LIVRE BLANC AMRAE APDC

Livre Blanc En partenariat avecavec le soutien de AMRAE 80 Bd Haussmann 75008 Paris Tél. : 01 42 89 33 16 www.amrae.fr amrae@amrae.fr APDC Maison de la Finance 14 rue Pergolèse CS11655 75773 Paris CEDEX 16 Tél. : 01 40 20 96 05 www.apdc-france.com contact@apdc-france.com ISBN : 978-2-9535998-3-1 « Pour une amélioration de la performance opérationnelle via l’optimisation des processus et une meilleure intégration de la maîtrise des risques » MISE EN ŒUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF « Gestion des risques, efﬁ cacité du processus de la gestion des risques, suivi de l’efﬁ cacité… » - depuis 2010 tous ces termes ont été pris et repris mais sans aller plus loin dans les informations pratiques quant à leur mise en œuvre. Avec ce livre blanc - issu d’une collaboration fructueuse entre des risk managers, contrôleurs ou auditeurs internes d’entreprises, des associations professionnelles et des cabinets d’audit - ce sont l’expérience terrain, le vécu des entreprises et des proposi- tions pratiques qui sont exposés. Le cadre de référence de l’AMF sert de ﬁ l rouge à cet ouvrage et permet au lecteur de comprendre pas à pas le déploiement d’un dispositif de gestion des risques. Trois chapitres pour trois objectifs : - En premier lieu, une compilation d’enquêtes permettra au lecteur de mesurer la performance de sa pratique de gestion des risques, - En deuxième lieu, un planning précis de déploiement d’un dispositif sous forme de cinq étapes clés lui sera proposé, dans le but ultime d’améliorer la performance de l’entreprise, - En troisième lieu, les outils et reporting réellement utilisés lui seront présentés. Destiné aux Entreprises de Taille Intermédiaire, cet ouvrage s’adresse aux directions ﬁ nancières, souvent responsable de la gestion des risques dans ces structures. Un livre blanc pratique, un guide de mise en œuvre, un soutien pour les entreprises qui veulent transformer une conformité réglementaire en un avantage compétitif, gage de performance. MISE EN œUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF « Pour une amélioration de la performance opérationnelle via l’optimisation des processus et une meilleure intégration de la maîtrise des risques » Livre Blanc MISE EN œUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF Livre Blanc AMRAE - APDC CONTACTS AMRAE - Association pour le Management des Risques et des Assurances de l’Entreprise Bénédicte HUOT DE LUZE Déléguée Générale benedicte.deluze@amrae.fr www.amrae.fr APDC - Association des Directeurs de Comptabilité & de Gestion Philippe THIERRY-MIEG Secrétaire général Responsable du groupe Contrôle Interne pthierry-mieg@apdc-france.com www.apdc-france.com BMA - Bellot Mullenbach & Associés Jean-Louis BRUN D’ARRE Expert-comptable, commissaire aux comptes jl.brun-darre@bma-paris.com www.bma-paris.com KPMG Sylviane HAUTIN Associée Internal Audit, Risk and Compliance Services shautin@kpmg.fr www.kpmg.fr DFCG - Association nationale des directeurs ﬁ nanciers et de contrôle de gestion Florence GIOT Coprésidente de la Commission Contrôle interne et maîtrise des risques de la DFCG siege@dfcg.asso.fr www.dfcg.com GROUPE DE TRAVAIL Membres du Groupe de Travail Jean-Paul ARTAUD RTE Responsable de la mission « Maîtrise des risques » Réseau de Transport d’Electicité Direction Financière Pierre-Alain AUBIN EURAZEO Head of Internal Audit Christophe AUTRIVE CARREFOUR Directeur de l’Audit interne Philippe BERNARD RHODIA Directeur des Risques et Assurances Bruno BIGUET THALES Directeur des Risques et du Controle interne Anne BRAU IMERYS Risk manager, responsable contrôle interne Gilbert CANAMERAS ERAMET Directeur du Management des risques Groupe Président de l’AMRAE Emmanuel DAOUD Cabinet VIGO Avocat - Associé Florence GIOT ALSTOM POWER VP Finance Efﬁ ciency Alstom Power Benoit GRISARD LA POSTE Direction des Risques Groupe Sylviane HAUTIN KPMG Associée Internal Audit, Risk and Compliance Services Maureen JUBERT ETAM Directrice Audit interne Christine LEFEVRE EDF Responsable du Contrôle interne comptable et ﬁ nancier / Direction comptable groupe Anne MARGUERIE LA POSTE Direction des Risques Groupe Bertrand MONTIER BMA Manager Jean-Marie PIVARD NEXANS Corporate VP Internal Audit Michel TUDREJ EDF Directeur de mission - en charge du CI groupe EDF David WILLIAME SUEZ ENVIRONNEMENT Chargé de Mission Direction de la Performance Membres du Comité de pilotage Jean-Louis BRUN D’ARRE BMA Expert comptable, Associé Bénédicte HUOT DE LUZE AMRAE Déléguée Générale Eric ROPERT KPMG Associé Philippe THIERRY-MIEG AREVA Responsable contrôle interne / Direction Financière AREVA Responsable du groupe Contrôle interne Finance APDC Remerciements Guillaume GASZTOWTT, Co-Président du groupe de place AMF 2005, Partner Advisory Services KPMG « Pour une amélioration de la performance opérationnelle via l’optimisation des processus et une meilleure intégration de la maîtrise des risques » MISE EN ŒUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF Livre Blanc ISBN : 978-2-9535998-3-1 3 L a transposition en droit français des directives européennes a déclenché une série de réac- tions, de réﬂ exions et de prises de conscience dont l’une d’elle est l’utilité d’une gestion des risques efﬁ cace. La mise sous les projecteurs de cette gestion des risques - qui n’est pas un sujet nouveau mais qui était souvent limitée à la diffusion de la culture du risque - encourage et positive la prise de risque maitrisée comme source de création de valeur. Dans ce contexte, le régulateur a actualisé en juillet 2010 son cadre de travail datant de 2007 sur deux thèmes : la gestion des risques et les missions des comités d’audit ce dernier n’étant pas abordé dans ce livre blanc. La partie gestion des risques ayant été totalement créée, il est intéressant de noter la volonté du régulateur d’offrir un cadre à double ﬁ nalité : « Améliorer le pilotage des activités et sécuriser l’at- teinte des objectifs » et éviter de percevoir cette réglementation comme une contrainte. Partant de ce constat les praticiens, cabinets d’audit et institutions professionnelles ont souhaité proposer une démarche positive, structurée et adaptée de modalités de mise en œuvre. L’idée fondatrice étant de transformer cette contrainte réglementaire relative à la gestion des risques en un élément essentiel de la performance et de l’amélioration de l’entreprise. De nombreux échanges ont permis de trouver un chemin en 5 étapes clés qui permet à l’entreprise de passer du monde de la conformité au monde de la performance. Dans les démarches actuelles, les entreprises progressent de concert sur la ﬁ abilisation de la stratégie et celle des processus, l’éthique et la gouvernance. La solidité de chaque thème est gage d’une maturité globale de l’entreprise, la performance ne pouvant être atteinte qu’en travaillant sur cet ensemble. In ﬁ ne, le groupe de travail a souhaité proposer aux directions ﬁ nancières un ensemble d’outils utili- sés par les participants. La vocation de ces outils est d’être une source d’inspiration, de rester proche du terrain et de faciliter la mise en œuvre de la démarche. Ces outils n’ont surtout pas vocation à être déployés exhaustivement dans une entreprise. Chercher la performance versus la conformité, être pragmatiques versus théoriques et montrer un chemin balisé versus dispersé, tels sont les objectifs de ce livre blanc. Jean-Jacques JEGOU Directeur Administratif et Financier GROUPE ZODIAC AEROSPACE préface 4 sommaire PARTIE 1 9 1 QUELS OBJECTIFS POUR CE LIVRE BLANC ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11 1.1 LES AMELIORATIONS INTRODUITES DANS LE CADRE DE L’AMF. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11 1.2 LE PANORAMA DES ACTEURS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 1.2.1 Le directeur ﬁ nancier: son rôle. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 1.2.2 Le sponsor . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 1.2.3 Les ressources opérationnelles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 1.3 LE CONTENU DU LIVRE BLANC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 2 QUEL CHEMIN PRENDRE POUR LE DIRECTEUR FINANCIER ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 2.1 LA MAITRISE DES RISQUES EN QUELQUES MOTS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 2.1.1 Le dispositif de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 2.1.2 Le dispositif de contrôle interne . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 2.1.3 L’interrelation entre ces dispositifs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 2.2 LES PRATIQUES DES ENTREPRISES : QUELLE MATURITE ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 2.2.1 Les objectifs de la gestion des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 2.2.2 Le cadre organisationnel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 2.2.3 Le processus de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 2.2.4 Le pilotage du dispositif, la surveillance et la revue de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . 17 2.3 LES DIFFERENTES ETAPES DE LA MISE EN ŒUVRE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18 2.3.1 Les étapes de la trajectoire d’évolution et de transformation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18 2.3.2 Le « cercle vertueux » des étapes : la dynamique d’évolution - transformation . . . . . . . . . . . . . . . . . . . . . . 20 2.3.3 La connaissance partagée du déroulement des processus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21 2.3.4 Les bénéﬁ ces attendus entre chaque étape . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23 2.3.5 Le rapprochement - Contenu des étapes - Contenu du référentiel AMF . . . . . . . . . . . . . . . . . . . . . . . . . . 26 2.4 LES FACTEURS CLES DE SUCCES DE LA MISE EN ŒUVRE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 2.4.1 L’identiﬁ cation et la localisation des zones à risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 2.4.2 La mise en place de l’approche processus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 2.4.3 La création d’une valeur ajoutée à la ﬁ n de chaque étape . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 2.4.4 Une politique de communication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 PARTIE 2 29 1 MISE EN ŒUVRE DE L’INTEGRATION DE LA MAITRISE DES RISQUES ET DE L’AMELIORATION DE LA PERFORMANCE : LES ETAPES ET LES FAMILLE D’OUTILS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1 QUELQUES DEFINITIONS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1.1 La conformité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1.2 L’efﬁ cacité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1.3 L’efﬁ cicience. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1.4 La performance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.1.5 La durée . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.2 LES ETAPES D’EVOLUTION ET DE TRANSFORMATION . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 1.2.1 Etape 0 : Dimensionner le projet d’évolution. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 1.2.2 Etape 1 : Connaître les zones à risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 1.2.3 Etape 2 : Implémenter un dispositif de gestion des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 1.2.4 Etape 3 : Faire fonctionner un dispositif de gestion des risques efﬁ cace . . . . . . . . . . . . . . . . . . . . . . . . . 38 1.2.5 Etape 4 : Améliorer la performance opérationnelle des processus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 1.2.6 Etape 5 : Optimiser le dispositif de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 1.3 LES FAMILLES D’OUTILS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44 1.3.1 La connaissance des marchés, des produits et de la stratégie de développement associée . . . . . . . . . . . . . . . 45 1.3.2 La connaissance des activités opérationnelles : Les processus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 1.3.3 La connaissance de l’exposition aux risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47 1.3.4 Les dispositifs de précautions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48 1.3.5 La mise en œuvre du Pilotage ou du Monitoring. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 5 PARTIE 3 - BOITE A IDEES D’OUTILS 53 ETAPE 1 - CONNAITRE LES ZONES A RISQUES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 Business model : caractéristiques et enjeux par métier & activités sur la ou les entités . . . . . . . . . . . . . . . . . . . . . 56 Plan stratégique & business models à 3/5 ans sur la ou les entités . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57 Cartographie de l’ensemble des activités de l’entreprise : Niveau ENTITE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58 Cartographie de l’ensemble des activités de l’entreprise : Niveau BU . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 Cartographie de l’ensemble des activités de l’entreprise : Niveau fonction support - DAF . . . . . . . . . . . . . . . . . . . . 70 Localisation des zones à risques et construction d’un Premier Univers des zones à risques : cartographie métiers/zones à risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72 ETAPE 2 - IMPLEMENTER UN DISPOSITIF DE GESTION DES RISQUES . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 « Univers des risques » afﬁ né . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76 Guide d’entretien . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77 Fiche de risques - version en anglais. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82 Fiche de risque - version en français . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83 Fiche de risque - version en français . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84 Grille d’évaluation - Echelle de risque . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85 Matrice des Processus et des Risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86 Première cartographie des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88 Plan de déploiement du dispositif de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90 ETAPE 3 - FAIRE FONCTIONNER UN DISPOSITIF DE GESTION DES RISQUES EFFICACE . . . . . . . . . . . . . . . . . . 93 Questionnaire Auto-Evaluation Niveau ENTITE - version en anglais . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94 Questionnaire Auto-Evaluation Niveau Processus Financiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98 Cartographie des risques - Activité service . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114 Cartographie des risques - Activité industrielle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 Fiche de risque avec plan d’actions associé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116 Appréciation de l’efﬁ cacité d’un dispositif de maîtrise des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 Reporting de suivi de l’efﬁ cacité du dispositif de maîtrise des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .122 ETAPE 4 - AMELIORER LA PERFORMANCE DES PROCESSUS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .125 Référentiel des Processus : Achats et approvisionnements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .126 Référentiel des Processus RH. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .128 Transformation du processus - Emission des bons de commande. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .130 Le suivi de la performance des processus - KPI - Coté processus clients . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .132 Le suivi de la performance des processus - KPI - Coté processus achats, approvisionnements . . . . . . . . . . . . . . . . . .133 Tableau de bord de suivi des Risques - Dysfonctionnements et Plans d’actions . . . . . . . . . . . . . . . . . . . . . . . . . .134 ETAPE 5 - OPTIMISER LE DISPOSITIF DE GESTION DES RISQUES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .137 Impact métiers du risque informatique : Cas RH Paie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .138 Evolution de la maturité du dispositif de maîtrise des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .140 CONCLUSION 143 ... /... 6 sommaire ANNEXES 147 ANNEXE 1 : RECUEIL DES PRATIQUES DE PLACE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .149 1. LE PERIMETRE DES ETUDES ET DES ENQUETES SELECTIONNEES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .149 2. POINTS SAILLANTS DES PRATIQUES DE PLACE. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .150 3. LES PRATIQUES DE PLACE SELON LES THEMES DU CADRE DE REFERENCE DE L’AMF . . . . . . . . . . . . . . . . . . . . .151 La déﬁ nition de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .151 Les objectifs de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .152 Le cadre organisationnel de la gestion des risques : organisation et responsabilité. . . . . . . . . . . . . . . . . . . . . . .153 Le processus de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .155 Le pilotage du dispositif de gestion des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .156 ANNEXE 2 : TEXTES ET REFERENCES BIBLIOGRAPHIQUES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 EN FRANCE, GESTION DES RISQUES ET CONTROLE INTERNE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 Loi de Sécurité Financière (2003, 2005 et 2008) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 Ordonnance du 8 décembre 2008 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 Le cadre de référence de l’AMF 2010 - publication juillet 2010 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 Travaux de l’AFEP, de l’ANSA, du MEDEF et de MiddleNext . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .158 Travaux de l’IFA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .159 Travaux de l’IFACI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .159 Travaux de l’AMRAE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .159 7 E n juillet 2010, dans le cadre de la transpo- sition des directives européennes, l’AMF a introduit dans son cadre de référence la dimension gestion des risques et a indiqué aux émetteurs qu’il s’agissait d’un outil de progrès dont l’ambition allait bien au-delà de la conformité. Le cadre de référence énonce certains principes et est constitué de questionnaires. Il intègre désormais la di- mension de « gestion des risques » sans en préciser tou- tefois les modalités de mise en œuvre. Du fait des enjeux d’amélioration de la performance dans l’exécution des activités opérationnelles, et du besoin de modèles économiques robustes, ce groupe de travail a été créé pour décrire les modalités de mise en œuvre du cadre de référence permettant d’ouvrir des perspectives en termes d’évolution, de transforma- tion et de performance des entreprises. La restitution de ses travaux est organisée en deux parties : 1. la première partie propose au directeur ﬁ nancier les étapes d’une trajectoire d’évolution qui permettent d’aller au-delà du simple objectif de conformité rè- glementaire vers l’amélioration de la performance par notamment des prises de risques maitrisées. Cette trajectoire passe par la modélisation des pro- cessus, une meilleure connaissance des risques, puis se poursuit par la transformation des pratiques opé- rationnelles, pour en arriver à l’instauration d’une démarche de progrès continue dans l’exécution des processus opérationnels. Ainsi à l’issue de ces transformations, le directeur ﬁ nancier aura durable- ment installé dans les pratiques du management la culture de l’approche processus associée à une pra- tique de la prise de risques raisonnée. Cette culture constitue le meilleur rempart de protection et de croissance du modèle économique de l’entreprise. 2. la seconde partie est orientée « mise en œuvre ». Elle fournit aux équipes de la direction financière qui auront à conduire la mise en œuvre un « package » démarche-outils qui leur permettra de construire la « road-map » d’évolution. Ce « package » est com- posé de fiches techniques décrivant le contenu des étapes, d’une boîte à idées d’outils et de retours d’expériences. Pour chacune des étapes nous avons associé des outils de mise en œuvre issus de l’ex- périence des membres du groupe de travail. Cette boite à outils et les outils qui la composent ont surtout pour vocation, de donner des idées aux équipes qui conduisent les travaux de transforma- tion, et devront, le cas échéant, être adaptés aux spécificités de l’entreprise. La montée en puissance vers la prise de risques maitri- sés, la performance et la robustesse du modèle écono- mique sont organisées dès la première étape de la tra- jectoire pour éviter qu’il y ait fracture entre conformité et performance. Il ressort ainsi clairement de ces travaux que, pour dépasser la connaissance des zones à risques et des risques et progresser dans l’amélioration de la perfor- mance, il convient d’introduire une dimension complé- mentaire, « l’approche processus ». En effet, la maîtrise de la modélisation des processus associée à une forte culture des risques nous semble être un facteur clé de succès dans la conduite des travaux de transformation. En installant cette dynamique, on accroît la diffusion de la culture de la démarche processus dans des fonctions et métiers qui ne l’utilisent pas habituellement, leur permettant de conduire des améliorations sur d’autres sujets comme l’évolution des systèmes d’information et celle des systèmes de gestion vers l’ABC, le Lean Mana- gement ou la mise en place d’une vision transversale indépendante de l’organisation de l’entreprise. Par cette démarche, la direction financière conforte son cheminement vers le statut de « business partner ». executive summary 8 PARTIE 1 PARTIE 1 PARTIE 1 10 1. PARTIE 1 QUELS OBJECTIFS POUR CE LIVRE BLANC ? L’ accroissement des parts de marché et de la création de valeur tout en maîtrisant ses prises de risques et en gérant son image constituent les objectifs usuels de tout entrepreneur et de toute entreprise. L’accroissement de la volatilité des situations, leurs com- plexités, la rapidité de réaction et d’adaptation auxquelles les entreprises sont confrontées, assortis d’une difﬁ culté croissante à maîtriser les technologies de l’information, provoquent une instabilité grandissante dans la déﬁ ni- tion des stratégies et de leurs exécutions opérationnelles. Les risques systémiques étant venus s’ajouter aux risques entrepreneuriaux, le risque fait partie de l’inconscient col- lectif, il est redouté et non plus souhaité et la prise de risques se doit d’être plus encadrée que jamais. Dès lors, il est souhaitable, voire primordial, de donner aux entreprises un cadre permettant un retour à la prise des risques maîtrisée. C’est pourquoi le régulateur a dé- veloppé, sous forme de recommandations, un cadre de référence, des pistes de réﬂ exions, des listes de questions essentielles à destination des entreprises aﬁ n de leur per- mettre de ﬁ abiliser l’atteinte de ses objectifs stratégiques et opérationnels. 1.1 Les améliorations introduites dans le cadre de l’AMF Dans ce contexte, les Directives Européennes [1] ont ame- né le régulateur français, l’AMF, à préciser sa position en juillet 2010. Deux documents ont été rédigés par un groupe de travail. Ces documents visent d’une part, l’in- terprétation des nouvelles missions du comité d’audit [2] et d’autre part, la description d’un dispositif de gestion des risques et son articulation avec le contrôle interne [3] dans les entreprises. 1 Directives Européennes 2006/43CE transposées à l’article L823-19 du code de commerce qui déﬁ nit les missions du comité d’audit: ce comité est notamment en charge d’assurer le suivi : du processus d’élaboration de l’information ﬁ nancière ; de l’efﬁ cacité des systèmes de contrôle interne et de gestion des risques, du contrôle légal des comptes, de l’indépendance des Commissaires aux comptes. 2 « Rapport sur le comité d’audit » - AMF - Juillet 2010 3 « Les dispositifs de gestion des risques et de contrôle interne : cadre de référence » - AMF - Juillet 2010 Les travaux du Groupe de place conduits en 2009-2010 avaient pour objectif de proposer et non d’imposer un cadre de travail aux entreprises. Ainsi les recommanda- tions précisent qu’il s’agit d’une « méthodologie qui doit être adaptée aux innombrables cas particuliers résultant de l’activité, de la taille et de l’organisation des entre- prises concernées ». Ces travaux ont conduit à proposer un certain nombre de recommandations complémentaires matérialisées par les deux documents précédemment évoqués et trai- tant de : - L’introduction de la gestion des risques qui a conduit à adapter le cadre de référence de 2007, dont les évolu- tions portent sur : • les principes fondamentaux d’un dispositif de ges- tion des risques ; • l’articulation de la gestion des risques et du contrôle interne ; • le périmètre qui couvre désormais l’ensemble des domaines de l’entreprise et qui n’est pas seulement limité au processus comptable et ﬁ nancier ; • l’actualisation du rôle des principaux acteurs ; • la mise à jour des deux questionnaires relatifs aux principes généraux et au contrôle interne comptable et ﬁ nancier et la rédaction d’un questionnaire relatif à l’analyse et à la maîtrise des risques. - L’extension des missions du comité d’audit : c’est ainsi notamment que le « suivi de l’efﬁ cacité des systèmes de gestion des risques et de contrôle interne » est une des missions de surveillance du comité d’audit. Il est rap- pelé que «les systèmes de contrôle interne et de gestion des risques doivent s’appuyer sur un référentiel », celui de l’AMF ou tout autre. La mise en place de ces nouvelles recommandations conduit non seulement au respect de la conformité mais ouvre la porte à la prise de risques maîtrisée, source d’une réduction de la volatilité des performances et d’une amélioration de la performance opérationnelle. Ces actions de transformation vont inﬂ uencer le com- portement, les réﬂ exes et la pratique des opérationnels et aussi modiﬁ er en profondeur la culture du risque de l’entreprise. Il faut aussi avoir à l’esprit que ces trans- formations demandent des efforts importants de pé- dagogie et de communication qui sont habituellement sous-estimés. Les principes qui y sont développés ﬁ xent un cadre de tra- vail, mais l’AMF n’a pas développé de modes opératoires 1. 11 PARTIE 1 ni de procédures de mise en œuvre de sorte que chaque entreprise est certes libre mais solitaire lors de la mise en œuvre du tout ou partie de ces recommandations. Sans attendre l’évolution de la réglementation, de nom- breuses entreprises ont déjà initié ces mouvements transformant leurs pratiques, gérant le changement de leur organisation et de leurs comportements. Ces en- treprises ont dépassé le stade de la conformité, leurs systèmes de gestion des risques et de contrôle interne leur permettant à la fois : de mieux anticiper les risques, d’allouer avec plus de pertinence leurs ressources et de conférer plus de ﬁ abilité aux processus d’exécution des opérations. Tout ceci devant conduire in ﬁ ne à sécuriser durablement l’atteinte des objectifs de l’entreprise. Cependant, la mise en place de ces changements n’est pas réalisée uniformément dans toutes les entreprises, l’ampleur des projets est différente de l’une à l’autre. En effet, certaines ne disposent pas d’organisation ou de moyens spéciﬁ ques et devront être créatives pour or- ganiser la maîtrise des prises de risques et sécuriser le modèle économique. D’autres ont déjà une organisation qui traite de la gestion des risques et en assure le suivi au niveau des fonctions support que sont : la direction ﬁ nancière, la direction des risques, la direction de l’audit interne, la direction du contrôle interne... Cette dernière organisation suscitant d’autres problématiques fonc- tionnelles et opérationnelles. Quel que soit l’état de maturité des dispositifs de ges- tion des risques et de contrôle interne, le responsable de la mise en œuvre de ces évolutions s’attachera à dis- poser des compétences et à distribuer des rôles (parfois multiples) que nous présentons ci-après. 1.2 Le panorama des acteurs Que l’entreprise décide de se limiter à la stricte conformité ou de conduire une évolution orientée « performance », les acteurs et leurs rôles sont les mêmes. Les différences porteront principalement sur : l’implication du manage- ment opérationnel, le rattachement de la démarche et le dimensionnement des équipes. 1.2.1 Le directeur ﬁ nancier : son rôle La chaîne de production et de maîtrise de l’information ﬁ nancière comporte trois niveaux : • le niveau de la production de l’information éco- nomique et de génération des risques : ce niveau comprend chaque processus de l’entreprise qu’il soit opérationnel, support ou transverse. Ces derniers gé- nèrent, subissent et gèrent des risques plus ou moins signiﬁ catifs ; • le niveau de la traduction de l’information écono- mique : ce niveau permet de transformer les informa- tions « économiques » en catégories de risques et en informations comptable et ﬁ nancière ; • le niveau de la gouvernance : ce niveau s’assure que les dispositifs de production traduction et contrôle fonctionnent correctement, que l’information fournie est sécurisée et que l’information est le reﬂ et de l’acti- vité économique. Nous avons positionné les différents acteurs qui intervien- nent le long de cette chaîne de production et de maîtrise de l’information sur le schéma de la Figure 1 qui est pré- senté page 13. Comme nous l’observons sur la Figure 1, le ﬂ ux d’informa- tion, charnière entre les directions qui assurent l’exécution des processus et la direction générale qui en reçoit une traduction comptable et ﬁ nancière, passe par la direction ﬁ nancière qui s’avère être un acteur clé du dispositif. En pratique, le directeur ﬁ nancier joue un rôle de pivot dans la chaîne de production de l’information ﬁ nancière, il est l’un des interlocuteurs privilégiés du comité d’au- dit. De ce fait, il est courant et légitime que la direction ﬁ nancière porte ou coordonne les projets d’évolution ou de mise en place des dispositifs de gestion des risques et de contrôle interne, mais aussi participe ou coordonne les projets visant à l’amélioration de la performance. Ceci est d’autant plus vrai dans les entreprises moyennes (« mid caps ») dont la taille ne nécessite pas l’existence d’une structure dédiée. Même si la direction ﬁ nancière ne porte pas systémati- quement ces évolutions, elle reste partie prenante aux dis- positifs de gestion des risques et de contrôle interne. En effet, elle est à la fois porteuse et propriétaire des risques ﬁ nanciers et souvent impliquée dans l’évaluation des im- pacts ﬁ nancier/économique des risques, ainsi que dans leur stratégie de couverture. Dans ce livre blanc, nous nous positionnons dans la si- tuation où la direction ﬁ nancière porte ces évolutions. 12 PARTIE 1 LES ACTEURS DES ACTIONS D’EVOLUTION ET DE TRANSFORMATION FIGURE 1 13 PARTIE 1 1.2.2 Le sponsor La nomination du sponsor clairement identiﬁ é et man- daté, constitue l’un des facteurs clés de succès pour le lancement de ce type d’évolution qu’il soit pris sous le seul angle de la conformité ou qu’il soit pris sous l’angle de la transformation. Au-delà de cette nomination, le cadrage des objectifs et du planning fait partie des prérequis sans lesquels le pro- jet ne doit pas être lancé. D’une manière générale, on observe que les projets de transformation visant à modiﬁ er les pratiques opération- nelles sont sponsorisés par les comités de direction. 1.2.3 Les ressources opérationnelles L’importance des ressources mobilisées va dépendre du temps que l’on se donne et de l’effort que l’entreprise est prête à consentir pour déployer les différentes étapes per- mettant d’atteindre les objectifs qu’elle s’est ﬁ xée. C’est lors des travaux de dimensionnement des équipes qu’il conviendra de mesurer le besoin de conduite du changement, représentant, dans certains cas, une contrainte structurante du périmètre et du contenu du projet. Dans beaucoup de situations, le temps à consa- crer à la conduite du changement est sous-estimé par les équipes et constitue l’une des causes d’échec. Ces projets d’évolution exigent une sensibilisation, au sens large, du management aﬁ n qu’il puisse mesurer les apports et impacts des transformations qui vont être en- treprises et procède, en toute connaissance de cause, aux arbitrages qui vont nécessairement se présenter. Le mana- gement concerné est : • la direction générale ; • les responsables des processus fonctionnels ou opéra- tionnels ; • les acteurs de la maîtrise des risques (s’ils existent) : audit interne, contrôle interne, qualité, assurances… ; • les patrons des Business Unit, des zones, des entités…. Les aspects gestion de projet ne sont pas abordés dans le cadre de ce livre blanc. Ces aspects ne présentent pas de caractères particuliers. 1.3 Le contenu du livre blanc Pour entreprendre et conduire la transformation d’une contrainte constituée par le « respect de la conformité » en une opportunité d’amélioration de la performance, le directeur ﬁ nancier dispose de nombreuses publications telles que : les référentiels de risques, les référentiels de contrôles, des questionnaires d’auto-évaluation de ﬁ na- lité et granularité diverses, des cartographies des risques, des référentiels des processus d’entreprise….mais il ne dis- pose pas forcément dans ses équipes de ressources qui ont la culture technique de l’ensemble des dimensions de ces pratiques, une expérience de la mise en œuvre d’opé- rations de transformation et une ﬂ exibilité sufﬁ sante de leur d’emploi du temps pour y consacrer le temps requis. Par ailleurs, le directeur ﬁ nancier dispose d’informations internes utiles à sa mission mais qui ne peuvent, le plus souvent, pas lui servir dans la conduite de son projet qui devrait dépasser le stade du respect de la conformité. Surtout, le directeur ﬁ nancier ne dispose pas de trajec- toires de transformation claires ni de boîte à outils asso- ciée qui lui permettent de baliser le terrain pour atteindre rapidement la conformité réglementaire et ensuite trans- former des pratiques permettant une amélioration de la performance. C’est ce triple constat qui est à l’origine des travaux du groupe de travail. Ce livre blanc a pour vocation de fournir au directeur ﬁ nancier une trajectoire d’évolution, une boite à idées d’outils et des mises en garde pour que le respect de la conformité qui est un objectif en soi, contribue égale- ment à l’amélioration de la performance - via l’optimi- sation des processus et une meilleure intégration de la maîtrise des risques. En d’autres termes, ces transformations visent à instal- ler durablement dans les pratiques du management la culture du processus et la culture du risque qui consti- tuent un socle incontournable du progrès continu. Le livre blanc comporte deux parties : 1. la première partie propose au directeur ﬁ nancier des étapes d’une trajectoire d’évolution qui permettent d’aller au-delà du simple objectif de conformité rè- glementaire vers l’amélioration de la performance par notamment des prises de risques maitrisées. Cette tra- jectoire passe par la modélisation des processus, une meilleure connaissance des risques, puis se poursuit par la transformation des pratiques opérationnelles, pour en arriver à l’instauration d’une démarche de 2. 14 PARTIE 1 2. progrès continu dans l’exécution des processus opé- rationnels. Ainsi à l’issue de ces transformations le directeur ﬁ nancier aura durablement installé dans les pratiques du management la culture de l’approche processus associée à une pratique de la prise de risques raisonnée. Cette culture constitue le meilleur rempart de protection du modèle économique de l’entreprise. 2. la seconde partie est orientée « mise en œuvre ». Elle fournit aux équipes de la direction ﬁ nancière qui auront à conduire la mise en œuvre un « package », démarche-outils qui leur permettra de construire la « roadmap » d’évolution. Ce « package » est composé : de ﬁ ches techniques décrivant le contenu des étapes, d’une boîte à idées d’outils et de retours d’expé- riences. Pour chacune des étapes, nous avons associé des outils de mise en œuvre issus de l’expérience des membres du groupe de travail. Cette boite à outils et les outils qui la composent ont surtout pour voca- tion, de donner des idées aux équipes qui conduisent les travaux de transformation, et devraient, le cas échéant, être adaptés aux spéciﬁ cités de l’entreprise. La contribution du directeur ﬁ nancier à la communication et à la diffusion de l’information ﬁ nancière dont les règles de fonctionnement sont spéciﬁ ques ne sera pas abordée dans ce livre blanc. QUEL CHEMIN PRENDRE POUR LE DIRECTEUR FINANCIER ? 2.1 La maîtrise des risques en quelques mots L’objectif de l’entreprise est de prendre des risques maîtri- sés - prendre des risques, certainement mais pas à n’im- porte quel prix. Depuis toujours, tout entrepreneur, toute entreprise ap- préhendent et gèrent ses risques. Cependant, dans un contexte de globalisation, de mondialisation et de gigan- tisme, il est beaucoup plus compliqué pour un dirigeant de connaître son exposition aux risques et de disposer d’un radar pertinent des principales menaces ou absences d’opportunités. Le dispositif de gestion des risques orga- nise de manière structurée et formalisée la remontée de ces menaces ainsi que leur hiérarchisation. Quant au dispositif de contrôle interne, il organise de ma- nière structurée et automatique la ﬁ abilité de l’exécution des opérations. 2.1.1 Le dispositif de gestion des risques La déﬁ nition du risque dans le cadre de référence de l’AMF stipule que : « Le risque représente la possibilité qu’un événement survienne et dont les conséquences seraient susceptibles d’affecter les personnes, les actifs, l’environnement, les objectifs de la société ou sa réputation. » Le risque se caractérise par une ou plusieurs sources (dysfonctionnement ou facteurs de risques) et par un ou plusieurs impacts (conséquences). La déﬁ nition du dispositif de gestion des risques dans le cadre de référence de l’AMF est : «…La gestion des risques comprend un ensemble de moyens, de comportements, de procédures et d’actions adaptés aux caractéristiques de chaque société qui per- met aux dirigeants de maintenir les risques à un niveau acceptable pour la société… » Les objectifs de la gestion des risques déﬁ nis par l’AMF dans le cadre de référence sont : • la protection de la valeur : créer et préserver la va- leur, les actifs et la réputation de la société ; • la sécurité de l’exécution des processus : sécuriser la prise de décision et les processus de la société pour favoriser l’atteinte des objectifs ; • la cohérence : Favoriser la cohérence des actions avec les valeurs de la société ; • la connaissance partagée des risques inhérents de l’entreprise : mobiliser les collaborateurs de la so- ciété autour d’une vision commune des principaux risques et les sensibiliser aux risques inhérents à leur activité. Les quatre composantes du dispositif de gestion des risques proposées par l’AMF sont : 1. Les objectifs de la gestion des risques. 2. Le cadre organisationnel. 3. Le processus de gestion des risques : • l’identiﬁ cation des risques ; • l’analyse des risques ; • le traitement des principaux risques. 15 PARTIE 1 4. Le pilotage du dispositif, la surveillance et la revue de la gestion des risques. En d’autres termes, le dispositif de gestion des risques met en place des mécanismes qui permettent de détecter des dysfonctionnements et de révéler par anticipation des prises de risques. Sa ﬁ nalité première est d’agir en anticipation et non en protection contrairement au dispositif de contrôle interne. Ce dispositif comporte trois caractéristiques majeures : 1. globalité : le périmètre est global, il couvre l’en- semble des activités, des processus et des actifs de la société. Partant de ce postulat la gestion des risques est l’affaire de tous les acteurs de la société (opéra- tionnels et supports), 2. dynamique : la gestion des risques est un dispositif dynamique et non statique de la société, déﬁ ni et mis en œuvre sous sa responsabilité. Il évolue d’année en année comme l’évolution des marchés et des ac- tivités. Il doit être ajusté en fonction des évolutions constatées ou prévisibles, 3. géométrie variable : la gestion des risques est un dis- positif organisé et adapté à la taille de l’entreprise. C’est un point essentiel pour adapter l’effort aux en- jeux et orientations prises par l’entreprise. 2.1.2 Le dispositif de contrôle interne La déﬁ nition de l’AMF relative au dispositif de contrôle interne est la suivante : « Le contrôle interne est un dispositif de la société, déﬁ ni et mis en œuvre sous sa responsabilité. Il comprend un ensemble de moyens, de comportements, de procédures et d’actions adaptés aux caractéristiques propres de chaque société qui : • Contribue à la maîtrise de ses activités, à l’efﬁ cacité de ses opérations et à l’utilisation efﬁ ciente de ses ressources, et • Doit lui permettre de prendre en compte de manière ap- propriée les risques signiﬁ catifs, qu’ils soient opération- nels, ﬁ nanciers ou de conformité.