Gestion Des Risques En Audit

n œuvre par le conseil d’administration, la direction générale, le management et l'ensemble des collaborateurs de l’organisation.

Elle est prise en compte dans l’élaboration de la stratégie ainsi que dans toutes les activités de l'organisation. Elle est conçue pour identifier les événements potentiels susceptibles d’affecter l’organisation et pour gérer les risques dans les limites de son appétence pour le risque. Elle vise à fournir une assurance raisonnable quant à l'atteinte des objectifs de l'organisation. La gestion des risques comprend 8 éléments résultant de la façon dont l’organisation est gérée. Ils sont intégrés dans le processus de management de l’organisation. Ces différents éléments sont :

* L’environnement interne: il englobe la culture et l’esprit de l’organisation. Il structure la façon dont les risques sont appréhendés et pris en compte par l’ensemble des collaborateurs de l’entité, et plus particulièrement la conception du management et son appétence pour le risque, l’intégrité, les valeurs éthiques et l’environnement dans lequel l’organisation opère.

* Fixation des objectifs : Les objectifs doivent avoir été préalablement définis pour que le management puisse identifier les événements potentiels susceptibles d’en affecter la réalisation. La gestion des risques permet de s’assurer que la direction a mis en place un processus de fixation des objectifs et que ces objectifs sont en ligne avec la mission de l’entité ainsi qu’avec son appétence pour le risque.

* Identification des événements : les événements internes et externes susceptibles d’affecter l’atteinte des objectifs d’une organisation doivent être identifiés en faisant la distinction entre risques et opportunités. Les opportunités sont prises en compte lors de l’élaboration de la stratégie ou au cours du processus de fixation des objectifs. Il s’agira entre autre d’identifier les actifs critiques ou susceptibles de l’être, les menaces et vulnérabilités sans oublier les scénarios de risque.

* Evaluation des risques : les risques sont analysés, tant en fonction de leur probabilité que de leur impact, cette analyse servant de base pour déterminer la façon dont ils doivent être gérés. Les risques inhérents et les risques résiduels sont évalués. L’objectif est d’obtenir pour chaque risque identifié, une évaluation du niveau du risque auquel l’entité est exposée.

* Traitement des risques : le management définit des solutions permettant de faire face aux risques : évitement, acceptation, réduction ou partage. Pour ce faire le management élabore un ensemble de mesures permettant de mettre en adéquation le niveau des risques avec le seuil de tolérance et l’appétence pour le risque de l’organisation.

* Activités de contrôle : des politiques et procédures sont définies et déployées afin de veiller à la mise en place et l’application effective des mesures de traitement des risques.

* Information et communication : Les informations utiles sont identifiées, collectées, et communiquées sous un format et dans des délais permettant aux collaborateurs d’exercer leurs responsabilités. Plus globalement, la communication doit circuler verticalement et transversalement au sein de l’organisation de façon efficace.

* Pilotage : le processus de gestion des risques est piloté dans sa globalité et modifié en fonction des besoins. Le pilotage s’effectue à travers des activités permanentes de management ou par le biais d’évaluations indépendantes ou encore par une combinaison de ces deux modalités.

2. Rôle de l’audit interne

Le management des risques doit être pratiqué dans toute l’entreprise de haut en bas de la hiérarchie. L’analyse des risques a toujours été une préoccupation de l’audit interne et ceci dans plusieurs niveaux d’intervention. En premier lieu dans la planification des travaux que nous développerons ci-dessous. Aussi les nouvelles normes d’audit impliquent une responsabilité accrue des auditeurs dans l’évaluation du processus de management des risques ainsi que dans l’efficacité d’un tel processus.

Désormais, les auditeurs doivent anticiper les problèmes et les risques significatifs encourus par l’organisation. L’audit interne doit accroitre sa capacité à tourner son regard vers l’extérieur de l’entreprise, son environnement, ses marchés.

L'Audit Interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.

Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d'entreprise, et en faisant des propositions pour renforcer leur efficacité. Dans ses objectifs l’auditeur évalue les risques afférents au management de l’organisation. Donc l’audit interne participe à la gestion des risques.

Dans la phase de préparation d’une mission d’audit interne, l’auditeur fait une identification des zones à risque. A cette étape, l’auditeur identifie les endroits ou le risque pourrait se réaliser. Dans le programme de travail de l’auditeur il sera tenu compte des risques encourus et en fonction du dispositif qui a été mis en place pour y faire face. Toujours dans cette étape, l’auditeur établit un Référentiel de Contrôle Interne (RCI). Ce référentiel permet à l’auditeur de déterminer les différents objectifs d’audit, lesquels se retrouveront dans le programme de travail. Le RCI est un inventaire le plus complet possible et tend à l’exhaustivité :

Des objectifs d’un processus audité

Des risques associés à ces objectifs

Des conséquences associées à ces risques

Des dispositifs de contrôle interne destiné à maitriser ces risques

Le RCI s’établit en 6 différentes étapes :

* Première étape :

Dans cette première étape de l’élaboration du RCI, l’auditeur devra tout d’abord découper le processus en opérations élémentaires puis indiquer en face de chaque opération son but ou objectif.

* Deuxième étape :

A cette étape, l’auditeur détermine les risques encourus étant tout évènement pouvant empêcher la réalisation des objectifs fixés dans la première étape. Il ne s’agit pas d’identifier tous les risques susceptibles de se manifester mais plutôt de reprendre les risques essentiels attachés à l’activité.