Cartographie des risques
Mis à jour le
Une cartographie des risques recense, pour chaque processus d'une organisation, les événements susceptibles d'empêcher l'atteinte de ses objectifs, puis les cote selon leur probabilité et leur impact afin de les hiérarchiser. Elle sert à concentrer les moyens de contrôle sur les risques les plus élevés plutôt qu'à les répartir uniformément. Sa valeur tient à son actualisation : une cartographie est un état à une date, et cesse de décrire l'organisation dès que celle-ci évolue.
Deux cartographies à ne pas confondre
La cartographie des risques de corruption prévue au 3° du II de l'article 17 de la loi Sapin II porte sur l'exposition aux atteintes à la probité, par activité et par zone géographique. La cartographie des risques comptables et budgétaires, issue du contrôle interne prévu par le décret du 7 novembre 2012, porte sur la qualité des comptes et la soutenabilité de la programmation.
Les deux partagent leur méthode et se recoupent sur plusieurs processus (achats, subventions, régies) mais répondent à des exigences distinctes. Les fusionner en un document unique complique la démonstration devant chacun des deux interlocuteurs.
Source : Loi n° 2016-1691 du 9 décembre 2016, article 17
Source : Décret n° 2012-1246 du 7 novembre 2012, article 170
La cotation, et ce qui la rend contestable
La cotation croise habituellement une probabilité et un impact, avant et après prise en compte des mesures de maîtrise existantes. L'écart entre risque brut et risque net est ce qui justifie l'existence des contrôles en place.
L'Agence française anticorruption examine la méthode autant que le résultat : le découpage des processus, l'échelle retenue et l'implication des métiers dans la cotation. Une cartographie établie par une seule direction, sans confrontation aux opérationnels, décrit des risques théoriques et est régulièrement relevée comme insuffisante.
Source : Agence française anticorruption : recommandations du 12 janvier 2021
Le point qui fait échouer les dispositifs
L'actualisation. Un tableur produit pour un audit vieillit à partir du jour où il est validé, et personne n'est en mesure de dire, deux ans plus tard, quels risques ont été réévalués ni pourquoi.
Ce qui est attendu n'est pas seulement la version courante, mais la trace des versions successives : ce qui a changé, quand, et sous quelle responsabilité.
Des risques de nature différente, une seule méthode
Les organisations publiques tiennent rarement une seule liste de risques. Le contrôle interne budgétaire et comptable en produit une, le document unique d'évaluation des risques professionnels une autre, la sécurité des systèmes d'information une troisième, et les engagements environnementaux ou sociétaux encore une autre. Elles vivent dans des services différents et se croisent rarement.
Or le cycle est identique : identifier, coter, décider des mesures de maîtrise, vérifier qu'elles sont appliquées, en conserver la trace. Ce qui change est le référentiel de rattachement et l'interlocuteur qui viendra l'examiner, pas la méthode.
Les tenir dans un même dispositif, sous forme d'univers de risques distincts, évite trois écueils : la double saisie d'un risque qui relève de deux référentiels, l'absence de vue consolidée pour la direction générale, et l'inégalité de traitement entre un univers outillé et un autre laissé au tableur.
Ce qu’Isodit apporte sur ce point
- Cotation en risque brut et en risque net, rattachée aux processus de l'organisation
- Univers de risques distincts, du contrôle interne budgétaire et comptable aux risques professionnels du document unique, avec une vue consolidée
- Historique des versions : ce qui a été modifié, à quelle date et par qui
- Rattachement de chaque risque à ses mesures de maîtrise et aux contrôles qui les vérifient
- Restitution par processus, par direction ou par niveau de criticité