… » En d’autres termes, le dispositif de contrôle interne cherche, à travers des comportements et des procédures, à ﬁ abiliser l’exécution des opérations et l’information comptable et ﬁ nancière. Sa ﬁ nalité première est d’agir en protection de l’entre- prise et non en anticipation comme le dispositif de ges- tion des risques. 2.1.3 L’interrelation entre ces dispositifs Le dispositif de gestion des risques : • révèle des risques inacceptables qu’il convient de maîtriser par des activités de contrôles qui appartien- nent ou devront appartenir au dispositif de contrôle interne ; • intègre des points de contrôle dans son dispositif, per- mettant ainsi de le ﬁ abiliser. Le dispositif de contrôle interne : • met sous contrôle des risques révélés par la cartogra- phie des risques ; • intègre des points de contrôle dans son dispositif, per- mettant ainsi de le renforcer. 2.2 Les pratiques des entreprises : quelle maturité ? Pour éclairer le directeur ﬁ nancier sur la situation des entreprises concernées par ce projet, nous avons compi- lé plusieurs enquêtes ou études récentes sur les thèmes de la gestion des risques. Cette compilation permet de présenter une vision de la maturité des pratiques de la gestion des risques dans les entreprises françaises, euro- péennes ou internationales. La présentation de synthèse des pratiques et de leur ma- turité est développée ci-dessous suivant les thèmes clés du dispositif de gestion des risques proposé par l’AMF dans son cadre de référence que nous avons décrits pré- cédemment dans le paragraphe 2.1.1 : (i) les objectifs de la gestion des risques, (ii) le cadre organisationnel, (iii) le processus de gestion des risques, (iv) le pilotage, la sur- veillance et la revue du dispositif L’ensemble des informations concernant les études est présenté en Annexe 1 (page 149). 2.2.1 Les objectifs de la gestion des risques Une vingtaine d’objectifs différents est citée dans les études, ce qui démontre une certaine hétérogénéité des attentes attribuées à la gestion des risques. Cependant certains objectifs reviennent régulièrement comme : • « identiﬁ er les risques émergents » ; • « diminuer les pertes opérationnelles » ; • « limiter la volatilité des résultats » ; • « renforcer les hypothèses du business plan » / « renfor- cer le processus de planiﬁ cation stratégique » / « ali- gner le degré d’appétence au risque et la stratégie » ; • « améliorer les ressources de l’entreprise» / « permettre aux gestionnaires de prendre les meilleures décisions ». 16 PARTIE 1 Il ressort de ces études que le moteur principal dans beaucoup d’entreprises est d’ « assurer la conformité réglementaire » puis de permettre d’atteindre les objectifs propres à la maîtrise des prises de risques que nous avons détaillés ci-dessus. Sur la base des pratiques des membres du groupe de travail, les objectifs assignés au dispositif sont différents selon les rôles assurés (direction générale, direction opérationnelle ou actionnaires). Par exemple, les attentes de la direction générale sont : la vision des risques critiques et leur suivi, la conformité aux lois mais également l’introduction de la dimension risques dans les investissements futurs. 2.2.2 Le cadre organisationnel La plupart des études souligne que - pour que la gestion des risques soit efﬁ cace - il est nécessaire de déﬁ nir claire- ment les responsabilités, de partager un langage commun et de connaître les objectifs du dispositif. Ces éléments sont repris dans une procédure ou politique de gestion des risques formalisée. A contrario, les principaux freins à l’efﬁ cacité sont notamment la complexité de la mise en place et du déploiement ainsi que la résistance au chan- gement. Par ailleurs, la lourdeur administrative est perçue négativement démontrant encore une approche procédu- rale de la gestion des risques. Le rattachement et/ou la responsabilité de la fonction de risk management restent, en règle générale, répartis entre direction ﬁ nancière, direction générale et direction de l’audit, des risques et du contrôle interne. La coordination et les relations avec les autres fonctions « acteurs des risques » tendent à s’améliorer. Les enquêtes parlent de coordination partielle voire totale des fonc- tions mais également de partenariat (et nettement moins de concurrence). Peu d’enquêtes font mention de la documentation d’une politique de gestion des risques et notamment l’explici- tation du niveau de tolérance aux risques ; cependant, il semble que ce chantier s’annonce comme important et délicat pour les années à venir. Dans la majorité des cas, les sociétés déclarent s’appuyer sur le référentiel AMF, seules certaines d’entre elles s’ap- puient sur le référentiel COSO [4] . Pour les membres du groupe de travail: • l eurs directions ﬁ nancière et de l’audit interne sont fortement impliquées dans le dispositif de gestion des risques ; 4 Committee Of Sponsoring Organization of the Treadway Commission • le manque de sponsoring de leur direction générale et le manque de ressources (ﬁ nancières et humaines) sont des freins au déploiement d’une démarche de mise en place d’une gestion des risques. 2.2.3 Le processus de gestion des risques L’identiﬁ cation et l’analyse des risques Plusieurs sources d’identiﬁ cation des risques ressortent : les entretiens et la tenue d’ateliers avec la direction géné- rale, les missions d’audit interne, les indicateurs de suivis sont déterminants dans l’identiﬁ cation des risques. L’analyse de risques consiste à examiner les causes possibles et la probabilité d’occurrence d’un risque, ses conséquences potentielles - (conséquences ﬁ nancières, humaines, juridiques, réputation) - s’il se réalise et enﬁ n son degré de maîtrise. Ces éléments permettront aux di- rections de déﬁ nir si le niveau résiduel de risques est ac- ceptable ou non pour l’entreprise. L’analyse des risques est une évaluation qualitative des risques et de leurs contrôles. La tenue d’ateliers de hiérar- chisation s’est imposée comme la pratique de référence au niveau européen. Partagées entre la nécessité de transparence à l’égard des actionnaires et le refus d’exposer des informations conﬁ - dentielles, les sociétés cotées sont encore peu favorables à une communication d’une estimation de leurs risques. Le traitement des principaux risques Les enquêtes ne font que citer les moyens de traitement mis en œuvre par les entreprises tels que : les procédures de contrôle interne, le transfert contractuel ou ﬁ nancier. Il ressort également que, la stratégie d’externalisation ou de transfert de certaines activités porteuses de risques, plébiscitée il y a quelques années, tend à diminuer. Ceci autorise les entreprises à reprendre le contrôle d’activités qui avaient été externalisées, et ainsi diminuer leur coût de gestion des risques. Enﬁ n, le phénomène de plafonne- ment des prises de risques et du montant des expositions imposé par les organes de gouvernance à la direction gé- nérale et aux directions opérationnelles, semble prendre de l’ampleur. 2.2.4 Le pilotage du dispositif, la surveillance et la revue de la gestion des risques La « cartographie des risques » et sa mise à jour régulière dans le temps est l’outil de pilotage qui s’est imposé comme une pratique de référence au niveau européen. En France, la quasi-totalité des groupes du CAC 40 et du 17 PARTIE 1 SBF 120 déclarent disposer de cet outil. Il semble, pour les Midcaps, que seulement la moitié d’entre elles ont réalisé cet exercice. Nous n’avons pas trouvé d’informations rela- tives à la fréquence d’actualisation de ces cartographies. D’autres outils de reporting sont évoqués - sans réelle mesure de l’importance de leur mise en œuvre - comme : • les indicateurs-clés qui permettent de prévenir et de suivre certains risques ou la performance des méca- nismes de précautions mis en place, • le suivi du déroulement des plans d’actions compre- nant délais et activités d’exécution qui s’assure de la maîtrise interne des risques; • l’auto-évaluation des risques et des contrôles opé- rationnels qui permet de suivre l’efﬁ cacité des plans d’actions mais également d’identiﬁ er les risques émergents, • le suivi des incidents au niveau de certains proces- sus : il permet de localiser les zones qui sont mal pro- tégées, et aussi au niveau de l’évolution des litiges qui donnent des retours d’expérience et des pistes pour corriger des précautions en place insufﬁ sam- ment efﬁ caces. Pour les membres du groupe de travail : leurs pratiques sont en ligne avec les enquêtes, en revanche l’identiﬁ - cation des dysfonctionnements et des risques n’est pas opérée à partir des processus ou d’une cartographie des processus. Ils sont identiﬁ és à partir des scénarios réperto- riés permettant d’en déduire les prises de risques. 2.3 Les différentes étapes de la mise en œuvre Nous avons comme ambition, dans les pages qui sui- vent, d’apporter les repères et les éléments nécessaires pour que les règles relatives à la gestion des risques qui vont être mises en place ou dont la formalisation va être renforcée soient conformes à la réglementation mais per- mettent également au directeur ﬁ nancier, de contribuer à la transformation de son entreprise, de participer à des opérations d’optimisation, et ainsi de transformer une contrainte en opportunité. Le balisage de cette évolution est assurée par six étapes, le chapitre 3.2 détaille, sous forme d’une ﬁ che technique, le contenu détaillé de la mise en œuvre de chacune des étapes. 2.3.1 Les étapes de la trajectoire d’évolution et de transformation Une entreprise ne peut pas passer d’un stade d’absence de gestion des risques à une maturité totale d’un disposi- tif dans un espace de temps bref. Les niveaux de maturité de déploiement de la gestion des risques étant différents d’une entreprise à une autre, chacun trouvera dans les étapes ci-dessous les éléments qui lui permettront de construire sa propre trajectoire d’évolution. Nous avons formalisé une montée en puissance autour de six étapes. A notre sens, l’objectif « ultime » du déploiement d’un dispositif de gestion des risques est de permettre une meilleure performance pour l’entreprise, l’atteinte de la conformité aux recommandations du référentiel proposé par l’AMF étant obtenue dès la troisième étape. L’enchainement des étapes est présentée Figure 2 (page 19) avec la matérialisation d’une itération dont nous avons ﬁ xé la fréquence annuelle. Cette itération permet de mettre en œuvre, auprès des équipes, une logique de progrès continu. Nous avons positionné une étape pré- paratoire (étape 0) qui est - et que nous considérons - fondamentale. Cette étape traite du périmètre de l’évolu- tion et/ou de la transformation et impose la ﬁ xation de priorités et d’arbitrages. Ces décisions peuvent conduire potentiellement à exclure du périmètre de travail cer- tains métiers, certaines zones géographiques, certaines entités /BU. Les membres du groupe de travail ayant souvent observé que, comme dans d’autres domaines, c’est le manque de préparation, de communication et d’estimation des moyens qu’il faudra déployer en fonction des priorités de dirigeants qui conduisent : - soit à traiter le sujet comme une nouvelle contrainte règlementaire à satisfaire, sans prendre le temps d’ex- pliquer qu’il existe un chemin plus dynamique qui per- met d’installer une logique de progrès continu et ainsi de contribuer à la transformation de l’entreprise ; - soit à vouloir se lancer des travaux de transformations qui vont aller à l’échec car la préparation des opération- nels à cette approche a été mal exécutée notamment sur l’aspect de la modélisation des processus et les apports que les opérationnels peuvent en tirer au quotidien. La trajectoire d’évolution qui conduit de la conformité à la performance est composée de six étapes succes- sives : 18 PARTIE 1 LES ETAPES DE L’EVOLUTION ET DE TRANSFORMATION Conformité Performance ETAPE 0 Dimensionner le projet ETAPE 1 Connaître les zones à risques ETAPE 2 Implanter un dispositif de gestion des risques ETAPE 3 Faire fonctionner un dispositif de gestion des risques efﬁ cace ETAPE 4 Améliorer la performance des processus Itération Annuelle FIGURE 2 ETAPE 5 Optimiser le dispositif de gestion des risques ETAPE 0 : Dimensionner le projet d’évolution/ transformation  Expliciter formellement les attentes de la direction - les ob- jectifs du dispositif de gestion des risques - en distinguant, si tel est le cas, le volet conformité du volet performance du fait des enjeux, des moyens à mettre en œuvre et des bénéﬁ ces qui sont différents ;  Localiser et nommer un sponsor ;  Déﬁ nir le périmètre des activités opérationnelles et fonc- tionnelles qui seront comprises dans les travaux, il sera propre à chacune des entreprises ;  Adapter le contenu des étapes de déploiement en fonction des attentes ;  Dimensionner les ressources utiles pour conduire le projet. ETAPE 1 : Connaître les zones à risques  Recenser les activités opérationnelles génératrices de dys- fonctionnements majeurs induisant des risques ;  Identiﬁ er et hiérarchiser les principales zones à risques qui pourraient remettre en cause l’atteinte des objectifs de l’en- treprise ;  Esquisser « l’architecture » du dispositif de gestion des risques (positionner les différents éléments qui vont compo- ser le dispositif). ETAPE 2 : Implémenter un dispositif de gestion des risques  Approfondir la connaissance des activités opérationnelles du périmètre en afﬁ nant la modélisation des processus pré- parée au cours de l’étape 1 ;  Identiﬁ er les processus qui seront considérés comme « cri- tiques » ;  Déﬁ nir le plan de déploiement du dispositif et le mettre en œuvre ;  Formaliser le contenu du dispositif au sein du cadre orga- nisationnel : le fonctionnement, les ressources humaines, techniques et ﬁ nancières, le déroulement du dispositif de gestion des risques requis pour assurer la pérennité du fonctionnement. ETAPE 3 : Faire fonctionner un dispositif de gestion des risques efﬁ cace  Vériﬁ er que les zones à risques sont connues et que les ac- tions de maîtrises sont organisées ;  Exécuter des auto-évaluations et consolider les résultats ;  Apprécier la maturité du déploiement et la pertinence des plans d’actions mis en place ;  Etablir et déployer des plans d’actions (sur la base des résul- tats des auto-évaluations). ETAPE 4 : Améliorer la performance opérationnelle des processus  Créer un référentiel des processus opérationnels et de sup- port ;  Déﬁ nir et actualiser les objectifs d’améliorations de l’exécu- tion des processus ;  Optimiser le fonctionnement des processus et les rendre plus efﬁ cace sur le périmètre déﬁ ni ;  Implémenter des indicateurs de mesure de la performance des processus ;  Suivre périodiquement l’évolution de la performance des activités des processus et le niveau d’exposition aux risques. ETAPE 5 : Optimiser le dispositif de gestion des risques  Simpliﬁ er voire alléger les processus matures et maîtrisés aﬁ n d’en accroitre l’efﬁ cience ;  Maîtriser la prise de risques tout en optimisant les moyens techniques, humains et ﬁ nanciers ;  Intégrer le dispositif de gestion des risques dans tous les projets de l’entreprise. 19 PARTIE 1 2.3.2 Le « cercle vertueux » des étapes : la dy- namique d’évolution - transformation La dynamique d’évolution dont les principales étapes de transformation, décrites dans les pages suivantes, consti- tue le moteur de la démarche de progrès continue. Cette dynamique représente un élément incontournable de l’adaptation permanente des pratiques de l’entreprise aux évolutions des marchés. Pour illustrer cette situation, il nous est apparu indispen- sable d’introduire une notion de « cercle vertueux » qui est présentée dans la ﬁ gure 3 ci-dessous. Ce « cercle vertueux » correspond à des changements de comportements et de pratiques opérationnelles au fur et à mesure du déroulement des étapes et donne naissance à une nouvelle culture qui reposera sur la connaissance partagée des processus opérationnels et fonctionnels de l’entreprise. Pour nous, ce « cercle vertueux » correspond à un mouve- ment perpétuel dans lequel l’entreprise est installée et qui constitue un facteur constant de progrès par une amélio- ration continue de la performance de ses processus. Le contenu et le périmètre du « cercle vertueux » s’adapteront au ﬁ l des années en fonction des enjeux économiques, des activités, des difﬁ cultés rencontrées, du périmètre or- ganique et des éléments de marché qui ne sont pas à la main de l’entreprise. Partager au sein de l’entreprise la dynamique portée par le « cercle vertueux » en termes de performance et de créa- tion de valeur est essentielle car elle permet, dès le dé- marrage de l’évolution, d’aller au-delà du simple respect d’une obligation réglementaire. Cette démarche permet d’installer, dans l’esprit de « tous les acteurs », la notion d’opportunité pour conduire un changement ou une amé- lioration de la performance - « tous les acteurs » incluant les équipes tant du côté des opérationnels que du côté des fonctions support. Bien évidemment, le contenu et l’enchaînement des étapes du « cercle vertueux » se déroulent selon des moda- lités propres à chaque entreprise. Les moyens à mettre en œuvre sont à géométrie variable. Les moyens seront adap- tés aux orientations, aux objectifs à atteindre ainsi qu’à l’ambition déﬁ nie par les dirigeants. Lorsque l’entreprise fera l’acquisition d’une nouvelle structure / activité, elle devra l’intégrer au « cercle vertueux » et propager cette dynamique qui vise à installer cette double culture consti- tuée par « l’approche processus » et la gestion des risques. LE CERCLE VERTEUX OU LA DYNAMIQUE DE L’EVOLUTION ET DE TRANSFORMATION ETAPE 0 Dimensionner le projet ETAPE 1 Connaître les zones à risques ETAPE 2 Implanter un dispositif de gestion des risquesETAPE 3 Faire fonctionner un dispositif de gestion des risques efﬁ cace ETAPE 4 Améliorer la performance des processus ETAPE 5 Optimiser le dispositif de gestion des risques FIGURE 3 Conformité Performance 20 PARTIE 1 Périmètre des étapes d’évolution - transformation Un point d’attention doit être fait sur la notion de pé- rimètre des entités / ﬁ liales / BU qui seront intégrées ou non dans les opérations de déploiement / évolution / transformation. Il convient, simplement de déﬁ nir dans le périmètre ce qui est « signiﬁ catif » et de formaliser les règles qui ont permis d’aboutir cette identiﬁ cation. Le pé- rimètre doit être mis à jour régulièrement (au moins une fois par an) pour tenir compte des évolutions organiques, des évolutions de marchés et des évolutions des condi- tions d’exécution. La rationalisation et la formalisation du périmètre est in- dispensable notamment quand l’entreprise travaille sur la conformité. C’est la prééminence de la réalité économique qui doit être privilégiée, il faudra rester vigilant à ne pas laisser des ﬁ liales très éloignées géographiquement ou en terme d’activités en dehors du périmètre du dispositif de maîtrise des risques. 2.3.3 La connaissance partagée du déroule- ment des processus Pour pouvoir identiﬁ er et localiser les zones à risques et organiser la prise de risques, il est important de formaliser la connaissance des processus, des activités et des infor- mations contextuelles relatives aux entités de l’entreprise ou du groupe. Cette connaissance formalisée est utile à plusieurs titres : • elle crée une connaissance partagée et un langage commun entre les opérationnels et les équipes fonc- tionnelles dont celles de la direction ﬁ nancière ; • elle permet de « garder la main » en fonction des ob- jectifs et priorités déﬁ nis par les sponsors pour ne pas entrer dans un niveau de détails superﬂ u nécessitant une mobilisation importante des ressources ; • elle est nécessaire pour « tendre » vers l’efﬁ cience des opérations ; • elle introduit dans l’entité la culture du processus, approche structurante pour l’entité, qui sera utilisée pour traiter d’autres sujets comme exposé ci-dessous ; Au fur et à mesure qu’apparaît le besoin d’aborder la performance, il est nécessaire de disposer d’une connaissance de plus en plus précise des activités des processus opérationnels et de support. Ce besoin se traduit par une description qui s’affine au fil du temps. Les trois niveaux de modélisation qui sont utilisés sont décrits ci-dessous. Les niveaux de modélisation des activités La connaissance des processus opérationnels et de sup- port, nécessaire pour conduire les évolutions - transforma- tions que nous poursuivons, est structurée autour des trois niveaux d’analyse suivants : - Le niveau Global : il est nécessaire pour identiﬁ er et localiser les zones à risques. Cette représentation doit avoir un niveau de détail limité dans sa représentation à une feuille de papier de format A3. Cet espace, qui permet de représenter une quarantaine de processus, est sufﬁ sant pour montrer et formaliser le déroulement des principales activités et des ﬂ ux d’informations néces- saires à leur déroulement. Sur la base de cette connais- sance des activités, il pourra être identiﬁ é et localisé les zones à risques. En fonction de l’importance de l’entre- prise, ce niveau peut couvrir la totalité de l’entreprise ou celle d’une BU / Département. - Le niveau Afﬁ né : il est nécessaire pour construire les dispositifs de gestion des prises de risques, et pour iden- tiﬁ er les processus qui les déclenchent. Chacune des Fi- liale/BU/Département qui composent une entité doit disposer de cette description. Le même règle de forma- lisation sera appliquée qu’au niveau global, ainsi une limitation à feuille de papier de format A3 pour chacune des Filiale/BU/ Département nous semble la bonne granularité. - Le niveau Détaillé : il est indispensable pour aborder les travaux relatifs à l’amélioration de la performance d’enrichir la modélisation précédente. La granularité dé- pendra du ou des métiers des entités. A ce niveau, les activités et les règles de gestion qui s’exécutent au sein du processus sont décrites pour permettre de faire évo- luer leurs pratiques d’exécution et d’agir pour améliorer la performance. Ces principes généraux seront adaptés en fonction des enjeux. Ainsi les niveaux de description des processus ne sera pas la même d’une BU/ Département à l’autre. Au sein d’une même entité, on pourra ainsi rencontrer des alternances de niveau de description (global, afﬁ né, détaillé). 21 PARTIE 1 Cette connaissance des processus et des activités, et règles de gestion qui la compose, est documentée par une représentation graphique (un modèle des processus) dont le formalisme est propre à la culture de l’entreprise. Il ressort de la pratique des membres du groupe de travail un certain nombre d’écueils à éviter. Il convient notam- ment d’être particulièrement vigilant sur la granularité des descriptions. On observe en général des descriptions de processus qui sont beaucoup trop détaillées par rap- port à l’objectif recherché, cet écueil est fréquemment rencontré lors de la production des modèles de processus. Il constitue un handicap au détriment de la dynamique recherchée. La Figure 4 ci-dessous montre, au cours de la trajectoire d’évolution en six étapes, à quel moment ces descriptions doivent être exécutées. Cette modélisation selon ces trois niveaux présente les avantages suivants : • une meilleure focalisation sur les enjeux essentiels et les processus « critiques » ; • un effort progressif qui est dosé en fonction des prio- rités et des choix des dirigeants ; • une mesure et un contrôle de l’effort de mise en œuvre des ressources nécessaires et des budgets ; •. une approche visant à la fois les objectifs de confor- mité et l’identiﬁ cation des leviers de points d’amélio- ration de la performance. Nous présentons dans la partie Boîte à idées d’outils (page 53) des exemples de ces Outils - Modèles. LES NIVEAUX DE MODELISATION DES ACTIVITES ETAPE 0 Dimensionner le projet ETAPE 1 Connaître les zones à risques ETAPE 2 Implanter un dispositif de gestion des risques ETAPE 3 Faire fonctionner un dispositif de gestion des risques efﬁ cace ETAPE 4 Améliorer la performance des processus ETAPE 5 Optimiser le dispositif de gestion des risques Description des métiers - les principaux processus Un schéma sur une feuille de taille A3 pour l’ensemble des métiers de l’entité Description des métiers - les principaux processus Un schéma sur une feuille de taille A3 pour chacune des ﬁ liales / BU / Département Description détaillée des métiers - les activités des processus majeurs ou sensibles Des schémas sur une feuille de taille A4 pour chacun des processus des BU/ Département FIGURE 4 NIVEAU GLOBAL NIVEAU AFFINÉ NIVEAU DÉTAILLÉ 22 PARTIE 1 FIGURE 5 2.3.4 Les bénéﬁ ces attendus entre chaque étape Une fois déﬁ ni le contenu des différentes étapes ( §2.3.1), il nous est apparu indispensable de fournir des repères qui constituent les points clés d’évolution et permettent d’en mesurer l’évolution. Nous avons regroupé ces repères en six thèmes qui sont les suivants : • les bénéﬁ ces attendus, • les difﬁ cultés / écueils, • les facteurs clés de succès, • le temps nécessaire, • les moyens nécessaires, • le Return On Invest… (ROI). Pour chacune des étapes, nous avons identiﬁ é des points clés de l’évolution qui ont été regroupés autour des 6 thèmes. Ces points clés permettent de mettre en perspec- tive les objectifs de l’étape à atteindre. Ces points clés vont permettre d’anticiper les difﬁ cultés, de mettre en œuvre les conditions optimales pour la réussite de cha- cune des étapes et de développer un schéma de commu- nication vis-à-vis des opérationnels et des autres parties prenantes à la démarche. La Figure 5 présentée ci--dessous (zoomée page 24/25) présente le contenu détaillé des différents thèmes. Il in- dique en bas sur une ligne spéciﬁ que le ROI de chacune des étapes. Ce tableau, issu des échanges et des expériences des membres du groupe de travail, donne des repères de difﬁ cultés, de bénéﬁ ces, de temps… entre chaque étape décrite précédemment. Son contenu n’est pas exhaustif mais donnera une vision de la conduite du changement à instaurer pour franchir chaque étape. Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  ‐ Formalisation de ce que l'on veut  entreprendre ‐ Vision globale assez précise du  déroulement des activités ‐ L'architecture des composants du  dispositif de gestion des risques  ‐ Appréciation du niveau d'efficacité  du dispositif  ‐ Réduction des dysfonctionnements  des processus ‐ L'allègement du dispositif  ‐ Délimitation du périmètre des  travaux  ‐ Hierarchisation et localisation  des  risques  ‐ La mise sous contrôle des risques ‐ La mise en place d'indicateurs (KPI de  suivi)  ‐ Amélioration de la valeur créée par  les processus  ‐ Diminution du niveau des risques ‐ Amélioration complémentaire de la  performance des processus  Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils ‐ Désignation du ou des sponsors des  travaux   ‐ Introduction de la culture du process  ‐ L'obtention de la réalité des  protections mises en place via les  questionnaires d'auto‐évaluation  ‐ La connaissance des coûts du  dispositif (ordre de grandeur du coût)   ‐ L'identification des actions  correctrices pertinentes  ‐ L'estimation du correct niveau de  risques à maintenir  ‐ Mise au point de la granularité de la  description des activités via les  processus ‐ La pertinence des plans d'actions  relatif à la mise en place du dispositif  ‐ Les arbitrages à effectuer sur  l'existant pour transformer et  optimiser le dispositif existant ‐ La définition d'un référentiel de  performance base de la mesure de la  performance ‐ La définition des nouveaux objectifs  de performance  ‐ L'intégration de l'approche processus  chez les différents intervenants ‐ La description trop détaillée des  processus impliqués  Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés ‐ Etablissement d'un périmètre de  travail pertinent ‐ Nomination du sponsor et large  diffusion de ses engagements ‐ L'implication des opérationnels dans  les travaux ‐ Le correct déploiement des  composants du dispositif  ‐ L'implication et la mobilisation des  opérationnels ‐ L'implication du COMEX  ‐ Sensibilisation des intervenants à  l'approche processus  ‐ Le  monitoring rapproché des  équipes  ‐ La volonté claire du management (du  fait du changement de sponsor)  ‐ La claire définition des plans de  progrès avec appropriation sans  ambiguité par les opérationnels ‐ L'intégration de la culture du risque  dans les projets de l'entreprise  ‐ Définition du périmètre des "activités  critiques"  ‐ La bonne assimilation de la culture  du process ‐ Motivation de quelques binômes  d'acteurs  Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire  * *   * * * *   * * *   * * * *   * * *   * * *  Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires ‐ La Direction financière, la direction  de l'audit et la direction des risques   ‐ Les responsables des BU /  Départements  ‐ Les responsables des BU /  Départements  ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ROI    Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  ‐ Formalisation de ce que l'on veut  entreprendre ‐ Vision globale assez précise du  déroulement des activités ‐ L'architecture des composants du  dispositif de gestion des risques  ‐ Appréciation du niveau d'efficacité  du dispositif  ‐ Réduction des dysfonctionnements  des processus ‐ L'allègement du dispositif  ‐ Délimitation du périmètre des  travaux  ‐ Hierarchisation et localisation  des  risques  ‐ La mise sous contrôle des risques ‐ La mise en place d'indicateurs (KPI de  suivi)  ‐ Amélioration de la valeur créée par  les processus  ‐ Diminution du niveau des risques ‐ Amélioration complémentaire de la  performance des processus  Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils ‐ Désignation du ou des sponsors des  travaux   ‐ Introduction de la culture du process  ‐ L'obtention de la réalité des  protections mises en place via les  questionnaires d'auto‐évaluation  ‐ La connaissance des coûts du  dispositif (ordre de grandeur du coût)   ‐ L'identification des actions  correctrices pertinentes  ‐ L'estimation du correct niveau de  risques à maintenir  ‐ Mise au point de la granularité de la  description des activités via les  processus ‐ La pertinence des plans d'actions  relatif à la mise en place du dispositif  ‐ Les arbitrages à effectuer sur  l'existant pour transformer et  optimiser le dispositif existant ‐ La définition d'un référentiel de  performance base de la mesure de la  performance ‐ La définition des nouveaux objectifs  de performance  ‐ L'intégration de l'approche processus  chez les différents intervenants ‐ La description trop détaillée des  processus impliqués  Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés ‐ Etablissement d'un périmètre de  travail pertinent ‐ Nomination du sponsor et large  diffusion de ses engagements ‐ L'implication des opérationnels dans  les travaux ‐ Le correct déploiement des  composants du dispositif  ‐ L'implication et la mobilisation des  opérationnels ‐ L'implication du COMEX  ‐ Sensibilisation des intervenants à  l'approche processus  ‐ Le  monitoring rapproché des  équipes  ‐ La volonté claire du management (du  fait du changement de sponsor)  ‐ La claire définition des plans de  progrès avec appropriation sans  ambiguité par les opérationnels ‐ L'intégration de la culture du risque  dans les projets de l'entreprise  ‐ Définition du périmètre des "activités  critiques"  ‐ La bonne assimilation de la culture  du process ‐ Motivation de quelques binômes  d'acteurs  Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire  * *   * * * *   * * *   * * * *   * * *   * * *  Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires ‐ La Direction financière, la direction  de l'audit et la direction des risques   ‐ Les responsables des BU /  Départements  ‐ Les responsables des BU /  Départements  ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ROI    23 PARTIE 1 FIGURE 5 Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  ‐ Formalisation de ce que l'on veut  entreprendre ‐ Vision globale assez précise du  déroulement des activités ‐ L'architecture des composants du  dispositif de gestion des risques  ‐ Appréciation du niveau d'efficacité  du dispositif  ‐ Réduction des dysfonctionnements  des processus ‐ L'allègement du dispositif  ‐ Délimitation du périmètre des  travaux  ‐ Hierarchisation et localisation  des  risques  ‐ La mise sous contrôle des risques ‐ La mise en place d'indicateurs (KPI de  suivi)  ‐ Amélioration de la valeur créée par  les processus  ‐ Diminution du niveau des risques ‐ Amélioration complémentaire de la  performance des processus  Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils ‐ Désignation du ou des sponsors des  travaux   ‐ Introduction de la culture du process  ‐ L'obtention de la réalité des  protections mises en place via les  questionnaires d'auto‐évaluation  ‐ La connaissance des coûts du  dispositif (ordre de grandeur du coût)   ‐ L'identification des actions  correctrices pertinentes  ‐ L'estimation du correct niveau de  risques à maintenir  ‐ Mise au point de la granularité de la  description des activités via les  processus ‐ La pertinence des plans d'actions  relatif à la mise en place du dispositif  ‐ Les arbitrages à effectuer sur  l'existant pour transformer et  optimiser le dispositif existant ‐ La définition d'un référentiel de  performance base de la mesure de la  performance ‐ La définition des nouveaux objectifs  de performance  ‐ L'intégration de l'approche processus  chez les différents intervenants ‐ La description trop détaillée des  processus impliqués  Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés ‐ Etablissement d'un périmètre de  travail pertinent ‐ Nomination du sponsor et large  diffusion de ses engagements ‐ L'implication des opérationnels dans  les travaux ‐ Le correct déploiement des  composants du dispositif  ‐ L'implication et la mobilisation des  opérationnels ‐ L'implication du COMEX  ‐ Sensibilisation des intervenants à  l'approche processus  ‐ Le  monitoring rapproché des  équipes  ‐ La volonté claire du management (du  fait du changement de sponsor)  ‐ La claire définition des plans de  progrès avec appropriation sans  ambiguité par les opérationnels ‐ L'intégration de la culture du risque  dans les projets de l'entreprise  ‐ Définition du périmètre des "activités  critiques"  ‐ La bonne assimilation de la culture  du process ‐ Motivation de quelques binômes  d'acteurs  Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire  * *   * * * *   * * *   * * * *   * * *   * * *  Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires ‐ La Direction financière, la direction  de l'audit et la direction des risques   ‐ Les responsables des BU /  Départements  ‐ Les responsables des BU /  Départements  ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ROI    LES CARACTERISTIQUES DU PASSAGE ENTRE LES DIFFERENTES ETAPES ETAPE 0 DIMENSIONNER LE PROJET ETAPE 1 CONNAÎTRE LES ZONES À RISQUES ETAPE 2 IMPLANTER UN DISPOSITIF DE GESTION DES RISQUES 24 PARTIE 1 Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  Bénéfices Attendus  ‐ Formalisation de ce que l'on veut  entreprendre ‐ Vision globale assez précise du  déroulement des activités ‐ L'architecture des composants du  dispositif de gestion des risques  ‐ Appréciation du niveau d'efficacité  du dispositif  ‐ Réduction des dysfonctionnements  des processus ‐ L'allègement du dispositif  ‐ Délimitation du périmètre des  travaux  ‐ Hierarchisation et localisation  des  risques  ‐ La mise sous contrôle des risques ‐ La mise en place d'indicateurs (KPI de  suivi)  ‐ Amélioration de la valeur créée par  les processus  ‐ Diminution du niveau des risques ‐ Amélioration complémentaire de la  performance des processus  Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils Difficultés / Ecueils ‐ Désignation du ou des sponsors des  travaux   ‐ Introduction de la culture du process  ‐ L'obtention de la réalité des  protections mises en place via les  questionnaires d'auto‐évaluation  ‐ La connaissance des coûts du  dispositif (ordre de grandeur du coût)   ‐ L'identification des actions  correctrices pertinentes  ‐ L'estimation du correct niveau de  risques à maintenir  ‐ Mise au point de la granularité de la  description des activités via les  processus ‐ La pertinence des plans d'actions  relatif à la mise en place du dispositif  ‐ Les arbitrages à effectuer sur  l'existant pour transformer et  optimiser le dispositif existant ‐ La définition d'un référentiel de  performance base de la mesure de la  performance ‐ La définition des nouveaux objectifs  de performance  ‐ L'intégration de l'approche processus  chez les différents intervenants ‐ La description trop détaillée des  processus impliqués  Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés Facteurs clés de succés ‐ Etablissement d'un périmètre de  travail pertinent ‐ Nomination du sponsor et large  diffusion de ses engagements ‐ L'implication des opérationnels dans  les travaux ‐ Le correct déploiement des  composants du dispositif  ‐ L'implication et la mobilisation des  opérationnels ‐ L'implication du COMEX  ‐ Sensibilisation des intervenants à  l'approche processus  ‐ Le  monitoring rapproché des  équipes  ‐ La volonté claire du management (du  fait du changement de sponsor)  ‐ La claire définition des plans de  progrès avec appropriation sans  ambiguité par les opérationnels ‐ L'intégration de la culture du risque  dans les projets de l'entreprise  ‐ Définition du périmètre des "activités  critiques"  ‐ La bonne assimilation de la culture  du process ‐ Motivation de quelques binômes  d'acteurs  Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire Temps nécessaire  * *   * * * *   * * *   * * * *   * * *   * * *  Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires Moyens nécessaires ‐ La Direction financière, la direction  de l'audit et la direction des risques   ‐ Les responsables des BU /  Départements  ‐ Les responsables des BU /  Départements  ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ‐ Les responsables et opérationnels  des BU / Départements ROI    LES CARACTERISTIQUES DU PASSAGE ENTRE LES DIFFERENTES ETAPES ETAPE 3 FAIRE FONCTIONNER UN DISPOSITIF DE GESTIONS DES RISQUES EFFICACE ETAPE 4 AMÉLIORER LA PERFORMANCE DES PROCESSUS ETAPE 5 OPTIMISER LE DISPOSITIF DE GESTION DES RISQUES 25 PARTIE 1 DEPLOIEMENT DU CADRE DE REFERENCE PAR ETAPES FIGURE 6 ETAPE 1 Connaître les zones à risques ETAPE 2 Implémenter un dispositif de gestion des risques ETAPE 3 Faire fonctionner un dispositif de gestion des risques efﬁ cace ETAPE 4 Améliorer la performance des processus ETAPE 5 Optimiser le dispositif de gestion des risques Cadre organisationnel Objectifs du dispositif Processus Identiﬁ cation Analyse Traitement Pilotage Légende N/A Préparation/ initiation Efﬁ cacité Préparation/ amélioration Efﬁ cience Périmètre entreprise Partiel Partiel Total Partiel Total 2.3.5 Le rapprochement - Contenu des étapes - Contenu du référentiel AMF La trajectoire d’évolution du dispositif de gestion des risques que nous venons de présenter comporte plusieurs étapes qui permettent de passer du respect de la confor- mité règlementaire à l’amélioration de la performance. Le contenu de ces évolutions est décrit dans les ﬁ ches techniques, présentées en Partie 2, qui précise les diffé- rentes tâches à mettre en œuvre. Ces ﬁ ches techniques constituent une forme de guide de mise en œuvre de la dimension risques qui a été intégré en juillet 2010 dans le cadre de référence de l’AMF. Nous avons formalisé cette contribution en élaborant la Figure 6 qui présente sous forme d’une matrice le rap- prochement entre le contenu des différentes étapes que vous avons déﬁ nies et les quatre composants constituant le cadre de référence. Vous trouverez, sous la matrice, quelques commentaires. L’étape 0 n’a pas été reprise car il s’agit de travaux préparatoires orientés organisation du projet et non une étape technique à proprement parler. On peut observer que l’efﬁ cacité d’un dispositif de ges- tion des risques (couleur orange sur la Figure 6) est at- teinte après avoir mis en place le contenu de l’étape 1, de l’étape 2 et de l’étape 3. Nous insistons sur le contenu de l’étape 1, en général mal ou peu formalisée, qui vise à déﬁ nir les activités géné- ratrices de zones à risques. Cette étape préparatoire est l’un des facteurs clés de la réussite de cette évolution. Comme nous l’avons indiqué précédemment, la déﬁ nition du périmètre des activités et du périmètre organique (les entités/Filiales/BU) qui entreront dans les travaux d’évo- lution permet de dimensionner l’ampleur des dispositifs. Enﬁ n, il est indispensable de réactualiser annuellement le périmètre des activités et des structures organiques sur la base des évolutions rencontrées. 