chaîne plus robuste : risque → objectif de maîtrise → contrôle → résultat → action corrective.

L'AFA décrit trois niveaux de contrôle. Le premier vérifie que les tâches sont exécutées conformément aux procédures. Le deuxième, confié à un service distinct, s'assure que ces contrôles de premier niveau sont bien réalisés. Le troisième, porté par l'audit interne, vérifie que le dispositif est conforme, effectif et tenu à jour.

3. Le plan d'action devient un outil de pilotage

Une liste d'actions avec un responsable, une échéance et un statut est utile, mais elle ne suffit pas. Chaque action devrait pouvoir dire quel risque elle traite, de quelle recommandation elle découle, quel contrôle elle modifie et quelle preuve attestera qu'elle a été réalisée. Il faut aussi savoir ce qui se passe si elle dérive de trois mois.

4. La preuve fait partie du dispositif

Lors d'un contrôle, la question arrive vite : « Pouvez-vous me montrer que cela fonctionne ? » L'AFA est explicite sur ce point. Pour apprécier la mise en œuvre effective de la cartographie, elle recommande d'archiver la trace des échanges avec les personnels, les méthodes de calcul des risques, les versions successives présentées aux instances dirigeantes avec leur validation et les plans d'actions associés, ainsi que les comptes rendus des comités.

L'enjeu juridique est réel. Ces recommandations ne créent pas d'obligation juridique, mais un acteur public qui choisit une autre méthode doit démontrer qu'elle satisfait aux exigences de la loi si des manquements sont relevés lors d'un contrôle. On passe ainsi de « nous avons un contrôle » à « nous pouvons démontrer qu'il fonctionne ».

5. La gouvernance regarde ce qui bouge

Pour les universités, la Cour recommande de présenter chaque année au conseil d'administration une cartographie des risques et un plan d'actions. Pour qu'une telle présentation serve à décider, elle ne peut pas se limiter à « voici notre cartographie ». Elle doit dire ce qui a changé depuis la dernière revue : les risques en hausse, les contrôles qui échouent, les actions qui dérivent, les recommandations non traitées.

Des obligations qui ne concernent pas que les spécialistes

Pour les organismes soumis au décret GBCP, le cadre est ancien. L'article 215 impose à chaque organisme un dispositif de contrôle interne budgétaire et comptable. Le premier vise à maîtriser les risques pesant sur la qualité de la comptabilité budgétaire et la soutenabilité de la programmation. Le second vise la qualité des comptes, du fait générateur d'une opération jusqu'à son dénouement comptable.

Les collectivités ne sont pas soumises à la même obligation, mais elles ne sont pas à l'abri. Aucune obligation législative ou réglementaire ne leur impose le contrôle interne. Cependant, le régime de responsabilité financière des gestionnaires publics, en vigueur depuis le 1er janvier 2023, place les dirigeants en première ligne sur leur gestion et renforce le besoin de tels dispositifs.

Une grille pour se situer

La grille qui suit n'est pas un référentiel officiel. C'est un outil de lecture proposé pour se situer.

Niveau 1, réactif. Les risques sont traités quand un problème survient.

Niveau 2, documenté. Une cartographie et un plan d'actions existent.

Niveau 3, structuré. Responsabilités, contrôles et actions sont formalisés et reliés entre eux.

Niveau 4, piloté. La gouvernance suit régulièrement les risques, les contrôles et les actions.

Niveau 5, continu. Contrôles, audits, alertes et changements alimentent le dispositif au fil de l'eau.

La maturité ne se mesure pas à la taille du tableur. Elle se mesure à la capacité de l'organisation à réagir quand un risque évolue.

Votre dispositif est-il vivant ? 8 questions

• Chaque risque majeur a-t-il un responsable nommé, à jour ?

• Chaque risque majeur est-il relié à au moins un contrôle ?

• Chaque contrôle laisse-t-il une preuve identifiable ?

• Les actions sont-elles rattachées aux risques qu'elles traitent ?

• Les anomalies de contrôle et les suites d'alertes peuvent-elles déclencher une réévaluation ?

• Les recommandations d'audit sont-elles intégrées au dispositif ?

• La gouvernance voit-elle ce qui a changé depuis la dernière revue ?

• Pouvez-vous présenter l'historique de vos cartographies et de leurs validations sans chercher le fichier « Cartographie_VF2_FINAL_def.xlsx » ?

Conclusion : d'une logique documentaire à une logique opérationnelle

La maîtrise des risques ne peut plus se limiter à un exercice annuel. Les risques évoluent avec les processus, les personnes, les réglementations et les systèmes d'information. Les textes et les juridictions financières attendent donc moins une cartographie exhaustive qu'une capacité collective à détecter, décider, agir, prouver et adapter.

L'enjeu n'est plus seulement de connaître ses risques. C'est de savoir, à tout moment, ce que l'organisation fait pour les maîtriser, et de pouvoir le démontrer.

Chez ISODIT, plateforme GRC souveraine conçue pour le secteur public, c'est cette continuité entre risques, contrôles, actions et preuves que nous cherchons à rendre opérationnelle.

Sources

• AFA, Prévention et détection des atteintes à la probité au sein du secteur public local, 2e enquête nationale (2022)

• AFA, Les recommandations de l'AFA pour les acteurs publics, présentation du 20/07/2021

• AFA, L'AFA publie ses nouvelles recommandations (recommandations publiées au JO le 12 janvier 2021)

• Cour des comptes, Le contrôle interne dans les universités : un déploiement inégal, un pilotage à renforcer, des bénéfices opérationnels à valoriser

• Décret n° 2012-1246 du 7 novembre 2012 (GBCP), article 215, Légifrance

• La Gazette des communes, Le contrôle interne : quelles recommandations pour les collectivités locales ? (mars 2026)