Qu’est-ce que l’approche du contrôle interne par les risques ?
Mis à jour le
L’approche du contrôle interne par les risques consiste à identifier ce qui peut empêcher une organisation d’atteindre ses objectifs, à évaluer chaque risque selon sa probabilité et son impact, puis à proportionner les contrôles à ces enjeux. Elle remplace le contrôle exhaustif, qui vérifie tout avec la même intensité, par un contrôle ciblé, documenté et traçable. Dans le secteur public, le décret GBCP du 7 novembre 2012 l’impose à l’État (article 170) et aux organismes publics (article 215) pour leur contrôle interne budgétaire et comptable.
Approche par les risques ou contrôle exhaustif : quelle différence ?
Le contrôle exhaustif vérifie chaque opération avec la même intensité. Il épuise vos équipes et laisse parfois passer l’essentiel. L’approche par les risques proportionne l’effort. Vous renforcez le contrôle sur les opérations sensibles. Vous l’allégez, ou le pratiquez par sondage, sur les opérations de masse à faible enjeu. Vous ne contrôlez plus tout : vous contrôlez ce qui compte, et vous pouvez le démontrer.
Votre organisme est-il concerné ?
L’article 170 du décret GBCP impose un dispositif de contrôle interne budgétaire et comptable dans chaque ministère. L’article 215 étend cette obligation aux organismes publics du titre III : établissements publics administratifs, universités, opérateurs de l’État. L’arrêté du 17 décembre 2015 fixe le cadre de référence de ces contrôles internes. Votre dispositif fait l’objet d’une évaluation par l’autorité chargée de votre contrôle. Les collectivités territoriales n’entrent pas dans ce périmètre. Les chambres régionales des comptes examinent toutefois la fiabilité de leurs comptes, et le régime de responsabilité des gestionnaires publics, en vigueur depuis 2023, renforce l’intérêt d’un dispositif solide.
Comment construire votre cartographie des risques ?
Partez de vos processus : chaîne de la dépense, recettes, paie, immobilisations, gestion des tiers. Pour chacun, listez ce qui peut mal tourner. Un double paiement. Une fraude au changement de RIB. Une recette jamais titrée. Ce recensement forme votre univers de risques. Croisez ensuite la probabilité et l’impact de chaque risque, qu’il soit financier, juridique ou d’image : vous obtenez le risque brut. Recensez enfin vos dispositifs de maîtrise existants, comme la séparation des tâches, les circuits de validation ou les contrôles automatiques de votre système d’information. Leur efficacité ramène le risque brut à un risque résiduel. Ce risque résiduel guide vos priorités.
Que faire des risques identifiés ?
Vos risques résiduels élevés entrent dans votre plan d’action, avec un responsable et une échéance. Vos risques bien maîtrisés relèvent de votre plan de contrôle courant. Le contrôle hiérarchisé de la dépense et le contrôle allégé en partenariat entre ordonnateur et agent comptable appliquent directement cette logique. Chaque contrôle réalisé doit se rattacher au risque qu’il couvre. Sans ce lien, votre cartographie reste un document de conformité.
Quels pièges éviter ?
Premier piège : produire une cartographie pour l’auditeur, puis la ranger dans un tiroir. Deuxième piège : ne jamais la mettre à jour, alors que vos risques évoluent à chaque nouveau logiciel, réorganisation ou réglementation. Troisième piège : contrôler sans tracer. Un contrôle non documenté ne prouve rien le jour de l’audit.
Comment ISODIT outille cette démarche ?
ISODIT réunit dans un même outil votre cartographie des risques, votre plan d’action et votre plan de contrôle. Chaque contrôle se rattache à son risque. Chaque action reste tracée et opposable. Vous reprenez votre socle existant ou démarrez de zéro, et vos référentiels actuels s’intègrent sans être remplacés. Chaque acteur de votre organisation peut contribuer, si vous le souhaitez.