26 PARTIE 1 On peut observer que l’efﬁ cience d’un dispositif de ges- tion des risques (couleur verte sur la Figure 6) est atteinte après avoir mise en place les étapes 4 et 5. Nous insistons sur le contenu de l’étape 4 dont l’objet est de travailler sur l’amélioration de la performance basée sur la connaissance approfondie des activités des proces- sus majeurs de l’entreprise et de leur robustesse lors de leur exécution. Une fois acquis ce niveau de maturité, il est alors possible d’entreprendre un travail sur l’efﬁ cience du dispositif de gestion des risques. Ce dispositif sera adapté (allégé ou renforcé) sur la base des travaux d’amélioration de la per- formance des processus mis en œuvre dans le cadre des travaux de l’étape 4. Nous voyons ainsi que les étapes que nous décrivons constituent un guide mis en œuvre du cadre de référence de l’AMF publié en juillet 2010 introduisant la gestion des risques. 2.4 Les facteurs clés de succès de la mise en œuvre Nous avons retenu quatre facteurs clés de succès : • L’identiﬁ cation et la localisation des zones à risques et des activités « critiques » qui génèrent les risques ; • La mise en place de l’approche processus dont les ap- ports/bénéﬁ ces sont partagés par tous ; • La création d’une valeur ajoutée à la ﬁ n de chaque étape ; • La mise en place d’une politique de communication. 2.4.1 L’identiﬁ cation et la localisation des zones à risques Il est important, que l’objectif poursuivi soit la conformi- té ou l’amélioration de la performance, d’entreprendre cette (ou ces) évolution(s) par l’identiﬁ cation et la loca- lisation d’un lien entre les processus les plus « critiques » en terme d’inﬂ uence sur l’exécution de la stratégie d’en- treprise et la localisation des principales zones à risques. C’est la réalisation des étapes 1 et 2 qui permet notam- ment de créer ce lien. 2.4.2 La mise en place de l’approche processus L’introduction de la culture de l’approche processus et son intégration dans les pratiques des opérationnels est essentielle car elle va permettre de travailler autre- ment et de disposer d’un levier permettant la réalisation permanente de progrès dans l’exécution des activités composants les processus. Comme nous l’avons indiqué précédemment la mise en place de cette culture chez les opérationnels va permettre de l’utiliser pour progresser dans d’autres situations et sur d’autres sujets. 2.4.3 La création d’une valeur ajoutée à la ﬁ n de chaque étape Le découpage proposé permet de créer en permanence de la valeur ajoutée dans l’évolution. Cette création de valeur ajoutée constitue le moteur de la dynamique d’évolution. En effet, la mise en œuvre d’un dispositif repose pour beaucoup sur les responsables et les dirigeants de l’en- treprise. Considéré dans les premiers temps comme une conformité réglementaire, les opérationnels sont peu en- clins à consacrer du temps à des entretiens, des ateliers s’ils n’y trouvent pas leur intérêt dans l’amélioration de la gestion opérationnelle qui constitue leur quotidien. Pour le responsable de la mise en œuvre, il est primor- dial de ﬁ xer et de mesurer à la ﬁ n de chaque étape la valeur ajoutée apportée. 2.4.4 Une politique de communication La mise en place d’une politique de communication est indispensable. Ces actions de communication doivent inscrire dans l’ADN de tous les acteurs que la culture du risque et la culture de « l’approche processus » sont complémentaires et nécessaires pour conduire cette tra- jectoire de progrès. Ces actions contribueront à créer la culture recherchée où tous les acteurs intégreront l’im- portance de la prise de risques maîtrisée, utiliseront le même langage, les mêmes échelles d’impact et d’occur- rence, et auront la même perception des limites à ne pas franchir en matière de prises de risques. 27 PARTIE 1 L’objectif de cette première partie était de montrer que l’atteinte de la conformité en termes de gestion des risques n’est pas une ﬁ n en soi mais doit être considérée comme un passage vers l’amélioration dans l’exécution opérationnelle et la robustesse du modèle économique de l’entité. Ces travaux demandent une préparation et une communication soignée pour que les opérationnels y trouvent un apport et contribuent à leur réussite, base de la mise en place d’une dynamique de progrès conti- nu. Enﬁ n, au plan économique, ces travaux constituent un investissement dont le ROI est compris entre 6 et 16 mois selon la complexité de la situation. Une fois posé le contenu de la trajectoire d’évolution, nous allons, dans la deuxième partie, décrire les travaux à mettre en œuvre pour franchir les différentes étapes constituant cette trajectoire d’évolution. Le contenu des travaux de mise en œuvre de chacune des étapes sont décrits dans les ﬁ ches techniques. Pour faciliter cette mise en œuvre, les membres du groupe de travail ont élaboré une boite à idées d’outils. Ces outils ont une valeur d’exemple et sont à adapter ou à faire évoluer en fonction de la situation rencontrée. 28 ANNEXES 6 ANNEXE 1 : RECUEIL DES PRATIQUES DE PLACE. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 LE PERIMETRE DES ETUDES ET DES ENQUETES SELECTIONNEES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 POINTS SAILLANTS DES PRATIQUES DE PLACE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 LES PRATIQUES DE PLACE SELON LES THEMES DU CADRE DE REFERENCE DE L’AMF . . . . . . . . . . . . . . . . . . . . . . . . 6 La déﬁ nition de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Les objectifs de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Le cadre organisationnel de la gestion des risques : organisation et responsabilité. . . . . . . . . . . . . . . . . . . . . . . . 6 Le processus de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Le pilotage du dispositif de gestion des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 ANNEXE 2 : BIBLIOGRAPHIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 EN FRANCE, GESTION DES RISQUES ET CONTROLE INTERNE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Loi de Sécurité Financière (2003, 2005 et 2008) : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.2 Ordonnance du 8 décembre 2008 :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.3 Le cadre de référence de l’AMF 2010 – publication juillet 2010 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.4 Les documents de référence des sociétés cotées déposés sur le site de l’AMF. . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.5 Ministre du budget demande une cartographie des risques à tous les grands opérateurs de l’Etat ; Décembre 2010 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.6 Travaux de l’AFEP, de l’ANSA, du MEDEF et de MiddleNext : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.7 Travaux de l’IFA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.8 Travaux de l’IFACI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.2 EN EUROPE ET DANS LE RESTE DU MONDE, GESTION DES RISQUES ET CONTROLE INTERNE . . . . . . . . . . . . . . . . . 6 6.2.1 SOX Juillet 2002 :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.2.2 Allemagne, Angleterre, Pays-Bas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.3 CERCLE DES JURISTES : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.4 DOCUMENT EUROPEANISSUERS :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.5 DOCUMENTS AMRAE RELATIFS AU COMITE D’AUDIT :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.6 LES REFERENTIELS SPECIFIQUES METIERS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 PARTIE 1 PARTIE 2 PARTIE 2 30 1. 1. MISE EN ŒUVRE DE L’INTEGRATION DE LA MAITRISE DES RISQUES ET DE L’AMELIORATION DE LA PERFORMANCE : LES ETAPES ET LES FAMILLES D’OUTILS A vant d’aborder les modalités pratiques du dé- ploiement du dispositif, nous avons souhaité introduire quelques déﬁ nitions sur des no- tions fréquemment utilisées et dont le contenu peut être différent d’un praticien à l’autre. 1.1 Quelques déﬁ nitions 1.1.1 La conformité La conformité en termes juridiques peut se déﬁ nir comme un « ensemble d’actions visant à rendre les mesures comme le comportement des dirigeants et du personnel au sein d’or- ganismes publics ou privés (associations, entreprises, syn- dicats, etc.) comme vis-à-vis de tiers conformes à la norme externe et/ou interne applicable au lieu où ils opèrent ». La conformité ou « compliance » dans le monde de la ﬁ - nance, est utilisée pour désigner le respect des disposi- tions législatives et réglementaires propres aux activités, le respect à la fois des normes professionnelles et déon- tologiques, des orientations de l’organe délibérant et des instructions de l’organe exécutif. C’est l’un des objectifs du dispositif de contrôle interne de l’AMF « Le dispositif vise plus particulièrement à assurer : la conformité aux lois et règlements ;… ». 1.1.2 L’efﬁ cacité L’efﬁ cacité est la capacité d’atteindre un objectif ou un but. Être efﬁ cace, c’est produire les résultats escomptés et réaliser les objectifs ﬁ xés dans les domaines de la qua- lité, de la rapidité et des coûts. L’efﬁ cacité est une me- sure de résultat ou d’atteinte d’un objectif. En d’autres termes, c’est la robustesse dans leur exécution qui rend un processus efﬁ cace. Aucun dysfonctionnement impor- tant n’intervient lors de l’exécution, qui atteint alors un niveau de stabilité qui permet de dire qu’il est efﬁ cace. L’efﬁ cacité (effectivness) ne doit pas être confondue avec l’efﬁ cience (efﬁ ciency). 1.1.3 L’efﬁ cicience L’efﬁ cience mesure l’atteinte d’un résultat au regard des ressources consommées. La recherche de l’efﬁ cience ne peut intervenir que lorsque que l’efﬁ cacité est atteinte. Être efﬁ cient, c’est faire une bonne utilisation des res- sources humaines, informationnelles, matérielles et ﬁ - nancières. En d’autres mots, c’est faire les choses de la bonne façon avec des moyens optimisés. L’efﬁ cience est la recherche et l’atteinte des objectifs avec des moyens de mise en œuvre qui sont en permanence optimisés. L’efﬁ cience, issue du mot efﬁ ciency, ne doit pas se confondre avec l’efﬁ cacité (effectivness). 1.1.4 La performance La performance, dans le monde de la gestion, est le ré- sultat ultime de l’ensemble des efforts d’une entreprise ou d’une organisation. Ces efforts consistent à faire les bonnes choses, de la bonne façon, rapidement, au bon moment, au moindre coût, pour produire les bons résul- tats répondant aux besoins et aux atteintes des clients et plus généralement des parties prenantes de l’entreprise et atteindre les objectifs ﬁ xés par l’organisation. 1.1.5 La durée La durée correspond à l’horizon de temps que l’on se ﬁ xe pour atteindre un objectif ou un résultat. 1.2 Les étapes d’évolution et de transformation Comme nous l’avons déﬁ ni précédemment, la trajectoire qui conduit de la conformité à la performance est compo- sée de six étapes :  Etape 0 : Dimensionner le projet d’évolution  Etape 1 : Connaître les zones à risques  Etape 2 : Implanter un dispositif de gestion des risques  Etape 3 : Faire fonctionner un dispositif de gestion des risques efﬁ cace  Etape 4 : Améliorer la performance des processus  Etape 5 : Optimiser le dispositif de gestion des risques Dans ce livre blanc spéciﬁ quement à destination des ETI, nous formulons l’hypothèse que la mise en œuvre et le dé- ploiement du dispositif de gestion des risques est sous la responsabilité de la direction ﬁ nancière. L’implication et l’appui des managers opérationnels seront grandissants au fur et à mesure du franchissement des étapes. PARTIE 2 31 En fonction de la culture du risque de l’entreprise, de la feuille de route du dirigeant, des besoins de la gouver- nance, l’itération du dispositif peut être semestrielle, an- nuelle, bi-annuelle… La mise en œuvre et le déploiement des différentes étapes du dispositif seront plus ou moins rapides en fonction du périmètre des activités concernées. Comme nous l’avons exposé précédemment, l’entreprise s’attellera à déployer la gestion des risques sur les péri- mètres critiques, les entités risquées ou encore les zones exposées avant de couvrir l’ensemble du périmètre du groupe - conformément aux recommandations de l’AMF. Les étapes décrites ci-dessous ainsi que les ﬁ ches tech- niques jointes vous permettront de disposer d’une feuille de route, d’une méthode issue du terrain pour déployer pragmatiquement et efﬁ cacement votre gestion des risques et ensuite dans une logique de progrès continue poursuivre vers l’amélioration de la performance. 1.2.1 Etape 0 : Dimensionner le projet d’évolution Les objectifs  Expliciter formellement la commande de la direction - les objectifs du dispositif de gestion des risques - en distinguant, le cas échéant, le volet conformité du vo- let performance en fonction des enjeux, des moyens à mettre en œuvre et des bénéﬁ ces qui sont différents ;  Localiser et nommer un sponsor ;  Déﬁ nir le périmètre des activités opérationnelles et fonctionnelles qui seront comprises dans les travaux, il sera propre à chacune des entreprises et déﬁ ni en fonction du contexte ;  Adapter le contenu des étapes de déploiement à la commande du management ;  Dimensionner les ressources utiles pour conduire le projet. Le travail de cadrage avec la direction et le (ou les) sponsor(s) est indispensable car il va positionner le projet relativement aux autres projets et surtout va en ﬁ xer les attentes, les apports et le périmètre. Le livrable Le livrable comporte notamment les points suivants : • Les enjeux économiques de cette évolution/trans- formation : en pratique les principaux chiffres (CA, Rex…) par ligne de produits/marchés/pays. Ils seront ensuite repris de façon détaillée lors de l’étape 1 (page suivante). • Les attentes et les apports pour la direction et les opé- rationnels qui vont devenir les objectifs à atteindre, • Les grands jalons de l’évolution et le calendrier de la mise en place du dispositif de gestion des risques, • Le positionnement du projet par rapport aux autres projets de transformation pour éviter doublons et mauvaise coordination dans le temps avec les autres projets sur des sujets connexes, • Le rôle du sponsor notamment sur les points qui vont nécessiter arbitrage. FIGURE 2 LES ETAPES DE L’EVOLUTION - TRANSFORMATION Conformité Performance ETAPE 0 Dimensionner le projet ETAPE 1 Connaître les zones à risques ETAPE 2 Implanter un dispositif de gestion des risques ETAPE 3 Faire fonctionner un dispositif des gestions des risques efﬁ cace ETAPE 4 Améliorer la performance des processus Itération Annuelle ETAPE 5 Optimiser le dispositif de gestion des risques PARTIE 2 32 Les étapes d’évolution et de transformation sont présentées et détaillées dans les pages suivantes Etape 1 : Connaître les zones à risques Etape 2 : Implanter un dispositif de gestion des risques Etape 3 : Faire fonctionner un dispositif de gestion des risques efﬁ cace Etape 4 : Améliorer la performance des processus Etape 5 : Optimiser le dispositif de gestion des risques ETAPE 1 CONNAITRE LES ZONES A RISQUES 1 - OBJECTIFS - Recenser les activités opérationnelles génératrices de dysfonctionnements majeurs induisant des risques ; - Identiﬁ er et hiérarchiser les principales zones à risques qui pourraient remettre en cause l’atteinte des objectifs de l’entreprise ; - Esquisser « l’architecture » du dispositif de gestion des risques (positionner les différents éléments qui vont composer le dispositif). 2 - PRE-REQUIS - Disposer du document de cadrage formalisé lors de l’étape 0, avec la description de l’objectif immédiat (la conformité), et de l’objectif à un horizon court terme (performance). Ce document de cadrage doit également comprendre une indication du périmètre à couvrir (en terme d’activités opérationnelles, de zones géographiques, d’organisation ou entités…,) et des enjeux à maîtriser. - Connaître les métiers, les activités, les produits, les marchés et la stratégie associée de l’entreprise et les modalités de sa mise en œuvre. - Répertorier les dispositifs de maîtrise existants: dispositifs de contrôle interne et de gestion de risques, et historique de leur implantation. - Apprécier le niveau de culture du risque du ou des entités. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Formaliser les éléments caractéristiques de la stratégie de développement et de la mise en oeuvre du plan d’affaires de l’entreprise. - Formaliser une cartographie des processus pour l’ensemble des activités (vue globale « d’hélicoptère » : une feuille de papier de dimension A3 par branche ou division). Le périmètre peut être variable en fonction de l’objectif. - Localiser les dysfonctionnements récurrents sur le schéma de description des processus. Ces dysfonctionnements remettent en cause le bon déroulement des processus et peuvent être des facteurs de risques. - Identiﬁ er les zones à risques qui pourraient entraver la réalisation du budget et du plan d’affaires/business plan issu de la stratégie de l’entreprise. - Valoriser les impacts potentiels des zones à risques de l’entreprise aﬁ n de les hiérarchiser, de leur donner un ordre d’importance. - Recenser les dispositifs de maîtrise existants dans l’entreprise : gouvernance, charte de fonctionnement, environnement de contrôle, procédure, rapports d’audit, qualité... 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Business model : caractéristiques et enjeux par métier & activités sur la ou les entités. - Plan stratégique & business models à 3 / 5 ans sur la ou les entités. - Cartographie de l’ensemble des activités de l’entreprise (vision globale obtenue à partir d’une représentation des proces- sus). Cette cartographie peut intervenir à différents niveaux : ENTITE - BU - Fonction Support - DAF. - Localisation des zones à risques et construction d’un Premier Univers des zones à risques : cartographie métiers/ zones à risques => Recensement des principales zones à risques de la ou des entités générées par les activités opérationnelles et de support Formalisation possible du livrable de l’étape 1 : 5 - LIVRABLE - Chapitre 1 : présentation des activités - des couples produits - marchés - des axes de développement - des axes de désengagements de ou des entités. - Chapitre 2 : présentation des enjeux ﬁ nanciers issus des caractéristiques des activités et du modèle économique. - Chapitre 3 : la cartographie globale des activités et des zones de risques : les dysfonctionnements majeurs seront loca- lisés sur cette cartographie. C’est une vue globale « hélicoptère » des activités dont le découpage est propre à l’entité. Pour des entités moyennes la représentation est assurée sur une feuille de papier de dimension A3 (420 x 297 mm). - Chapitre 4 : la synthèse des dispositifs existants et une esquisse des dispositifs à mettre en place. ETAPE 2 IMPLEMENTER UN DISPOSITIF DE GESTION DES RISQUES 1 - OBJECTIFS - Approfondir la connaissance des activités opérationnelles du périmètre en afﬁ nant la modélisation des processus préparée au cours de l’étape 1 ; - Identiﬁ er les processus qui seront considérés comme « critiques » ; - Déﬁ nir le plan de déploiement du dispositif et le mettre en œuvre ; - Formaliser le contenu du dispositif au sein du cadre organisationnel : le fonctionnement, les ressources humaines, techniques et ﬁ nancières, le déroulement du dispositif de gestion des risques requis pour assurer la pérennité du fonctionnement. 2 - PRE-REQUIS - Avoir rassemblé et synthétisé l’existant en matière de : (i) objectifs stratégiques et opérationnels de l’entité, (ii) représentation activités- métiers/unités/processus, (iii) documentation des procédures de gestion des risques et de contrôle interne, (iv) modèle économique de l’entité, (v) représentation de l’organisation générale de l’entité. - Disposer d’une vision formalisée et documentée (vue globale « d’hélicoptère ») des zones de risques (et des dysfonctionnements avérés) au regard du modèle économique et des processus de l’organisation. (la vocation du modèle économique est d’identiﬁ er les enjeux ﬁ nanciers liés aux dysfonctionnements/risques des processus, l’entité pourra ainsi identiﬁ er les processus qui seront consi- dérées comme « critiques »). - Avoir identiﬁ é et conﬁ rmé un ou plusieurs sponsors. - Avoir décidé du référentiel (AMF, COSO II, ISO…) sur lequel l’entité va s’appuyer lors de la construction du dispositif. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Déﬁ nir le périmètre couvert par le dispositif (Entités, Activités/Métiers, Processus). - Déﬁ nir les attentes du dispositif : c’est-à-dire les objectifs recherchés par l’organisation et les apports potentiels du dispositif pour les différents acteurs (i.e. ce qu’ils peuvent en attendre en plus du simple respect de la règlementation/recommandations). - Déﬁ nir les fonctions (i.e. acteurs) qui vont participer activement à la vie du dispositif, ainsi que leurs rôles respectifs. Identiﬁ er les facteurs clés favorisant l’adhésion des acteurs et la pérennisation du dispositif. - Afﬁ ner la vision documentée des processus qui sera reprise dans le cadre de l’exercice de cartographie des risques; - Déﬁ nir la méthodologie de cartographie des risques et les outils associés : démarche top-down/bottum-up, échelles, entretiens / ateliers, univers des risques… - Dérouler la méthodologie et produire une première cartographie des risques (la cartographie des risques est déﬁ nie ici comme une analyse et une hiérachisation des risques de l’organisation). La présenter / valider auprès de la direction qui décide de « l’inacceptabilité » de certains risques (la prise de risque est considérée comme trop élevée et doit être contenue/réduite) les risques sont considé- rés comme majeurs ou critiques. Des plans d’actions seront élaborés immédiatement sur les risques majeurs (non couverts par un mécanisme de protection existant). - Adosser / localiser les risques majeurs au sein des processus qui deviennent dès lors « critiques ». Cette attribution se fera en désignant le responsable du processus comme propriétaire du risque et de son plan de maîtrise (cette association va permettre de constituer une matrice des processus et des risques). - Documenter l’architecture des différentes composantes du dispositif (notamment les processus d’identiﬁ cation, d’analyse, de traitement et de suivi des risques, ainsi que les outils et les forums clés), et le cadre organisationnel. La composante pilotage du dispositif peut déjà être abordée à ce stade, mais en réalité elle sera précisée et arrêtée dans l’étape 3. - Elaborer un plan de déploiement pour mettre en œuvre le dispositif de façon progressive (déﬁ nition d’un phasing des opérations). NB : le sponsor et l’équipe projet ont été déﬁ nis au cours de l’étape 0, bien évidemement des contraintes nouvelles peuvent venir le modiﬁ er. - Lancer et réaliser le déploiement. - Suivre le correct déroulement du déploiement et le respect du planning et des objectifs. Corriger les anomalies/dysfonctionnements le cas échéant. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - « Univers des risques » afﬁ né. - Méthodologie de cartographie des risques (guide d’entretien, ﬁ che de risque, échelles de hiérarchisation ou d’évaluation des risques, plans d’actions…). Chacun de ces composants constitue un outil qui est présent dans le chapitre relatif à la boite à idées d’outils. - Matrices des Processus et des Risques : à chaque processus ont été rattachés un certain nombre de risques (le niveau de précision de ces matrices dépend de la granularité attendue par l’organisation). - Première Cartographie des risques. - Plan de déploiement du dispositif de gestion des risques. => Installation et Mise en fonctionnement du dispositif de gestion des risques Formalisation possible du livrable de l’étape 2 : 5 - LIVRABLE - Chapitre 1 : les risques majeurs issus de la cartographie des risques (y compris les actions de maîtrise/traitement déﬁ nies le cas échéant). - Chapitre 2 : les processus « critiques » : ces processus sont déduits de la matrice Processus/Risques qui fait partie des outils présentés. - Chapitre 3 : la description du dispositif cible visant à protéger les processus « critiques » (qui comprend notamment l’architecture des différents composants) - cela dépasse largement l’organisation qui n’est qu’une des composantes du dispositif. - Chapitre 4 : une première esquisse de la politique de gestion des risques; l’ensemble des risques considérés comme « inacceptables¨» par la direction constitue la première politique de gestion des risques. Des plans d’actions / de maîtrise sont déﬁ nis et déployés pour réduire/transférer/supprimer le risque. ETAPE 3 FAIRE FONCTIONNER UN DISPOSITIF DE GESTION DES RISQUES EFFICACE 1 - OBJECTIFS - Vériﬁ er que les zones à risques sont connues et que les actions de maîtrises sont organisées ; - Exécuter des auto-évaluations et consolider les résultats ; - Apprécier la maturité du déploiement et la pertinence des plans d’actions mis en place ; - Etablir et déployer des plans d’actions (sur la base des résultats des auto-évaluations) 2 - PRE-REQUIS - Disposer d’un cadre organisationnel (1ère composante) précisant notamment les rôles et responsabilités des acteurs, la politique de gestion des risques ainsi que le système d’information qui permet la diffusion en interne de l’infor- mation relative aux risques. - Disposer d’un processus de gestion des risques (2ème composante) comprenant les étapes d’identiﬁ cation, d’analyse et de traitement des risques. - Disposer d’une ébauche du pilotage ou monitoring en continu du dispositif (3ème composante). 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Préciser et arrêter les constituants de la composante pilotage du dispositif (esquissée à l’étape précédente) de manière à pouvoir mettre en évidence les écarts par rapport aux exigences de la réglementation et aux recommandations du référentiel retenu (conformité) et aux objectifs à atteindre (efﬁ cacité). Les attentes vis-à-vis de l’auto-évaluation et des revues seront notamment précisées. Les rôles et responsabilités des acteurs participant à cette composante seront en cohérence avec ceux déﬁ nis dans le cadre organisationnel (1ère composante) et afﬁ nés si nécessaire. - Actualiser régulièrement (selon une fréquence à déﬁ nir) les couples (matrices) Process-Risques notamment par l’analyse des dysfonctionnements qui sont intervenus au cours de la période (3 mois, 6 mois, 12 mois) et remettre à jour les processus « critiques » (ceux qui sont impactés par les risques majeurs). - Construire et proposer des plans d’actions avec le propriétaire de risques en prenant en compte le coût de la mise en œuvre et la réduction escomptée. Faciliter la discussion entre tous les acteurs de la maîtrise des risques. - Adosser des indicateurs de performance aux sources / facteurs de risques aﬁ n de détecter la réalisation de ces derniers. - Mettre en œuvre les questionnaires d’auto-évaluations incluant le volet gestion des risques. La mise en œuvre de ces questionnaires d’auto-évaluation doit tenir compte de la culture de l’organisation, de ses caractéristiques et du degré de sensibilisation du personnel. L’équipe projet intégrera des opérationnels pour élaborer ces questionnaires qui se focaliseront sur les enjeux de l’organisation; Si nécessaire, un test sur une entité pilote volontaire sera effectué avant gé- néralisation; la démarche pourra être accompagnée sur le terrain par l’équipe projet ou des relais préalablement formés. En rythme de croisière, ces campagnes d’auto-évaluation seront lancées régulièrement selon une fréquence à déﬁ nir (annuelle ?) dans le cadre d’une organisation pérenne, le contenu des questionnaires étant actualisé. - Déﬁ nir puis mettre en œuvre les plans d’actions destinés à pallier les faiblesses mises en évidence par les auto-évaluations. - Suivre le déroulement de ces plans d’actions. - Baser les plans d’audit et leurs objectifs sur les risques majeurs et les processus « critiques ». - Réaliser les audits et formaliser les résultats (y compris la revue des questionnaires d’auto-évaluation remplis par les entités). - Evaluer l’efﬁ cacité du dispositif sur la base des auto-évaluations, des plans d’actions qui en découlent et des plans d’audit. - Identiﬁ er le(s) plan(s) d’actions de progrès destiné(s) à améliorer l’efﬁ cacité du dispositif de gestion des risques. - Communiquer sur les résultats obtenus auprès des parties prenantes au dispositif de gestion des risques. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Questionnaire d’Auto-Evaluation Niveau ENTITE - Questionnaire d’Auto-Evaluation Niveau PROCESSUS FINANCIERS - Cartographie des risques - Activité Service - Cartographie des risques - Activité Industrielle - Fiche de risques avec plan d’actions associé - Appréciation du niveau d’efﬁ cacité du dispositif (radars, KPI,...) - Reporting de suivi de l’efﬁ cacité du dispositif de maîtrise des risques => Les prises de risques sont maîtrisées et « monitorées » Formalisation possible du livrable de l’étape 3 : 5 - LIVRABLE - Chapitre 1 : le résultat des campagnes d’auto-évaluation serviront de base à l’actualisation de la cartographie des risques, - Chapitre 2 : l’évaluation de l’efﬁ cacité de la gestion des risques processus par processus (analyse du positionnement du dispositif actuel et des résultats qu’il produit par rapport aux objectifs qui lui sont assignés et accessoirement par rapport aux exigences du référentiel). - Chapitre 3 : le plan d’actions de progrès associé. Ce plan est décliné par activités et processus par processus. Il a le même périmètre que le document précédent. ETAPE 5 OPTIMISER LE DISPOSITIF DE GESTION DES RISQUES 1 - OBJECTIFS - Simpliﬁ er voire alléger les processus matures et maîtrisés aﬁ n d’en accroitre l’efﬁ cience, - Maîtriser la prise de risques tout en optimisant les moyens techniques, humains et ﬁ nanciers ; - Intégrer le dispositif de gestion des risques dans tous les projets de l’entreprise ; 2 - PRE-REQUIS - Avoir atteint l’efﬁ cacité du dispositif, mise en évidence par une évaluation interne et/ou externe avec pilotage de plans d’action (orientés « conformité »). - Disposer d’un référentiel de process et d’un référentiel de risques. - Les sponsors maintiennent le « momentum » (pas de remise en cause de l’efﬁ cacité) mais demandent une optimisation. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Evaluer le « coût » du dispositif de gestion des risques pendant sa phase «¨projet¨ » et aujourd’hui dans sa phase « pérenne¨ »¨ : coûts internes (temps dédié par les contributeurs, outils mis en place, …) et coûts externes d’accompagnement. - Déﬁ nir des indicateurs pour (i) s’assurer du maintien de la conformité et (ii) mesurer le « coût » (nombre de contrôles, nombre de contrôles automatiques, nombre de personnes impliquées, nombre reportings mis en place et temps néces- saire pour les produire, …) (iii) mesurer les résultats: au niveau de la performance et de l’efﬁ cacité. - Revoir les risques et leur niveau de criticité (préalablement déﬁ nis au cours des étapes précédentes) et actualiser les couples Process / Risques (revue au cours de l’étape 3). Cette revue permet de traduire les points d’amélioration de la performance qui ont été obtenus suite à l’étape précédente. De facto les points d’amélioration sont localisés et seront pris en compte lors des plans d’actions visant à rechercher une meilleure efﬁ cicence. - Revoir la pertinence des arbitrages Risques / Assurances / Contrôle interne (ceux effectués au cours de l’étape 2). - Identiﬁ er, avec les responsables de processus, pour les processus qui ont fait l’objet, lors de l’étape 4, de simpliﬁ cation ou de transformation, les actions de simpliﬁ cation des actions de maîtrise qui peuvent être mises en place : coté métier¨- coté application informatique. - Localiser les contrôles «¨IO2.ULDXPa» dans les applications et vériﬁ er s’ils ne sont pas en doublon avec des contrôles «¨métiers¨». - Revoir le cadre organisationnel (celui mis en place lors de l’étape 2) et l’actualiser. - Actualiser / Optimiser / Simpliﬁ er les dispositifs de gestion des Risques (et les contrôles associés) et ce dans le cadre d’une démarche intégrée de type GRC. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Matrice Processus / Risques revue : revoir si les processus identiﬁ és comme « critiques » le sont toujours et s’il n’y en a pas d’autres. - Evolution de la maturité du dispositif de maîtrise des risques. - Impact métiers du risque informatique : cas RH-Paie. => Prise de risques efﬁ ciente, moyens associés optimisés Formalisation possible du livrable de l’étape 5 : 5 - LIVRABLE - Chapitre 1 : revue des processus pour vériﬁ er que les processus qui sont « critiques » sont toujours les mêmes. - Chapitre 2 : suivi de l’évolution de la maturité du dispositif de gestion des risques et revue des plans d’actions. Analyse et recherche des axes de simpliﬁ cation à proposer en travaillant sur l’allègement des dispositifs qui ne concernent pas des processus « critiques ». - Chapitre 3 : introduction de l’axe informatique comme axe de progrés. Intenﬁ ciation des doubles protections et identi- ﬁ cation des impacts métiers de risque informatique. Appréciation du niveau de maîtrise de ces risques informatiques. ETAPE 4 AMELIORER LA PERFORMANCE DES PROCESSUS 1 - OBJECTIFS - Créer un référentiel des processus opérationnels et de support ; - Déﬁ nir et actualiser les objectifs d’améliorations de l’exécution des processus ; - Optimiser le fonctionnement des processus et les rendre plus efﬁ cace sur le périmètre déﬁ ni ; - Implémenter des indicateurs de mesure de la performance des processus ; - Suivre périodiquement l’évolution de la performance des activités des processus et le niveau d’exposition aux risques. 2 - PRE-REQUIS - Disposer d’un cadre organisationnel actualisé décrivant l’ensemble du dispositif de gestion des risques - Connaître les résultats de la mesure de l’efﬁ cacité du dispositif de gestion des risques - Impliquer fortement les managers opérationnels (de support) sur le niveau de la performance de leur processus 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Déﬁ nir les objectifs d’améliorations recherchés permettant de ﬁ abiliser / d’optimiser l’atteinte de la stratégie - aﬁ n de disposer de processus opérationnels/ supports performants. - Localiser (scoping) les processus et les actions sur lesquels doivent porter les plans d’actions qui vont améliorer les modalités d’exécution des activités opérationnelles. - Afﬁ ner la connaissance des processus opérationnels en décrivant les activités qui en assurent le fonctionnement. Pour ce faire, il faut s’appuyer sur les travaux qui ont été réalisés lors de l’étape 2. - Déﬁ nir un référentiel de performance des processus en sélectionnant les instruments de mesure adaptés (KPI, autres…). - Mettre en place les indicateurs pour (i) s’assurer du maintien de la conformité et (ii) mesurer le « coût » (nombres de contrôles, nombre de contrôles automatiques, nombre de personnes impliquées, nombre de reportings mis en place et temps nécessaire pour les produire, …), (iii) mesurer les résultats : performance et efﬁ cacité. - Identiﬁ er les actions correctrices à mettre en place pour réduire les dysfonctionnements et corriger l’exécution en fonction des objectifs d’amélioration et du niveau de risque déﬁ ni par les dirigeants. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Référentiel des Processus : achats et approvisionnements - Référentiel des processus : RH - Transformation du processus - Emission des bons de commande - Le suivi de la performance des processus - KPI - Coté processus clients - Le suivi de la performance des processus - KPI - Coté processus achats, approvisionnements - Tableau de bord de suivi des Risques - Dysfonctionnements - Plans d’actions => Processus robustes et performants au service de la performance et de la prise de risques Formalisation possible du livrable de l’étape 4 : 5 - LIVRABLE - Chapitre 1 : les objectifs d’amélioration de la performance. - Chapitre 2 : le référentiel des processus du périmètre concerné. - Chapitre 3 : les dysfonctionnements à éliminer et les actions correctrices à engager. - Chapitre 4 : les plans d’actions qui sera (seront) élaboré(s) et le planning associé. - Chapitre 5 : le plan de suivi des améliorations : les KPI sur les processus du périmètre de la transformation. Etape 1 (page 35) Etape 3 (page 39) Etape 4 (page 41) Etape 5 (page 43) Etape 2 (page 37) PARTIE 2 33 1.2.2 Etape 1 : Connaître les zones à risques Les objectifs  Recenser les activités opérationnelles génératrices de dysfonctionnements majeurs induisant des risques ;  Identiﬁ er et hiérarchiser les principales zones à risques qui pourraient remettre en cause l’atteinte des objec- tifs de l’entreprise ;  Esquisser « l’architecture » du dispositif de gestion des risques (positionner les différents éléments qui vont composer le dispositif). Il s’agit d’un travail préparatoire à conduire avec les principaux responsables opérationnels et responsables des fonctions support concernés, bien évidemment les interlocuteurs à mettre dans la boucle seront différents d’une entreprise à l’autre. Acquérir une sorte « d’intimité » avec l’entreprise grâce à la connaissance des marchés, des produits, des modalités d’exécution (production in- terne et sous-traitance), des modalités de supervision est indispensable. Cette intimité doit être formalisée pour qu’elle soit partageable avec les différents interlocuteurs et puisse faciliter les arbitrages le moment venu. Au cours de cette étape on cherchera principalement à : - identiﬁ er et localiser les processus qui génèrent les principales zones à risques et sont sources de risques et qui pourraient remettre en cause l’atteinte des ob- jectifs de l’entreprise. C’est pour cette raison que l’en- semble des activités doit être passé en revue, selon une démarche « top-down ». Cette revue va permettre de localiser les enjeux, de déﬁ nir la granularité des travaux et donc le niveau d’effort qu’il conviendra de mettre en œuvre. - capter les points critiques à traiter, les contraintes liées à la situation et aux pratiques existantes et les différentes demandes des opérationnels pour esquis- ser l’architecture des dispositifs à mettre en place. Cette architecture sera complétée et détaillée lors de l’étape suivante - étape2 « implémenter un dispositif de gestion des risques ». Le livrable Le livrable comporte les chapitres suivants : • Chapitre 1 : la présentation des couples produits - marchés et des axes de développement de ou des entités. • Chapitre 2 : la présentation des enjeux ﬁ nanciers is- sus des caractéristiques des activités et du modèle économique. • Chapitre 3 : la cartographie globale des activités et des zones de risques : les dysfonctionnements ma- jeurs seront localisés sur cette cartographie. C’est une vue globale d’« hélicoptère » des activités dont le découpage est propre à l’entité. Pour des entités de taille moyenne la représentation doit être assurée sur une feuille de papier de format A3. • Chapitre 4 : la synthèse des dispositifs existants et une esquisse des dispositifs à mettre en place. BOÎTE À IDÉES D’OUTILS Les outils de l’étape 1 se trouvent en page 55. PARTIE 2 34 ETAPE 1 CONNAITRE LES ZONES A RISQUES 1 - OBJECTIFS - Recenser les activités opérationnelles génératrices de dysfonctionnements majeurs induisant des risques ; - Identiﬁ er et hiérarchiser les principales zones à risques qui pourraient remettre en cause l’atteinte des objectifs de l’entreprise ; - Esquisser « l’architecture » du dispositif de gestion des risques (positionner les différents éléments qui vont com- poser le dispositif). 2 - PRE-REQUIS - Disposer du document de cadrage formalisé lors de l’étape 0, avec la description de l’objectif immédiat (la conformité), et de l’objectif à un horizon court terme (performance). Ce document de cadrage doit également comprendre une indication du périmètre à couvrir (en terme d’activités opérationnelles, de zones géographiques, d’organisation ou entités…,) et des enjeux à maîtriser. - Connaître les métiers, les activités, les produits, les marchés et la stratégie associée de l’entreprise et les modalités de sa mise en œuvre. - Répertorier les dispositifs de maîtrise existants: dispositifs de contrôle interne et de gestion de risques, et historique de leur implantation. - Apprécier le niveau de culture du risque du ou des entités. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Formaliser les éléments caractéristiques de la stratégie de développement et de la mise en oeuvre du plan d’affaires de l’entreprise. - Formaliser une cartographie des processus pour l’ensemble des activités (vue globale « d’hélicoptère » : une feuille de papier de dimension A3 par branche ou division). Le périmètre peut être variable en fonction de l’objectif. - Localiser les dysfonctionnements récurrents sur le schéma de description des processus. Ces dysfonctionnements remettent en cause le bon déroulement des processus et peuvent être des facteurs de risques. - Identiﬁ er les zones à risques qui pourraient entraver la réalisation du budget et du plan d’affaires/business plan issu de la stratégie de l’entreprise. - Valoriser les impacts potentiels des zones à risques de l’entreprise aﬁ n de les hiérarchiser, de leur donner un ordre d’importance. - Recenser les dispositifs de maîtrise existants dans l’entreprise : gouvernance, charte de fonctionnement, environnement de contrôle, procédure, rapports d’audit, qualité... 