Ccartogra phie des risques

iale, engagée fin 2003, par le « Club d’Audit des Assureurs » sous la forme d’un groupe de travail qui a su, sous l’impulsion de Jean-Marc GUITEAU, Déontologue Groupe et Responsable du contrôle interne des MMA, fédérer les apports d’une dizaine de contributeurs. Le document de synthèse qui a été produit, au terme de 2 années d’échanges, forme ensuite un outil, marqué par une connaissance intime des métiers de l’assurance, qui se révélera extrêmement précieux pour tous ceux qui, dans le cadre de la Loi de Sécurité Financière, des dispositions Sarbanes-Oxley ou du COSO 2, se préoccupent du renforcement de leur contrôle interne et de leur maîtrise des risques. Je tiens à remercier Jean-Marc GUITEAU et l’ensemble des participants aux différentes sessions du groupe de travail pour leur persévérance et la très grande qualité du travail réalisé. Il nous appartient désormais, dans un environnement d’audit et de contrôle interne qui ne manque pas de sujets d’actualité, notamment sur le plan réglementaire, de relever le défi d’une future contribution qui ne pourrait être que tout aussi remarquable.

Jean-Yves PELISSON Président du Groupe Professionnel Assurance de l’IFACI, Directeur de l'Audit Général Groupe AGF

GUIDE D’AUDIT

5

CARTOGRAPHIE DES RISQUES

6

GUIDE D’AUDIT

CARTOGRAPHIE DES RISQUES

TABLE DES MATIÈRES

INTRODUCTION ................................................................................................... 9 PRÉAMBULE ...................................................................................................... 11 I. LA DÉMARCHE .............................................................................................. 13

1.1 Conditions préalables ..................................................................................................... 13 1.1.1 Volonté forte des dirigeants .................................................................................... 13 1.1.2 Passage obligé par la cartographie des processus ............................................... 13 1.1.3 Utilisation de deux approches complémentaires : Top Down et Bottom Up . 14 1.1.4 Positionnement des opérationnels au cœur du dispositif ................................. 17 1.1.5 Communication à tous les niveaux ....................................................................... 18 1.1.6 Actualisation régulière ............................................................................................. 18 1.2 Etapes de la construction d’une cartographie des risques ....................................... 19 1.2.1 Définir les objectifs ................................................................................................... 19 1.2.2 Répertorier les processus ........................................................................................ 19 1.2.3 Identifier les risques ................................................................................................. 19 1.2.4 Evaluer les risques ................................................................................................... 20 1.2.5 Eviter les écueils ....................................................................................................... 20

II. LA NOTION DE RISQUE ................................................................................. 21

2.1 Définition du risque ........................................................................................................ 21 2.2 Typologie des risques ..................................................................................................... 21 2.3 Mesure du risque ............................................................................................................ 22 2.4 Niveau de granularité .................................................................................................... 23 2.5. Evaluation des risques .................................................................................................. 24 2.6 Quelques exemples ......................................................................................................... 27 2.6.1 Exemples d’évaluation des risques ....................................................................... 27 2.6.2 Exemple du processus de souscription de contrat automobile ........................ 27

III. LES MENACES IGNORÉES ............................................................................ 30

3.1 Risques ignorés ................................................................................................................ 30 3.2 Méthodologies possibles pour identifier les risques « ignorés » ............................. 31 3.2.1 Exemples de facteurs d’alerte ................................................................................. 31 3.2.2 Priorisation du traitement des menaces ignorées ............................................... 32

CONCLUSION .................................................................................................... 33 ANNEXES .......................................................................................................... 35

ANNEXE 1 : Glossaire ............................................................................................................. 37 ANNEXE 2 : Evaluation des risques majeurs ...................................................................... 39 ANNEXE 3 : Exemple de restitution de la démarche de cartographie associée au processus de gestion immobilière .................................................................. 55 ANNEXE 4 : Typologie des risques ....................................................................................... 60 ANNEXE 5 : Détail des macro processus d’une entreprise d’assurance ......................... 79 ANNEXE 6 : Démarche de cartographie : processus de souscription d’un contrat d’assurance automobile ................................................................................... 81 ANNEXE 7 : Tableau des menaces ........................................................................................ 87

GUIDE D’AUDIT

7

CARTOGRAPHIE DES RISQUES

8

GUIDE D’AUDIT

CARTOGRAPHIE DES RISQUES

INTRODUCTION

Le groupe de travail a fonctionné de façon pragmatique et collégiale. Pragmatique dans la mesure où chacun y a participé sur une base volontaire afin d’y apporter sa propre expérience et s’enrichir de celle des autres participants. Collégiale car il s’agissait de définir de façon consensuelle la position du groupe de travail. L’objectif du groupe de travail, ou sa lettre de mission, était de mettre à disposition des professionnels de l’assurance une méthodologie et une boîte à outils permettant le démarrage et la conduite d’un projet de cartographie des risques dans les meilleures conditions de réussite possibles. Dans ce contexte, la démarche mise en œuvre a consisté à identifier dans un premier temps les éléments constitutifs d’une cartographie des risques. Ainsi, ont été dissociés les « matériaux de base » que sont les processus, les risques définis selon le COSO 21 comme, la « possibilité qu’un évènement se produise et ait une incidence défavorable sur la réalisation des objectifs », les éléments de maîtrise de ces risques et la mesure de leur efficacité. Ensuite, la solidité et la pertinence de cette réflexion préalable ont été confrontées à la réalité du terrain au travers de tests de cartographies menés par certaines des entreprises participantes. Ce sont ces éléments que nous allons détailler dans le présent document. Ce cahier de la recherche ne propose ni solution miracle, ni démarche exacte, et d’ailleurs certaines des sociétés participantes au groupe de travail ne l’ont pas appliquée strictement. En effet, toute démarche de cartographie doit tenir compte du contexte dans lequel elle est mise en œuvre, et notamment : • du dispositif de contrôle interne préexistant et de l’organisation dans lesquels la démarche est mise en œuvre ; • de la maturité de l’entreprise en matière de gestion des risques et de l’impact de « Solvabilité II »2 sur son organisation et sa gestion de risques ; • des risques que l’on souhaite effectivement appréhender et piloter au moyen d’une cartographie ; s’agit-il principalement des risques les plus graves ou au contraire de l’ensemble des risques identifiés ? Enfin, ce cahier traite de l’identification, de la mesure et du pilotage des risques découlant de la mise en œuvre opérationnelle du métier d’assureur et non des risques acceptés et garantis dans le cadre de ce même métier.

1 Ouvrage traduit en français par l’IFACI et PwC en 2005 sous le titre « Le Management des risques de l’entreprise » - copyright en français IFACI.

Tout comme « Bâle II » pour le secteur bancaire, la directive européenne « Solvabilité II » prévue en juillet 2007 a pour objectif principal de faire en sorte que les exigences imposées aux entreprises d’assurance