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Business model : caractéristiques et enjeux par métier & activités sur la ou les entités. - Plan stratégique & business models à 3 / 5 ans sur la ou les entités. - Cartographie de l’ensemble des activités de l’entreprise (vision globale obtenue à partir d’une représentation des proces- sus). Cette cartographie peut intervenir à différents niveaux : ENTITE - BU - Fonction Support - DAF. - Localisation des zones à risques et construction d’un Premier Univers des zones à risques : cartographie métiers/zones à risques => Recensement des principales zones à risques de la ou des entités générées par les activités opérationnelles et de support Formalisation possible du livrable de l’étape 1 : 5 - LIVRABLE - Chapitre 1 : présentation des activités - des couples produits - marchés - des axes de développement - des axes de désengagements de ou des entités. - Chapitre 2 : présentation des enjeux ﬁ nanciers issus des caractéristiques des activités et du modèle économique. - Chapitre 3 : la cartographie globale des activités et des zones de risques : les dysfonctionnements majeurs seront loca- lisés sur cette cartographie. C’est une vue globale « hélicoptère » des activités dont le découpage est propre à l’entité. Pour des entités moyennes la représentation est assurée sur une feuille de papier de dimension A3 (420 x 297 mm). - Chapitre 4 : la synthèse des dispositifs existants et une esquisse des dispositifs à mettre en place. PARTIE 2 35 1.2.3 Etape 2 : Implémenter un dispositif de gestion des risques Les objectifs  Approfondir la connaissance des activités opération- nelles du périmètre en afﬁ nant la modélisation des processus préparée au cours de l’étape 1 ;  Identiﬁ er les processus qui seront considérés comme « critiques » ;  Déﬁ nir le plan de déploiement du dispositif de gestion des risques et le mettre en œuvre ;  Formaliser le contenu de ce dispositif au sein du cadre organisationnel : son fonctionnement ainsi que les res- sources humaines, techniques et ﬁ nancières, requises pour assurer la pérennité du fonctionnement. Au cours de cette étape on cherchera principalement à : • construire une première cartographie des risques sur la base de la connaissance afﬁ née des activités des entités. Cette connaissance afﬁ née porte sur les processus d’exécution identiﬁ és lors de l’étape précé- dente ; • localiser les processus « critiques » pour dimensionner les ressources à mobiliser et le contenu du dispositif de gestion des risques à mettre en place ; • déﬁ nir et mettre en œuvre un plan de déploiement de ce dispositif, de façon à s’assurer qu’en ﬁ n de cette étape 2 le dispositif sera en état de marche conformé- ment à ce qui a été planiﬁ é ; • déﬁ nir et documenter : - le dispositif de gestion des risques, et notamment son mode de fonctionnement, les processus à sur- veiller et l’architecture des différents composants qui formeront le dispositif ; - le cadre organisationnel sur lequel va s’appuyer le fonctionnement de ce dispositif ; - les moyens humains et techniques requis pour assu- rer la pérennité du fonctionnement. Le livrable Le livrable comporte les chapitres suivants : • Chapitre 1 : les risques majeurs issus de la cartogra- phie des risques (y compris les actions de maîtrise/ traitements déﬁ nis le cas échéant), • Chapitre 2 : les processus « critiques » : ces processus sont déduits de la matrice Processus/Risques, produit présent. • Chapitre 3 : la description du dispositif cible visant à protéger les processus « critiques » (qui comprend notamment l’architecture des différents compo- sants) - cela dépasse largement l’organisation qui n’est qu’une des composantes du dispositif. • Chapitre 4 : une première esquisse de la politique de gestion des risques ; l’ensemble de risques considérés comme « inacceptables » par la direction constitue la première politique de gestion des risques. Des plans d’actions/de maîtrise sont déﬁ nis et déployés pour réduire/transférer/supprimer le risque. BOÎTE À IDÉES D’OUTILS Les outils de l’étape 2 se trouvent en page 75. PARTIE 2 36 ETAPE 2 IMPLEMENTER UN DISPOSITIF DE GESTION DES RISQUES 1 - OBJECTIFS - Approfondir la connaissance des activités opérationnelles du périmètre en afﬁ nant la modélisation des processus préparée au cours de l’étape 1 ; - Identiﬁ er les processus qui seront considérés comme « critiques » ; - Déﬁ nir le plan de déploiement du dispositif et le mettre en œuvre ; - Formaliser le contenu du dispositif au sein du cadre organisationnel : le fonctionnement, les ressources humaines, techniques et ﬁ nancières, le déroulement du dispositif de gestion des risques requis pour assurer la pérennité du fonctionnement. 2 - PRE-REQUIS - Avoir rassemblé et synthétisé l’existant en matière de : (i) objectifs stratégiques et opérationnels de l’entité, (ii) représentation activités- métiers/unités/processus, (iii) documentation des procédures de gestion des risques et de contrôle interne, (iv) modèle économique de l’entité, (v) représentation de l’organisation générale de l’entité. - Disposer d’une vision formalisée et documentée (vue globale « d’hélicoptère ») des zones de risques (et des dysfonctionnements avérés) au regard du modèle économique et des processus de l’organisation. (la vocation du modèle économique est d’identiﬁ er les enjeux ﬁ nanciers liés aux dysfonctionnements/risques des processus, l’entité pourra ainsi identiﬁ er les processus qui seront considérées comme « critiques »). - Avoir identiﬁ é et conﬁ rmé un ou plusieurs sponsors. - Avoir décidé du référentiel (AMF, COSO II, ISO…) sur lequel l’entité va s’appuyer lors de la construction du dispositif. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Déﬁ nir le périmètre couvert par le dispositif (Entités, Activités/Métiers, Processus). - Déﬁ nir les attentes du dispositif : c’est-à-dire les objectifs recherchés par l’organisation et les apports potentiels du dispositif pour les différents acteurs (i.e. ce qu’ils peuvent en attendre en plus du simple respect de la règlementation/recommandations). - Déﬁ nir les fonctions (i.e. acteurs) qui vont participer activement à la vie du dispositif, ainsi que leurs rôles respectifs. Identiﬁ er les facteurs clés favorisant l’adhésion des acteurs et la pérennisation du dispositif. - Afﬁ ner la vision documentée des processus qui sera reprise dans le cadre de l’exercice de cartographie des risques; - Déﬁ nir la méthodologie de cartographie des risques et les outils associés : démarche top-down/bottum-up, échelles, entretiens / ateliers, univers des risques… - Dérouler la méthodologie et produire une première cartographie des risques (la cartographie des risques est déﬁ nie ici comme une ana- lyse et une hiérachisation des risques de l’organisation). La présenter / valider auprès de la direction qui décide de « l’inacceptabilité » de certains risques (la prise de risque est considérée comme trop élevée et doit être contenue/réduite) les risques sont considérés comme majeurs ou critiques. Des plans d’actions seront élaborés immédiatement sur les risques majeurs (non couverts par un mécanisme de protection existant). - Adosser / localiser les risques majeurs au sein des processus qui deviennent dès lors « critiques ». Cette attribution se fera en désignant le responsable du processus comme propriétaire du risque et de son plan de maîtrise (cette association va permettre de constituer une matrice des processus et des risques). - Documenter l’architecture des différentes composantes du dispositif (notamment les processus d’identiﬁ cation, d’analyse, de traitement et de suivi des risques, ainsi que les outils et les forums clés), et le cadre organisationnel. La composante pilotage du dispositif peut déjà être abordée à ce stade, mais en réalité elle sera précisée et arrêtée dans l’étape 3. - Elaborer un plan de déploiement pour mettre en œuvre le dispositif de façon progressive (déﬁ nition d’un phasing des opérations). NB : le sponsor et l’équipe projet ont été déﬁ nis au cours de l’étape 0, bien évidemement des contraintes nouvelles peuvent venir le modiﬁ er. - Lancer et réaliser le déploiement. - Suivre le correct déroulement du déploiement et le respect du planning et des objectifs. Corriger les anomalies/dysfonctionnements le cas échéant. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - « Univers des risques » afﬁ né. - Méthodologie de cartographie des risques (guide d’entretien, ﬁ che de risque, échelles de hiérarchisation ou d’évaluation des risques, plans d’actions…). Chacun de ces composants constitue un outil qui est présent dans le chapitre relatif à la boite à idées d’outils. - Matrices des Processus et des Risques : à chaque processus ont été rattachés un certain nombre de risques (le niveau de précision de ces matrices dépend de la granularité attendue par l’organisation). - Première Cartographie des risques. - Plan de déploiement du dispositif de gestion des risques. => Installation et Mise en fonctionnement du dispositif de gestion des risques Formalisation possible du livrable de l’étape 2 : 5 - LIVRABLE - Chapitre 1 : les risques majeurs issus de la cartographie des risques (y compris les actions de maîtrise/traitement déﬁ nies le cas échéant). - Chapitre 2 : les processus « critiques » : ces processus sont déduits de la matrice Processus/Risques qui fait partie des outils présentés. - Chapitre 3 : la description du dispositif cible visant à protéger les processus « critiques » (qui comprend notamment l’architecture des différents composants) - cela dépasse largement l’organisation qui n’est qu’une des composantes du dispositif. - Chapitre 4 : une première esquisse de la politique de gestion des risques; l’ensemble des risques considérés comme « inacceptables¨» par la direction constitue la première politique de gestion des risques. Des plans d’actions / de maîtrise sont déﬁ nis et déployés pour réduire/transférer/supprimer le risque. PARTIE 2 37 1.2.4 Etape 3 : Faire fonctionner un dispositif de gestion des risques efﬁ cace Les objectifs  Vériﬁ er que les zones à risques sont connues et que les actions de maîtrises sont organisées ;  Exécuter des auto-évaluations et consolider les résultats ;  Apprécier la maturité du déploiement et la pertinence des plans d’actions mis en place ;  Etablir et déployer, le cas échéant, de nouveaux plans d’actions (sur la base des résultats des auto- évaluations). Au cours de cette étape on cherchera principalement à: • vériﬁ er que le dispositif de gestion des risques mis en œuvre à l’étape précédente est conforme aux recom- mandations en vigueur et respecte les exigences du référentiel retenu, • apprécier l’efﬁ cacité du dispositif mis en œuvre : cette appréciation portera principalement sur la précision des objectifs du dispositif de gestion et son niveau d’alignement par rapport à ses objectifs, la connais- sance par les opérationnels des risques déﬁ nis par la direction générale comme acceptables, la maîtrise des risques potentiels majeurs, l’identiﬁ cation des zones de danger, l’analyse et l’exploitation des risques survenus, la mise en place éventuelle d’actions cor- rectrices, le reporting permettant au comité d’audit d’exercer ses diligences et aux dirigeants de prendre les bonnes dispositions, • mettre en place une composante « pilotage du dispo- sitif de gestion des risques » : le monitoring de la mise en œuvre opérationnelle, va permettre de faire évoluer progressivement le dispositif de gestion des risques (mis en place à l’étape précédente). Il va permettre de mesurer le degré de maturité des équipes et de propo- ser au sponsor de passer d’un strict objectif de confor- mité à un objectif de performance opérationnelle. Le livrable Le livrable comporte les chapitres suivants : • Chapitre 1 : le résultat des campagnes d’auto-évalua- tion qui serviront de base à l’actualisation de la carto- graphie des risques, • Chapitre 2 : l’évaluation de l’efﬁ cacité de la gestion des risques processus par processus (analyse du posi- tionnement du dispositif actuel et des résultats qu’il produit par rapport aux objectifs qui lui sont assi- gnés et accessoirement par rapport aux exigences du référentiel), • Chapitre 3 : le plan d’actions de progrès associé. Ce plan est décliné par activités et processus par processus. Il a le même périmètre que le document précédent. BOÎTE À IDÉES D’OUTILS Les outils de l’étape 3 se trouvent en page 93. PARTIE 2 38 ETAPE 3 FAIRE FONCTIONNER UN DISPOSITIF DE GESTION DES RISQUES EFFICACE 1 - OBJECTIFS - Vériﬁ er que les zones à risques sont connues et que les actions de maîtrises sont organisées ; - Exécuter des auto-évaluations et consolider les résultats ; - Apprécier la maturité du déploiement et la pertinence des plans d’actions mis en place ; - Etablir et déployer des plans d’actions (sur la base des résultats des auto-évaluations) 2 - PRE-REQUIS - Disposer d’un cadre organisationnel (1ère composante) précisant notamment les rôles et responsabilités des acteurs, la politique de gestion des risques ainsi que le système d’information qui permet la diffusion en interne de l’information relative aux risques. - Disposer d’un processus de gestion des risques (2ème composante) comprenant les étapes d’identiﬁ cation, d’analyse et de traitement des risques. - Disposer d’une ébauche du pilotage ou monitoring en continu du dispositif (3ème composante). 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Préciser et arrêter les constituants de la composante pilotage du dispositif (esquissée à l’étape précédente) de manière à pouvoir mettre en évidence les écarts par rapport aux exigences de la réglementation et aux recommandations du référentiel retenu (conformité) et aux objectifs à atteindre (efﬁ cacité). Les attentes vis-à-vis de l’auto-évaluation et des revues seront notamment précisées. Les rôles et responsabilités des acteurs participant à cette composante seront en cohérence avec ceux déﬁ nis dans le cadre organisationnel (1ère composante) et afﬁ nés si nécessaire. - Actualiser régulièrement (selon une fréquence à déﬁ nir) les couples (matrices) Process-Risques notamment par l’ana- lyse des dysfonctionnements qui sont intervenus au cours de la période (3 mois, 6 mois, 12 mois) et remettre à jour les processus « critiques » (ceux qui sont impactés par les risques majeurs). - Construire et proposer des plans d’actions avec le propriétaire de risques en prenant en compte le coût de la mise en œuvre et la réduction escomptée. Faciliter la discussion entre tous les acteurs de la maîtrise des risques. - Adosser des indicateurs de performance aux sources / facteurs de risques aﬁ n de détecter la réalisation de ces derniers. - Mettre en œuvre les questionnaires d’auto-évaluations incluant le volet gestion des risques. La mise en œuvre de ces questionnaires d’auto-évaluation doit tenir compte de la culture de l’organisation, de ses caractéristiques et du degré de sensibilisation du personnel. L’équipe projet intégrera des opérationnels pour élaborer ces questionnaires qui se focaliseront sur les enjeux de l’organisation; Si nécessaire, un test sur une entité pilote volontaire sera effectué avant généralisation; la démarche pourra être accompagnée sur le terrain par l’équipe projet ou des relais préalablement formés. En rythme de croisière, ces campagnes d’auto-évaluation seront lancées régulièrement selon une fréquence à déﬁ nir (annuelle ?) dans le cadre d’une organisation pérenne, le contenu des questionnaires étant actualisé. - Déﬁ nir puis mettre en œuvre les plans d’actions destinés à pallier les faiblesses mises en évidence par les auto-évaluations. - Suivre le déroulement de ces plans d’actions. - Baser les plans d’audit et leurs objectifs sur les risques majeurs et les processus « critiques ». - Réaliser les audits et formaliser les résultats (y compris la revue des questionnaires d’auto-évaluation remplis par les entités). - Evaluer l’efﬁ cacité du dispositif sur la base des auto-évaluations, des plans d’actions qui en découlent et des plans d’audit. - Identiﬁ er le(s) plan(s) d’actions de progrès destiné(s) à améliorer l’efﬁ cacité du dispositif de gestion des risques. - Communiquer sur les résultats obtenus auprès des parties prenantes au dispositif de gestion des risques. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Questionnaire d’Auto-Evaluation Niveau ENTITE - Questionnaire d’Auto-Evaluation Niveau PROCESSUS FINANCIERS - Cartographie des risques - Activité Service - Cartographie des risques - Activité Industrielle - Fiche de risques avec plan d’actions associé - Appréciation du niveau d’efﬁ cacité du dispositif (radars, KPI,...) - Reporting de suivi de l’efﬁ cacité du dispositif de maîtrise des risques => Les prises de risques sont maîtrisées et « monitorées » Formalisation possible du livrable de l’étape 3 : 5 - LIVRABLE - Chapitre 1 : le résultat des campagnes d’auto-évaluation serviront de base à l’actualisation de la cartographie des risques, - Chapitre 2 : l’évaluation de l’efﬁ cacité de la gestion des risques processus par processus (analyse du positionnement du dispositif actuel et des résultats qu’il produit par rapport aux objectifs qui lui sont assignés et accessoirement par rapport aux exigences du référentiel). - Chapitre 3 : le plan d’actions de progrès associé. Ce plan est décliné par activités et processus par processus. Il a le même périmètre que le document précédent. PARTIE 2 39 1.2.5 Etape 4 : Améliorer la performance opération- nelle des processus Les objectifs  Créer un référentiel des processus opérationnels et de support ;  Déﬁ nir et actualiser les objectifs d’améliorations de l’exécution des processus ;  Optimiser le fonctionnement des processus et les rendre plus efﬁ cace sur le périmètre déﬁ ni ;  Implémenter des indicateurs de mesure de la perfor- mance des processus ;  Suivre périodiquement l’évolution de la performance des activités des processus et le niveau d’exposition aux risques. Nous sommes, lors du démarrage de cette étape, à la charnière entre un dispositif dont la ﬁ nalité essentielle est la conformité aux règlementations et le lancement d’une opération de transformation dont la ﬁ nalité est l’amé- lioration de la performance opérationnelle couvrant (la prise de risques, les dysfonctionnements, l’efﬁ cacité des processus). Le démarrage de cette transformation est largement fa- cilité ou rendu possible par l’approche qui a été conduite lors des étapes précédentes notamment par une approche totalement fondée sur la connaissance formalisée des ac- tivités et de leurs processus associés. Ainsi, il a été forma- lisé et partagé les processus « critiques » qui sont ceux qui génèreront des risques vitaux pour l’entreprise Cette ap- proche a préparé les équipes à l’utilisation du processus comme support de la transformation et comme connais- sance du fonctionnement transversal de l’entreprise. Au cours de cette étape on cherchera principalement à: • Créer un référentiel des processus. Ce référentiel cor- respond à une connaissance afﬁ née de celle acquise lors des étapes précédentes. Il est nécessaire pour re- chercher les activités, les règles de gestion, les modes opératoires qui doivent faire l’objet d’une évolution et pour traiter les dysfonctionnements, • déﬁ nir les objectifs d’amélioration recherchés. Cette amélioration peut couvrir des dimensions différentes comme par exemple : la diminution des délais de fac- turation, la diminution de délais d’encaissement, la diminution du nombre d’avoir clients, la sécurisation de l’information comptable et ﬁ nancière périodique, l’émission systématique de bons de commande pour tout achat, • réduire les dysfonctionnements, • localiser les processus et des actions sur lesquels doi- vent porter les plans d’actions qui vont améliorer les modalités d’exécution des activités opérationnelles. Il s’agira de conforter et de pérenniser le système mis en place en travaillant sur l’amélioration des processus, • suivre périodiquement les améliorations : la mise en place d’un monitoring notamment en déﬁ nissant des critères de mesure de la performance au niveau des processus. C’est le positionnement de quelques KPI qui vont permettre de mesurer l’efﬁ cacité de la trans- formation en cours en ﬁ xant une valeur de référence T0 et en les évaluant selon une périodicité mensuelle ou trimestrielle. Le livrable Le livrable comporte les chapitres suivants : • Chapitre 1 : les objectifs d’amélioration de la perfor- mance prévus, • Chapitre 2 : le référentiel des processus du périmètre concerné, • Chapitre 3 : les dysfonctionnements à éliminer et les actions correctrices à engager, • Chapitre 4 : les plans d’action qui sera(seront) élaboré(s) et le planning associé, • Chapitre 5 : le plan de suivi des améliorations : les KPI sur les processus du périmètre de la transformation. BOÎTE À IDÉES D’OUTILS Les outils de l’étape 4 se trouvent en page 125. PARTIE 2 40 ETAPE 4 AMELIORER LA PERFORMANCE DES PROCESSUS 1 - OBJECTIFS - Créer un référentiel des processus opérationnels et de support ; - Déﬁ nir et actualiser les objectifs d’améliorations de l’exécution des processus ; - Optimiser le fonctionnement des processus et les rendre plus efﬁ cace sur le périmètre déﬁ ni ; - Implémenter des indicateurs de mesure de la performance des processus ; - Suivre périodiquement l’évolution de la performance des activités des processus et le niveau d’exposition aux risques. 2 - PRE-REQUIS - Disposer d’un cadre organisationnel actualisé décrivant l’ensemble du dispositif de gestion des risques - Connaître les résultats de la mesure de l’efﬁ cacité du dispositif de gestion des risques - Impliquer fortement les managers opérationnels (de support) sur le niveau de la performance de leur processus 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Déﬁ nir les objectifs d’améliorations recherchés permettant de ﬁ abiliser / d’optimiser l’atteinte de la stratégie - aﬁ n de disposer de processus opérationnels/ supports performants. - Localiser (scoping) les processus et les actions sur lesquels doivent porter les plans d’actions qui vont améliorer les modalités d’exécution des activités opérationnelles. - Afﬁ ner la connaissance des processus opérationnels en décrivant les activités qui en assurent le fonctionnement. Pour ce faire, il faut s’appuyer sur les travaux qui ont été réalisés lors de l’étape 2. - Déﬁ nir un référentiel de performance des processus en sélectionnant les instruments de mesure adaptés (KPI, autres…). - Mettre en place les indicateurs pour (i) s’assurer du maintien de la conformité et (ii) mesurer le « coût » (nombres de contrôles, nombre de contrôles automatiques, nombre de personnes impliquées, nombre de reportings mis en place et temps nécessaire pour les produire, …), (iii) mesurer les résultats : performance et efﬁ cacité. - Identiﬁ er les actions correctrices à mettre en place pour réduire les dysfonctionnements et corriger l’exécution en fonc- tion des objectifs d’amélioration et du niveau de risque déﬁ ni par les dirigeants. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Référentiel des Processus : achats et approvisionnements - Référentiel des processus : RH - Transformation du processus - Emission des bons de commande - Le suivi de la performance des processus - KPI - Coté processus clients - Le suivi de la performance des processus - KPI - Coté processus achats, approvisionnements - Tableau de bord de suivi des Risques - Dysfonctionnements - Plans d’actions => Processus robustes et performants au service de la performance et de la prise de risques Formalisation possible du livrable de l’étape 4 : 5 - LIVRABLE - Chapitre 1 : les objectifs d’amélioration de la performance. - Chapitre 2 : le référentiel des processus du périmètre concerné. - Chapitre 3 : les dysfonctionnements à éliminer et les actions correctrices à engager. - Chapitre 4 : les plans d’actions qui sera (seront) élaboré(s) et le planning associé. - Chapitre 5 : le plan de suivi des améliorations : les KPI sur les processus du périmètre de la transformation. PARTIE 2 41 1.2.6 Etape 5 : Optimiser le dispositif de gestion des risques Les objectifs  Simpliﬁ er voire alléger les processus matures et maî- trisés aﬁ n d’en accroitre l’efﬁ cience ;  Maîtriser la prise de risques tout en optimisant les moyens techniques, humains et ﬁ nanciers ;  Intégrer le dispositif de gestion des risques dans tous les projets de l’entreprise. Pour atteindre la conformité règlementaire, un travail en mode projet a été conduit qui s’est ensuite transformé en un dispositif en mode «pérenne» avec des ressources qui sont devenues permanentes. En parallèle ou consé- cutivement, il a été engagé des travaux visant à l’amé- lioration de l’exécution des processus qui ont conduit à diminuer les dysfonctionnements de certaines des ac- tivités des processus et à permettre la prise de risques raisonnée. Au cours de cette étape on cherchera principalement à • localiser les activités sur lesquelles les mécanismes de précautions peuvent être allégés, • permettre de réduire l’effort global ou de le concen- trer sur des sujets très particuliers du fait du contexte économique. Le dispositif de maîtrise des risques qui est maintenant efﬁ cace doit être rendu encore plus efﬁ cient dans la continuité des analyses de zones de risques et des points de dysfonctionnement débutées dès l’étape 1, et optimisées dans les étapes suivantes. Le livrable Le livrable comporte les chapitres suivants : • Chapitre 1 : revue des processus pour vériﬁ er que les processus déﬁ nis comme « critiques» sont toujours les mêmes. • Chapitre 2 : suivi de l’évolution de la maturité du dis- positif de gestion des risques et revue des plans d’ac- tions. Analyse et recherche des axes de simpliﬁ cation à proposer en travaillant sur l’allègement des disposi- tifs qui ne concernent pas des processus « critiques ». • Chapitre 3 : introduction de l’axe informatique comme axe de progrès. Identiﬁ cation des doubles protections et identiﬁ cation des impacts métiers des risques informatique. Appréciation du niveau de maî- trise de ces risques informatiques. BOÎTE À IDÉES D’OUTILS Les outils de l’étape 5 se trouvent en page 137. PARTIE 2 42 ETAPE 5 OPTIMISER LE DISPOSITIF DE GESTION DES RISQUES 1 - OBJECTIFS - Simpliﬁ er voire alléger les processus matures et maîtrisés aﬁ n d’en accroitre l’efﬁ cience, - Maîtriser la prise de risques tout en optimisant les moyens techniques, humains et ﬁ nanciers ; - Intégrer le dispositif de gestion des risques dans tous les projets de l’entreprise ; 2 - PRE-REQUIS - Avoir atteint l’efﬁ cacité du dispositif, mise en évidence par une évaluation interne et/ou externe avec pilotage de plans d’action (orientés « conformité »). - Disposer d’un référentiel de process et d’un référentiel de risques. - Les sponsors maintiennent le « momentum » (pas de remise en cause de l’efﬁ cacité) mais demandent une optimisation. 3 - CONTENU DES TRAVAUX A REALISER (Quoi faire pour atteindre les objectifs de l’étape?) - Evaluer le « coût » du dispositif de gestion des risques pendant sa phase «¨projet¨» et aujourd’hui dans sa phase « pé- renne¨»¨: coûts internes (temps dédié par les contributeurs, outils mis en place, …) et coûts externes d’accompagnement. - Déﬁ nir des indicateurs pour (i) s’assurer du maintien de la conformité et (ii) mesurer le « coût » (nombre de contrôles, nombre de contrôles automatiques, nombre de personnes impliquées, nombre reportings mis en place et temps néces- saire pour les produire, …) (iii) mesurer les résultats: au niveau de la performance et de l’efﬁ cacité. - Revoir les risques et leur niveau de criticité (préalablement déﬁ nis au cours des étapes précédentes) et actualiser les couples Process / Risques (revue au cours de l’étape 3). Cette revue permet de traduire les points d’amélioration de la performance qui ont été obtenus suite à l’étape précédente. De facto les points d’amélioration sont localisés et seront pris en compte lors des plans d’actions visant à rechercher une meilleure efﬁ cicence. - Revoir la pertinence des arbitrages Risques / Assurances / Contrôle interne (ceux effectués au cours de l’étape 2). - Identiﬁ er, avec les responsables de processus, pour les processus qui ont fait l’objet, lors de l’étape 4, de simpliﬁ cation ou de transformation, les actions de simpliﬁ cation des actions de maîtrise qui peuvent être mises en place : coté métier¨- coté application informatique. - Localiser les contrôles «¨N>UQOIRPLn» dans les applications et vériﬁ er s’ils ne sont pas en doublon avec des contrôles «¨métiers¨». - Revoir le cadre organisationnel (celui mis en place lors de l’étape 2) et l’actualiser. - Actualiser / Optimiser / Simpliﬁ er les dispositifs de gestion des Risques (et les contrôles associés) et ce dans le cadre d’une démarche intégrée de type GRC. 4 - BOITE A IDEES D’OUTILS (Utilisés pour fabriquer les livrables) - Matrice Processus / Risques revue : revoir si les processus identiﬁ és comme « critiques » le sont toujours et s’il n’y en a pas d’autres. - Evolution de la maturité du dispositif de maîtrise des risques. - Impact métiers du risque informatique : cas RH-Paie. => Prise de risques efﬁ ciente, moyens associés optimisés Formalisation possible du livrable de l’étape 5 : 5 - LIVRABLE - Chapitre 1 : revue des processus pour vériﬁ er que les processus qui sont « critiques » sont toujours les mêmes. - Chapitre 2 : suivi de l’évolution de la maturité du dispositif de gestion des risques et revue des plans d’actions. Analyse et recherche des axes de simpliﬁ cation à proposer en travaillant sur l’allègement des dispositifs qui ne concernent pas des processus « critiques ». - Chapitre 3 : introduction de l’axe informatique comme axe de progrés. Intenﬁ ciation des doubles protections et identi- ﬁ cation des impacts métiers de risque informatique. Appréciation du niveau de maîtrise de ces risques informatiques. PARTIE 2 43 1.3 Les familles d’outils Pour mettre en œuvre les évolutions et transformations organisées en six étapes que nous venons de décrire, nous avons constitué une boite à idées d’outils. Nous avons structuré cette boîte à idées d’outils autour de cinq fa- milles d’outils couvrant : • la connaissance des métiers et de la stratégie associée, • la connaissance des processus opérationnels et sup- ports, la connaissance des risques, • les dispositifs de maîtrise, • le pilotage ou le monitoring. Ces cinq familles qui correspondent aux cinq grands thèmes techniques qui doivent être maîtrisés, ont été ré- parties au sein des cinq étapes (rectangle gris) que nous avons décrites précédemment comme le montre la Figure 7 présentée ci-dessous. Dans les pages qui suivent, nous faisons, pour chacune de ces familles d’outils, un focus particulier sur : • leurs apports, • les difﬁ cultés rencontrées lors de la mise en place, • la liste des outils qui sont présentés et l’utilisation de • l’outil en mode pérenne. LES FAMILLES D’OUTILS ETAPE 1 Connaître les zones à risques ETAPE 2 Implanter un dispositif de gestion des risques ETAPE 3 Faire fonctionner un dispositif de gestion des risques efﬁ cace ETAPE 4 Améliorer la performance des processus ETAPE 5 Optimiser le dispositif de gestion des risques …connaissance des métiers, produits et de la stratégie associée Familles d’outils …connaissance de l’exposition aux risques …connaissance des activités opérationnelles …mise en œuvre du pilotage …élaboration des dispositifs de maîtrise / de précautions FIGURE 7 …permettant d’acquérir la … PARTIE 2 44 1.3.1 La connaissance des marchés, des pro- duits et de la stratégie de développe- ment associée Cette connaissance constitue un des éléments clés des travaux et va permettre rapidement de (i) comprendre le ou les marchés, le ou les produits, la ou les activités (recherche, production, sous-traitance, distribution) mais aussi de (ii) mesurer les enjeux en termes économiques par quelques chiffres clés que l’on trouve essentiellement dans les reporting opérationnels et ﬁ nanciers et enﬁ n (iii) d’en apprécier les enjeux en terme de ressources hu- maines concernant leur localisation et leur évolution. Les apports de cette pratique Elle permet de localiser et prendre en compte les enjeux commerciaux, industriels, économiques et de procéder aux arbitrages lors de la construction ou de l’évolution des dispositifs existants, et aussi lors de l’introduction de la dimension de la gestion des risques. C’est la garantie de la pertinence d’un dispositif de gestion des risques avec des traitements particuliers pour des processus qui sont porteurs de risques spéciﬁ ques et ponctuels avec des niveaux de criticité importants pour l’entité. Les difﬁ cultés rencontrées Deux difﬁ cultés sont habituellement rencontrées : • la conﬁ dentialité des informations : notamment celles relatives à la stratégie d’évolution des couples produits-marchés qui peuvent comporter des restric- tions dans leur diffusion ; • la sélection des informations « utiles » : les informa- tions internes relatives donnant aux marchés, aux produits, à la performance d’exécution sont nom- breuses et leur sélection est délicate. Les membres du groupe de travail expliquent rencontrer ces deux difﬁ cultés, et attirent l’attention sur le temps à passer pour agréger ces informations car elles ne sont pas forcément disponibles selon l’arborescence recherchée (les outils d’infocentre / business intelligence en place facilitent l’agrégation recherchée mais la connaissance imprécise des structures de données constitue une difﬁ - culté à ne pas sous-estimer). Les outils Ce sont avant tout des exemples d’outils pour permettre de rassembler les informations « utiles » pour positionner avec pertinence et efﬁ cacité les évolutions et les trans- formations qui vont être décidées et aussi pour éviter de traiter de façon monolithique les structures organiques d’une entité. • Business model : caractéristiques et enjeux par métier & activités sur la ou les entités. • Plan stratégique & business models à 3 / 5 ans sur la ou les entités. • Cartographie de l’ensemble des activités de l’entreprise (vision globale obtenue à partir d’une représentation des processus). Cette cartographie peut intervenir à dif- férents niveaux ENTITE - BU - Fonction Support - DAF. • Localisation des zones à risques et construction d’un Premier Univers des zones à risques : cartographie mé- tiers/zones à risques. 1.3.2 La connaissance des activités opération- nelles : les processus La compréhension du fonctionnement des activités selon une approche Top-Down est indispensable pour élaborer un dispositif de gestion des risques pertinent et adapté aux objectifs ﬁ xés par le management et variable d’une entreprise à l’autre. Pour formaliser cette compréhension nous avons choisi comme support le processus et le ﬂ ux d’information as- socié. Cette représentation schématique n’est pas usuel- lement utilisée dans le monde de la gestion. C’est une pratique habituelle du monde du système d’information et de la qualité. Les retours des membres du groupe de travail indiquent que les opérationnels apprécient cette approche car ils ont une vision formalisée sous la forme d’une cartogra- phie, à partir de laquelle ils peuvent localiser les interac- tions entre eux et décider du meilleur moyen d’en sécuri- ser l’exécution. Nous attirons l’attention des lecteurs sur le fait qu’il existe, au niveau de la réalisation de cette formalisation beaucoup de confusions entre les notions de procédures, de modes opératoires, de bonnes pratiques, … L’introduction de la dimension processus est délicate du fait de la pratique usuelle qui mélange les différents contenus que nous venons d’évoquer, apportant de la PARTIE 2 45 complexité à la compréhension au lieu de la simplicité recherchée. Nous verrons ultérieurement qu’une fois la dimension processus introduite dans les pratiques de tra- vail, elle peut être aussi employée pour d’autres usages. C’est un investissement rentable. Les apports de cette pratique Les apports de l’introduction de la dimension processus sont nombreux et permettent de satisfaire différents ob- jectifs : • la simpliﬁ cation de complexité apparente en séparant les dimensions systèmes d’informations et organisa- tion qui ne sont pas reprises dans la représentation de la dimension processus, • la connaissance partagée des activités exécutées par les processus et leurs interactions, • la création/diffusion d’une vision transversale qui va permettre de mettre en évidence des pratiques en « si- los » ou indépendantistes des différents acteurs, • l’optimisation de la performance d’exécution des acti- vités qui constituent chacun des processus, • la création d’un référentiel des processus, • le partage, au sein des équipes, du fonctionnement des processus, • la possibilité de travailler sur l’amélioration de la per- formance opérationnelle et la mise en place concomi- tante ou ultérieure d’indicateurs de performance du processus. Comme nous venons de l’indiquer, les apports et les usages de la démarche processus sont nombreux, c’est pour cette raison que nous précisons ci-dessous ces usages. Les usages multiples - les 7 usages : L’introduction et le développement de la culture du pro- cessus au sein de l’entreprise permettent de créer une vision commune entre ses différents acteurs, centrée sur son élément le plus stable : le processus métier. Les processus, dès lors qu’ils sont identiﬁ és et parta- gés, sont porteurs de multiples apports et servent à des usages variés au sein de l’entreprise, pour des probléma- tiques et des enjeux plus ou moins divers et plus ou moins complexes. La mise en œuvre de « l’approche processus » peut conduire à :  USAGE 1 : comprendre comment s’exécute la synchro- nisation des ﬂ ux physiques et les ﬂ ux d’informations au sein de l’entité,  USAGE 2 : rationaliser le déroulement du processus,  USAGE 3 : prévoir de façon rigoureuse l’évolution des systèmes d’information de l’entreprise et s’assurer de son alignement avec les pratiques opérationnelles,  USAGE 4 : refondre et améliorer l’organisation des en- tités / directions / départements,  USAGE 5 : construire une compréhension plus perti- nente des coûts de l’entreprise (activity based costing- ABC, et activity based management - ABM),  USAGE 6 : sécuriser la production de l’information ﬁ - nancière et accroître la conﬁ ance des tiers dans la sin- cérité des comptes,  USAGE 7 : mettre en place ou optimiser un dispositif de gestion des risques, Au-delà des 7 usages possibles d’une « approche proces- sus » au sein de l’entreprise, l’instauration de cette culture et la vision transversale qui en découle lui permet de :  s’inscrire dans une logique de progrès continu,  créer les conditions en vue d’assurer la pérennité des projets d’évolution et de transformation. Les difﬁ cultés rencontrées L’introduction de cette culture rencontre habituellement quatre types de difﬁ cultés relatives à : • la modélisation : elle vise, en effet, à représenter uni- quement les processus et les ﬂ ux d’informations qui sont utilisés ou générés. Cette représentation qui se veut simple ne prend pas en compte les informations relatives à l’organisation, aux modes opératoires et aux procédures qui viennent complexiﬁ er la repré- sentation, mais la rendre plus proche de la réalité. La difﬁ culté que l’opérationnel rencontre est de ne représenter dans sa modélisation que les processus et leur enchaînement pour faire clairement apparaître la dynamique des activités opérationnelles. • l’identiﬁ cation des activités : la modélisation permet de trouver les activités qui se déroulent à l’intérieur d’un processus ainsi que leurs caractéristiques. No- tons au passage que c’est le dysfonctionnement de ces activités qui cause et déclenche les risques opéra- tionnels et les risques sur les fonctions de support. • le niveau de détail de la description : la granularité de la description est variable en fonction des métiers, de leur dangerosité, des objectifs ﬁ xés par le manage- ment. Le calage du niveau de détail de la description PARTIE 2 46 est toujours délicat, la tendance naturelle est d’aller dans plus de détails que de ce qui est nécessaire. • la confusion processus - procédures - modes opéra- toires : elle constitue la difﬁ culté qui est habituelle- ment rencontrée lors des premières représentations. Pour l’un des membres du groupe de travail, l’introduction de cette approche par les processus fut un échec, car elle fut mal préparée et mal comprise par les équipes qui n’y ont pas trouvé d’intérêt pour leur travail quotidien. Les outils A titre d’illustration, quelques exemples d’outils sont présentés au chapitre 4, il s’agit d’outils qui sont utili- sés par les membres du groupe de travail et qui ont été anonymisés : • Cartographie de l’ensemble des activités de l’entreprise (vision globale obtenue à partir d’une représentation des processus). Cette cartographie peut intervenir à différents niveaux ENTITE - BU - Fonction Support. • Référentiel des processus : achats et approvisionnements, • Référentiel des processus : RH • Transformation du processus - Emission des bons de commande • Le suivi de la performance des processus - KPI - côté processus clients • Le suivi de la performance des processus - KPI - côté processus achats, approvisionnements Comment les faire vivre ? Il s’agit de l’utilisation des outils en mode pérenne. Pour ce faire, les trois règles de fonctionnement suivantes doi- vent être mises en place : • des « process owner » : la désignation d’un respon- sable du correct fonctionnement du processus qui anime les personnes assurant les activités que com- pose ce processus, • des plans progrès : leur mise au point et leur suivi sont indispensables pour garantir une dynamique, une amélioration continue et éviter des sauts quantiques dont l’efﬁ cacité est hasardeuse. Ces plans de progrès reposent bien souvent sur des suggestions, • un monitoring : c’est-à-dire une revue périodique qui va donner du rythme au plan de progrès. 1.3.3 La connaissance de l’exposition aux risques C’est un sujet usuel pour les sociétés faisant appel public à l’épargne, qui doivent, pour des raisons règlementaires, mettre en place des dispositifs de gestion des risques. Une attente symétrique existe pour les sociétés dont l’action- nariat comprend des fonds d’investissement ou des fonds publics. L’appréciation formalisée des prises de risques que l’on génère dans une nouvelle activité ou dans le cadre du développement d’une activité existante est devenue un critère de décision qu’il est normal de prendre en compte sans tomber dans la psychose actuelle où l’on identiﬁ e du risque sur tous les sujets et dans tous les domaines. Sur ce sujet, le rôle du notre groupe de travail n’est pas de faire une synthèse des publications ou articles mais d’inscrire la connaissance de l’exposition aux risques dans une démarche plus globale et d’intégrer dans la boîte à outils quelques idées d’outils utilisés par les membres du groupe de travail. Les apports de cette pratique La connaissance de l’exposition aux risques permet : • une prise de conscience par les opérationnels des prises de risques liés aux activités et aussi de ceux qui sont induits par les marchés sur lesquels l’entreprise opère. Certaines activités sont identiﬁ ées comme des points « critiques » qui font l’objet d’une surveillance plus précise et surtout font l’objet de plans d’actions dont le correct déroulement est périodiquement suivi et recentré en cas de dérive, • une meilleure allocation des efforts de monitoring sur toutes ses dimensions. Le critère de l’exposition aux risques est un critère qui permet de mieux se focaliser là où doivent porter les efforts, • une contribution à l’augmentation de la perfor- mance opérationnelle : la connaissance et le suivi de l’évolution de la criticité des risques contribue à la performance opérationnelle. Les résultats des plans d’actions déployés sont là pour en porter témoignage auprès des opérationnels. PARTIE 2 47 Les difﬁ cultés rencontrées Les travaux de cartographie des risques sont devenus une pratique habituelle pour les sociétés cotées et pour les entreprises dont l’actionnariat est constitué de fonds d’investissement et de fonds publics. De nombreux ou- vrages existent sur le sujet avec des ﬁ nalités différentes, les principales difﬁ cultés rencontrées sont connues, nous ne faisons ici que les rappeler à la lumière des retours d’expérience des membres du groupe de travail . Pour les membres du groupe de travail les difﬁ cultés usuellement rencontrées sont les suivantes : • un exercice lourd : il requiert la mobilisation de nom- breux opérationnels qui ne voient pas la ﬁ nalité et l’utilité de cette cartographie. A mi-chemin entre conformité et performance opérationnelle, • la confusion Dysfonctionnements / Risques : les risques de marché et ﬁ nancier génériques ne sont pas la préoccupation des opérationnels, ils sont tournés vers les risques inhérents et plus particulièrement vers les dysfonctionnements auxquels ils doivent faire face quotidiennement, • le lien entre le Risque et les Processus : ce lien existe à un niveau macroscopique qui est insufﬁ samment précis pour établir le lien avec les processus qui gé- nèrent ces prises de risques, • l’évaluation du risque : c’est un exercice qui n’est que rarement effectué car il est perçu comme dangereux, les estimations produites peuvent être l’objet d’inter- prétations diverses et ouvrir des discussions de tous ordres. Par essence la tentative de chiffrage des im- pacts est un exercice compliqué avec des valeurs qui peuvent être dispersées en fonction des paramètres utilisés. Il n’en reste pas moins que les membres du groupe de travail sont pour l’instant sur la réserve concernant des tentatives d’évaluation. Les outils • Cartographie de l’ensemble des activités de l’entre- prise (vision globale obtenue à partir d’une repré- sentation des processus). Cette cartographie peut intervenir à différents niveaux ENTITE - BU - Fonction Support - DAF. • « Univers des risques » afﬁ né • Matrices des Processus et des Risques : à chaque pro- cessus ont été rattachés un certain nombre de risques (le niveau de précision de ces matrices dépend de la granularité attendue par l’organisation) • Méthodologie de cartographie des risques : guide d’entretien • Méthodologie de cartographie des risques : ﬁ che de risques : version en anglais • Méthodologie de cartographie des risques : ﬁ che de risques : version détaillée en français • Méthodologie de cartographie des risques : ﬁ che de risques : version simpliﬁ ée en français • Grille d’évaluation - Echelle de risque • Première Cartographie des risques • Cartographie des risques - Activité Service • Cartographie des risques - Activité Industrielle • Fiche de risque avec plan d’actions associé Comment les faire vivre ? Il s’agit de l’utilisation des outils en mode pérenne, pour ce faire, les trois règles de fonctionnement suivantes doi- vent être mises en place : • des propriétaires de risques : les risques doi- vent être explicitement affectés aux responsables opérationnels, • un monitoring : c’est la revue périodique selon une fréquence qui est variable selon les objectifs qui per- met d’installer cette culture. Usuellement la revue est semestrielle ou annuelle, • la ré estimation de l’impact du risque : usuellement, elle intervient annuellement. 1.3.4 Les dispositifs de précautions Les précautions (prévention et protection) prises ou à prendre contribuent ou garantissent l’atteinte des objec- tifs que l’entreprise se ﬁ xe (correct fonctionnement des activités opérationnelles) et limitent, de fait, la destruc- tion de valeur. PARTIE 2 48 Nous illustrons ci-dessous ces deux types de précautions : • les actions de prévention : la prévention agit sur la probabilité d’occurrence d’un événement domma- geable. En général, ces mesures sont prises pour des événements ayant une fréquence assez importante. Elles agissent sur au moins l’un des événements de la chaîne conduisant à l’événement dommageable. En d’autres termes, ces actions visent à réduire la fréquence de survenance des dysfonctionnements, facteurs de risque, dangers, périls. Le monde de la prévention correspond au monde du progrès continu et de la recherche de l’amélioration de la performance qui, par ses actions correctrices, va limiter la probabi- lité de survenance d’un évènement. • les actions de protection : la protection vise à limi- ter les conséquences d’un sinistre. En fait, les dispo- sitifs de protection agissent après la survenance du sinistre aﬁ n d’en limiter et d’en réduire l’impact. C’est le cas des assurances, en rappelant que 20 à 30% des risques sont assurables et donc que 70 à 80% des risques ne le sont pas. A titre d’illustration, nous présentons pour chacune des deux familles d’actions de précautions quelques exemples : EXEMPLES DE MESURES DE PRÉVENTION Risque Prévention Accidents de circulation Limitation de vitesse Accidents du travail Ergonomie des postes de travail Vol, malveillance Contrôle des accès Défaillance d’un fournisseur Audits du fournisseur Espionnage informatique Sécurisation des systèmes EXEMPLES DE MESURES DE PROTECTION Risque Protection Accidents de circulation Ceintures de sécurité Accidents du travail Equipements individuels de sécurité Vol Détections des intrusions, alarmes Incendie Extincteurs Les apports de cette pratique Les dispositifs de précautions sont nombreux, comme le montrent les exemples précédents. Pour faire simple, les apports sont les suivants : • la distinction systématique et immédiate des actions de prévention et de protection permet d’identiﬁ er les risques qui resteront à la charge de l’entreprise, ceux qui ne seront pas assurés, • les actions de protection correspondent à la sous- traitance auprès de tiers - les compagnies d’assu- rance- de la mise en place de ces actions. Leurs mises en place sont indépendantes de l’entreprise avec une prise d’effet rapide de la couverture du risque, • Une optimisation de l’effort de mise en place et de monitoring des contrôles du risque. Les déclinaisons possibles sont nombreuses, elles pren- nent des formes différentes selon : • la taille de l’entreprise : PME- Middle market, grande entreprise cotée ou non, • les besoins et la culture des dirigeants : l’appropria- tion plus ou moins rapide d’une démarche de gestion sensible aux risques, • les parties prenantes / leur secteur d’activité : les exigences des actionnaires, les cadres règlementaires selon le secteur d’activité (comme par exemple les banques ou l’assurance), les demandes liées aux ﬁ - nancements externes, • les ambitions et objectifs de l’entreprise : l’expansion et l’amélioration de la performance de l’entreprise se- lon des rythmes plus ou moins rapides. PARTIE 2 49 Les difﬁ cultés rencontrées Les travaux relatifs aux dispositifs de maîtrise sont une pratique habituelle dans les entreprises quelle que soit leur taille. C’est le monde de la sécurité, de l’assurance, du contrôle interne, de la gestion des risques. Les principales difﬁ cultés rencontrées sont connues, nous ne faisons ici que les rappeler à la lumière des retours d’expérience des membres du groupe de travail : • la surprotection : la revue de la cohérence et la cou- verture des types d’instruments mis en place n’est pas une pratique courante. Elle induit souvent la multipli- cité de contrôles en complément d’autres instruments sans qu’aucune question ne soit posée sur la perti- nence de tel ou tel contrôle. • des dispositifs de maîtrise orientés contrôles : ils sont mis en place sans forcément de mise en perspec- tive avec les autres instruments, avec une multiplicité des contrôles, • une surestimation de l’efﬁ cacité du dispositif de maîtrise : la réalité opérationnelle ne correspond pas forcément à la traduction qui est faite via le ques- tionnaire d’auto évaluation transmis. En effet des fai- blesses subsistent, comme nous l’avons indiqué précé- demment sans qu’aucune remontée de ces faiblesses ne soit effectuée. Les outils Nous ne proposons pas d’outils spéciﬁ ques pour la partie prévention car il s’agit, selon les situations, soit des outils qui sont présentés dans la boite à idées d’outils pour la partie protection, soit il s’agit de toute la gamme des pro- duits d’assurance qui ne sont pas l’objet de ces travaux. D’une façon générale trois types d’instruments (tech- niques, organisationnels, juridiques) permettent d’at- teindre le niveau de précaution requis, ils sont les suivants : • des instruments techniques: (i) de prévention, par exemple des détecteurs, des équipements de sécurité, des contrôles d’accès, (ii) de protection, par exemple des murs coupe-feu, des stockages cloisonnés, des équipements de protection individuels, des sauve- gardes informatiques, des stocks de pièces détachées ou de produits ﬁ nis, • des instruments d’organisation: (i) de prévention, par exemple des procédures opératoires, des consignes de sécurité, l’externalisation de certaines fonctions, la formation redondante, (ii) de protection, par exemple des plans de sauvegarde ou de survie, des fournis- seurs redondants, • des instruments juridiques : (i) de prévention, par exemple la mise en place d’une politique contrac- tuelle d’engagements des achats, (ii) de protection, il s’agit principalement des contrats d’assurance mais aussi par exemple des clauses contractuelles de limi- tation de responsabilités. La déclinaison du dispositif de prévention qui vise à ré- duire la survenance et les impacts des risques sera propre à l’entreprise en fonction de ses contraintes. • Plan de déploiement du dispositif de gestion des risques • Questionnaire d’auto-évaluation Niveau ENTITE • Questionnaire d’auto-évaluation Niveau PROCESSUS FINANCIER • Fiche de risque avec plan d’actions associé Comment les faire vivre ? Les actions et les règles de fonctionnement à mettre en place pour passer en mode pérenne sont celles que nous avons indiquées pour les autres thèmes. 1.3.5 La mise en œuvre du Pilotage ou du Monitoring Les apports de cette pratique Les dispositifs de monitoring et de pilotage sont nom- breux et couramment mis en place. Pour les membres du groupe de travail, les apports sont calés sur deux dimensions qui sont majeures : • une vision de l’évolution de l’exposition aux risques : le dispositif de maîtrise des risques doit permettre une évolution de cette exposition en termes de criticité nette, • une vision de l’efﬁ cacité des contrôles : c’est une di- mension qui est complexe à monitorer sans vouloir en- trer dans des moyens de contrôles importants sauf à créer deux ou trois niveaux de contrôles et d’en mesurer l’efﬁ cacité au fur et à mesure de la mise en place. PARTIE 2 50 Les difﬁ cultés rencontrées Les travaux relatifs au monitoring des dispositifs de maî- trise des risques sont devenus une pratique habituelle dans les entreprises quelle que soit leur taille, nous ne fai- sons que les rappeler à la lumière des retours d’expérience des membres du groupe de travail . • la mesure de l’efﬁ cacité des contrôles : l’apprécia- tion qui est transmise ne correspond pas à la réalité opérationnelle, se doter d’une grille d’appréciation est une tâche complexe. • la mesure de la criticité : l’appréciation de la criticité est généralement effectuée sur une base qualitative et non sur une base quantitative, passer de l’une à l’autre est un exercice difﬁ cile. Les outils • Appréciation du niveau d’efﬁ cacité du dispositif (radars, KPI,...) • Reporting de suivi de l’efﬁ cacité du dispositif de maî- trise des risques • Tableau de bord de suivi des Risques - Dysfonctionne- ments - Plans actions • Le suivi de la performance des processus - KPI - coté processus clients • Le suivi de la performance des processus - KPI - coté processus achats, approvisionnements • Evolution de la maturité d’un dispositif de maîtrise des risques • Impact métiers du risque informatique : cas RH-Paie. Comment les faire vivre ? Il s’agit de l’utilisation des outils en mode pérenne, pour ce faire, les trois règles de fonctionnement suivantes doi- vent être mises en place : • le reporting relatif à la performance opérationnelle doit comprendre une dimension risques ; • inscrire formellement, deux fois par an, la revue des résultats des tableaux de bord, de suivi des dysfonc- tionnements - risques ; • le suivi de l’évolution de la performance des proces- sus dont les dysfonctionnements doivent progressive- ment disparaitre. PARTIE 2 51 52 BoIte A IDEES d’outils MISE EN ŒUVRE DE L’INTEGRATION DE LA MAITRISE DES RISQUES ET DE L’AMELIORATION DE LA PERFORMANCE : LA BOITE A IDEES D’OUTILS – MODELESBoIte A IDEES d’outils BOITE A IDEES D’OUTILS 54 ETAPE 1 - CONNAITRE LES ZONES A RISQUES • Business model : caractéristiques et enjeux par métier & activités sur la ou les entités • Plan stratégique & business models à 3/5 ans sur la ou les entités • Cartographie de l’ensemble des activités de l’entreprise : Niveau ENTITE • Cartographie de l’ensemble des activités de l’entreprise : Niveau BU • Cartographie de l’ensemble des activités de l’entreprise : Niveau fonction support - DAF • Localisation des zones à risques et construction d’un Premier Univers des zones à risques : cartographie métiers/zones à risques 55 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 BUSINESS MODEL : CARACTÉRISTIQUES ET ENJEUX PAR MÉTIER & ACTIVITÉS SUR LA OU LES ENTITÉS Cette représentation a pour vocation de présenter les caractéristiques et enjeux par métier & activités de l’entité (ensemble d’entité juridique ou sous groupe). Ce n’est pas le modèle organisationnel. FORCES EXTERNES AGISSANT SUR L’ACTIVITE Environnement légal/réglementaire (Direction européennes, loi française, …), Statut Epic (Etat), Politique d’approvisionnement, Évolution des cours, Climat politique, Concurrence entre énergies, Contraintes de • nancement, Protection de l’environnement, •isques de nouveau• entrants, Conditions météorologiques … Marchés et formules de ventes Flux d’activités Flux stratégiques d’activité Processus opérationnels clés Commercial Services Processus de gestion des ressources Direction des ressources humaines et des relations sociales Direction des services juridiques et ﬁ nanciers Direction de la recherche Délégation aux ressources communes Direction des systèmes d’information et de l’informatique Direction des risques, du contrôle et de l’audit Alliances ClientsProduits / services Secteur monopolistique Clients non éligibles (particuliers, entreprises…) Secteur concurrentiel Clients éligibles, sociétés étrangères International Mexique, Allemagne, Argentine, Hongrie… Amont - Exploration - Production - Recherche Infrastructure - Transport - Distribution Fournisseurs de gaz Participation dans des gisements, Contrats «take or pay», Contrats Internationaux, Eni… État français Distributeur principal Activités, Services, Dir. Communes Autres distributeurs Trading Partenariat avec les banques Produits Énergie (gaz) Clients éligibles / non éligibles, Export Trading Réseau Échange et transit avec l’étranger, Accès des tiers au réseau Services Cogénération, Réseaux de chaleur, Génie thermique, Ingénierie Consommateurs Particuliers, clients industriels, Producteurs d’électricité, stés de distributions, stés étrangères 56 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques2345 • PLAN STRATÉGIQUE & BUSINESS MODELS À 3/5 ANS SUR LA OU LES ENTITÉS In € million March 2012 March 2013 March 2014 March 2015 Actual TYP TYP TYP •rders received2,026 2,800 3,400 4,000 ac-log 4,302 5,210 6,091 7,101 Sales 2,027 2,200 2,530 3,000 S&A in % of Sales7.7% 6,8% 6,4% 5,7% Income from operations Operating margin 150 7.4% 135 6.1% 164 6.5% 209 7.0% Free cash f o… 5 0 100 187 198 57 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU ENTITE Cette représentation présente l’ensemble des activités d’une entité. Les activités sont décrites au niveau des principaux processus (les rectangles bleus). VALIDER l’OFFRE COMMERCIALE LEGENDE Processus Information Acteur Externe Facture Flux d’information A Renvoi sur le schéma PROSPECTER CRÉER LES COMMANDES CLIENTS VALIDER LES COMMANDES COMMERCIALES ET LE REGLEMENT COLLECTER L’INFORMATION PREPARER LA PROSPECTION COMMERCIALE Commandes Fermes FACTURER LES COMMANDES ET COMPTABILISER LE CHIFFRE D’AFFAIRE ENREGISTRER LES COMMANDES ET LES REGLEMENTS COMPTABILITE GENERALE FABRICATION DU CONTENU PUBLICITAIRE VENDRE - FACTURER – ENCAISSER DISTRIBUER LES OUVRAGES EFFECTUER LA PAIE DES COMMERCIAUX GERER LA TRESORERIE CONSTRUCTION DE L’iNFORMATION COMPTABLE ENTITE ( Arrêté des comptes) PRODUCTION DE L’iNFORMATION COMPTABLE ( production journalière alimentation application amont Saisies manuelles) CONSOLIDATION DE L’iNFORMATION COMPTABLE GROUPE ( Arrêté des comptes) AGENCE COMMERCIALE AGENCE COMMERCIALE Contenu Annonce CORRIGER / FABRIQUER LES OUVRAGES IMPRIMER LES OUVRAGES Fichiers contenu des ouvrages FABRICATION- IMPRESSION- DISTRIBUTION DES OUVRAGES Livraison sur les plateformes de distribution ENCAISSER ET RECOUVRER LES CREANCES CLIENTS GERER ET ELABORER LE PROFIL DE REMUNERATION DU COMMERCIAL ATTRIBUER LE PROFIL DE REMUNERATION DU COMMERCIAL A LA COMMANDE CLIENT REMUNERER LES COMMERCIAUX CALCULER LA REMUNERATION VARIABLE DES COMMERCIAUX DETERMINER LES AUTRES ELEMENTS DE REMUNERATION VERIFIER LE RESPECT DES REGLES DE PAIEMENT DEFINIR LE PLANNING DE PROSPECTION DEFINIR LE PLANNING DE PARUTION DES CONTENUS CLIENTS SIRET INSEE Contrôle de coherence SOUS- TRAITANCES CLIENTS Détail commande globale Bon à tirer Modifié / validé SOUS- TRAITANCES Clients à contacter Contenu Clients Fabriqué / Validé CLIENTS Demande de validation Produits fabriqués Contenu produits fabriqués validé DETERMINER LES VOLUMES LANCER LES COMMANDES OUVERTES ANNUELLES LANCER LES APPELS DE COMMANDES CONTROLER LES LIVRAISONS ET LES FACTURES CONTROLER STOCK PAPIER IMPRIMEUR Achats de papier RECEPTIONNER CONTROLER LES LIVRAISONS CONTROLER LES FACTURES Achats standards EFFECTUER LA PAIE DES TELEVENDEURS ET SEDENTAIRES TRESORERIE SAISIR ET CONTROLER LES FACTURES FOURNISSEURS ORDONNANCER LES REGLEMENTS FOURNISSEURS CENTRALISER LA PAIE CENTRALISER - LE CHIFFRE D’AFFAIRES - LES REGLEMENTS CLIENTS CENTRALISER LES NOTES DE FRAIS TRAITER LES NOTES DE FRAIS ET ORDRES DE MISSIONS Règlements Clients CENTRALISER LES OPERATIONS DE TRESORERIE CALCULER LES DOTATIONS AUX PROVISIONS (hors PCA) CALCULER LES DOTATIONS AUX AMORTISSEMENTS AGENCES Prospects PREPARER l’OFFRE COMMERCIALE SERVICES COMMERCIAL JURIDIQUE INFORMATIQUE Validation Planning de Prospection DIRECTION COMMERCIALE TRAITER LES RECLAMATIONS DES CLIENTS DIRECTION COMMERCIALE DIRECTION COMMERCIALE MODIFIER LA VALEUR DU PORTEFEUILLE DES VENDEURS DIRECTION RELATIONS HUMAINES DIRECTION FINANCIERE ACHATS SPECIFIQUES ACHATS STANDARDS PAYER LE PERSONNEL - CENTRALISER LES PCA GERER LA TRESORERIE CLIENTS Livraison des ouvrages METTRE EN LIGNE LE CONTENU Contenu à fabriquer Contenu Clients Fabriqué / Validé FOURNISSEURS IMPRIMEURS COMMERCIAUX SUIVRE L’ACTIVITE COMMERCIALE SELECTIONNER ARTICLES TRESORERIE ACTIVITES TRAITEMENT DE l’INFORMATION COMPTABLE ACTIVITES OPERATIONNEL LES ACTIVITES SUPPORTaux OPERATIONS TRAITEMENT DE L’INFORMATION COMPTABLE ET FINANCIERE (conformité) CONSTITUER LA BASE PROSPECTS METTRE A JOUR LA BASE CLIENTS - PROSPECTS DEFINIR LES ZONES COMMERCIALES AFFECTER LE AUX ZONES COMMERCIALES S PROSPECTS Base Contenu FABRIQUER LE CONTENU P (SUPPORT PAPIER) UBLICITAIRE Contenu Annonce FABR EN LIGNE IQUER LE CONTENU PUBLICITAIRE Contenus validées à mettre en ligne SERVICE MARKETING DIRECTION COMMERCIALE STRUCTURER L’EQUIPE SIMULER LE CHIFFRE d’AFFAIRES COMMERCIALE PRESENTER L’OFFRE A L’EQUIPE COMMERCIALE ATTRIBUER LE CANAL DE PROSPECTION CONSTRUIRE LE PORTEFEUILLE A PROSPECTER AFFECTER PORTEFEUILLE A L’EQUIPE COMMERCIALE METTRE EN LIGNE SUR LE SERVEUR BASE DE PUBLICATION DIRECTION OPERATIONNELLE SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS LANCER LES COMMANDES A C 58 BOITE a idees D’OUTILS VALIDER l’OFFRE COMMERCIALE LEGENDE Processus Information Acteur Externe Facture Flux d’information A Renvoi sur le schéma PROSPECTER CRÉER LES COMMANDES CLIENTS VALIDER LES COMMANDES COMMERCIALES ET LE REGLEMENT COLLECTER L’INFORMATION PREPARER LA PROSPECTION COMMERCIALE Commandes Fermes FACTURER LES COMMANDES ET COMPTABILISER LE CHIFFRE D’AFFAIRE ENREGISTRER LES COMMANDES ET LES REGLEMENTS COMPTABILITE GENERALE FABRICATION DU CONTENU PUBLICITAIRE VENDRE - FACTURER – ENCAISSER DISTRIBUER LES OUVRAGES EFFECTUER LA PAIE DES COMMERCIAUX GERER LA TRESORERIE CONSTRUCTION DE L’iNFORMATION COMPTABLE ENTITE ( Arrêté des comptes) PRODUCTION DE L’iNFORMATION COMPTABLE ( production journalière alimentation application amont Saisies manuelles) CONSOLIDATION DE L’iNFORMATION COMPTABLE GROUPE ( Arrêté des comptes) AGENCE COMMERCIALE AGENCE COMMERCIALE Contenu Annonce CORRIGER / FABRIQUER LES OUVRAGES IMPRIMER LES OUVRAGES Fichiers contenu des ouvrages FABRICATION- IMPRESSION- DISTRIBUTION DES OUVRAGES Livraison sur les plateformes de distribution ENCAISSER ET RECOUVRER LES CREANCES CLIENTS GERER ET ELABORER LE PROFIL DE REMUNERATION DU COMMERCIAL ATTRIBUER LE PROFIL DE REMUNERATION DU COMMERCIAL A LA COMMANDE CLIENT REMUNERER LES COMMERCIAUX CALCULER LA REMUNERATION VARIABLE DES COMMERCIAUX DETERMINER LES AUTRES ELEMENTS DE REMUNERATION VERIFIER LE RESPECT DES REGLES DE PAIEMENT DEFINIR LE PLANNING DE PROSPECTION DEFINIR LE PLANNING DE PARUTION DES CONTENUS CLIENTS SIRET INSEE Contrôle de coherence SOUS- TRAITANCES CLIENTS Détail commande globale Bon à tirer Modifié / validé SOUS- TRAITANCES Clients à contacter Contenu Clients Fabriqué / Validé CLIENTS Demande de validation Produits fabriqués Contenu produits fabriqués validé DETERMINER LES VOLUMES LANCER LES COMMANDES OUVERTES ANNUELLES LANCER LES APPELS DE COMMANDES CONTROLER LES LIVRAISONS ET LES FACTURES CONTROLER STOCK PAPIER IMPRIMEUR Achats de papier RECEPTIONNER CONTROLER LES LIVRAISONS CONTROLER LES FACTURES Achats standards EFFECTUER LA PAIE DES TELEVENDEURS ET SEDENTAIRES TRESORERIE SAISIR ET CONTROLER LES FACTURES FOURNISSEURS ORDONNANCER LES REGLEMENTS FOURNISSEURS CENTRALISER LA PAIE CENTRALISER - LE CHIFFRE D’AFFAIRES - LES REGLEMENTS CLIENTS CENTRALISER LES NOTES DE FRAIS TRAITER LES NOTES DE FRAIS ET ORDRES DE MISSIONS Règlements Clients CENTRALISER LES OPERATIONS DE TRESORERIE CALCULER LES DOTATIONS AUX PROVISIONS (hors PCA) CALCULER LES DOTATIONS AUX AMORTISSEMENTS AGENCES Prospects PREPARER l’OFFRE COMMERCIALE SERVICES COMMERCIAL JURIDIQUE INFORMATIQUE Validation Planning de Prospection DIRECTION COMMERCIALE TRAITER LES RECLAMATIONS DES CLIENTS DIRECTION COMMERCIALE DIRECTION COMMERCIALE MODIFIER LA VALEUR DU PORTEFEUILLE DES VENDEURS DIRECTION RELATIONS HUMAINES DIRECTION FINANCIERE ACHATS SPECIFIQUES ACHATS STANDARDS PAYER LE PERSONNEL - CENTRALISER LES PCA GERER LA TRESORERIE CLIENTS Livraison des ouvrages METTRE EN LIGNE LE CONTENU Contenu à fabriquer Contenu Clients Fabriqué / Validé FOURNISSEURS IMPRIMEURS COMMERCIAUX SUIVRE L’ACTIVITE COMMERCIALE SELECTIONNER ARTICLES TRESORERIE ACTIVITES TRAITEMENT DE l’INFORMATION COMPTABLE ACTIVITES OPERATIONNEL LES ACTIVITES SUPPORTaux OPERATIONS TRAITEMENT DE L’INFORMATION COMPTABLE ET FINANCIERE (conformité) CONSTITUER LA BASE PROSPECTS METTRE A JOUR LA BASE CLIENTS - PROSPECTS DEFINIR LES ZONES COMMERCIALES AFFECTER LE AUX ZONES COMMERCIALES S PROSPECTS Base Contenu FABRIQUER LE CONTENU P (SUPPORT PAPIER) UBLICITAIRE Contenu Annonce FABR EN LIGNE IQUER LE CONTENU PUBLICITAIRE Contenus validées à mettre en ligne SERVICE MARKETING DIRECTION COMMERCIALE STRUCTURER L’EQUIPE SIMULER LE CHIFFRE d’AFFAIRES COMMERCIALE PRESENTER L’OFFRE A L’EQUIPE COMMERCIALE ATTRIBUER LE CANAL DE PROSPECTION CONSTRUIRE LE PORTEFEUILLE A PROSPECTER AFFECTER PORTEFEUILLE A L’EQUIPE COMMERCIALE METTRE EN LIGNE SUR LE SERVEUR BASE DE PUBLICATION DIRECTION OPERATIONNELLE SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS LANCER LES COMMANDES B D Les zooms des parties A / B / C / D sont présentés pages suivantes. 59 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU ENTITE METTRE A JOUR LA BASE CLIENTS - PROSPECTS DEFINIR LES ZONES COMMERCIALES AFFECTER LE AUX ZONES COMMERCIALES S PROSPECTS VALIDER l’OFFRE COMMERCIALE STRUCTURER L’EQUIPE SIMULER LE CHIFFRE d’AFFAIRES PRESENTER L’OFFRE A CONSTRUIRE LE PORTEFEUILLE A PROSPECTER AFFECTER PORTEFEUILLE COLLECTER L’INFORMATION PREPARER LA PROSPECTION COMMERCIALE FABRIQUER LE CONTENU P (SUPPORT PAPIER) UBLICITAIRE FABR EN LIGNE IQUER LE CONTENU PUBLICITAIRE FABRICATION DU CONTENU PUBLICITAIRE DISTRIBUER LES OUVRAGES AGENCE COMMERCIALE AGENCE COMMERCIALE Contenu Annonce CORRIGER / FABRIQUER LES OUVRAGES IMPRIMER LES OUVRAGES Fichiers contenu des ouvrages FABRICATION-IMPRESSION- DISTRIBUTION DES OUVRAGES Livraison sur les plateformes de distribution DEFINIR LE PLANNING DE PROSPECTION DEFINIR LE PLANNING DE PARUTION DES CONTENUS CONSTITUER LA BASE PROSPECTS CLIENTS SIRET INSEE Contrôle de coherence SOUS- TRAITANCES CLIENTS Détail commande globale Bon à tirer Modifié / validé SOUS- TRAITANCES Clients à contacter Contenu Clients Fabriqué / Validé CLIENTS Demande de validation Produits fabriqués Contenu produits fabriqués validé Contenus validées à mettre en ligne METTRE EN LIGNE SUR LE SERVEUR BASE DE PUBLICATION AGENCES Prospects PREPARER l’OFFRE COMMERCIALE SERVICE MARKETING SERVICES COMMERCIAL JURIDIQUE INFORMATIQUE Validation DIRECTION COMMERCIALE ATTRIBUER LE CANAL DE PROSPECTION Planning de Prospection DIRECTION COMMERCIALE DIRECTION Base Contenu CLIENTS Livraison des ouvrages METTRE EN LIGNE LE CONTENU Contenu à fabriquer Contenu Clients Fabriqué / Validé ACTIVITES OPERATIONNEL LES Contenu Annonce COMMERCIALE L’EQUIPE COMMERCIALE A L’EQUIPE COMMERCIALE A 60 BOITE a idees D’OUTILS METTRE A JOUR LA BASE CLIENTS - PROSPECTS DEFINIR LES ZONES COMMERCIALES AFFECTER LE AUX ZONES COMMERCIALES S PROSPECTS VALIDER l’OFFRE COMMERCIALE STRUCTURER L’EQUIPE SIMULER LE CHIFFRE d’AFFAIRES PRESENTER L’OFFRE A CONSTRUIRE LE PORTEFEUILLE A PROSPECTER AFFECTER PORTEFEUILLE COLLECTER L’INFORMATION PREPARER LA PROSPECTION COMMERCIALE FABRIQUER LE CONTENU P (SUPPORT PAPIER) UBLICITAIRE FABR EN LIGNE IQUER LE CONTENU PUBLICITAIRE FABRICATION DU CONTENU PUBLICITAIRE DISTRIBUER LES OUVRAGES AGENCE COMMERCIALE AGENCE COMMERCIALE Contenu Annonce CORRIGER / FABRIQUER LES OUVRAGES IMPRIMER LES OUVRAGES Fichiers contenu des ouvrages FABRICATION-IMPRESSION- DISTRIBUTION DES OUVRAGES Livraison sur les plateformes de distribution DEFINIR LE PLANNING DE PROSPECTION DEFINIR LE PLANNING DE PARUTION DES CONTENUS CONSTITUER LA BASE PROSPECTS CLIENTS SIRET INSEE Contrôle de coherence SOUS- TRAITANCES CLIENTS Détail commande globale Bon à tirer Modifié / validé SOUS- TRAITANCES Clients à contacter Contenu Clients Fabriqué / Validé CLIENTS Demande de validation Produits fabriqués Contenu produits fabriqués validé Contenus validées à mettre en ligne METTRE EN LIGNE SUR LE SERVEUR BASE DE PUBLICATION AGENCES Prospects PREPARER l’OFFRE COMMERCIALE SERVICE MARKETING SERVICES COMMERCIAL JURIDIQUE INFORMATIQUE Validation DIRECTION COMMERCIALE ATTRIBUER LE CANAL DE PROSPECTION Planning de Prospection DIRECTION COMMERCIALE DIRECTION Base Contenu CLIENTS Livraison des ouvrages METTRE EN LIGNE LE CONTENU Contenu à fabriquer Contenu Clients Fabriqué / Validé ACTIVITES OPERATIONNEL LES Contenu Annonce COMMERCIALE L’EQUIPE COMMERCIALE A L’EQUIPE COMMERCIALE 61 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU ENTITE PROSPECTER CRÉER LES COMMANDES CLIENTS VALIDER LES COMMANDES COMMERCIALES ET LE REGLEMENT Commandes Fermes FACTURER LES COMMANDES ET COMPTABILISER LE CHIFFRE D’AFFAIRE ENREGISTRER LES COMMANDES ET LES REGLEMENTS COM PTABILITE GENERALE VENDRE - -FACTURER ENCAISSER ENCAISSER ET RECOUVRER LES CREANCES CLIENTS VERIFIER LE RESPECT DES REGLES DE PAIEMENT TRESORERIE TRAITER LES RECLAMATIONS DES CLIENTS DIRECTION COMMERCIALE DIRECTION COMMERCIALE MODIFIER LA VALEUR DU PORTEFEUILLE DES VENDEURS COMMERCIAUX SUIVRE L’ACTIVITE COMMERCIALE 62 BOITE a idees D’OUTILS PROSPECTER CRÉER LES COMMANDES CLIENTS VALIDER LES COMMANDES COMMERCIALES ET LE REGLEMENT Commandes Fermes FACTURER LES COMMANDES ET COMPTABILISER LE CHIFFRE D’AFFAIRE ENREGISTRER LES COMMANDES ET LES REGLEMENTS COM PTABILITE GENERALE VENDRE - -FACTURER ENCAISSER ENCAISSER ET RECOUVRER LES CREANCES CLIENTS VERIFIER LE RESPECT DES REGLES DE PAIEMENT TRESORERIE TRAITER LES RECLAMATIONS DES CLIENTS DIRECTION COMMERCIALE DIRECTION COMMERCIALE MODIFIER LA VALEUR DU PORTEFEUILLE DES VENDEURS COMMERCIAUX SUIVRE L’ACTIVITE COMMERCIALE VALIDER l’OFFRE COMMERCIALE LEGENDE Processus Information Acteur Externe Facture Flux d’information A Renvoi sur le schéma PROSPECTER CRÉER LES COMMANDES CLIENTS VALIDER LES COMMANDES COMMERCIALES ET LE REGLEMENT COLLECTER L’INFORMATION PREPARER LA PROSPECTION COMMERCIALE Commandes Fermes FACTURER LES COMMANDES ET COMPTABILISER LE CHIFFRE D’AFFAIRE ENREGISTRER LES COMMANDES ET LES REGLEMENTS COMPTABILITE GENERALE FABRICATION DU CONTENU PUBLICITAIRE VENDRE - FACTURER – ENCAISSER DISTRIBUER LES OUVRAGES EFFECTUER LA PAIE DES COMMERCIAUX GERER LA TRESORERIE CONSTRUCTION DE L’iNFORMATION COMPTABLE ENTITE ( Arrêté des comptes) PRODUCTION DE L’iNFORMATION COMPTABLE ( production journalière alimentation application amont Saisies manuelles) CONSOLIDATION DE L’iNFORMATION COMPTABLE GROUPE ( Arrêté des comptes) AGENCE COMMERCIALE AGENCE COMMERCIALE Contenu Annonce CORRIGER / FABRIQUER LES OUVRAGES IMPRIMER LES OUVRAGES Fichiers contenu des ouvrages FABRICATION- IMPRESSION- DISTRIBUTION DES OUVRAGES Livraison sur les plateformes de distribution ENCAISSER ET RECOUVRER LES CREANCES CLIENTS GERER ET ELABORER LE PROFIL DE REMUNERATION DU COMMERCIAL ATTRIBUER LE PROFIL DE REMUNERATION DU COMMERCIAL A LA COMMANDE CLIENT REMUNERER LES COMMERCIAUX CALCULER LA REMUNERATION VARIABLE DES COMMERCIAUX DETERMINER LES AUTRES ELEMENTS DE REMUNERATION VERIFIER LE RESPECT DES REGLES DE PAIEMENT DEFINIR LE PLANNING DE PROSPECTION DEFINIR LE PLANNING DE PARUTION DES CONTENUS CLIENTS SIRET INSEE Contrôle de coherence SOUS- TRAITANCES CLIENTS Détail commande globale Bon à tirer Modifié / validé SOUS- TRAITANCES Clients à contacter Contenu Clients Fabriqué / Validé CLIENTS Demande de validation Produits fabriqués Contenu produits fabriqués validé DETERMINER LES VOLUMES LANCER LES COMMANDES OUVERTES ANNUELLES LANCER LES APPELS DE COMMANDES CONTROLER LES LIVRAISONS ET LES FACTURES CONTROLER STOCK PAPIER IMPRIMEUR Achats de papier RECEPTIONNER CONTROLER LES LIVRAISONS CONTROLER LES FACTURES Achats standards EFFECTUER LA PAIE DES TELEVENDEURS ET SEDENTAIRES TRESORERIE SAISIR ET CONTROLER LES FACTURES FOURNISSEURS ORDONNANCER LES REGLEMENTS FOURNISSEURS CENTRALISER LA PAIE CENTRALISER - LE CHIFFRE D’AFFAIRES - LES REGLEMENTS CLIENTS CENTRALISER LES NOTES DE FRAIS TRAITER LES NOTES DE FRAIS ET ORDRES DE MISSIONS Règlements Clients CENTRALISER LES OPERATIONS DE TRESORERIE CALCULER LES DOTATIONS AUX PROVISIONS (hors PCA) CALCULER LES DOTATIONS AUX AMORTISSEMENTS AGENCES Prospects PREPARER l’OFFRE COMMERCIALE SERVICES COMMERCIAL JURIDIQUE INFORMATIQUE Validation Planning de Prospection DIRECTION COMMERCIALE TRAITER LES RECLAMATIONS DES CLIENTS DIRECTION COMMERCIALE DIRECTION COMMERCIALE MODIFIER LA VALEUR DU PORTEFEUILLE DES VENDEURS DIRECTION RELATIONS HUMAINES DIRECTION FINANCIERE ACHATS SPECIFIQUES ACHATS STANDARDS PAYER LE PERSONNEL - CENTRALISER LES PCA GERER LA TRESORERIE CLIENTS Livraison des ouvrages METTRE EN LIGNE LE CONTENU Contenu à fabriquer Contenu Clients Fabriqué / Validé FOURNISSEURS IMPRIMEURS COMMERCIAUX SUIVRE L’ACTIVITE COMMERCIALE SELECTIONNER ARTICLES TRESORERIE ACTIVITES TRAITEMENT DE l’INFORMATION COMPTABLE ACTIVITES OPERATIONNEL LES ACTIVITES SUPPORTaux OPERATIONS TRAITEMENT DE L’INFORMATION COMPTABLE ET FINANCIERE (conformité) CONSTITUER LA BASE PROSPECTS METTRE A JOUR LA BASE CLIENTS - PROSPECTS DEFINIR LES ZONES COMMERCIALES AFFECTER LE AUX ZONES COMMERCIALES S PROSPECTS Base Contenu FABRIQUER LE CONTENU P (SUPPORT PAPIER) UBLICITAIRE Contenu Annonce FABR EN LIGNE IQUER LE CONTENU PUBLICITAIRE Contenus validées à mettre en ligne SERVICE MARKETING DIRECTION COMMERCIALE STRUCTURER L’EQUIPE SIMULER LE CHIFFRE d’AFFAIRES COMMERCIALE PRESENTER L’OFFRE A L’EQUIPE COMMERCIALE ATTRIBUER LE CANAL DE PROSPECTION CONSTRUIRE LE PORTEFEUILLE A PROSPECTER AFFECTER PORTEFEUILLE A L’EQUIPE COMMERCIALE METTRE EN LIGNE SUR LE SERVEUR BASE DE PUBLICATION DIRECTION OPERATIONNELLE SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS LANCER LES COMMANDES B 63 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU ENTITE SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS GERER LA TRESORERIE CONSTRUCTION DE L’iNFORMATION COMPTABLE ENTITE ( Arrêté des comptes) PRODUCTION DE L’iNFORMATION COMPTABLE ( production journalière alimentation application amont Saisies manuelles) CONSOLIDATION DE L’iNFORMATION COMPTABLE GROUPE ( Arrêté des comptes) DETERMINER LES VOLUMES LANCER LES COMMANDES OUVERTES ANNUELLES LANCER LES APPELS DE COMMANDES CONTROLER LES LIVRAISONS ET LES FACTURES CONTROLER STOCK PAPIER IMPRIMEUR Achats de papier LANCER LES COMMANDES RECEPTIONNER CONTROLER LES LIVRAISONS CONTROLER LES FACTURES SELECTIONNER ET CONTRACTUALISER Achats standards SAISIR ET CONTROLER LES FACTURES FOURNISSEURS ORDONNANCER LES REGLEMENTS FOURNISSEURS Règlements Clients CENTRALISER LES OPERATIONS DE TRESORERIE CALCULER LES DOTATIONS AUX PROVISIONS (hors PCA) CALCULER LES DOTATIONS AUX AMORTISSEMENTS ACHATS SPECIFIQUES ACHATS STANDARDS GERER LA TRESORERIE DIRECTION OPERATIONNELLE FOURNISSEURS IMPRIMEURS SELECTIONNER ARTICLES TRESORERIE ACTIVITES TRAITEMENT DE l’INFORMATION COMPTABLE ACTIVITES SUPPORTaux OPERATIONS TRAITEMENT DE L’INFORMATION COMPTABLE ET FINANCIERE (conformité) LES APPROVISIONNEMENTS C 64 BOITE a idees D’OUTILS SELECTIONNER ET CONTRACTUALISER LES APPROVISIONNEMENTS GERER LA TRESORERIE CONSTRUCTION DE L’iNFORMATION COMPTABLE ENTITE ( Arrêté des comptes) PRODUCTION DE L’iNFORMATION COMPTABLE ( production journalière alimentation application amont Saisies manuelles) CONSOLIDATION DE L’iNFORMATION COMPTABLE GROUPE ( Arrêté des comptes) DETERMINER LES VOLUMES LANCER LES COMMANDES OUVERTES ANNUELLES LANCER LES APPELS DE COMMANDES CONTROLER LES LIVRAISONS ET LES FACTURES CONTROLER STOCK PAPIER IMPRIMEUR Achats de papier LANCER LES COMMANDES RECEPTIONNER CONTROLER LES LIVRAISONS CONTROLER LES FACTURES SELECTIONNER ET CONTRACTUALISER Achats standards SAISIR ET CONTROLER LES FACTURES FOURNISSEURS ORDONNANCER LES REGLEMENTS FOURNISSEURS Règlements Clients CENTRALISER LES OPERATIONS DE TRESORERIE CALCULER LES DOTATIONS AUX PROVISIONS (hors PCA) CALCULER LES DOTATIONS AUX AMORTISSEMENTS ACHATS SPECIFIQUES ACHATS STANDARDS GERER LA TRESORERIE DIRECTION OPERATIONNELLE FOURNISSEURS IMPRIMEURS SELECTIONNER ARTICLES TRESORERIE ACTIVITES TRAITEMENT DE l’INFORMATION COMPTABLE ACTIVITES SUPPORTaux OPERATIONS TRAITEMENT DE L’INFORMATION COMPTABLE ET FINANCIERE (conformité) LES APPROVISIONNEMENTS 65 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU ENTITE EFFECTUER LA PAIE DES COMMERCIAUX GERER ET ELABORER LE PROFIL DE REMUNERATION DU COMMERCIAL ATTRIBUER LE PROFIL DE REMUNERATION DU COMMERCIAL A LA COMMANDE CLIENT REMUNERER LES COMMERCIAUX CALCULER LA REMUNERATION VARIABLE DES COMMERCIAUX DETERMINER LES AUTRES ELEMENTS DE REMUNERATION EFFECTUER LA PAIE DES TELEVENDEURS ET SEDENTAIRES CENTRALISER LA PAIE CENTRALISER - LE CHIFFRE D’AFFAIRES - LES REGLEMENTS CLIENTS CENTRALISER LES NOTES DE FRAIS TRAITER LES NOTES DE FRAIS ET ORDRES DE MISSIONS DIRECTION RELATIONS HUMAINES DIRECTION FINANCIERE PAYER LE PERSONNEL - CENTRALISER LES PCA 66 BOITE a idees D’OUTILS EFFECTUER LA PAIE DES COMMERCIAUX GERER ET ELABORER LE PROFIL DE REMUNERATION DU COMMERCIAL ATTRIBUER LE PROFIL DE REMUNERATION DU COMMERCIAL A LA COMMANDE CLIENT REMUNERER LES COMMERCIAUX CALCULER LA REMUNERATION VARIABLE DES COMMERCIAUX DETERMINER LES AUTRES ELEMENTS DE REMUNERATION EFFECTUER LA PAIE DES TELEVENDEURS ET SEDENTAIRES CENTRALISER LA PAIE CENTRALISER - LE CHIFFRE D’AFFAIRES - LES REGLEMENTS CLIENTS CENTRALISER LES NOTES DE FRAIS TRAITER LES NOTES DE FRAIS ET ORDRES DE MISSIONS DIRECTION RELATIONS HUMAINES DIRECTION FINANCIERE PAYER LE PERSONNEL - CENTRALISER LES PCA D 67 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 FACTURER LES PROJETS ET LES OPERATIONS Facturation des affaires GERER LES MOYENS / PARC MATÉRIEL / STOCK RÉALISER LES PROJETSET MAINTENIR LES OPERATIONS SUIVRE LE PORTEFEUILLE DES PROJETS ET DES OPERATIONS COMMANDEES SUIVI DE LA TRESORERIE ACHATS FRAIS GENERAUX ACHATS DE MATIERES, DE COMPOSANTS ET INTERIM ETABLIR ET SUIVRE LE CARNET DE COMMANDE CONCEVOIR LES PROJETS DÉVELOPPER LA VENTE / COMMERCIALISATION TRAITEMENT DE l’INFORMATION COMPTABLE ET FINANCIERE CONSTRUIRE L ’IN F O R MAT IO N C O MP T AB L E IN DIV IDU E L L E ( Clôture des comptes) (PS / GL) PRODUIRE L ’INF O R MAT IO N C O MP T AB L E (alimentation par les applications amont et les saisies manuelles) (PS / GL) C O N S O L IDE R L ’IN F O R MAT IO N C O MP T AB L E INDIVIDUELLE ( Arrêté des comptes SAP-CARTESIS) INTEGRER LA PAIE (SAP/HR) INTEGRER L E C H IF F R E D’AF F AIR E S (PS / AR) INTEGRER LES NOTES DE FRAIS ( SAP/HR) INTEGRER ET AFFECTER LES REGLEMENTS CLIENTS (PS / AR ) Flux CARTESIS ETAFI CALCULER ET INTEGRER LES DOTATIONS AUX PROVISIONS (PS / GL )ENREGISTRER LES FLUX DE TRESORERIE F lux d’équilibrage et de gestion du cash (journalier) Proposition/Devis Accepté Avancement des Projets / Opérations Devis affaire«complexe » Affaire qualifiée « complexe » Spécification de consultation Offre de prix Étude exécution Réception et contrôle des livraisons Affaire qualifiée « simple » Projets / Opérations commandées Liste des matériels mobilisés Proposition/Devis Accepté ORDONNANCER LES REGLEMENTS FOURNISSEURS (PS / AP) GENERER LES ECRITURES C O MP T AB L E S d’AC H AT S (PS / AP) INTÉGRER LES IMMOBILISATIONS ET LES AMORTISSEMENTS DES IMMOBILSATIONS CORPORELLES (PS / GL) Valeurs brutes des immobilisations Dotation aux amortissements- C es s ions d’immobilis ations (interface mensuelle Fin de mois) Virements reçus et émis (journalier) Achat de matières, composants et Intérim Achat de matières, composants et Intérim CLIENT Proposition /Devis Proposition/Devis Accepté Avancement des Projets / Opérations GERER LE PERSONNEL Campagne de règlements (décade) F lux d’Interfa ce Flux manuel PROCESSUS ACTEUREXTERNE LEGENDE Flux automatique ACTIVITES OPERATIONNELLES ACTIVITES SUPPORT AUX OPERATIONS ACTIVITES TRAITEMENT DE L’INFORMATION COMPTABLE Paie des Collaborateurs (interface mensuelle) Planification du personnel mobilisé Facture des biens immobilisés (interface journalière) Notes de frais et de déplacements (interface mensuelle) Factures achats à comptabiliser • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU BU Cette représentation présente l’ensemble des activités d’une entité. Les activités sont décrites au niveau des principaux processus (les rectangles de couleurs). 68 BOITE a idees D’OUTILS FACTURER LES PROJETS ET LES OPERATIONS Facturation des affaires GERER LES MOYENS / PARC MATÉRIEL / STOCK RÉALISER LES PROJETSET MAINTENIR LES OPERATIONS SUIVRE LE PORTEFEUILLE DES PROJETS ET DES OPERATIONS COMMANDEES SUIVI DE LA TRESORERIE ACHATS FRAIS GENERAUX ACHATS DE MATIERES, DE COMPOSANTS ET INTERIM ETABLIR ET SUIVRE LE CARNET DE COMMANDE CONCEVOIR LES PROJETS DÉVELOPPER LA VENTE / COMMERCIALISATION TRAITEMENT DE l’INFORMATION COMPTABLE ET FINANCIERE CONSTRUIRE L ’IN F O R MAT IO N C O MP T AB L E IN DIV IDU E L L E ( Clôture des comptes) (PS / GL) PRODUIRE L ’INF O R MAT IO N C O MP T AB L E (alimentation par les applications amont et les saisies manuelles) (PS / GL) C O N S O L IDE R L ’IN F O R MAT IO N C O MP T AB L E INDIVIDUELLE ( Arrêté des comptes SAP-CARTESIS) INTEGRER LA PAIE (SAP/HR) INTEGRER L E C H IF F R E D’AF F AIR E S (PS / AR) INTEGRER LES NOTES DE FRAIS ( SAP/HR) INTEGRER ET AFFECTER LES REGLEMENTS CLIENTS (PS / AR ) Flux CARTESIS ETAFI CALCULER ET INTEGRER LES DOTATIONS AUX PROVISIONS (PS / GL )ENREGISTRER LES FLUX DE TRESORERIE F lux d’équilibrage et de gestion du cash (journalier) Proposition/Devis Accepté Avancement des Projets / Opérations Devis affaire«complexe » Affaire qualifiée « complexe » Spécification de consultation Offre de prix Étude exécution Réception et contrôle des livraisons Affaire qualifiée « simple » Projets / Opérations commandées Liste des matériels mobilisés Proposition/Devis Accepté ORDONNANCER LES REGLEMENTS FOURNISSEURS (PS / AP) GENERER LES ECRITURES C O MP T AB L E S d’AC H AT S (PS / AP) INTÉGRER LES IMMOBILISATIONS ET LES AMORTISSEMENTS DES IMMOBILSATIONS CORPORELLES (PS / GL) Valeurs brutes des immobilisations Dotation aux amortissements- C es s ions d’immobilis ations (interface mensuelle Fin de mois) Virements reçus et émis (journalier) Achat de matières, composants et Intérim Achat de matières, composants et Intérim CLIENT Proposition /Devis Proposition/Devis Accepté Avancement des Projets / Opérations GERER LE PERSONNEL Campagne de règlements (décade) F lux d’Interfa ce Flux manuel PROCESSUS ACTEUREXTERNE LEGENDE Flux automatique ACTIVITES OPERATIONNELLES ACTIVITES SUPPORT AUX OPERATIONS ACTIVITES TRAITEMENT DE L’INFORMATION COMPTABLE Paie des Collaborateurs (interface mensuelle) Planification du personnel mobilisé Facture des biens immobilisés (interface journalière) Notes de frais et de déplacements (interface mensuelle) Factures achats à comptabiliser 69 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • CARTOGRAPHIE DE L’ENSEMBLE DES ACTIVITÉS DE L’ENTREPRISE : NIVEAU FONCTION SUPPORT - DAF Cette représentation présente l’ensemble des activités d’une fonction support. Les activités sont décrites selon une arborescence à trois niveaux des principaux macro-processus - processus - activités (cf. légende). PRODUCTION ET SUIVI DE GESTION LEGENDE De la COMMANDE FOURNISS UR au PAIEM NT De la COMMANDE CLIENT au REGLEMENT ENCAISSEMENT / RECOUVREMENT FACTURATION GESTION DES TEMPS et suivi des affectations BUDGET – PAIE – NOTE DE FR IS – TRESORERIE - COMPTABILITE - REPORTING REPORTING BUDGET NOTE DE FRAIS PA I E & RH COMPTABILITE PRODUIRE L’INFORMATION COMPTABLE ET FINANCIERE COMPTABILITE CLOTURER PERIODIQUEMENT LES COMPTES AC AUTRES HAT FRAIS DE VOYAGES - Etablir pré-facturation Etablir la facturation - Etablir les avoirs (Régie) Comptabiliser les réglements et lettrer factures et avoirs Suivre les impayés et coordonner le recouvrement Factures et avoirs GESTION DE LA TRESORERIE Comptabiliser la facturation et les avoirs CLIENTSRelances D CONTRÔLE DE GESTION GESTION COMMERCIALLE (du contact à la prise de commande) AFFAIRES AU FORFAIT GESTION DES REFERENTIELS : CLIENTS / CONTRATS / PROJETS / SOUS-TRAITANTS INTERNES ET EXTERNES - Intégrer les conditions, instructions de facturation - Affecter les ressources aux projets et tarifs contractuels Corriger / Valider la facturation (Régie) Donner les instructions de facturations (Forfait) Etat degestion - mensuel Frais refacturables compilées par projet - Etablir la facturation -Etablir les avoirs (Forfait) Conditions, modalités de facturation et affectations Factures et avoirs CLIENTS Factures réglées AFFAIRE EN REGIE Etablir les provisions pour impayés sur les factures > XXX jours) K ETABLIR LA FACTURATION Vérifier de façon régulière la solvabilité des clients Alerte mail Priorisation Relance client O Factures Commerciaux Directeur de Projet Valoriser la production en prix de vente (Régie) Pré-Facturation BANQUES Virement 90% Chèque et traites (10%) Collecter et Rapprocher les virements reçus avec les factures en attente de règlement (XXX virements pour YYYY factures par mois) Demandes d’avoirs Validé Commercial Demande d’établissement d’avoir validée SUIVI ET GESTION DES TEMPS Balance Agée commentée ( hebdomadaire) DUN & BRAD STREET Q BU COMPTABILITE- CLOTURE COMPTABILITE - PRODUCTION NOTE DE FRAIS FONCTIONS SUPPORT COMPTABILITE - PRODUCTION D L Flux d’information FACTURATION PROCESS ACTIVITE De la COMANDE CLIENT AU REGLEMENT MACRO-PROCESS GOUVERNANCE D COMPTABILITE - PRODUCTION D De la COMMANDE FOURNISSEUR au PAIEMENT FACTURATION ENCAISSEMENT/ RECOUVREMENT Z ACTIVITÉ ONES A RISQUES Rejets D’interface - C réer la fiche projet - Maintenir le référentiel Contrat externe Vérifier l’exhausitvité des mouvements de l’interface Fiche projet Partielle (interface automatique journalière) Fiche Projet Référentiel Client / Contrat / Relation de sous-traitance interne EE A Corriger / Valider la facturation (Régie) ACHAT SOUS- TRAITANCE GESTION DU REFERENTIEL FOURNISSEURS K MARKETING ET GESTION COMMERCIALE Temps / Activités valorisés en coût interne Demande d’avoirs Demande d’avoirs 70 BOITE a idees D’OUTILS PRODUCTION ET SUIVI DE GESTION LEGENDE De la COMMANDE FOURNISS UR au PAIEM NT De la COMMANDE CLIENT au REGLEMENT ENCAISSEMENT / RECOUVREMENT FACTURATION GESTION DES TEMPS et suivi des affectations BUDGET – PAIE – NOTE DE FR IS – TRESORERIE - COMPTABILITE - REPORTING REPORTING BUDGET NOTE DE FRAIS PA I E & RH COMPTABILITE PRODUIRE L’INFORMATION COMPTABLE ET FINANCIERE COMPTABILITE CLOTURER PERIODIQUEMENT LES COMPTES AC AUTRES HAT FRAIS DE VOYAGES - Etablir pré-facturation Etablir la facturation - Etablir les avoirs (Régie) Comptabiliser les réglements et lettrer factures et avoirs Suivre les impayés et coordonner le recouvrement Factures et avoirs GESTION DE LA TRESORERIE Comptabiliser la facturation et les avoirs CLIENTSRelances D CONTRÔLE DE GESTION GESTION COMMERCIALLE (du contact à la prise de commande) AFFAIRES AU FORFAIT GESTION DES REFERENTIELS : CLIENTS / CONTRATS / PROJETS / SOUS-TRAITANTS INTERNES ET EXTERNES - Intégrer les conditions, instructions de facturation - Affecter les ressources aux projets et tarifs contractuels Corriger / Valider la facturation (Régie) Donner les instructions de facturations (Forfait) Etat degestion - mensuel Frais refacturables compilées par projet - Etablir la facturation -Etablir les avoirs (Forfait) Conditions, modalités de facturation et affectations Factures et avoirs CLIENTS Factures réglées AFFAIRE EN REGIE Etablir les provisions pour impayés sur les factures > XXX jours) K ETABLIR LA FACTURATION Vérifier de façon régulière la solvabilité des clients Alerte mail Priorisation Relance client O Factures Commerciaux Directeur de Projet Valoriser la production en prix de vente (Régie) Pré-Facturation BANQUES Virement 90% Chèque et traites (10%) Collecter et Rapprocher les virements reçus avec les factures en attente de règlement (XXX virements pour YYYY factures par mois) Demandes d’avoirs Validé Commercial Demande d’établissement d’avoir validée SUIVI ET GESTION DES TEMPS Balance Agée commentée ( hebdomadaire) DUN & BRAD STREET Q BU COMPTABILITE- CLOTURE COMPTABILITE - PRODUCTION NOTE DE FRAIS FONCTIONS SUPPORT COMPTABILITE - PRODUCTION D L Flux d’information FACTURATION PROCESS ACTIVITE De la COMANDE CLIENT AU REGLEMENT MACRO-PROCESS GOUVERNANCE D COMPTABILITE - PRODUCTION D De la COMMANDE FOURNISSEUR au PAIEMENT FACTURATION ENCAISSEMENT/ RECOUVREMENT Z ACTIVITÉ ONES A RISQUES Rejets D’interface - C réer la fiche projet - Maintenir le référentiel Contrat externe Vérifier l’exhausitvité des mouvements de l’interface Fiche projet Partielle (interface automatique journalière) Fiche Projet Référentiel Client / Contrat / Relation de sous-traitance interne EE A Corriger / Valider la facturation (Régie) ACHAT SOUS- TRAITANCE GESTION DU REFERENTIEL FOURNISSEURS K MARKETING ET GESTION COMMERCIALE Temps / Activités valorisés en coût interne Demande d’avoirs Demande d’avoirs 71 BOITE a idees D’OUTILS Etape 1 – connaitre les zones à risques 2 3 4 5 • LOCALISATION DES ZONES À RISQUES ET CONSTRUCTION D’UN PREMIER UNIVERS DES ZONES À RISQUES : CARTOGRAPHIE MÉTIERS/ZONES À RISQUES Cet outil présente une cartographie des métiers et des principaux enjeux ﬁ nanciers pour chacun des métiers. Ce premier cadre (partie haute) est enrichi dans le deuxième cadre (partie basse) de la localisation des zones à risques et d’une première appréciation de l’exposition aux risques. Le premier univers des zones à risques a ainsi été créé. EUROPE France Italie †urquie Métiers C‡ (ˆ‰) Corporate Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) agagerie ŒŽ‘ ’ “ ”’ Ž • –etement et accessoires Ž‘— Ž ’ ”• ” ‡ccesoires te•tiles ’’“ “ ’ Ž‘ Ž Ž ‡utres métiers “˜ ’ Ž Canal de distribution principal 1 601 Parfums ””“ ” ’™ ” ”’ ™ šorlogerie ˜“ ’™ ™ ” ‡rts de la †a‹le Ž˜ ”Ž ”’ Ž Canal de distribution secondaire 242 ‡utres produits “” ™ ’ Total 1 914 ‘ ˜Ž Ž Œ‘ Œ ”™ Chiffre d’affaires ™—› Effectifs ‘ “’‘ “•‘ ‘—’ ’•‘ Ž—” Ž•˜ •—• ’‘˜ Univers Risques Groupe Stratégie Risque stratégique E•position Ž ” ” ” ’ Ž Croissance externe œ/‡ œ/‡ oui Risques pays E•position Ž Ž Ž ’ ’ ’ ’ Cœur métier Risque qualité E•position Ž ” Ž ’ ” ’ Certiﬁ cation ISO 14001 Risque supply chain Ž Ž ’ Sourcing Support Risques ﬁ nancier E•position Pool trésorerie Couvertures (Taux - change) Risques RH E•position ” ’ ’ Ž ’ Ž Politique RH Value Way Organigramme Délégation de pouvoirs Legal answer Risque SI E•position Ž ’ Ž ’ Ž ’ Système intégréE•P Dispositifs de maîtrise des risques E•ˆ Dépložé Procédures Ÿroupe Dépložé IC Self ‡ssessŠ dépložé Dépložé ‡udit interne ¡ast žear ‡udit ’—› Ž—› ”—› ”—› —› Ž—› •—› Légende Niveau d’exposition Maîtrise interne Stade de déploiement des dispositifs de maîtrise ¢nité Production £ uŠp E•position forte ” En place Elevé ¢nité Distri‹ution £ uŠd E•position moženne ’ En cours ˆožen ¢nité Franchisée £ uŠf E•position fai‹le Ž œon couvert Fai‹le AMERIQUE ASIE ¢S‡ ˆe•ique Chine –ietnam Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) ’ ’‘ ’ ”’ ’ ’‘ ” ’ ”• ” ’ ”Ž ’ Ž Ž‘ ’ Ž •• ” ”’ ” ” ‘— ” ™ ” Ž’ ” Ž ”’ ”’ ’ ’ ’’™ ™ ‘ ™ ™• ’ ”— ™•› ”•› ’™• ” ™‘˜ ’’” ”•‘ ™’— ™‘˜ ’Ž• ™‘“ ” ” ’ ’ ” ” ’ ’ oui œ/‡ œ/‡ oui Ž Ž ’ ’ ” ” ’ ’ ” ” ” Ž ” Ž ’ Ž ’ ” ” ” ” ” ” ’ ” ’ ’ ’ Ž ’ Ž ’ Ž ’ Ž ’ —› —› Ž—› •—› ’—› ’—› ’—› Ž—› 72 BOITE a idees D’OUTILS EUROPE France Italie †urquie Métiers C‡ (ˆ‰) Corporate Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) agagerie ŒŽ‘ ’ “ ”’ Ž • –etement et accessoires Ž‘— Ž ’ ”• ” ‡ccesoires te•tiles ’’“ “ ’ Ž‘ Ž Ž ‡utres métiers “˜ ’ Ž Canal de distribution principal 1 601 Parfums ””“ ” ’™ ” ”’ ™ šorlogerie ˜“ ’™ ™ ” ‡rts de la †a‹le Ž˜ ”Ž ”’ Ž Canal de distribution secondaire 242 ‡utres produits “” ™ ’ Total 1 914 ‘ ˜Ž Ž Œ‘ Œ ”™ Chiffre d’affaires ™—› Effectifs ‘ “’‘ “•‘ ‘—’ ’•‘ Ž—” Ž•˜ •—• ’‘˜ Univers Risques Groupe Stratégie Risque stratégique E•position Ž ” ” ” ’ Ž Croissance externe œ/‡ œ/‡ oui Risques pays E•position Ž Ž Ž ’ ’ ’ ’ Cœur métier Risque qualité E•position Ž ” Ž ’ ” ’ Certiﬁ cation ISO 14001 Risque supply chain Ž Ž ’ Sourcing Support Risques ﬁ nancier E•position Pool trésorerie Couvertures (Taux - change) Risques RH E•position ” ’ ’ Ž ’ Ž Politique RH Value Way Organigramme Délégation de pouvoirs Legal answer Risque SI E•position Ž ’ Ž ’ Ž ’ Système intégréE•P Dispositifs de maîtrise des risques E•ˆ Dépložé Procédures Ÿroupe Dépložé IC Self ‡ssessŠ dépložé Dépložé ‡udit interne ¡ast žear ‡udit ’—› Ž—› ”—› ”—› —› Ž—› •—› Légende Niveau d’exposition Maîtrise interne Stade de déploiement des dispositifs de maîtrise ¢nité Production £ uŠp E•position forte ” En place Elevé ¢nité Distri‹ution £ uŠd E•position moženne ’ En cours ˆožen ¢nité Franchisée £ uŠf E•position fai‹le Ž œon couvert Fai‹le AMERIQUE ASIE ¢S‡ ˆe•ique Chine –ietnam Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) ’ ’‘ ’ ”’ ’ ’‘ ” ’ ”• ” ’ ”Ž ’ Ž Ž‘ ’ Ž •• ” ”’ ” ” ‘— ” ™ ” Ž’ ” Ž ”’ ”’ ’ ’ ’’™ ™ ‘ ™ ™• ’ ”— ™•› ”•› ’™• ” ™‘˜ ’’” ”•‘ ™’— ™‘˜ ’Ž• ™‘“ ” ” ’ ’ ” ” ’ ’ oui œ/‡ œ/‡ oui Ž Ž ’ ’ ” ” ’ ’ ” ” ” Ž ” Ž ’ Ž ’ ” ” ” ” ” ” ’ ” ’ ’ ’ Ž ’ Ž ’ Ž ’ Ž ’ —› —› Ž—› •—› ’—› ’—› ’—› Ž—› Synthèse des activités par zone géographiques/pays/type d’activité/ métiers 1 re estimation des zones à risques et de leur maîtrise Les couleurs montrent le stade de déploiement des dispositifs de maîtrise 73 74 ETAPE 2 - IMPLEMENTER UN DISPOSITIF DE GESTION DES RISQUES • « Univers des risques » afﬁ né • Guide d’entretien • Fiche de risques - version en anglais • Fiche de risque - version en français • Fiche de risque - version en français • Grille d’évaluation - Echelle de risque • Matrice des Processus et des Risques • Première cartographie des risques • Plan de déploiement du dispositif de gestion des risques 75 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 5 • « UNIVERS DES RISQUES » AFFINÉ L’outil présente l’ensemble « afﬁ né » du premier univers des zones à risques. 31 Risques externes Concurrence - Lobbying Social - Politique étrangère - Législation - Catastrophes naturelles - Réglementation - Crise sur marché clé - Terrorisme - Relations avec les parties prenantes - Partenaires - Innovation Technologique Risques internes Risques stratégiques Labelling - Propriété intellectuelle - Stratégie de développement - Business model - Canaux de distribution Portefeuille - Perte de part de marché - Stratégie Marketing - Proﬁtabilité - Fusion & acquisition - Intégration - Gouvernance Risques opérationnels Capital humain Conformité Santé et Sécurité - Connaissance, savoir-faire - Développement - Cycle de vie des produits - Pollution - Accident majeur - Distribution - Arrêt de l'activité - Dommages aux tiers - Défaillance équipement critique - Qualité produit/service - Carence de fournisseurs - Dommages aux actifs - Capacité - Carence Energie - Interdépendance entre sites - Erosion marque… Externalisation - Personne clé - Communication - Compétences Gestion du changement / recrutement Législation & Réglementation - Contractuelle - Juridique - Communication ﬁnancière Gouvernance Intégrité Leadership - Délégation - Limites - Autorité - Performances incitatives Fraude - Actes illégaux - Usage illégal - Ethique - Image de marque Sys. Information Finances Technologie - Infrastructure - Intégrité - Accès - Maintenance - Disponibilité - Conﬁdentialité - Dépendance - Externalisation Taux d'intérêts - Liquidité - Risque Crédit – Pension - Risque de change - Management ﬁnance (budget, forecast, pricing, impôts…) - Dépréciation d'actifs STRATEGIQUES OPERATIONNELS FINANCIERS Processus Gestion de l’Information Intégrité ISRessources humaines RISQUES INTERNES RISQUES EXTERNES MISE SNŒUNVISR DUL’RTLREŒGTVNR A SOVISR QSONŒLP SNORFSUSEV ŒO C :VO OBM–USa DUL’RTiVSNGŒdN eVsLVTVNG CGtŒGEVUNVISRTiUENVpO MIPPLSVEUNVISRFSUSEV1Œ RR cLOVS OORoIT nRR AIŒN p LVnn RTiUENV:VNGOR MUSUL’RT RTVONŒVrLNVISR AŒItŒVGNGRVSN nn ENL nn R oUŒE–GRBRAŒITLVNRBRAŒV’R QSNGaŒUNVISR lNŒLENLŒ R IŒaUSVOUNVISS nn R MzEn RT R:V RTLRtŒITLVNR lNŒUNGaV RT RTG:nItN àIL: ŒSUSE R lNŒUNGaV RPUŒq NVSaR MUtUEVNGRBRŒ OOILŒE ORRRRR MzEn RT R:V RtŒITLVNOR uS:VŒISS P SNRBRtInnLNVISR lUSNGR2RlGELŒVNGRRR QSSI:UNVISORN E–SInIaVsL OR R 3Gan P SNUNVISR 3u4M5R QSpIŒPUNVISREIPtNUrn R cLTa NRBtŒG:VOVISO u’–ULONV:VNGBu’UENVNLT •:UnLUNVISRT OR VS: ONVOO P SNOBUENVpOR 3 nUNVISORUENVISSUVŒ O QSpIŒPUNVISORT Ra ONVISR /DUrn UL’RT RrIŒT ‰ éVOEUnVNGRRRRRR R éŒULT MISfVNORTiVSNGŒdNR gOUa RVnnGaUnR 4EN ORVnnGaUL’R •N–VsL R à ONVISRT RniVPUa R uSN SN RVnnVEVN R MIŒŒLtNVISR MWQeR ALrnVEVNGRP SOISa1Œ R 3Gan P SNUNVISR Mzr ŒEŒVPVSUnVNGR 4EE1OBRoUVSN SUSE R MUtUEVNGRN E–SInIaVsL R QSNGaŒVNGBCVOtISVrVnVNGR T ORTISSG OR CGt STUSE R QSpŒUONŒLENLŒ R éVUrVnVNGR MISFT SNVUnVNG AŒITLVNORBRl Œ:VE ORyRR RjRCG: nItt P SNR RjRxLUnVNGRBRCGpUVnnUSE R RjRuSaUa P SNOREISNŒUENL nOR RjR3 nUNVISREnV SNOR 4ttŒI:VOVISS P SNR lNŒUNGaV RT RPVO R SRbL:Œ à ONVISRTLR E–USa P SNRR MIPPLSVEUNVISRR MIPtGN SE ORBROU:IVŒj pUVŒ R A ŒOISS OREnGOR 3 EŒLN P SNR oUSUa P SNR u’N ŒSUnVOUNVISR oINV:UNVISR éIŒPUNVISR R QSN ŒŒLtNVISRT RniUENV:VNG MŒVNVEVNGRT ORGsLVt P SNO uSŒ aVONŒ P SNRT O NŒUSOUENVISOR 4LNIŒVOUNVISORUTPVSVONŒUNV: O AnUSSVSaR MISONŒLENVISRyR ’lILOjNŒUVNUSE ’xLUnVNG ’MISpIŒPVNG MISELŒŒ SE R C PUST REnV SNR eIrrzVSaROIEVUn eGaVOnUNVISR MUNUONŒIt– RSUNLŒ nn R AInVNVsL AUŒN SUVŒ OR D ŒŒIŒVOP •EISIPV R éISTORT Rt SOVISR oUŒE–GORFSUSEV ŒO 76 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques345 • GUIDE D’ENTRETIEN 1 World Company Group SA Guide d’entretien Projet de Management des risques INTRODUCTION CONTEXTE ET OBJECTIFS DU PROJET OBJECTIF DE NOTRE ENTRETIEN DEMARCHE DE REFLEXION PREALABLE A L’ENTRETIEN ANNEXE 1 - LES OBJECTIFS DE WCG SA ANNEXE 2 - AIDES A LA REFLEXION DE L’IDENTIFICATION DES RISQUES ANNEXE 3 - ECHELLE D’EVALUATION DES RISQUES ANNEXE 4 - VOS RISQUES SIGNIFICATIFS ANNEXE 5 - EXEMPLE DE LIVRABLE DE CARTOGRAPHIE DES RISQUES Introduction Dans le cadre du projet de management des risques et du contrôle interne, nous vous avons sollicité pour participer à l’identiﬁ cation et l’évaluation des risques de WCG SA. Ce guide décrit les objectifs recherchés ainsi que la réﬂ exion individuelle à mener avant votre entretien. Contexte et objectifs du projet En décembre 2008, l’Autorité des Marchés Financiers a demandé aux entreprises cotées de rendre compte des procédures de gestion de risques et de conﬁ er aux administrateurs le suivi de l’efﬁ cacité des dispositifs de gestion des risques et de contrôle interne. Désireux d’être conforme à cette nouvelle réglementation, WCG SA SA a initié une démarche globale relative au management des risques sur l’ensemble du groupe. Cette réglementation doit être transformée en une opportunité pour WCG SA et permettre ainsi de travailler en profondeur sur la ﬁ abilisation et l’amélioration de la stratégie à 3 ans du groupe. Objectif de notre entretien Le principal objectif de cet entretien est d’identiﬁ er les risques que vous considérez comme les plus signiﬁ catifs pour WCG SA. Aﬁ n d’optimiser le temps qui nous est imparti lors de l’entretien, nous vous proposons de préparer votre ré- ﬂ exion en suivant les étapes qui vous sont présentées pages suivantes. Les informations recueillies pendant votre entretien vous seront renvoyées pour validation. Elles seront ensuite traitées et consolidées anonymement; elles ne feront pas l’objet d’un suivi individualisé. 77 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • GUIDE D’ENTRETIEN (SUITE) Démarche de réﬂ exion préalable à l’entretien Pour rappel, « le risque est la possibilité qu’un événement ou qu’une action empêche WCG SA d’atteindre ses objec- tifs. L’absence d’opportunité est également considérée comme un risque pour l’entreprise. » La démarche que vous allez suivre consiste à : Lire les objectifs de WCG SA (Annexe 1) puis Identiﬁ er les risques empêchant d’atteindre les objectifs précédemment cités (Annexe 2), et Les évaluer en vous basant sur une échelle d’évaluation (Annexe 3). L’objectif de la préparation est de remplir le tableau de « Vos risques signiﬁ catifs » (Annexe 4). La démarche suivie Quels sont les objectifs de WCG SA ? Qu’est-ce qui nous empêche d’atteindre nos objectifs ? Quelles menaces ? Quelles opportunités manquées ? Quelle est la possibilité que ce risque se réalise ? Quelles en seraient les conséquences pour WCG ? –os risques identi• és et évalués Consolidation par l’équipe projet des risques et des évaluations Cartographie des risques ‡nne•e • £ E•emple de livra‹le Les outils de l’entretien ‡nne•e ” £ ¡es o‹¤ectifs de ¥CŸ S‡ ‡nne•e ’ £ ‡ides ¦ la réf e•ion pour l’identi• cation des risques ‡nne•e Ž £ Echelle d’évaluation des risques ‡nne•e ™ £ –os risques signi• catifs (¦ remplir) Avant l’entretien Après l’entretien Votre entretien 78 BOITE a idees D’OUTILS Annexe 1 – Les objectifs de WCG SA WCG SA est dotée d’un processus de planiﬁ cation stratégique qui consiste à formaliser la vision des marchés sur lesquels nous intervenons, notre positionnement sur ces marchés, nos perspectives, notre stratégie et nos objectifs à 3 ans. Chaque Département, Région ou Pays décline sur son périmètre, la stratégie et les objectifs de WCG SA tels qu’ils ont été validés. Cette déclinaison comprend : • une partie quantitative retranscrite dans le plan à 3 ans, et • une partie qualitative portant sur des éléments tels que la qualité, le recrutement et l’intégration, l’environ- nement… qui est présentée dans les conseils de département, région ou pays. Vous retrouvez vos objectifs dans le reporting STRATÉGIQUE déployé en février 2012 à tous les Départements, Région et Pays. Annexe 2 – Aides à la réﬂ exion de l’identiﬁ cation des risques Le second outil présenté est un aide-mémoire qui peut vous assister dans la recherche de risques. Son objectif est de vous remémorer quelques sources d’information ou éléments critiques propres à votre activité.             Décrivez les principaux indicateurs de performances (opérationnels et ﬁ nanciers) qui vous permettent d’identiﬁ er les problèmes / anomalies Décrivez les principaux objectifs attachés à votre fonction / structure Recensez les éléments critiques de votre activité qui peuvent constituer une source de risques Recensez les processus / contrôles qui limitent les éléments critiques cités précédemment 79 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • GUIDE D’ENTRETIEN (SUITE) Annexe 3 – Echelle d’évaluation des risques Un risque est évalué suivant deux axes qui sont : la fréquence et les conséquences de réalisation. Les évaluations que vous retiendrez, devront être dans la mesure du possible, « documentées ». Cette évaluation peut être basée sur l’historique, sur des éléments chiffrés, sur vos expériences… Dans la mesure du possible, chacune de ces évaluations doit être « documentée ». Fréquence 1 2 3 4 5  Pro‹a‹ilité d’occurrence ”› (tr§s peu pro‹a‹le) •› (¦ ne pas écarter) ’•› (possi‹le) •—› (tout ¦ fait possi‹le) “•› (tr§s pro‹a‹le) Fréquence 1 2 3 4 5 Impact • nancier (direct, et conséquences • nanci§res des autres tžpes d¨impact) Impact fai‹le©£ incident de parcours sur le plan • nancier Impact možen £ affectant l¨entité sur le plan • nancier sur une année Impact fort £ affectant l¨entité sur le plan • nancier sur la durée du Pro¤et d¨entreprise Impact ma¤eur©£ affectant dura‹lement l¨entité sur le plan • nancier Impact capital©£ mettant en ¤eu la survie de l¨entité sur le plan • nancier Impact environnemental Court terme Court terme •égional ou national ¡ong terme ª local ou Court terme ª transfrontalier ¡ong terme •égional ou national ¡ong terme †ransfrontalier Impact sanitaire ¢n ou plusieurs malades ou ‹lessés légers ¢n ou plusieurs malades ou ‹lessés graves Déc§s d¨une personne Déc§s de plusieurs personnes Déc§s de nom‹reuses personnes Impact image Court terme ¡ocal ou régional Court terme œational ¡ong terme ª local ou régional ou Court terme ª transfrontalier ¡ong terme œational ¡ong terme Impact sur la stratégie ˆise en «uvre de l¨une des priorités de l¨entité rendue plus dif• cile ˆise en «uvre de la stratégie rendue plus dif• cile Stratégie pertur‹ée/retardée pendant ” ¦ ’ ans ¡a Stratégie ne pourra se réaliser sur la durée du Pro¤et d¨entreprise Stratégie profondément remise en cause Impact sur la satisfaction clients aisse de la satisfaction clients mais sans incidence aisse de la satisfaction clients avec incidence Dégradation sensi‹le du tau• de satisfaction des clients sur un segment donné de client§le Dégradation im¬ portante du tau• de satisfaction des clients sur plusieurs seg¬ ments de client§le Dégradation massive et/ou ‹rutale du tau• de satisfaction Impact social Désaccords catégoriels ‡ttentisme général Ÿr§ves larvées Démotivation forte ¬ Ÿr§ves importantes ¬ ‡c¬ tions du personnel ¦ l¨encontre des intér®ts de l¨entre¬ prise Ÿr§ves dures, généralisées, avec coupures massives, occupations de locau•, séquestrations, … 80 BOITE a idees D’OUTILS Annexe 4 - Vos risques signiﬁ catifs Merci de décrire dans le tableau ci-dessous, les risques qui vous semblent les plus signiﬁ catifs pour WCG SA. Identiﬁ cation (‡nne•e ’) Evaluation (‡nne•e Ž) Contrôles Description du risque Quelles sont les sources / causes potentielles du risque? Quelles seraient les conséquences si le risque se réalisait ? Fréquence (documentation) Consé- quences (documentation) Quelles sont les actions / processus en place qui sont susceptibles de limiter le risque ?                               Annexe 5 – Exemple de livrable de cartographie des risques †r§s fort Fort ˆožen Fai‹le •are Peu pro‹a‹le Pro‹a‹le †r§s pro‹a‹le FREQUENCE IMPACT = GRAVITÉ •isques mineurs •isques repérés •isques modérés •isques ma¤eurs traitement prioritaire 9 8 10 12 11 5 4 7 6 2 3 1 81 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • FICHE DE RISQUES - VERSION EN ANGLAIS 1.2 Competencies management Financial Impact ¡i-elihood ¡ast žear •is- categorž xxM xx% xxM / xx% People RISK DESCRIPTION †he ris- of loss of competencies due to£ ¬ ‡geing population ¬ ¡ac- of mo‹ilitž ¬ usiness attractiveness ¬ •estructuring ¬ ˉualitž of staff CAUSES †his ris- concerns missing operational, technical and pro¤ect management s-illsŠ Its main causes can ‹e found in ‹oth the conte•t evolution and internal factorsŠ †he former are related to restructuring effects in a restarting mar-et and to a shift in technical and geographical needsŠ CONSEQUENCES ¬ E•isting s-ills set not adapted to needs ¬ Performance, qualitž and / or delažs issues in pro¤ect ¬ Insuf• cient resources to e•ecute orders, produce revenues, and provide leadershipŠ ¬ Eventual loss of the e•isting -no…ledge ‹ase made of ageing e•perts RISK RESPONSES EVOLUTION OF THE RISK SINCE LAST YEAR ACTIONS IMPLEMENTED SINCE LAST YEAR TO MITIGATE THIS RISK ACTIONS IN THE THREE YEAR PLAN TO MITIGATE THIS RISK INDICATORS / MONITORING LONG TERM EVOLUTION Risk owner: xx 82 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques345 1 • FICHE DE RISQUE - VERSION EN FRANÇAIS Date ˆ‡° °°/ˆˆ/‡‡ Prestation des entreprises travau• Objectifs menacés Catégorie de risque Propriétaire du risque Evaluation résiduelle du risque D o c u m e n t a t i o n d u r i s q u e Description du risque ˆa¤eur Risque incontrôlable (*) Famille de risque Dépendance de risques Tendance Causes / sources potentielles Conséquences potentielles Facteurs clés de succès Indicateurs de performance E n v t d e c o n t r ± l e Environnement de contrôle : processus ou contr±les en place pour limiter le risque Degré de maîtrise du processus / contrôle (I, †Fa, Fa, Fo, †Fo) Processus / Contr±les Description Responsable E v a l u a t i o n Risque résiduel Fréquence Conséquences Evaluation •Š •ésiduel Pro‹a‹le Fort ˆa¤eur Justiﬁ cation de l’évaluation de la fréquence Justiﬁ cation de l’évaluation des conséquences P l a n d’ a c t i o n s Actions / mesures proposées pour réduire le risque Responsable Échéance œ i v e a u d’ a s s u r a n c e Vériﬁ cation du degré de maîtrise du processus / contrôle Vériﬁ cations Conclusion sur le niveau de maîtrise ² Risque incontrôlable : impossi‹ilité de réduire la fréquence de réalisation 83 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 Risque de Groupe Risque transverse Risque majeur de branche BU1 BU2 BU3 BU1 BU2 BU3 Risque 1 Thème : Sous-thèmes : Description du risque : Fréquence de citation ++ Principales causes Principaux impacts Exemple d’actions de maîtrise mises en place Exemple d’avènements du risque Enjeux liés au risque • FICHE DE RISQUES - VERSION EN FRANÇAIS 84 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques345 1 • GRILLE D’ÉVALUATION - ECHELLE DE RISQUE Level Net ﬁ nancial impact Human/ Environmental Impact Image/ Reputation Impac –erž hight ˆore than ’—— ˆ‰ ‡ffect health of population and the environment ‡ffect health of personnel on a large scale Companž credi‹ilitž affected ˆanagement change šight et…een •— ³ ’—— ˆ‰ ¡i-elž to have a signi• cant effect on health of one or fe… personnel© mem‹ers œo effect on population nor on the environment Companž’s activities questioned/ ¡oss of credi‹ilitž ˆedium et…een ”— ³ •— ˆ‰ ¡i-elž to affect health of one or fe… personal mem‹ers œo effect on population nor on the environment œegative pu‹licitž ¡o… ¡ess than ”— ˆ‰ œo effect on personnel or neartž population œo effect on the environment œo effect on reputation Level Likelihood Pro‹a‹le –erž li-elž to occur ´ •— › Possi‹le ¡i-elž to occur ’— ¬ •— › ¢nli-elž œot li-elž ‹ut not impossi‹le ’ ¬ ’— › Impro‹a‹le –erž little chance to occur μ ’ › Likelihood represents the possibility that a given event will occur Table used to assess the likelihood of a risk Impact materialises the effect of the event Table used to assess the ﬁ nancial impact of a risk ™ Ž ’ ” ™ Ž ’ ” 85 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • MATRICE DES PROCESSUS ET DES RISQUES Cet outil permet de localiser les processus « critiques » qui feront l’objet d’un traitement prioritaire. Pour ce faire, il a été identiﬁ é un certain nombre de facteurs de risques (dysfonctionnements) qui sont propres à la situa- tion rencontrée, dans cet outil 7 facteurs de risques. MACRO PROCESSUS PROCESSUS FACTEUR RISQUE 1 FACTEUR RISQUE 2 FACTEUR RISQUE 3 FACTEUR RISQUE 4 FACTEUR RISQUE 5 FACTEUR RISQUE 6 FACTEUR RISQUE 7 NIVEAU DE RISQUE BRUT DU PROCESSUS •éférence du processus ”¬ Comple•ité des activités nécessaires au ‹on déroulement du processus ’¬ šomogénéité des opérations élémentaires qui sont traitées par le processus Ž¬ Changements récents dans le déroulement du processus ™¬ •o‹ustesse des applications informatiques •¬ Contri‹ution du process ¦ la performance • nanci§re ‘¬ Complé•ité de l’environnement légal et contractuel “¬ œiveau de sensi‹ilité des activités du processus ¦ la fraude Commande ¬ Encaissement Ÿérer la ‹ase clients CE” 2 1 2 2 1 1 1 1 Prendre les commandes CE’ 2 1 1 1 1 3 1 1 Facturer et reconnaitre le revenu CEŽ 1 2 1 1 1 1 1 Encaisser les factures clients CE™ 2 3 3 3 2 3 3 3 Suivre les en¬cours clients CE• 3 1 1 1 2 1 1 1 ‡chat ¬ •§glement Ÿérer la ‹ase fournisseurs ‡•” 3 1 1 2 1 1 2 Passer des commandes ‡•’ 1 2 1 2 3 1 3 2 •éceptionner les commandes ‡•Ž 1 2 1 2 3 1 3 2 Pažer les fournisseurs ‡•™ 2 2 3 1 3 2 1 Prévision ¬ Compta‹lisation Sous¬processus ‡ SP‡ 3 1 2 3 2 1 1 Sous¬processus SP 2 1 1 1 1 2 1 Sous¬processus C SPC 1 1 2 3 3 1 3 Légende œiveau ” £ Fort œiveau ’ £ ˆožen œiveau Ž £ Fai‹le inome ˆacro¬Processus et Processus qui ref §tent les activités de l’entité 86 BOITE a idees D’OUTILS Pour chacun des processus la criticité de chacun des facteurs de risque a été appréciée. Le niveau de risque brut du processus est apprécié sur la base d’une pondération de chacune des criticités observée pour les facteurs de risque (le niveau de précision de ces matrices dépend de la granularité attendue). MACRO PROCESSUS PROCESSUS FACTEUR RISQUE 1 FACTEUR RISQUE 2 FACTEUR RISQUE 3 FACTEUR RISQUE 4 FACTEUR RISQUE 5 FACTEUR RISQUE 6 FACTEUR RISQUE 7 NIVEAU DE RISQUE BRUT DU PROCESSUS •éférence du processus ”¬ Comple•ité des activités nécessaires au ‹on déroulement du processus ’¬ šomogénéité des opérations élémentaires qui sont traitées par le processus Ž¬ Changements récents dans le déroulement du processus ™¬ •o‹ustesse des applications informatiques •¬ Contri‹ution du process ¦ la performance • nanci§re ‘¬ Complé•ité de l’environnement légal et contractuel “¬ œiveau de sensi‹ilité des activités du processus ¦ la fraude Commande ¬ Encaissement Ÿérer la ‹ase clients CE” 2 1 2 2 1 1 1 1 Prendre les commandes CE’ 2 1 1 1 1 3 1 1 Facturer et reconnaitre le revenu CEŽ 1 2 1 1 1 1 1 Encaisser les factures clients CE™ 2 3 3 3 2 3 3 3 Suivre les en¬cours clients CE• 3 1 1 1 2 1 1 1 ‡chat ¬ •§glement Ÿérer la ‹ase fournisseurs ‡•” 3 1 1 2 1 1 2 Passer des commandes ‡•’ 1 2 1 2 3 1 3 2 •éceptionner les commandes ‡•Ž 1 2 1 2 3 1 3 2 Pažer les fournisseurs ‡•™ 2 2 3 1 3 2 1 Prévision ¬ Compta‹lisation Sous¬processus ‡ SP‡ 3 1 2 3 2 1 1 Sous¬processus SP 2 1 1 1 1 2 1 Sous¬processus C SPC 1 1 2 3 3 1 3 Légende œiveau ” £ Fort œiveau ’ £ ˆožen œiveau Ž £ Fai‹le C’est le niveau de risque •¢† du processus qui correspond ¦ l’application de la somme pondérée des niveau• de criticité de chacun des facteurs de risqueŠ Facteurs de risque (ou džsfonctionnement) qui sont ¦ l’origine ou peuvent déclencher des risquesŠ Ces facteurs de risques doivent ®tre adaptés ¦ la situationŠ Pour chacun des facteurs de risque un niveau de criticité est attri‹uéŠ 87 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • PREMIÈRE CARTOGRAPHIE DES RISQUES La cartographie des risques - Mode de lecture. ZONE D’ACTIONS PRIORITAIRES • Zone de risques critiques perçus comme faiblement maîtrisés. Zone prio- ritaire pour la mise en place de plans d’actions. ZONE DE MAÎTRISE DES RISQUES À CONFIRMER • Zone de risques critiques perçus comme bien maîtrisés. Zone d’interven- tion « privilégiée » de l’audit interne pour s’assurer que le niveau réel de maîtrise des risques est en adéquation avec le niveau perçu. ZONE À SURVEILLER • Zone de risques de faible importance perçus comme moyennement ou faiblement maîtrisés. Une surveillance permanente doit être effectuée pour s’assurer que ces risques restent d’importance moindre. Des actions doivent être entreprises pour en améliorer la maîtrise. ZONE DE VIGILANCE • Zone de risques de faible importance perçus comme fortement maîtrisés. Ces risques doivent faire l’objet d’un contrôle actif sur une base périodique pour s’assurer qu’ils restent maîtrisés. 88 BOITE a idees D’OUTILS Critique Impact du risque Signiﬁ catif Très faible Niveau de maîtrise Excellent Niveau de maîtrise ≤5 Actions prioritaires ¶› (œ risques) Niveau de maîtrise à conﬁ rmer ∙› (œ risques) Vigilance ¥› (œ risques) Surveillance ¸› (œ risques) 89 BOITE a idees D’OUTILS Etape 2 – implémenter un dispositif de gestion des risques 4 531 • PLAN DE DÉPLOIEMENT DU DISPOSITIF DE GESTION DES RISQUES Plan de déploiement de la démarche sur le groupe. E¢••PE ‡ˆE•Iˉ¢E ‡SIE France Italie †urquie ¢S‡ ˆe•ique Chine –ietnam Métiers Corporate Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) agagerie ’ “ ”’ Ž • ’ ’‘ ’ ”’ ’ –®tement et accessoires Ž ’ ”• ” ’‘ ” ’ ”• ” ’ ‡ccessoires te•tiles “ ’ Ž‘ Ž Ž ”Ž ’ Ž Ž‘ ’ ‡utres métiers ’ Ž Ž Canal de distribution principal Parfums ” ’™ ” ”’ ™ •• ” ”’ ” ” šorlogerie ’™ ™ ” ‘— ” ™ ” ‡rts de la †a‹le ”Ž ”’ Ž Ž’ ” Ž ”’ Canal de distribution secondaire ‡utres produits ™ ’ ”’ ’ Total ‘ ˜Ž Ž Œ‘ Œ ”™ ’ ’’™ ™ ‘ ™ ™• ’ ”— Chiffre d’affaires ™—› ™•› ”•› Effectifs ‘ “’‘ “•‘ ‘—’ ’•‘ Ž—” Ž•˜ •—• ’‘˜ ’™• ” ™‘˜ ’’” ”•‘ ™’— ™‘˜ ’Ž• ™‘“ Plan de déploiement ˉ’ ‡ F ‡ F ‡ F F F F F ˉŽ F ‡ F ‡ F ‡ F F F F ˉ™ ˉ” œ¹” C ˉ’ œ¹” D ˉŽ œ¹” E E E E E E ‡ ‡ ‡ ‡ Ÿ Ÿ Ÿ Ÿ ˉ™ œ¹” C ˉ” œ¹’ D ˉ’ œ¹’ E E E E ‡ ‡ ‡ ‡ ˉŽ œ¹’ ˉ™ œ¹’ Ÿ Ÿ ˉ” œ¹Ž D Ÿ Ÿ ˉ’ œ¹Ž E E E E Légende ˆéthodologie E•ˆ ‡ ‡telier des risques Cartographie risques C ‡uto évaluation CI E Procédures gpe F ‡udit interne Ÿ •eporting Sžnth§se D Les différents composants qui constituent le dispositif de gestion et de maîtrise des risques Enchaînement sur l’ensemble du groupe de la mise en place des différents composants 90 BOITE a idees D’OUTILS Plan de déploiement de la démarche sur le groupe. E¢••PE ‡ˆE•Iˉ¢E ‡SIE France Italie †urquie ¢S‡ ˆe•ique Chine –ietnam Métiers Corporate Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) Production (uŠp) Distri‹ution (uŠd) / (uŠf) agagerie ’ “ ”’ Ž • ’ ’‘ ’ ”’ ’ –®tement et accessoires Ž ’ ”• ” ’‘ ” ’ ”• ” ’ ‡ccessoires te•tiles “ ’ Ž‘ Ž Ž ”Ž ’ Ž Ž‘ ’ ‡utres métiers ’ Ž Ž Canal de distribution principal Parfums ” ’™ ” ”’ ™ •• ” ”’ ” ” šorlogerie ’™ ™ ” ‘— ” ™ ” ‡rts de la †a‹le ”Ž ”’ Ž Ž’ ” Ž ”’ Canal de distribution secondaire ‡utres produits ™ ’ ”’ ’ Total ‘ ˜Ž Ž Œ‘ Œ ”™ ’ ’’™ ™ ‘ ™ ™• ’ ”— Chiffre d’affaires ™—› ™•› ”•› Effectifs ‘ “’‘ “•‘ ‘—’ ’•‘ Ž—” Ž•˜ •—• ’‘˜ ’™• ” ™‘˜ ’’” ”•‘ ™’— ™‘˜ ’Ž• ™‘“ Plan de déploiement ˉ’ ‡ F ‡ F ‡ F F F F F ˉŽ F ‡ F ‡ F ‡ F F F F ˉ™ ˉ” œ¹” C ˉ’ œ¹” D ˉŽ œ¹” E E E E E E ‡ ‡ ‡ ‡ Ÿ Ÿ Ÿ Ÿ ˉ™ œ¹” C ˉ” œ¹’ D ˉ’ œ¹’ E E E E ‡ ‡ ‡ ‡ ˉŽ œ¹’ ˉ™ œ¹’ Ÿ Ÿ ˉ” œ¹Ž D Ÿ Ÿ ˉ’ œ¹Ž E E E E Légende ˆéthodologie E•ˆ ‡ ‡telier des risques Cartographie risques C ‡uto évaluation CI E Procédures gpe F ‡udit interne Ÿ •eporting Sžnth§se D Synthèse des activités par zone géographiques/pays/type d’activité/métiers 91 92 ETAPE 3 - FAIRE FONCTIONNER UN DISPOSITIF DE GESTION DES RISQUES EFFICACE • Questionnaire Auto-Evaluation Niveau ENTITE - version en anglais • Questionnaire Auto-Evaluation Niveau Processus Financiers • Cartographie des risques - Activité service • Cartographie des risques - Activité industrielle • Fiche de risque avec plan d’actions associé • Appréciation de l’efﬁ cacité d’un dispositif de maîtrise des risques • Reporting de suivi de l’efﬁ cacité du dispositif de maîtrise des risques 93 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • QUESTIONNAIRE AUTO-EVALUATION NIVEAU ENTITÉ - VERSION EN ANGLAIS World Company Group SA Group Risk Mapping QUESTIONNAIRE Interviewee : Interviewed by : Date of the interview : INTRODUCTION Risk mapping is a process designed to identify and to assess on a regular basis the main risks for the Group, as WCG SA top management perceives them; this process is performed within WCG SA every 2 years. The 2011 risk mapping questionnaire has not been signiﬁ cantly changed compared to the 2009 questionnaire. It fo- cuses on the main risks for the WCG SA Group through consistent rules of risk assessment. Capitalizing on our previous experiences, we concentrate our study on the net/residual risk (after existing internal controls, procedures, processes, etc.) based on two precisely deﬁ ned parameters: - likelihood and - severity. To achieve this goal, rating grids for likelihood and severity have been designed to assist you in assessing the potential impact of each identiﬁ ed risk as shown below. Likelihood The likelihood represents the number of times a risk may occur, within a speciﬁ ed period, either as a consequence of business operations or through failure of operating systems/policies/procedures. Rating Description Expected Occurence 1•are ˆaž onlž occur in e•ceptional circumstances •nce /´ ”— žears 2Possi‹le ˆight occur at some time •nce /´ ”— žears 3¡i-elž ¥ill pro‹a‹lž occur in mostž circumstances ‡ least once /Ž žears 4‡lmost certain E•pected to occur in most circumstances ‡ least once a žears 94 BOITE a idees D’OUTILS Severity Not all risk impacts can be quantiﬁ ed in monetary terms, so both qualitative (Image/Reputation and People) and quantitative (Turnover, Margin/Cash ﬂ ow) ranking factors have been chosen as assessment criteria of risk consequences. A. RISKS THAT YOU IDENTIFY FOR THE WCG SA GROUP 1. Considering the two previous rating grids, and from your point of view, what are the ﬁ ve main risks that you identify for the WCG SA Group? Rating Sales (% on last year turn over) Margin / cash ﬂ ow Image / media People 1ˆinor ¡oss of sales of Ž› ¡oss of margin /CF ” ¬ ”— ˆ‰ œegative local media coverage ¡ocalised disaffection ‹ž a group of empložees 2ˆoderate ¡oss of sales of ”—› ¡oss of margin /CF ”— ¬ ’• ˆ‰ ¢nresolved complaints received from a num‹er of sta-eholders conceming the same su‹¤ect •egional disaffection ‹ž a group of empložees 3ˆa¤or ¡oss of sales of ’•› ¡oss of margin /CFv ’• ¬ ”—— ˆ‰ Short tem negative national media coverage Ÿeneral morale issues impacting performance and turn¬over rate -ež empložees across the Ÿroup leave 4Severe ¡oss of sales more than ’•› ¡oss of margin /CF more than ”—— ˆ‰ ¡ocalised disaffection of sta-eholders ¥idespread dissatisfaction amongs empložees ¢nplanned loss of -ež e•ecutive ¢na‹le to -eep or attract ºgood’ people Main risks What could potentially cause this to happen? Type of sequences* Internal Processes (Yes/No) ** Residual risk (after internal processes)²²² Likelihood © Severity 1 2 3 4 © 1 2 3 4 1. 2. 3. 4. 5. * Choose one or several among: Revenue, Margin/Cash-Flow, Image/Reputation, People. ** Do internal controls, procedures, processes exist to manage this risk? *** Refer to the two rating grids for likelihood and severity. Use an «x». 95 BOITE a idees D’OUTILS • QUESTIONNAIRE AUTO-EVALUATION NIVEAU ENTITÉ (SUITE) 2. What are, from your point of view, the ﬁ ve Country or Business Groups or Units or Business Processes that you consider as being the most exposed to risk? 3. According to you, what are the three topics of utmost importance for the WCG SA Group that should be audited in the coming year: Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Subject Explain why? 1. 2. 3. 4. 5. Topics Explain why? 1. 2. 5. Comments Comments 96 BOITE a idees D’OUTILS B. RISK ANALYSIS PER CATEGORY In the list below, please select and grade from 1 (most important) to 10 (less important) the 10 risks you consider as critical for the WCG SA Group. For each of them, please rate the likelihood and severity of the residual risk (refer to the two rating grids), taking into account existing controls, procedures and processes in place to mitigate it. Risk Category Risk description Main Risks Residual risk ² Frequency © Severity 1 2 3 4 ©1 2 3 4 Governance & Management œon respect of ¥CŸ S‡ procedures © © © © © © © © © © œon¬respected delegations of po…ers © © © © © © © © © © Fraud and conf ict of interest © © © © © © © © © © Dif• culties in the ne… organisation implementation © © © © © © © © © © Post acquisition / merger de• ciencies ris- © © © © © © © © © © Business Ca‹le mar-et slo…¬do…n / ne… competitors © © © © © © © © © © Dependencž on customers © © © © © © © © © © Dependencž on suppliers © © © © © © © © © © Shortage of ra… materials and trading goods © © © © © © © © © © œon¬optimi»ed cross sales (transfer prices, commissions…) © © © © © © © © © © Inconsistent pricing policž © © © © © © © © © © ¢nlimited lia‹ilities in contracts © © © © © © © © © © ‡ccusation of ¢nfair commercial practices © © © © © © © © © © Industrial ¥ea- qualitž of manufactured products and/or services provided © © © © © © © © © © Su‹contracting ris- © © © © © © © © © © Production equipment inadequacies © © © © © © © © © © ¡ac- of protection/development of technological -no…¬ho… © © © © © © © © © © Supplž chain inef• ciencž © © © © © © © © © © •is-s lin- to turn¬-ež pro¤ects © © © © © © © © © © Dependencž on speci• c equipments © © © © © © © © © © Environmental ris- © © © © © © © © © © Finance Insuf• cient hedging of metal and foreign e•change ris-s © © © © © © © © © © ¥ea-nesses in credit management and cash collection © © © © © © © © © © Completeness and accuracž of • nancial data © © © © © © © © © © ¥ea- return on investment (acquisition, investment, restructuring)© © © © © © © © © © ¡o… ••CE (•eturn on capital empložed) © © © © © © © © © © šigh ¥or-ing Capital Stoc- mar-et / Capital mar-ets / Investors ris- © © © © © © © © © © IS / IT ¡ac- in sžstems securitž ¼ ¡ac- in Segregation •f Duties (S•D) © © © © © © © © © © I† Sžstems ‹rea-do…n (Disaster •ecoverž plan) © © © © © © © © © © Inef• ciencž/inadequacies of I† sžstem © © © © © © © © © © HR ¡oss of s-ills and/or motivation of empložees © © © © © © © © © © ¡ac- of training and career management © © © © © © © © © © Stri-es and social unrest © © © © © © © © © © ¥or-ers accidents / Securitž © © © © © © © © © © Others Crisis ris- and lac- of emergencž management ( usiness Continuitž Plan) © © © © © © © © © © †heft and malicious incidents © © © © © © © © © © œatural disaster ris- © © © © © © © © © © Political crisis ris- © © © © © © © © © © usiness Intelligence ris- / reach of con• dentialitž © © © © © © © © © © © © © © © © © © © © © * Refer to the 2 rating grids. Use an x 97 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Immobilisations incorporelles, corporelles et goodwills 4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is tence/ occur rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau A- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE 1.1 Acquisition des immobilisations Engagements d’achats d’immo‹ilisations £ •isques liés ¦ un suivi insuf• sant des engagements d’achats d’immo‹ilisations (a• n notamment d’®tre pris en compte dans le cadre de l’éla‹oration des anne•es au• comptes)Š ¶ ¶ Distinction charges / immo‹ilisations £ •isque lié ¦ une application erronée des crit§res d’identi• cation des immo‹ilisations incorporelles et corporelles, notamment les r§gles de distinction entre les charges (entretien, réparations) et les immo‹ilisatisationsŠ ¶ ¶ ¶ ¶ Distinction charges / immo‹ilisations £ •isque lié ¦ une clasi• cation imprécise des contrats de crédit ‹ail ou de location, générant une erreur de traitement compta‹leŠ ¶ ¶ ¶ ¶ Détermination du co½t d’acquisition £ •isque lié ¦ une erreur d’application des crit§res de compta‹ilisation des immo‹ilisations concernant les éléments constitutifs du co½t d’une immo‹ilisation, ž compris les modalités de détermination et de suivi du co½t de remise en état des sites pour les immo‹ilisations corporellesŠ ¶ ¶ ¶ Détermination du co½t d’acquisition et • scalité £ •isque lié ¦ une erreur d’application du régime de †–‡ applica‹le ¦ l’immo‹ilisation selon son affectation (secteur d’activité soumis ¦ la †–‡, produits hors service universel par e•emple ŠŠŠ)Š ¶ ¶ ¶ ‡utres impacts liés ¦ l’acquisition£ ¡es conditions d’achat ont¬elles généré des engagements hors ‹ilan donnés ou reçus ¾ ¶ Immo‹ilisations incorporelles et good…ills £ ¢n processus d’identi• cation, de compta‹ilisation et de suivi des immo‹ilisations incorporelles et des good…ills est mis en place, en particulier concernant le good…ill et l’allocation du co½t d’acquisition, les marques, ‹revets, fonds de commerce, • chiers clients, autres droits contractuels, etcŠ… ¶ ¶ ¶ 1.2 Mise en production et vie des immobilisations ˆéthode de valorisation et amortissement £ •isque lié ¦ une application erronée des méthodes d’amortissement, notamment le point de départ de l’amortissementŠ Cela comprend les modalités d’application de l’approche par composants et les modalités retenues pour la détermination des valeurs résiduellesŠ ¶ ¶ ¶ ¶ E•istence des immo‹ilisations corporelles £ •isque lié ¦ un rapprochement insuf• sant entre les immo‹ilisations corporelles en compta‹ilité, et l’inventaire phžsiqueŠ ¶ ¶ E•istence des immo‹ilisations corporelles £ •isque lié ¦ une conservation inadéquate des titres de propriété (a minima respect des o‹ligations légales)Š ¶ ¶ E•istence des immo‹ilisations incorporelles £ ¡a protection ¤uridique et informatique des immo‹ilisations incorporelles fait l’o‹¤et d’un suivi régulier et de mesures visant ¦ sécuriser les ressources que la société pourra o‹tenir de ces immo‹ilisations (protection des marques, des noms de domaine,ŠŠŠ) ¶ ¶ 1.3 Fin de vie des immobilisations Fin de vie de l’immo‹ilisation £ ‡pplication des crit§res de classement en immo‹ilisations destinées ¦ ®tre cédéesŠ ¶ ¶ Fin de vie de l’immo‹ilisation £ •isque lié ¦ l’a‹sence de procédure d’autorisation de cession d’immo ou de mise au re‹ut, diffusée au sein du métierŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables •isque lié ¦ un paramétrage incorrect des schémas compta‹lesŠ ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité •isque lié au• incidents dans l’interface entre SI achats et production ¶ ¶ •isque lié au• incidents dans l’interface entre SI de la Production et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¢n rapprochement entre les sžst§mes de gestion et les soldes compta‹les correspondants doit ®tre matérialisé et documentéŠ¶ ¶ ¶ ¶ ¶ •isque lié au suivi insuf• sant des mouvements d’immo‹ilisations en vue de leur compta‹ilisationŠ ¶ ¶ ¡es écarts d’inventaire doivent ®tre analžsésŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS ¡orsque la méthode de la ¤uste valeur est appliquée, les évaluations sont réalisées par des spécialistes ou ¦ partir de données de marchés et sont revues périodiquementŠ ¶ ¶ ¶ ¢ne démarche d’identi• cation d’indices de pertes de valeur est mise en «uvre au moins une fois par an et de façon sžstéma¬ tique ¦ chaque cl±ture pour les actifs incoporels non amortissa‹les, les immo‹ilisations incorporelles en cours et les good…illsŠ ¶ ¶ ¶ 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 98 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is tence/ occur rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau A- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE 1.1 Acquisition des immobilisations Engagements d’achats d’immo‹ilisations £ •isques liés ¦ un suivi insuf• sant des engagements d’achats d’immo‹ilisations (a• n notamment d’®tre pris en compte dans le cadre de l’éla‹oration des anne•es au• comptes)Š ¶ ¶ Distinction charges / immo‹ilisations £•isque lié ¦ une application erronée des crit§res d’identi• cation des immo‹ilisations incorporelles et corporelles, notamment les r§gles de distinction entre les charges (entretien, réparations) et les immo‹ilisatisationsŠ ¶ ¶ ¶ ¶ Distinction charges / immo‹ilisations £•isque lié ¦ une clasi• cation imprécise des contrats de crédit ‹ail ou de location, générant une erreur de traitement compta‹leŠ ¶ ¶ ¶ ¶ Détermination du co½t d’acquisition £•isque lié ¦ une erreur d’application des crit§res de compta‹ilisation des immo‹ilisations concernant les éléments constitutifs du co½t d’une immo‹ilisation, ž compris les modalités de détermination et de suivi du co½t de remise en état des sites pour les immo‹ilisations corporellesŠ ¶ ¶ ¶ Détermination du co½t d’acquisition et • scalité £•isque lié ¦ une erreur d’application du régime de †–‡ applica‹le ¦ l’immo‹ilisation selon son affectation (secteur d’activité soumis ¦ la †–‡, produits hors service universel par e•emple ŠŠŠ)Š ¶ ¶ ¶ ‡utres impacts liés ¦ l’acquisition£ ¡es conditions d’achat ont¬elles généré des engagements hors ‹ilan donnés ou reçus ¾ ¶ Immo‹ilisations incorporelles et good…ills £¢n processus d’identi• cation, de compta‹ilisation et de suivi des immo‹ilisations incorporelles et des good…ills est mis en place, en particulier concernant le good…ill et l’allocation du co½t d’acquisition, les marques, ‹revets, fonds de commerce, • chiers clients, autres droits contractuels, etcŠ… ¶ ¶ ¶ 1.2 Mise en production et vie des immobilisations ˆéthode de valorisation et amortissement £•isque lié ¦ une application erronée des méthodes d’amortissement, notamment le point de départ de l’amortissementŠ Cela comprend les modalités d’application de l’approche par composants et les modalités retenues pour la détermination des valeurs résiduellesŠ ¶ ¶ ¶ ¶ E•istence des immo‹ilisations corporelles £•isque lié ¦ un rapprochement insuf• sant entre les immo‹ilisations corporelles en compta‹ilité, et l’inventaire phžsiqueŠ ¶ ¶ E•istence des immo‹ilisations corporelles £•isque lié ¦ une conservation inadéquate des titres de propriété (a minima respect des o‹ligations légales)Š ¶ ¶ E•istence des immo‹ilisations incorporelles £¡a protection ¤uridique et informatique des immo‹ilisations incorporelles fait l’o‹¤et d’un suivi régulier et de mesures visant ¦ sécuriser les ressources que la société pourra o‹tenir de ces immo‹ilisations (protection des marques, des noms de domaine,ŠŠŠ) ¶ ¶ 1.3 Fin de vie des immobilisations Fin de vie de l’immo‹ilisation £‡pplication des crit§res de classement en immo‹ilisations destinées ¦ ®tre cédéesŠ ¶ ¶ Fin de vie de l’immo‹ilisation £•isque lié ¦ l’a‹sence de procédure d’autorisation de cession d’immo ou de mise au re‹ut, diffusée au sein du métierŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables •isque lié ¦ un paramétrage incorrect des schémas compta‹lesŠ ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité •isque lié au• incidents dans l’interface entre SI achats et production ¶ ¶ •isque lié au• incidents dans l’interface entre SI de la Production et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¢n rapprochement entre les sžst§mes de gestion et les soldes compta‹les correspondants doit ®tre matérialisé et documentéŠ¶ ¶ ¶ ¶ ¶ •isque lié au suivi insuf• sant des mouvements d’immo‹ilisations en vue de leur compta‹ilisationŠ ¶ ¶ ¡es écarts d’inventaire doivent ®tre analžsésŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS ¡orsque la méthode de la ¤uste valeur est appliquée, les évaluations sont réalisées par des spécialistes ou ¦ partir de données de marchés et sont revues périodiquementŠ ¶ ¶ ¶ ¢ne démarche d’identi• cation d’indices de pertes de valeur est mise en «uvre au moins une fois par an et de façon sžstéma¬ tique ¦ chaque cl±ture pour les actifs incoporels non amortissa‹les, les immo‹ilisations incorporelles en cours et les good…illsŠ ¶ ¶ ¶ 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 99 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ‡cquisition et cession £ •isque lié ¦ un suivi insuf• sant des opérations sur titres (acquisitions, cessions, compléments de pri•, garanties d’actifs et de passifs) en vue de leur compta‹ilisationŠ ¶ ¶ ¶ ¶ ‡cquisition et cession £ •isque lié ¦ un défaut d’identi• cation des engagements fermes ou optionnels de toute nature (promesse, call, put …) en vue de leur compta‹ilisation ou inclusion dans l’anne•eŠ ¶ ¶ ¶ ‡cquisition et cession £ •isque lié ¦ un processus d’attri‹ution de pr®ts (notamment pr®ts au• • liales, …) insuf• samment organiséŠ ¶ Détention £ •isque lié ¦ une conservation inadéquate des titres de propriété et des contrats de pr®tsŠ ¶ ¶ Classement £ •isque lié ¦ une décision de classement ažant fait l’o‹¤et d’une autorisation inappropriée £ en IF•S, les r§gles de classement dans les différentes catégories d’actifs • nanciers (I‡S ŽŒ) sont clairement éta‹lies et une procédure permet de s’assurer qu’¦ l’origine de l’opération, la décision de classement fait l’o‹¤et d’une autorisation appropriéeŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l¨interface avec E•PŠ ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés •isque lié ¦ des erreurs d¨évaluation ¦ chaque cl±ture des produits se rattachant au• immo‹ilisations • nanci§resŠ ¶ ¶ •isque lié ¦ un défaut d’appréciation ¦ chaque cl±ture de l’e•istence d’une indication o‹¤ective de dépréciation des immo‹ilisations • nanci§resŠ Détermination des dépréciations ¦ compta‹iliser le cas échéantŠ ¶ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Immobilisations ﬁ nancières 100 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ‡cquisition et cession £ •isque lié ¦ un suivi insuf• sant des opérations sur titres (acquisitions, cessions, compléments de pri•, garanties d’actifs et de passifs) en vue de leur compta‹ilisationŠ ¶ ¶ ¶ ¶ ‡cquisition et cession £•isque lié ¦ un défaut d’identi• cation des engagements fermes ou optionnels de toute nature (promesse, call, put …) en vue de leur compta‹ilisation ou inclusion dans l’anne•eŠ ¶ ¶ ¶ ‡cquisition et cession £•isque lié ¦ un processus d’attri‹ution de pr®ts (notamment pr®ts au• • liales, …) insuf• samment organiséŠ ¶ Détention £•isque lié ¦ une conservation inadéquate des titres de propriété et des contrats de pr®tsŠ ¶ ¶ Classement £•isque lié ¦ une décision de classement ažant fait l’o‹¤et d’une autorisation inappropriée £ en IF•S, les r§gles de classement dans les différentes catégories d’actifs • nanciers (I‡S ŽŒ) sont clairement éta‹lies et une procédure permet de s’assurer qu’¦ l’origine de l’opération, la décision de classement fait l’o‹¤et d’une autorisation appropriéeŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l¨interface avec E•PŠ ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés •isque lié ¦ des erreurs d¨évaluation ¦ chaque cl±ture des produits se rattachant au• immo‹ilisations • nanci§resŠ ¶ ¶ •isque lié ¦ un défaut d’appréciation ¦ chaque cl±ture de l’e•istence d’une indication o‹¤ective de dépréciation des immo‹ilisations • nanci§resŠ Détermination des dépréciations ¦ compta‹iliser le cas échéantŠ ¶ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 101 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Point incontourna‹le environnement interne £ ¡e processus achat est organisé et formalisé dans le cadre de procédures applica‹les par tous les acteurs concernésŠ ¶ Point incontourna‹le environnement interne £ Il e•iste une séparation des fonctions de passation et d’autorisation des commandes, de réception, d’enregistrement compt¬ a‹le et de r§glement des fournisseursŠ ¶ Passation et autorisation des commandes £ •isque lié ¦ un défaut de procédure d’autorisation différenciée selon des seuils prédéterminés de montant total de l’achatŠ ¶ Passation et autorisation des commandes £ •isque lié ¦ un défaut de contr±le des avances sur factures fournisseurs (autorisation, suivi, imputation)Š ¶ ¶ •éception £ •isque lié ¦ un manque de suivi des réceptions refusées / litiges et de la compta‹ilisation des avoirs fournisseurs correspon¬ dant ou des ra‹ais/remises/ristournesŠ ¶ ¶ –alidation des factures £ •isque lié au défaut de rapprochement entre les ‹ons de commande, les ‹ons de réception et les factures (quantité, pri•, conditions de paiement)Š ¡es anomalies éventuelles font l’o‹¤et d’une analžse et d’un suiviŠ ¶ ¶ Enregistrement compta‹le £ •isque lié au défaut d’enregistrement des factures d§s réception, en parall§le de leur circuit de validationŠ ¶ ¶ Enregistrement compta‹le £ •isque lié au régime de †–‡ applica‹le ¦ l’achat du ‹ien ou du service selon son affectation (secteur d’activité soumis ¦ la †–‡, ŠŠŠ)Š ¶ ¶ Enregistrement compta‹le £ •isque lié au défaut d’identi• cation d’Eš généré par les conditions d’achatŠ ¶ Enregistrement compta‹le £ •isque lié au dou‹le enregistrement des factures fournisseursŠ ¶ ¶ Enregistrement compta‹le £ ¡es comptes fournisseurs font l’o‹¤et d’un e•amen et d’une ¤usti• cation périodique (e•haustivité, e•actitude)Š ¶ ¶ •§glement £ •isque lié ¦ l’a‹sence d’un dispositif permettant d’éviter le dou‹le paiement des factures fournisseursŠ ¶ ¶ •§glement £ •isque lié au défaut de contr±les de la gestion des r§glements fournisseurs par une personne indépendante et autoriséeŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés •isque lié ¦ l’a‹sence ou défaut d’une procédure permettant de s’assurer que les produits et les charges ont été enregistrés sur la ‹onne périodeŠ ¶ •isque lié ¦ l’a‹sence ou défaut d’un dispositif permettant d’enregistrer les provisions pour factures non parvenues ou les charges pažées d’avance de mani§re e•haustive et e•acteŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Achats - Fournisseurs et Assimilés 102 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Point incontourna‹le environnement interne £ ¡e processus achat est organisé et formalisé dans le cadre de procédures applica‹les par tous les acteurs concernésŠ ¶ Point incontourna‹le environnement interne £Il e•iste une séparation des fonctions de passation et d’autorisation des commandes, de réception, d’enregistrement compt¬a‹le et de r§glement des fournisseursŠ ¶ Passation et autorisation des commandes £•isque lié ¦ un défaut de procédure d’autorisation différenciée selon des seuils prédéterminés de montant total de l’achatŠ ¶ Passation et autorisation des commandes £•isque lié ¦ un défaut de contr±le des avances sur factures fournisseurs (autorisation, suivi, imputation)Š ¶ ¶ •éception £•isque lié ¦ un manque de suivi des réceptions refusées / litiges et de la compta‹ilisation des avoirs fournisseurs correspon¬dant ou des ra‹ais/remises/ristournesŠ ¶ ¶ –alidation des factures £•isque lié au défaut de rapprochement entre les ‹ons de commande, les ‹ons de réception et les factures (quantité, pri•, conditions de paiement)Š ¡es anomalies éventuelles font l’o‹¤et d’une analžse et d’un suiviŠ ¶ ¶ Enregistrement compta‹le £•isque lié au défaut d’enregistrement des factures d§s réception, en parall§le de leur circuit de validationŠ ¶ ¶ Enregistrement compta‹le £•isque lié au régime de †–‡ applica‹le ¦ l’achat du ‹ien ou du service selon son affectation (secteur d’activité soumis ¦ la †–‡, ŠŠŠ)Š ¶ ¶ Enregistrement compta‹le £•isque lié au défaut d’identi• cation d’Eš généré par les conditions d’achatŠ ¶ Enregistrement compta‹le £•isque lié au dou‹le enregistrement des factures fournisseursŠ ¶ ¶ Enregistrement compta‹le £¡es comptes fournisseurs font l’o‹¤et d’un e•amen et d’une ¤usti• cation périodique (e•haustivité, e•actitude)Š ¶ ¶ •§glement £•isque lié ¦ l’a‹sence d’un dispositif permettant d’éviter le dou‹le paiement des factures fournisseursŠ ¶ ¶ •§glement £•isque lié au défaut de contr±les de la gestion des r§glements fournisseurs par une personne indépendante et autoriséeŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés •isque lié ¦ l’a‹sence ou défaut d’une procédure permettant de s’assurer que les produits et les charges ont été enregistrés sur la ‹onne périodeŠ ¶ •isque lié ¦ l’a‹sence ou défaut d’un dispositif permettant d’enregistrer les provisions pour factures non parvenues ou les charges pažées d’avance de mani§re e•haustive et e•acteŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 103 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Création d’un nouveau produit ¡es r§gles de reconnaissance du chiffre d’affaires sont éta‹lies, revues lors de la mise en marché d’un nouveau produit ou service et connues par les équipes en charge de la facturation ou de l’éta‹lissement du chiffre d’affairesŠ ¶ ¶ ¶ Création d’un nouveau produit ¡a question du régime de †–‡ applica‹le ¦ un nouveau produit selon son affectation (secteur d’activité soumis ¦ la †–‡ (produ¬ its hors service universel par e•emple), secteur d’activité e•onéré de †–‡ (produits relevant du service universel par e•emple) secteur mi•te…)) est posée puis la réponse documentéeŠ ¶ ¶ Création d’un nouveau produit ¡e schéma compta‹le d’enregistrement est prévu et validé par l’autorité compétente ¶ Création d’un nouveau produit ¡es r§gles compta‹les adoptées par le métier éta‹lissent clairement la distinction entre ventes et prestations de service et indiquent si nécessaire les modalités de séparation adoptées pour les contrats ¦ composantes multiplesŠ ¶ Signature d’un nouveau contrat grand compte ¡es nouveau• contrats sont sžstématiquement relus pour détecter la présence éventuelle d’engagements hors ‹ilanŠ ¶ Facturation ¡’ensem‹le des livraisons effectuées ou des services rendus donne lieu ¦ facturation au cours de la période appropriée ¶ Facturation †outes les factures (séquentiellement numérotées) sont enregistrées dans les comptes clients ou directement en chiffre d’affaires, ¶ ¶ Facturation ¡’émission des avoirs est ¤usti• ée, et fait l’o‹¤et d’une procédure d’utilisation différenciée selon des seuils prédéterminésŠ Seuls les avoirs contr±lés sont enregistrés dans les comptesŠ ¶ ¶ Facturation †ous les comptes clients ouverts correspondent ¦ des clients réels, ¶ Facturation ¡e déversement des sžst§mes de facturation dans la compta‹ilité est contr±lé ¦ l’issue de chaque run de facturationŠ ¶ Facturation ¡es soldes de comptes sont périodiquement et correctement ¤usti• ésŠ ¶ Encaissement ¡es fonctions de facturation et de recouvrement sont effectivement séparéesŠ ¶ Encaissement ¡es fonctions de recouvrement et de gestion des comptes clients sont effectivement séparéesŠ ¶ Encaissement ¡es clients douteu• sont correctement identi• és et les risques d’insolva‹ilité compta‹ilisés en conformité avec les r§gles applica‹lesŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés Il e•iste une procédure permettant de s’assurer que les produits et charges ont été enregistrés sur la ‹onne périodeŠ ¶ Il e•iste un dispositif permettant d’enregistrer les factures ¦ émettre ou les produits constatés d’avance de mani§re e•haus¬ tive et e•acteŠ ¶ ¶ Il est procédé ¦ un rapprochement compta/gestion concernant le C‡ facturé de la période et celui compta‹ilisé d’une part, et les soldes clients d’autre partŠ ¶ ¶ ¶ ¶ ¡es provisions pour dépréciation de créances clients sont validées par une instance spéci• que ou sont notamment représen¬ tées les directions • nanci§res, ¤uridiques et commercialesŠ ¶ ¡es provisions pour litiges commerciau• sont validés par une instance spéci• que ou sont notamment représentées les direc¬ tions • nanci§res, ¤uridiques, de la production et commercialesŠ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Produits des activités ordinaires / Clients et assimilés 104 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Création d’un nouveau produit ¡es r§gles de reconnaissance du chiffre d’affaires sont éta‹lies, revues lors de la mise en marché d’un nouveau produit ou service et connues par les équipes en charge de la facturation ou de l’éta‹lissement du chiffre d’affairesŠ ¶ ¶ ¶ Création d’un nouveau produit¡a question du régime de †–‡ applica‹le ¦ un nouveau produit selon son affectation (secteur d’activité soumis ¦ la †–‡ (produ¬its hors service universel par e•emple), secteur d’activité e•onéré de †–‡ (produits relevant du service universel par e•emple) secteur mi•te…)) est posée puis la réponse documentéeŠ ¶ ¶ Création d’un nouveau produit¡e schéma compta‹le d’enregistrement est prévu et validé par l’autorité compétente ¶ Création d’un nouveau produit¡es r§gles compta‹les adoptées par le métier éta‹lissent clairement la distinction entre ventes et prestations de service et indiquent si nécessaire les modalités de séparation adoptées pour les contrats ¦ composantes multiplesŠ ¶ Signature d’un nouveau contrat grand compte¡es nouveau• contrats sont sžstématiquement relus pour détecter la présence éventuelle d’engagements hors ‹ilanŠ ¶ Facturation¡’ensem‹le des livraisons effectuées ou des services rendus donne lieu ¦ facturation au cours de la période appropriée ¶ Facturation†outes les factures (séquentiellement numérotées) sont enregistrées dans les comptes clients ou directement en chiffre d’affaires, ¶ ¶ Facturation¡’émission des avoirs est ¤usti• ée, et fait l’o‹¤et d’une procédure d’utilisation différenciée selon des seuils prédéterminésŠ Seuls les avoirs contr±lés sont enregistrés dans les comptesŠ ¶ ¶ Facturation†ous les comptes clients ouverts correspondent ¦ des clients réels, ¶ Facturation¡e déversement des sžst§mes de facturation dans la compta‹ilité est contr±lé ¦ l’issue de chaque run de facturationŠ ¶ Facturation¡es soldes de comptes sont périodiquement et correctement ¤usti• ésŠ ¶ Encaissement¡es fonctions de facturation et de recouvrement sont effectivement séparéesŠ ¶ Encaissement¡es fonctions de recouvrement et de gestion des comptes clients sont effectivement séparéesŠ ¶ Encaissement¡es clients douteu• sont correctement identi• és et les risques d’insolva‹ilité compta‹ilisés en conformité avec les r§gles applica‹lesŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés Il e•iste une procédure permettant de s’assurer que les produits et charges ont été enregistrés sur la ‹onne périodeŠ ¶ Il e•iste un dispositif permettant d’enregistrer les factures ¦ émettre ou les produits constatés d’avance de mani§re e•haus¬tive et e•acteŠ ¶ ¶ Il est procédé ¦ un rapprochement compta/gestion concernant le C‡ facturé de la période et celui compta‹ilisé d’une part, et les soldes clients d’autre partŠ ¶ ¶ ¶ ¶ ¡es provisions pour dépréciation de créances clients sont validées par une instance spéci• que ou sont notamment représen¬tées les directions • nanci§res, ¤uridiques et commercialesŠ ¶ ¡es provisions pour litiges commerciau• sont validés par une instance spéci• que ou sont notamment représentées les direc¬tions • nanci§res, ¤uridiques, de la production et commercialesŠ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 105 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ¡es • nancements et la trésorerie font l’o‹¤et de processus organisés (procédure, délégation, etcŠŠŠ) et de crit§res formalisésŠ ¶ Souscription de • nancements ¡es emprunts souscrits sont accompagnés d’une documentation adéquateŠ ¶ Souscription de • nancements ¡es garanties reçues ou données sur pr®ts et emprunts sont clairement identi• ées et compta‹ilisées et/ou incluses dans les anne•es au• comptesŠ ¶ Ÿestion des emprunts ¡es comptes d’emprunts sont réguli§rement rapprochés avec les données contractuelles, les ta‹leau• d’amortissements et les données reçues des éta‹lissements • nanciersŠ ¶ ¶ ¶ Ÿestion des emprunts ¡es ta‹leau• d’amortissement calculés selon la méthode du co½t amorti (au tau• d’intér®t effectif) sont éta‹lis au démarrage de l’empruntŠ ¶ •pérations de trésorerie ¡es encours de trésorerie et d’équivalent de trésorerie pour lesquels e•istent des restrictions d’emploi sur ”’ mois ou plus sont identi• és et font l’o‹¤et d’un traitement compta‹le spéci• queŠ ¶ •pérations de trésorerie ¡es opérations de trésorerie sont compta‹ilisées quotidiennementŠ ¶ ¶ •pérations de trésorerie ¡es comptes de ‹anque font l’o‹¤et de rapprochements réguliers avec les données reçues des ‹anques et sont revus péri¬ odiquement selon des modalités qui respectent le principe de séparation des fonctionsŠ ¡e rapprochement est matérialisé et permet d’e•pliquer les écarts éventuelsŠ ¶ ¶ ¶ •pérations de trésorerie ¡es encours de caisses sont rapprochés des soldes correspondants issus des sžst§mes de gestion selon une périodicité dépendant de l’importance des f u• échangés ¶ ¶ ¶ •pérations de trésorerie ¡’autorisation des dépenses, l’émission du paiement et la compta‹ilisation sont effectuées par des personnes distinctesŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¡es charges et produits • nanciers calculés selon la méthode du tau• d’intér®t effectif sont correctement évalués et compta¬ ‹ilisésŠ ¶ ¡a trésorerie et les emprunts en devises sont correctement évaluésŠ ¶ ¡es instruments dérivés de tau• d’intér®t ou de change sont correctement évaluésŠ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Trésorerie / Financement et instruments ﬁ nanciers 106 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ¡es • nancements et la trésorerie font l’o‹¤et de processus organisés (procédure, délégation, etcŠŠŠ) et de crit§res formalisésŠ ¶ Souscription de • nancements ¡es emprunts souscrits sont accompagnés d’une documentation adéquateŠ ¶ Souscription de • nancements¡es garanties reçues ou données sur pr®ts et emprunts sont clairement identi• ées et compta‹ilisées et/ou incluses dans les anne•es au• comptesŠ ¶ Ÿestion des emprunts¡es comptes d’emprunts sont réguli§rement rapprochés avec les données contractuelles, les ta‹leau• d’amortissements et les données reçues des éta‹lissements • nanciersŠ ¶ ¶ ¶ Ÿestion des emprunts¡es ta‹leau• d’amortissement calculés selon la méthode du co½t amorti (au tau• d’intér®t effectif) sont éta‹lis au démarrage de l’empruntŠ ¶ •pérations de trésorerie¡es encours de trésorerie et d’équivalent de trésorerie pour lesquels e•istent des restrictions d’emploi sur ”’ mois ou plus sont identi• és et font l’o‹¤et d’un traitement compta‹le spéci• queŠ ¶ •pérations de trésorerie¡es opérations de trésorerie sont compta‹ilisées quotidiennementŠ ¶ ¶ •pérations de trésorerie¡es comptes de ‹anque font l’o‹¤et de rapprochements réguliers avec les données reçues des ‹anques et sont revus péri¬odiquement selon des modalités qui respectent le principe de séparation des fonctionsŠ ¡e rapprochement est matérialisé et permet d’e•pliquer les écarts éventuelsŠ ¶ ¶ ¶ •pérations de trésorerie¡es encours de caisses sont rapprochés des soldes correspondants issus des sžst§mes de gestion selon une périodicité dépendant de l’importance des f u• échangés ¶ ¶ ¶ •pérations de trésorerie¡’autorisation des dépenses, l’émission du paiement et la compta‹ilisation sont effectuées par des personnes distinctesŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¡es charges et produits • nanciers calculés selon la méthode du tau• d’intér®t effectif sont correctement évalués et compta¬‹ilisésŠ ¶ ¡a trésorerie et les emprunts en devises sont correctement évaluésŠ ¶ ¡es instruments dérivés de tau• d’intér®t ou de change sont correctement évaluésŠ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 107 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Avantages accordés au personnel Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLEw ¡es activités de ¿PaieÀ font l’o‹¤et de procédures connues et adaptées au• choi• d’organisation retenus (traitements en interne ou e•ternalisés)Š ¶ Il e•iste une séparation des fonctions de calcul, d’enregistrement, de contr±le, de paiement et de transmission des feuilles de paieŠ ¶ Ÿestion administrative du personnel Il e•iste un circuit d’entrée pour les personnes recrutées dans les premiers ¤ours de leur arrivée dans l’entreprise ou le service ¶ Ÿestion administrative du personnel Il e•iste un circuit de sortie pour les personnes quittant l’entreprise ou le service ¶ ¶ Ÿestion administrative du personnel ¡es éléments de rémunérations initiau•, les soldes de tout compte et les éléments varia‹les de la paie font l’o‹¤et d’un circuit d’autorisation aupr§s des personnes idoines permettant de garantir la réalité des éléments dusŠ ¶ ¶ Ÿestion administrative du personnel Il e•iste un dispositif permettant d’assurer la transmission e•hautive, e•acte, et en temps utile des éléments validés nécessaires au calcul de la paie (temps passé, heures supplémentaires, augmentations, primes, entrées et sorties de personnel …)Š ¶ ¶ Ÿestion administrative du personnel Il e•iste un processus visant ¦ assurer la clarté des informations relatives au• avantages accordés au personnel, notamment pour les avantages postérieurs ¦ l’emploi faisant l’o‹¤et de calculs actuariels comple•es, ainsi que pour les avantages en nature ou autres avantages pouvant faire l’o‹¤et d’évaluationsŠ ¶ ¶ ¶ Edition de la paie ¡e calcul de la paie est contr±lé par une personne d’un niveau de responsa‹ilité approprié ¶ ¶ Paiment de la paie ¡’e•actitude du virement des salaires fait l’o‹¤et de contr±lesŠ ¶ ¶ Compta‹ilisation et suivie de la paie ¡es écritures de paie sont contr±lées par une personne d’un niveau de responsa‹ilité appropriéŠ ¶ Compta‹ilisation et suivie de la paie Il est procédé ¦ un rapprochement compta/gestion concernant la paie éditée de la période et celle compta‹iliséeŠ ¶ ¶ ¶ ¶ Compta‹ilisation et suivie de la paie ¡es r§gles compta‹les appliquées par la société précisent le traitement compta‹le des actions et options attri‹uées au• dirige¬ ants et au• salariésŠ ¶ Compta‹ilisation et suivie de la paie ¡es comptes de personnel et charges sociales font l’o‹¤et d’un e•amen et d’une ¤usti• cation périodiqueŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés Il e•iste un dispositif de recensement, d’évlaution et de contr±le du ‹on enregistrement compta‹le £ ¬ des provisions pour congés pažés, ¬ des engagements en mati§re de plan épargne entreprise, ¬ des engagements ¦ long terme au ‹éné• ce du personnel, ¬ des engagements en mati§re de retraite et autres avantages postérieurs ¦ l’emploiŠ ¡a société se fait assister, si nécessaire, d’actuaires pour évaluer ses engagements de retraite et autres avantages accordés au• salariésŠ ¶ ¶ ¡a société se fait assister, si nécessaire, d’actuaires pour évaluer ses engagements de retraite et autres avantages accordés au• salariésŠ ¶ ¶ ¶ ¡es provisions pour litiges sont validées par une instance spéci• que ou sont notamment représentées les directions • nan¬ ci§res, ¤uridiques et ressources humainesŠ ¶ Il est procédé ¦ un rapprochement compta/gestion concernant la paie due au titre de la la période et celle compta‹ilisé d’une part, et les soldes salariés d’autre part, ¶ ¶ ¶ ¶ ¡es créances/dettes envers les salariés sont analžsés et éventuellement provisionnéesŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 108 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLEw ¡es activités de ¿PaieÀ font l’o‹¤et de procédures connues et adaptées au• choi• d’organisation retenus (traitements en interne ou e•ternalisés)Š ¶ Il e•iste une séparation des fonctions de calcul, d’enregistrement, de contr±le, de paiement et de transmission des feuilles de paieŠ ¶ Ÿestion administrative du personnel Il e•iste un circuit d’entrée pour les personnes recrutées dans les premiers ¤ours de leur arrivée dans l’entreprise ou le service ¶ Ÿestion administrative du personnel Il e•iste un circuit de sortie pour les personnes quittant l’entreprise ou le service ¶ ¶ Ÿestion administrative du personnel ¡es éléments de rémunérations initiau•, les soldes de tout compte et les éléments varia‹les de la paie font l’o‹¤et d’un circuit d’autorisation aupr§s des personnes idoines permettant de garantir la réalité des éléments dusŠ ¶ ¶ Ÿestion administrative du personnel Il e•iste un dispositif permettant d’assurer la transmission e•hautive, e•acte, et en temps utile des éléments validés nécessaires au calcul de la paie (temps passé, heures supplémentaires, augmentations, primes, entrées et sorties de personnel …)Š ¶ ¶ Ÿestion administrative du personnel Il e•iste un processus visant ¦ assurer la clarté des informations relatives au• avantages accordés au personnel, notamment pour les avantages postérieurs ¦ l’emploi faisant l’o‹¤et de calculs actuariels comple•es, ainsi que pour les avantages en nature ou autres avantages pouvant faire l’o‹¤et d’évaluationsŠ ¶ ¶ ¶ Edition de la paie¡e calcul de la paie est contr±lé par une personne d’un niveau de responsa‹ilité approprié ¶ ¶ Paiment de la paie¡’e•actitude du virement des salaires fait l’o‹¤et de contr±lesŠ ¶ ¶ Compta‹ilisation et suivie de la paie¡es écritures de paie sont contr±lées par une personne d’un niveau de responsa‹ilité appropriéŠ ¶ Compta‹ilisation et suivie de la paieIl est procédé ¦ un rapprochement compta/gestion concernant la paie éditée de la période et celle compta‹iliséeŠ ¶ ¶ ¶ ¶ Compta‹ilisation et suivie de la paie¡es r§gles compta‹les appliquées par la société précisent le traitement compta‹le des actions et options attri‹uées au• dirige¬ants et au• salariésŠ ¶ Compta‹ilisation et suivie de la paie¡es comptes de personnel et charges sociales font l’o‹¤et d’un e•amen et d’une ¤usti• cation périodiqueŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables Paramétrage des schémas compta‹les erronés ¶ 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité Incident dans l’interface des SI amontŠ ¶ ¶ Incident dans l’interface entre SI amont et E•P ¶ ¶ 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés Il e•iste un dispositif de recensement, d’évlaution et de contr±le du ‹on enregistrement compta‹le £ ¬ des provisions pour congés pažés, ¬ des engagements en mati§re de plan épargne entreprise, ¬ des engagements ¦ long terme au ‹éné• ce du personnel, ¬ des engagements en mati§re de retraite et autres avantages postérieurs ¦ l’emploiŠ ¡a société se fait assister, si nécessaire, d’actuaires pour évaluer ses engagements de retraite et autres avantages accordés au• salariésŠ ¶ ¶ ¡a société se fait assister, si nécessaire, d’actuaires pour évaluer ses engagements de retraite et autres avantages accordés au• salariésŠ ¶ ¶ ¶ ¡es provisions pour litiges sont validées par une instance spéci• que ou sont notamment représentées les directions • nan¬ ci§res, ¤uridiques et ressources humainesŠ ¶ Il est procédé ¦ un rapprochement compta/gestion concernant la paie due au titre de la la période et celle compta‹ilisé d’une part, et les soldes salariés d’autre part, ¶ ¶ ¶ ¶ ¡es créances/dettes envers les salariés sont analžsés et éventuellement provisionnéesŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 109 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Il e•iste un processus de veille relatif au• o‹ligations découlant des lois, réglementations et instructions • scalesŠ ¶ ¡es opérations de l’e•ercice en cours, contrats, conventions, structure de pri• de transfert, etcŠ, sont analžsées périodiquement sous un angle • scalŠ ¶ ¶ Il e•iste un processus visant ¦ ce que le traitement, la préparation et le dép±t des documents • scau•, ainsi que le paiement des imp±ts et ta•es soient effectués de façon correcte et en temps vouluŠ ¶ Il e•iste un processus de conservation des informations nécessaires ¦ l’enregistrement des imp±ts et ta•es et des év§nements économiques en mati§re de • scalité, notamment pour la validation du tau• d’imp±t effectif et la détermi¬ nation des imp±ts différésŠ ¶ ¶ ¶ Il e•iste un dispositif de suivi compta‹le de la position • scale différéeŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¢ne réconciliation entre la charge d’imp±t totale compta‹ilisée dans le compte de résultat consolidé et la charge d’imp±t théorique (preuve d’imp±t) est éta‹lie ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Impôts, taxes et assimilés 110 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE Il e•iste un processus de veille relatif au• o‹ligations découlant des lois, réglementations et instructions • scalesŠ ¶ ¡es opérations de l’e•ercice en cours, contrats, conventions, structure de pri• de transfert, etcŠ, sont analžsées périodiquement sous un angle • scalŠ ¶ ¶ Il e•iste un processus visant ¦ ce que le traitement, la préparation et le dép±t des documents • scau•, ainsi que le paiement des imp±ts et ta•es soient effectués de façon correcte et en temps vouluŠ ¶ Il e•iste un processus de conservation des informations nécessaires ¦ l’enregistrement des imp±ts et ta•es et des év§nements économiques en mati§re de • scalité, notamment pour la validation du tau• d’imp±t effectif et la détermi¬ nation des imp±ts différésŠ ¶ ¶ ¶ Il e•iste un dispositif de suivi compta‹le de la position • scale différéeŠ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¢ne réconciliation entre la charge d’imp±t totale compta‹ilisée dans le compte de résultat consolidé et la charge d’imp±t théorique (preuve d’imp±t) est éta‹lie ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 111 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ¡es engagements sont identi• és selon un processus organisé et selon des crit§res éta‹lisŠ ¶ ¶ ¶ ¢ne dé• nition claire des engagements est éta‹lie par la société et communiquée au• services concernésŠ ¶ ¡es engagements sont identi• és réguli§rement et donnent lieu ¦ un reporting centraliséŠ ¶ ¶ ¶ ¡a société s’assure de l’autorisation des engagements donnés, reçus et réciproquesŠ ¶ Il e•iste un processus visant ¦ ce que la société donne en anne•e de ses comptes une information sur ses engage¬ ments conformément au• principes compta‹les applica‹lesŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¡a société fait un point périodique sur ses engagements et ses risques et détermine en coordination avec ses e•perts et conseils s’ils doivent faire l’o‹¤et de provisions ou d’une information en anne•eŠ Elle compta‹ilise une provision d§s lors qu’il e•iste une o‹ligation ¤uridique ou implicite, résultant d’év§nements passés, et qu’il est pro‹a‹le que cette o‹ligation provoquera une sortie de fonds au ‹éné• ce de tiers, sans contre¬ partie au moins équivalente attendue de ceu•¬ci et lorsqu’une estimation • a‹le du montant peut ®tre faiteŠ ¶ ¶ ¶ Elle analžse les dotations et reprises sur provisions (en distinguant la part consommée) a• n d’apprécier la • a‹ilité du recensement et de l’analžse des risquesŠ ¶ ¶ Elle passe en revue et évalue les charges et risques liés en particulier £ au• ventes (remises, réductions sur vente, ‹ons, cadeau•, garanties, etcŠ), au• impératifs de remise en conformité, de remise en état de sites, de dépollu¬ tion et o‹ligations assimilées au• restructurations (indemnités, déménagements, etcŠ), au• pertes sur contrats et marchés ou sur instruments • nanciersŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) • QUESTIONNAIRE AUTO-EVALUATION NIVEAU PROCESSUS FINANCIERS Processus Provisions et engagements 112 BOITE a idees D’OUTILS Description synthétique des dispositifs de CI mis en œuvre (Renvoi aux procédures en vigueur). Mode de formalisation des points de contrôle. IDENTIFICATION DES RISQUES œature de l’impact sur les états • nanciers –ulné ra‹ilité ¦ la fraude Acteurs processus amont Contrôle ﬁ nancier Acteurs processus comptables Appréciation du dispositif de couverture des risques, et plans d’actions éventuels à engager Zones de risques identiﬁ ées Achats Production DFI locale DFI Siège métier E•haus¬ tivité E•acti¬ tude E•is¬ tence/ occur¬ rence Cut¬off/ appar tenan ce –alo¬ risa¬ tion Confor mité (PC¹ régle men tation) Dispositifs de contr±le mis en «uvre pour couvrir le risque Contr±les compta‹les de production •évision compta‹le de ”er niveau •évision compta‹le de ’§me niveau 1- MAITRISE DES PROCESSUS AMONT ET DE PRODUCTION COMPTABLE ¡es engagements sont identi• és selon un processus organisé et selon des crit§res éta‹lisŠ ¶ ¶ ¶ ¢ne dé• nition claire des engagements est éta‹lie par la société et communiquée au• services concernésŠ ¶ ¡es engagements sont identi• és réguli§rement et donnent lieu ¦ un reporting centraliséŠ ¶ ¶ ¶ ¡a société s’assure de l’autorisation des engagements donnés, reçus et réciproquesŠ ¶ Il e•iste un processus visant ¦ ce que la société donne en anne•e de ses comptes une information sur ses engage¬ ments conformément au• principes compta‹les applica‹lesŠ ¶ ¶ 2- TRAITEMENT DES OPERATIONS DANS LES SYSTEMES D’INFORMATION 2.1 Paramétrage des schémas comptables 2.2 Déversement des données d’un SI à un autre jusqu’à la comptabilité 3- MAITRISE DES PROCESSUS D’ARRETE DES COMPTES 3.1 Travaux d’arrêtés ¡a société fait un point périodique sur ses engagements et ses risques et détermine en coordination avec ses e•perts et conseils s’ils doivent faire l’o‹¤et de provisions ou d’une information en anne•eŠ Elle compta‹ilise une provision d§s lors qu’il e•iste une o‹ligation ¤uridique ou implicite, résultant d’év§nements passés, et qu’il est pro‹a‹le que cette o‹ligation provoquera une sortie de fonds au ‹éné• ce de tiers, sans contre¬ partie au moins équivalente attendue de ceu•¬ci et lorsqu’une estimation • a‹le du montant peut ®tre faiteŠ ¶ ¶ ¶ Elle analžse les dotations et reprises sur provisions (en distinguant la part consommée) a• n d’apprécier la • a‹ilité du recensement et de l’analžse des risquesŠ ¶ ¶ Elle passe en revue et évalue les charges et risques liés en particulier £ au• ventes (remises, réductions sur vente, ‹ons, cadeau•, garanties, etcŠ), au• impératifs de remise en conformité, de remise en état de sites, de dépollu¬ tion et o‹ligations assimilées au• restructurations (indemnités, déménagements, etcŠ), au• pertes sur contrats et marchés ou sur instruments • nanciersŠ ¶ ¶ 3.2 Elaboration de la liasse de consolidation selon les normes IFRS 4- AUTRES RISQUES 4.1 Autres risques liés aux outils Description et risques liés 4.2 Autres risques liés aux acteurs Description et risques liés … 5- PROJETS OU EVOLUTIONS PREVUS OU EN COURS 5.1 Projets / évolutions propres à la ﬁ lière Description et risques liés (outils, acteurs, organisation …) 5.2 Projets / évolutions propres aux services amonts Description et risques liés (outils, acteurs, organisation …) 5.3 Projets / évolutions imposés par l’environnement externe de l’entreprise (évolution réglementaire par exemple) Description et risques liés (outils, acteurs, organisation …) 113 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • CARTOGRAPHIE DES RISQUES - ACTIVITÉ SERVICE légende : mineur modéré majeur critique niveau de risque risque brut risque net Probabilité Impact improbable +/- faible très probableprobablepossible +/- élevé très élevé très faible 14 18 17 15 1 3 9 4 12 11 10 7 8 2 13 16 6 5 10 1 5 11 12 13 15 17 9 14 1 1 net brut rep graph I* P* I* P* n° intitulé 1 2 1,5 2,25 1,75 1 2 3,5 1,5 2 3 1,5 1,5 3 4 1,5 2,5 4 5 3,125 1,625 3,25 1,5 5 6 3 1,75 6 7 1,25 3,5 7 8 3 1,5 8 9 1,25 2,625 1,25 2,5 9 10 1,5 3,25 1,5 3,5 10 11 1,5 3,25 1,5 3,25 11 12 2,25 2,1 2 2,5 12 13 3,25 2 3,5 1,75 13 14 2,25 1 2,5 0,5 14 15 2,125 1,375 2,25 1,5 15 16 3,5 2 16 17 2,25 1,25 2,5 1,5 17 18 2,5 1,25 18 114 BOITE a idees D’OUTILS 245 1Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace • CARTOGRAPHIE DES RISQUES - ACTIVITÉ INDUSTRIELLE 80 60 40 20 8 6 4 2 1.1 Employees security 1.2 Competencies management 1.3 Employees safety 1.4 Recruitment & Retention 1.5 Accidents 1.6 Industrial relations disputes 2.1 Foreign Exchange 2.2 Country risk 2.3 Bonds 2.4 Tax 2.5 Fraud 2.6 Inventory 3.1 IS&T Service Delivery 4.1* Compliance 4.2Environmental 4.3 Public ecological and societal acceptance 5.0 Footprint 5.1 Tendering 5.2 Contracts terms and conditions 5.3 Partnering 5.4 Contracts execution 5.5 Sourcing 5.6 Technology & Products performance 5.7 Logistics 5.8 Business Interruption 6.1 Intellectual property 6.2 Technolo transfer 6.3 Competition New entrants and Market position 6.4 Mergers and Acquisitions 6.5 Price of raw material 6.6 Market size 1 10 100 0% 10% 20% 30% 40% 50% Financial Impact (M EUR) Likelihood People Finance Core Business Compliance MarketInformation 115 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • FICHE DE RISQUE AVEC PLAN D’ACTIONS ASSOCIÉ 0 - Position du risque dans le modèle risque Risques liés à l’environnement externe Stratégie et Pilotage Risques Opérationnels 1 - Description et évaluation du risque Référent du risque Libellé du Risque Objectif du Référentiel d’Objectifs Description du risque, de ses causes, de ses conséquences ª politique sectorielle de gestion de risque éventuellement associée Causes ¶: - - - - Conséquences¶: - - - Evaluation du risque, impacts actuel selon grille d’évaluation ” ¦ • Financier Environnement •églementaire Image Stratégie Satisfaction client šumain (social, santé) Evolution du risque ’——˜ ’——Œ ’—”— ’—”” ’—”’ ’—”Ž Impact glo‹al (l) Pro‹a‹ilité d’occurence (P) œiveau de maÁtrise (ˆ) Criticité du risque (l•P•ˆ) — — — — — — †endance ²²²    Impact ﬁ nancier £ estimation en ˆ‰ (si dé¤¦ calculée ou chiffra‹le) Impact sur chiffre d’affaires Impact sur ‹ilan Hypothèses et méthodes de calcul de l’estimation en ˆ‰ de l’impact • nancier116 BOITE a idees D’OUTILS *** Commentaires sur l’évolution du risque, passée et ¦ venir 2 - Plan d’action de maîtrise du risque Actions¶: R pour •éalisé, E pour Encours, P pour Prévu Planning d’avancement Plan d’actions de maÁtrise du risque ’——˜2009’—”— ’—”” ’—”’ ’—”• Face aux différentes composantes identiﬁ ées du risque, les actions de maîtrise sont : Action 1¶: - R¶: - E¶: - P¶:       Action 2¶: - R¶: - E¶: - P¶:       Action 3¶: - R¶: - E¶: - P¶:       - - -       Stratégie de management du risque résiduel pour l’avenir (traiter, transférer, couvrir, accepter) et actions à engager Date de création de la • che Date de clôture de la • che de risque Raison de la clôture (disparition, atténuation, …, du risque) Macro Processus Fonction ‡ccessi‹ilité Fiche semestrielle Fiche d’alerte temps réel Rédacteur (nom, visa) Référent du risque (visa et date) 117 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • APPRÉCIATION DE L’EFFICACITÉ D’UN DISPOSITIF DE MAÎTRISE DES RISQUES Cet outil est de type questionnaire (90 questions), il permet d’apprécier l’efﬁ cacité des pratiques qui constituent le dispositif en place en donnant une note (échelle 1 à 4) pour chacune des questions visant l’efﬁ cacité des fonctions (partie 1), des modalités d’exécution (partie 2), du contrôle interne (partie 3) et de la communication ﬁ nancière (partie 4). Partie 1¶: Questions générales sur les fonctions & sur leurs rôles dans la maîtrise des risques Le comité de direction inscrit-il à l’ordre du jour et dispose-t-il de sufﬁ samment de temps pour analyser les reporting des risques, de leurs maitrises et des rapports de l’audit interne ? ¶ ™ Les dispositifs de management des risques et de contrôle interne sont-ils en ligne avec les objectifs stratégiques et opérationnels de l’entreprise ainsi que ses principes généraux? ¶ Ž L’indépendance du management des risques, du contrôle interne et de l’audit interne permet-elle de sufﬁ samment garantir que le comité de direction sera informé des risques majeurs et de leur maîtrise? ¶ ¶ Ž Les recommandations d’audit sont-elles mises en œuvre, déployées et clairement communiquées? ¶ ¶ ’ Le comité de direction est-il correctement informé des risques majeurs à chaque niveau de management concerné ? ¶ ¶ Ž Le plan d’audit interne intègre-t-il les risques majeurs ou les processus critiques dans son scope? ¶ ¶ Ž Le management des risques, le contrôle interne et l’audit interne partagent-ils les informations sur les risques majeurs identiﬁ és, les principaux processus critiques et les plans de traitement adossés? ¶ ¶ ¶ Ž Les informations utiles sont-elles correctement intégrées dans le rapport annuel ? ¶ ¶ ™ Management des risques L’organisation dispose-t-elle d’un véritable dispositif de management des risques ? ¶ ¶ ™ L’organisation dispose-t-elle d’une stratégie? Qui est en charge de cette dernière? ¶ ¶ Ž L’organisation a-t-elle choisi un référentiel de management des risques? (AMF, Coso2, ISO31000, FERMA…) ¶ ¶ ¶ Ž L’organisation a-t-elle déﬁ ni un niveau de tolérance, un appétit au risque et un proﬁ l de risque? ¶ ¶ ¶ ’ Existe-t-il un schéma clair de communication de la stratégie et des limites de prise de risquesacceptable par l’organisation? ¶ ¶ ’ L’organisation a-t-elle déﬁ ni des objectifs stratégiques, quantiﬁ ables et mesurables, en lien avec le proﬁ l des risques ? ¶ ¶ Ž Ces objectifs stratégiques sont-ils diffusés dans toute l’organisation? ¶ ¶ ¶ ’ La prise de risques Le dirigeant donne-t-il l’exemple en prenant des risques maîtrisés et en diffusant une culture appropriée du risque? ¶ ¶ Ž Les limites des risques jugées acceptables ou non par l’organisation sont-elles déﬁ nies par les dirigeants, validées par le conseil d’administration, diffusées et comprises auprès des personnes concernées? ¶ ¶ ¶ ’ Les responsabilités en matière de prises de risques sont-elles déﬁ nies et communiquées aux personnes concernées?¶ ¶ Ž La désignation d’un propriétaire de risque est-elle en accord avec la délégation de pouvoir en place? ¶ ¶ ™ L’obtention de primes est-elle corrélée avec les éléments précédents? ¶ ” Le risk manager Est-ce qu’une véritable fonction de risk manager existe dans l’organisation ?¶ ¶ Ž Le risk manager en poste, dispose-t-il/elle des qualités pédagogiques, techniques et managériales sufﬁ santes pour exercer correctement sa fonction? ¶ ¶ Ž Le risk manager en poste, dispose-t-il/elle des moyens humains, ﬁ nanciers et techniques sufﬁ sants pour exercer correctement sa fonction? ¶ ¶ ’ Le risk manager en poste dispose-t-il/elle de l’autorité sufﬁ sante pour exercer correctement sa fonction?¶ ¶ ™ THEMES SUR LESQUELS PORTE L’APPRECIATION DE L’EFFICACITE ˉuestions pour ‡dministrateur ˉuestions pour DirŠ Ÿénérale ˉuestions pour •is- ˆanager œote Commentaires 118 BOITE a idees D’OUTILS Partie 1¶: Questions générales sur les fonctions & sur les rôles dans la maîtrise des risques Contrôle Interne Existe-t-il une revue régulière de l’efﬁ cacité du dispositif de contrôle interne ? ¶ ¶ ™ Des zones critiques ont-elles été identiﬁ ées? Le comité de direction dispose-t-il d’une information adéquate sur les processus critiques? ¶ ¶ ™ Qui pilote le dispositif de contrôle interne? Existe-t-il une procédure d’analyse de l’adéquation des contrôles clés (ﬁ nanciers ou opérationnels) avec les projets et les activités? ¶ ¶ Ž Existe-t-il/elle un(e) responsable du contrôle interne et à qui reporte-t-il/elle? ¶ Ž La culture de l’organisation, la charte éthique, les procédures RH et notamment la méthode d’évaluation des compétences soutiennent-elles les objectifs de développement? ¶ Ž L’autorité, les moyens et les compétences contenus dans les délégations de pouvoirs sont-ils clairement déﬁ nis? Permettent-elles que les décisions soient prises par les bonnes personnes? ¶ ’ Existe-t-il une procédure de dénonciation des méthodes frauduleuses ou inappropriées ? ¶ ” Un programme de formation pertinent est-il dédié au contrôle interne? Les bons stagiaires sont-ils concernés par cette formation? ¶ Ž Audit Interne L’organisation dispose-t-elle d’une fonction d’audit interne indépendante ? A qui reporte-t-elle? ¶ ¶ ™ Le directeur de l’audit interneest-il rattaché au bon niveau de l’organisation ? X 3 L’audit interne peut-il aller dans tous les secteurs, toutes les ﬁ liales, sur tous les sujets de l’organisation?X X 3 Existe-t-il une communication pertinente auprès du comité de direction ? Le directeur de l’audit interne dispose-t-il d’un accès direct et facile à ce comité? ¶ ’ Comment le plan d’audit interne est-il construit ? Les éléments du management des risques sont-ils clairement identiﬁ és et intégrésau plan d’audit interne? Le plan d’audit interne et son budget sont-ils présentés et challengés? ¶ ¶ Ž Existe-t-il une procédure de suivi efﬁ cace permettant de s’assurer que des plans d’actions sont déﬁ nis et déployés maitrisant la criticité du risque? ¶ ¶ Ž L’audit interne évalue-t-il les dispositifs de contrôle interne et de gestion des risques? ¶ ¶ ™ THEMES SUR LESQUELS PORTE L’APPRECIATION DE L’EFFICACITE ˉuestions pour ‡dministrateur ˉuestions pour DirŠ Ÿénérale ˉuestions pour •is- ˆanager œote Commentaires 119 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • APPRÉCIATION DE L’EFFICACITÉ D’UN DISPOSITIF DE MAITRISE DES RISQUES (SUITE) Partie 2¶: Questions générales sur le dispositif de management des risques Dispositif de management des risques L’organisation a-t-elle déﬁ ni des objectifs au dispositif de gestion des risques ? ¶ ¶ ¶ Ž Une politique et des procédures de gestion des principaux risques ont-elles été déﬁ nies, validées par la Direction et mises en place dans l’organisation ? ¶ ¶ ¶ Ž L’organisation dispose-t-elle d’un « langage commun » en matière de risques (typologie homogène, critères de recensement, d’analyse et de suivi,…) ? ¶ ¶ ¶ ™ L’organisation a-t-elle identiﬁ é les obligations légales et réglementaires applicables en matière de communication sur les risques ? ¶ ¶ ¶ Ž L’organisation communique-t-elle en interne aux personnes intéressées : o Sur ses facteurs de risques ? ¶ ¶ ’ o Sur le dispositif de gestion des risques ? ¶ ¶ Ž o Sur les actions en cours et les personnes qui en ont la charge ?¶ ¶ ™ Les liens entre le dispositif de gestion des risques, le dispositif de contrôle interne et l’audit internesont-ils clairs et efﬁ caces ?¶ ¶ ¶ ’ Identiﬁ cation des risques Existe-t-il un processus d’identiﬁ cation des risques menaçant les objectifs de l’organisation ? ¶ Ž Une organisation adéquate a-t-elle été mise en place à cet effet ? ¶ ¶ Ž Comment l’organisation sait-elle si un risque devient majeur ou une défaillance critique? ¶ Ž L’organisation dispose-t-elle d’un système d’identiﬁ cation et d’enregistrement des nouveaux risques ou des risques émergents? ¶ ¶ ™ Analyse des risques Pour les principaux risques identiﬁ és, l’organisation réalise-t-elle une analyse des conséquences possibles (chiffrées ou non, ﬁ nancières ou non ﬁ nancières), de l’occurrence et du degré de maîtrise estimé? ¶ ¶ ™ Un suivi des principaux risques est-il réalisé, permettant de s’assurer du traitement des risques? ¶ ¶ ™ Les expériences passées de l’organisation (ou d’acteurs comparables) en matière de risques sont-elles prises en considération ? ¶ ¶ Ž L’analyse des risques est-elle partagée par la direction générale, et le management de l’organisation avec les personnes intéressées ? ¶ ¶ Ž Des indicateurs de suivi adossés à la survenance du risque sont-ils en place? Permettent-ils de faire évoluer la probabilité d’un risque sufﬁ samment à l’avance? ¶ ¶ ’ L’analyse des risques tient-elle compte des évolutions & évènements internes ou externes à l’organisation? ¶ ¶ Ž Traitement des risques Les risques majeurs donnent-ils lieu à des actions spéciﬁ ques ? ¶ ¶ ™ La responsabilité de ces actions est-elle déﬁ nie ? ¶ ¶ Ž La mise en œuvre de ces actions est-elle suivie ? ¶ ¶ Ž L’organisation a-t-elle mis en place et testé un plan de gestion de crise ? ¶ ¶ ” L’organisation a-t-elle mis en place un plan de communication de crise ? ¶ ¶ ’ Des plans de continuité d’activités sont-ils déﬁ nis, déployés et testés? ¶ ¶ ’ Le ﬁ nancement des risques est-il prévu, organisé, optimisé? ¶ ¶ Ž Le coût/ opportunité du traitement des risques est-il analysé, justiﬁ é, challengé? ¶ ¶ Ž Surveillance et pilotage La direction reçoit-elle une information sur les caractéristiques essentielles des actions engagées pour gérer les principaux risques de l’organisation (nature des actions engagées ou des couvertures en place, assurances, exclusions, montants des garanties …) ? ¶ ¶ ¶ ™ Des moyens spéciﬁ ques sont-ils consacrés à la mise en œuvre et à la surveillance des procédures de gestion des risques ?¶ ¶ ¶ Ž Existe-t-il un mécanisme permettant, si nécessaire, d’adapter les procédures de gestion des risques à une évolution des risques, de l’environnement externe, des objectifs ou de l’activité de l’organisation? ¶ ¶ ¶ Ž Le dispositif est-il continu? ¶ ¶ ¶ Ž Existe-t-il un dispositif permettant d’identiﬁ er les principales faiblesses du dispositif de gestion des risques mis en place par l’organisation, et de les corriger ? ¶ ¶ ¶ ™ Le comité d’audit a-t-il été informé: ¶ ¶ ¶ • de la politique de gestion des risques? ¶ ¶ ¶ Ž • des principaux risques identiﬁ és? de leur traitement? ¶ ¶ ¶ Ž • des caractéristiques essentielles du dispositif de gestion des risques? ¶ ¶ ¶ Ž • notamment des moyens mis en œuvre? ¶ ¶ ¶ ’ • des actions d’amélioration en cours ? ¶ ¶ ¶ Ž Les risques avérés font-ils l’objet d’une analyse spéciﬁ que notamment sur l’évaluation estimée vs réalisée?¶ ¶ ¶ ’ Le comité d’audit suit-il a minima les risques ayant un impact ﬁ nancier (à terme) dans les comptes? ¶ Ž Le conseil d’administration a-t-il clairement déﬁ ni la remontée d’information du comité d’auditconcernant le dispositif de management des risques ? ¶ ’ THEMES SUR LESQUELS PORTE L’APPRECIATION DE L’EFFICACITE ˉuestions pour ‡dministrateur ˉuestions pour DirŠ Ÿénérale ˉuestions pour •is- ˆanager œote Commentaires 120 BOITE a idees D’OUTILS Partie 3¶: Questions générales sur le dispositif de contrôle interne Les objectifs du dispositif de contrôle interne sont-ils clairement déﬁ nis, diffusés et partagés? ¶ ¶ ™ Le dispositif de contrôle interne comporte-t-il des contrôles spéciﬁ ques aux points qui seraient identiﬁ és comme sen- sibles concernant des aspects ﬁ nanciers, par exemple inscription à l’actif, constatation des produits, spécialisation des périodes comptables, valorisation des stocks… ? ¶ ¶ Ž Existe-t-il des contrôles réguliers et/ou inopinés pour s’assurer que le manuel des principes comptables et le manuel de procédures comptables sont suivis dans la pratique ? ¶ Ž Existe-t-il des procédures pour identiﬁ er et résoudre des problèmes comptables nouveaux, non prévus, le cas échéant, dans le manuel de principes comptables et/ou dans le manuel de procédures comptables ? ¶ ¶ ™ L’activité de contrôle interne comporte-t-elle des procédures pour assurer la préservation des actifs (risque de négli- gences, d’erreurs et de fraudes internes et externes) ? ¶ ¶ ™ Les procédures d’arrêté des comptes du groupe sont-elles applicables dans toutes les composantes du périmètre de consolidation? ¶ ¶ ™ S’il existe des exceptions, y a-t-il des procédures adéquates pour les traiter ? ¶ ¶ Ž Partie 4¶: Communication comptable et ﬁ nancière Existe-t-il un échéancier récapitulant les obligations périodiques du groupe en matière de communication comptable et ﬁ nancière au marché ? ¶ ¶ ™ Cet échéancier précise-t-il : • la nature et l’échéance de chaque obligation périodique ? ¶ ¶ Ž • les personnes responsables de leur établissement ? ¶ ¶ ’ Existe-t-il des responsables et des procédures d’identiﬁ cation et de traitement des obligations d’information du marché ?¶ ¶ Ž Existe-t-il une procédure prévoyant le contrôle des informations avant leur diffusion ? ¶ ¶ Ž THEMES SUR LESQUELS PORTE L’APPRECIATION DE L’EFFICACITE ˉuestions pour ‡dministrateur ˉuestions pour DirŠ Ÿénérale ˉuestions pour •is- ˆanager œote Commentaires 121 BOITE a idees D’OUTILS Etape 3 – faire fonctionner un dispositif de gestion des risques efﬁ cace4 521 • REPORTING DE SUIVI DE L’EFFICACITÉ DU DISPOSITIF DE MAÎTRISE DES RISQUES Reporting du niveau maîtrise par pays Niveau de maîtrise au niveau Groupe Siège France Italie Turquie Suisse USA Mexique Brésil Chine Vietnam THEME ORGANISATION GENERALE ‡ Roles and responsibilities ‡¬” Description •oles and responsi‹ilities ‡¬’ IS strategž / I† ˆaster plan Executive decision Entity Policies and the organization on line with the CORPORATE ¬” Ÿroup Policies depložment ¬’ Fraud ris- ¬Ž Sustaina‹le development Executive decision C Health & safety policy C¬” Safetž C¬’ ‡larm procedure Executive decision D Entity objectives on line with General Management D¬” Entites o‹¤ectives follo…¬up D¬’ Empložees evaluation Executive decision E Management appropriate information E¬” •eporting E¬’ Social climate E¬Ž ‡rchives Executive decision F Adequation needs / operations F¬” I† needs F¬’ Staff needs Executive decision Ÿ Adequate management remediation plans Executive decision THEME PROTECTION DES ACTIFS š Risk management policy deployment Executive decision I Risk management policy monitoring Executive decision ° Legal risks Executive decision Â Assets safeguarding Executive decision ¡ Sensitive information safekeeping Executive decision ˆ Accounting and ﬁ nancial information monitoring Executive decision œ Internal control system œ¬” ‡rea ” œ¬’ ‡rea ’ œ¬Ž ‡rea Ž Executive decision œiveau de maÁtrise par pažs et par th§me Ce reporting afﬁ che par pays et au niveau groupe (page de droite) pour chacun des quatorze thèmes le niveau de maîtrise des risques. 122 BOITE a idees D’OUTILS Reporting du niveau maîtrise par pays Niveau de maîtrise au niveau Groupe Siège France Italie Turquie Suisse USA Mexique Brésil Chine Vietnam THEME ORGANISATION GENERALE ‡ Roles and responsibilities ‡¬” Description •oles and responsi‹ilities ‡¬’ IS strategž / I† ˆaster plan Executive decision Entity Policies and the organization on line with the CORPORATE ¬” Ÿroup Policies depložment ¬’ Fraud ris- ¬Ž Sustaina‹le development Executive decision C Health & safety policy C¬” Safetž C¬’ ‡larm procedure Executive decision D Entity objectives on line with General Management D¬” Entites o‹¤ectives follo…¬up D¬’ Empložees evaluation Executive decision E Management appropriate information E¬” •eporting E¬’ Social climate E¬Ž ‡rchives Executive decision F Adequation needs / operations F¬” I† needs F¬’ Staff needs Executive decision Ÿ Adequate management remediation plans Executive decision THEME PROTECTION DES ACTIFS š Risk management policy deployment Executive decision I Risk management policy monitoring Executive decision ° Legal risks Executive decision Â Assets safeguarding Executive decision ¡ Sensitive information safekeeping Executive decision ˆ Accounting and ﬁ nancial information monitoring Executive decision œ Internal control system œ¬” ‡rea ” œ¬’ ‡rea ’ œ¬Ž ‡rea Ž Executive decision Légende Niveau de maîtrise/pays et Groupe Fort ˆožen Fai‹le Ine•istant œ/‡ Plan d’action décidé par le management pour relever le niveau de maÁtrise Sžnth§se du niveau de maÁtrise au niveau Ÿroupe et par pažs et grands th§mes 123 124 ETAPE 4 - AMELIORER LA PERFORMANCE DES PROCESSUS • Référentiel des Processus : Achats et approvisionnements • Référentiel des Processus RH • Transformation du processus - Emission des bons de commande • Le suivi de la performance des processus - KPI - Coté processus clients • Le suivi de la performance des processus - KPI - Coté processus achats, approvisionnements • Tableau de bord de suivi des Risques - Dysfonctionnements et Plans d’actions 125 BOITE a idees D’OUTILS 2 531 Etape 4 – Améliorer la performance des processus ACHAT Processus de Management ‡Cˆ¬—” Dé• nir et mettre en oeuvre la politique d’achat et d’appprovisionnement ‡Cˆ¬—’ Ÿérer et suivre les ‹udgets achats ‡Cˆ¬—Ž Piloter la performance du processus d’approvisionnement Processus Opérationnel ‡C•¬—” Ÿérer le référencement des fournisseurs ‡C•¬—”¬—” Dé• nir la structure des contrats cadres ‡C•¬—”¬—”¬—” Dé• nir les tžpologies de contrat cadre ‡C•¬—”¬—”¬—’ Dé• nir les engagements vis a vis de fournisseurs ¦ référencer ‡C•¬—”¬—”¬—Ž Dé• inir les conditions de suivi de ces engagements ‡C•¬—”¬—”¬—™ Dé• nir les engagements attendus de la part des fournisseurs ‡C•¬—”¬—”¬—• Dé• nir les conditions générales d’achat alignées avec la politique achat ‡C•¬—”¬—”¬—‘ Formaliser les contrats cadres tžpes ‡C•¬—”¬—’ Ÿérer les campagnes de référencement ‡C•¬—”¬—Ž •éférencer de nouveau• fournisseurs ‡C•¬—”¬—Ž¬—” Evaluer / –alider les ‹esoins ‡C•¬—”¬—Ž¬—’ Dé• nir les crit§res de choi• des fournisseurs ‡C•¬—”¬—Ž¬—Ž Dé• nir le nom‹re de fournisseurs ci‹les ‡C•¬—”¬—Ž¬—™ Identi• er les fournisseurs potentiels ‡C•¬—”¬—Ž¬—• Solliciter les fournisseurs ‡C•¬—”¬—Ž¬—‘ Choisir les fournisseurs référencés ‡C•¬—”¬—Ž¬—“ Engager les négociations ‡C•¬—”¬—Ž¬—˜ Certi• er les fournisseurs ‡C•¬—”¬—Ž¬—Œ Formaliser le contrat de référencement ‡C•¬—”¬—Ž¬”— Diffuser les conditions en interne ‡C•¬—”¬—™ Procéder ¦ l’évaluation périodique des fournisseurs ‡C•¬—”¬—™¬—” Evaluer l’élligi‹ilité du fournisseur (certi• cation) ‡C•¬—”¬—™¬—’ Evaluer le respect des engagements contractuels ‡C•¬—”¬—™¬—Ž Dé• nir les plans d’amélioration ‡C•¬—”¬—™¬—™ Evaluer la mise en place des plans d’amélioration ‡C•¬—”¬—™¬—• ˆettre ¦ ¤our l’évaluation fournisseur ‡C•¬—”¬—™¬—‘ Déréférencer les fournisseurs ‡C•¬—”¬—• ˆettre ¦ ¤our les informations fournisseurs ‡C•¬—”¬—•¬—” Saisir dans l’application d’achats les données permanentes des fournisseurs ‡C•¬—”¬—•¬—’ ˆodi• er les informations permanentes en fonction de l’évolution de la relation ‡C•¬—’ Ÿérer les contrats d’approvisionnement et les appels d’offre ‡C•¬—Ž Evaluer les ‹esoins et formaliser les demandes d’achat ‡C•¬—Ž¬—” Evaluer et valider les ‹esoins ‡C•¬—Ž¬—”¬—” Dé• nir les ‹esoins quantitativement et qualitativement ‡C•¬—Ž¬—”¬—’ –alider la pertinence du ‹esoin ‡C•¬—Ž¬—”¬—Ž –éri• er la non disponi‹ilité des ‹iens (stoc-s ¹ marchandise ¦ réceptionner) ‡C•¬—Ž¬—”¬—™ Evaluer la capacité de répondre au• ‹esoins par une offre de su‹stitution disponi‹le ‡C•¬—Ž¬—’ Formaliser les demandes d’achat ( D‡) ‡C•¬—Ž¬—’¬—” Formaliser le Cahier des charges ‡C•¬—Ž¬—’¬—’ Formaliser la D‡ ‡C•¬—Ž¬—Ž Formaliser les demandes d’investissement (DI) ‡C•¬—Ž¬—™ Con• rmer l’émission de la demande d’achat (D‡) ‡C•¬—™ –alider les demandes d’achats et traiter les commandes ‡C•¬—™¬—” Sélectionner la procédure d’achat ¦ appliquer ‡C•¬—™¬—”¬—” Identi• er les la politique contractuelle applica‹le ‡C•¬—™¬—”¬—’ Formaliser une demande de dérrogation au cadre applica‹le ‡C•¬—™¬—”¬—Ž Formaliser une demande de création d’un nouveau contrat ‡C•¬—™¬—’ •ecourir ¦ un appel d’offre (‡•) ‡C•¬—™¬—’¬—” Formaliser l’appel d’offre (clauses techniques et • nanci§res) ‡C•¬—™¬—’¬—’ Identi• er les crit§es d’appréciation de l’offre des fournisseurs ‡C•¬—™¬—’¬—Ž Diffuser l’appel d’offre ‡C•¬—™¬—Ž •ecourir ¦ une consultation restreinte Nom du processus qui est composé de plusieurs sous-processus Nom du macro processus qui est composé de plusieurs processus Nom des sous-processus qui concourent à l’activité du processus Nom des activités qui composent les sous- processus • RÉFÉRENTIEL DES PROCESSUS : ACHATS ET APPROVISIONNEMENTS Le référentiel des processus présenté est un référentiel qui comporte 4 niveaux : - Niveau 1 : les macros processus ; - Niveau 2 : les processus ; - Niveau 3 : les sous processus ; - Niveau 4 : les activités. Niveau détaillé 1 2 3 4 126 BOITE a idees D’OUTILS ACHAT ‡C•¬—™¬—™ Choisir le fournisseur ‡C•¬—™¬—• Emettre une commande ‡C•¬—™¬—‘ œoti• er la commande au fournisseur ‡C•¬—• Suivre l’avancement des commandes et plani• er la ou les réceptions ‡C•¬—•¬—” •éaliser le suivi d’avancement de la commande ‡C•¬—•¬—’ •éaliser les contr±les qualité avant l’e•pédition marchandise par le fournisseur ‡C•¬—•¬—Ž Plani• er les réceptions marchandises ‡C•¬—•¬—Ž¬—” Suivre le portefeuille des réceptions attendues ‡C•¬—•¬—Ž¬—’ Ÿérer les capacités de réception marchandise (accueil, entrep±t,…) ‡C•¬—•¬—Ž¬—Ž ˆettre ¦ ¤our le calendrier prévisionnel des réceptions ‡C•¬—•¬—™ Suivre le transport des marchandises ‡C•¬—‘ •éceptionner les ‹iens et les services ‡C•¬—‘¬—” ‡ccueillir camions et décharger marchandises ‡C•¬—‘¬—’ Contr±ler la qualité des ©marchandise réceptionnées ‡C•¬—‘¬—Ž •approcher réception / commandes ‡C•¬—‘¬—™ •efuse la réception et retourner les marchandises non conformes ‡C•¬—‘¬—• ‡ffecter les marchandises au• emplacements de stoc-age ‡C•¬—‘¬—‘ ˆettre en stoc- les marchandises ‡C•¬—‘¬—“ Saisir les entrés en stoc- dans l’application de gestion des stoc-s ‡C•¬—“ Effectuer les r§glements et • naliser le suivi administratif ‡C•¬—“¬—” Compta‹iliser la facture / avoir reçue du fournisseur ‡C•¬—“¬—”¬—” •éceptionner et enregistrer en compta‹ilité la facture ‡C•¬—“¬—”¬—’ –éri• er la conformité de la facture ‡C•¬—“¬—”¬—Ž •envožer et suivre les factures non conformes ‡C•¬—“¬—’ Délivrer le ‹on ¦ pažer ‡C•¬—“¬—’¬—” –alider la réalité de la prestation (réception ‹ien / service) ‡C•¬—“¬—’¬—’ Donner le ‹on ¦ pažer technique ‡C•¬—“¬—’¬—Ž Donner le ‹on ¦ pažer • nancier ‡C•¬—“¬—Ž Pažer les fournisseurs ‡C•¬—“¬—Ž¬—” Préparer le r§glement d’une facture en dehors d’une campagne de r§glement ‡C•¬—“¬—Ž¬—’ Plani• er les paiements ‡C•¬—“¬—Ž¬—Ž –alider les campagnes de paiement ‡C•¬—“¬—™ Emettre une demande d’avoir ‡C•¬—“¬—™¬—” Evaluer l’avoir ¦ demander ‡C•¬—“¬—™¬—’ œégocier avec le fournisseur ‡C•¬—“¬—™¬—Ž –alider la demande d’avoir ‡C•¬—˜ •éaliser le suivi du respect des engagements du forunisseurs postérieurement ¦ la livraison ‡C•¬—˜¬—” Contr±ler le ‹ien / service avant l’e•piration de la garantie ‡C•¬—˜¬—”¬—” Suivre les périodes de garantie ‡C•¬—˜¬—”¬—’ Contr±ler les ‹iens et services au regard des engagement de la garantie ‡C•¬—˜¬—”¬—Ž ¡ever les restrictions ‡C•¬—˜¬—’ ‡ctiver la garantie fournisseur ‡C•¬—˜¬—’¬—” Identi• er et quali• er les défauts / non conformités ‡C•¬—˜¬—’¬—’ –alider l’applica‹iliter de la garantie au regard de la non conformité quali• ée ‡C•¬—˜¬—’¬—Ž Formaliser les demandes au• fournisseurs en cas de non conformité Processus Supports ‡CS¬—” •éaliser la cl±ture compta‹le des achats ‡CS¬—”¬—” Identi• er et enregistrer les factures ¦ recevoir (cut ¬off) ‡CS¬—”¬—’ Identi• er et enregistrer les avoir ¦ éta‹lir (cut ¬off) ‡CS¬—”¬—Ž ‡nnuler les factures ¦ recevoir et avoirs ¦ éta‹lir émis lors de la cl±ture du mois précédent ‡CS¬—’ Ÿérer le SI ‡chats ‡CS¬—’¬—” –éri• er que les ha‹ilitations/autorisations sont correctement mises ¦ ¤our ‡CS¬—’¬—’ –éri• er que les r§gles de séparation de fonctions sont correctement implementées dans l’application de gestion des achats ‡CS¬—Ž Ÿérer les données de ‹ase fournisseurs ‡CS¬—™ Ÿérer les données de ‹ase produits Le niveau détaillé présente deux niveaux complémentaires : - les sous processus : ils concourent à l’activité des processus ; - les activités : elles concourent au déroulement des sous processus. C’est le niveau le plus ﬁ n. Niveau détaillé (suite) Source : Allaboutbpm.com 127 BOITE a idees D’OUTILS 2 531 Etape 4 – Améliorer la performance des processus • RÉFÉRENTIEL DES PROCESSUS RH PROCESSUS RH Processus de Management •šˆ¬—” Dé• nir et mettre en oeuvre la politique de gestion des ressources humaines •šˆ¬—’ Ÿérer et suivre les ‹udgets •essources šumaines •šˆ¬—Ž Ÿérer les transformations de l¨entreprise •šˆ¬—™ Piloter la performance du processus de gestion des •š Processus Opérationnel •š•¬—” •ecruter et intégrer de nouveau• colla‹orateurs •š•¬—’ Ÿérer les compétences et les formations •š•¬—Ž Ÿérer les carri§res et les évolutions salariales •š•¬—™ Ÿérer les changements organisationnels et les mo‹ilités internes •š•¬—• Ÿérer la satisfaction du personnel •š•¬—‘ Ÿérer les plannings, les congés, les a‹sences •š•¬—“ Ÿérer les instances représentatives du personnel et les o‹ligations légales •š•¬—˜ Ÿérer la santé et la sécurité des colla‹orateurs •š•¬—Œ Ÿérer les départs •š•¬”— Ÿérer les retraites et les droits associés Processus Supports •šS¬—” Ÿérer les données des ‹ases •š •šS¬—’ Ÿérer le SI ‡chats •šS¬—Ž Ÿérer les frais •šS¬—™ Ÿérer la paie •šS¬—• Ÿérer la participation et l¨intéressement Niveau synthèse Le niveau de synthèse présenté ci-dessous ne reprend que le niveau des macros processus et le niveau des processus. Source : Allaboutbpm.com 128 BOITE a idees D’OUTILS PROCESSUS RH Processus de Management •šˆ¬—” Dé• nir et mettre en oeuvre la politique de gestion des ressources humaines •šˆ¬—’ Ÿérer et suivre les ‹udgets •essources šumaines •šˆ¬—Ž Ÿérer les transformations de l¨entreprise •šˆ¬—™ Piloter la performance du processus de gestion des •š Processus Opérationnel •š•¬—” •ecruter et intégrer de nouveau• colla‹orateurs •š•¬—”¬—” –alider le ‹esoin de recrutement et les conditions associées •š•¬—”¬—’ Dé• nir et activer les canau• de recrutement •š•¬—”¬—Ž †raiter les candidatures •š•¬—”¬—™ Finaliser le recutement •š•¬—’ Ÿérer les compétences et les formations •š•¬—’¬—” Evaluer les compétences et dé• nir les ‹esoins en mati§re de formation •š•¬—’¬—’ Développer les programmes de formation •š•¬—’¬—Ž Ÿérer les parcours de formation des équipes •š•¬—’¬—™ •éaliser les formations •š•¬—’¬—• Ÿérer les dépenses de formation •š•¬—’¬—‘ Evaluer périodiquement l¨évolution des compétences •š•¬—Ž Ÿérer les carri§res et les évolutions salariales •š•¬—Ž¬—” Dé• nir et mettre en oeuvre le plan de gestion des carri§res •š•¬—Ž¬—’ ˆettre en oeuvre la politique d¨évaluation des empložés •š•¬—Ž¬—Ž ˆettre en oeuvres les plans d¨action associés au• processus de gestion des carri§res •š•¬—Ž¬—™ ˆettre en oeuvre le programme de geston des hauts potentiels •š•¬—™ Ÿérer les changements organisationnels et les mo‹ilités internes •š•¬—™¬—” Ÿérer les évolutions organisationnelles •š•¬—™¬—’ Ÿérer les mo‹ilités •š•¬—• Ÿérer la satisfaction du personnel •š•¬—•¬—” Dé• nir les engagements en mati§re de satisfaction du personnel •š•¬—•¬—’ Evaluer la satisfaction du personnel •š•¬—•¬—Ž ˆettre en oeuvre les plans d¨action d¨amélioration de la satisfaction du personnel •š•¬—• Ÿérer la satisfaction du personnel •š•¬—•¬—” Dé• nir les engagements en mati§re de satisfaction du personnel •š•¬—•¬—’ Evaluer la satisfaction du personnel •š•¬—•¬—Ž ˆettre en oeuvre les plans d¨action d¨amélioration de la satisfaction du personnel •š•¬—‘ Ÿérer les plannings, les congés, les a‹sences •š•¬—‘¬—” Ÿérer les périodes d¨activités et les plannings •š•¬—‘¬—’ Ÿérer les congés et les demandes d¨a‹sence •š•¬—‘¬—Ž Ÿérer les a‹sences pour cause de maladies ou sans ¤usti• cation •š•¬—“ Ÿérer les instances représentatives du personnel et les o‹ligations légales •š•¬—“¬—” Choisir, négocier et gérer les conventions collectives •š•¬—“¬—’ Ÿérer les o‹ligations en mati§re de représentation du personnel •š•¬—“¬—Ž Ÿérer les relations avec les sžndicats •š•¬—˜ Ÿérer la santé et la sécurité des colla‹orateurs •š•¬—˜¬—” Dé• nir et communiquer la politique de santé et de sécurité •š•¬—˜¬—’ Superviser la santé et la sécurité au travail •š•¬—˜¬—Ž Ÿérer les accidents du travail •š•¬—Œ Ÿérer les départs •š•¬—Œ¬—” Ÿérer les départs initiés par les empložés •š•¬—Œ¬—’ Ÿérer un départ requis par l¨organisation •š•¬—Œ¬—Ž Préparer le départ de l¨empložé •š•¬”— Ÿérer les retraites et les droits associés Processus supports •šS¬—” Ÿérer les données des ‹ases •š •šS¬—’ Ÿérer le SI ‡chats •šS¬—Ž Ÿérer les frais •šS¬—™ Ÿérer la paie •šS¬—• Ÿérer la participation et l¨intéressement Niveau détaillé Source : Allaboutbpm.com 129 BOITE a idees D’OUTILS 2 531 Etape 4 – Améliorer la performance des processus • TRANSFORMATION DU PROCESSUS – EMISSION DES BONS DE COMMANDE Le processus existant est composé de 12 activités dont un grand nombre sont manuelles (boite grise) par échange de ﬁ chier Excel et génèrent 7 dysfonctionnements 6 directement causés par des ressaisies de commandes. Les points d’amélioration potentielle de la performance apparaissent en lecture directe de la description des activités existantes. Les deux ﬂ èches rouges représentent les activités qui vont subsister dans la cible décrite page suivante. Cette modélisation est réalisée avec l’outil ARIS de Software AG. Devis fournisseur 01 Créer le tableau de suivi des commandes Tableau de suivi des commandes Excel par projet 04 Valider et signer le bon de commande 05 Transmettre à la comptabilité les bons de commandes... 02. Définition des devis, budgets et choix des... 03 Générer un bon de commande sur la base du devis Fournisseur Bon de commande papier (En attente de validation) Bon de commande papier (validé et signé) 06 Contrôler le bon de commande Bon de commande papier (validé et signé) Commande client KOSMOS 01. Gestion des offres Bon de commande papier (validé, signé contrôlé) Bon de commande papier (non conforme) 02 Actualiser le tableau de suivi des commandes 08 Saisir la commande fournisseur Commande fournisseur SAGE 05. Comptabilisation des factures... Société SAGE 01. Gestion des offres Projet SAGE Créer les fournisseurs SAGE Fournisseur SAGE Projet / Lotissement type 01. Gestion des offres 07 Scanner et envoyer le bon de commande Bon de commande papier (validé, signé contrôlé) Article SAGE Créer le projet SAGE 09 Archiver la commande fournisseur Bon de commande papier (validé, signé contrôlé) Multiplicité et disparité des formats de tableaux de suivi Problème de MAJ des commandes fournisseurs passées Erreur de saisie sur le bon de commande Taux de marge sur travaux fluctuants Erreur de saisie Disparité dans les renseignements transmis Pas de scan systématique avant envoi Bon de commande Excel 03.1 Imprimer le bon de commande Existant détaillé ACTIVITE POINT A AMELIORER LEGENDE : INTERFACE DE PROCESSUS INFORMATION KOSMOS EXCEL OUTIL COMPTABLE MANUEL ACTEUR EXTERIEUR 130 BOITE a idees D’OUTILS Le processus cible a été simpliﬁ é autour de deux activités (celles indiquées par les ﬂ èches rouges comme dans la description existante), les tâches manuelles ont été supprimées par l’extension de l’usage de l’application de gestion d’affaires (KOMOS). Cette modélisation est réalisée avec l’outil ARIS de Software AG. Fournisseur Commande client KOSMOS 01. Gestion des offres_CIBLE Projet / Lotissement type 01. Gestion des offres_CIBLE 02. Définition des devis, budget et choix des... 02 Générer un bon de commande sur la base du devis renseigné 011 019 03 Emettre et envoyer le bon de commande 066 04 Envoyer un mail au chef de projet 05 Produire les états de restitution Devis / Commande Devis fournisseur KOSMOS (sélectionné) 035 01 Envoyer un mail aux assistantes de travaux Mail de demande de génération du bon de commande Mail de confirmation d'envoi du bon de commande au fournisseur Bon de commande Fournisseur KOSMOS (Généré) Bon de commande Fournisseur KOSMOS (envoyé) 060 Devise KOSMOS 018 Devise KOSMOS 012 003 20.0 Référentiels : Gestion des devises Taux de devise KOSMOS 05. Comptabilisation des factures fournisseurs_CIBLE 133 Cible détaillée ACTIVITE LEGENDE : INTERFACE DE PROCESSUS INFORMATION KOSMOS EXCEL OUTIL COMPTABLE CIBLE MODULE ACHAT OUTIL COMPTABLE CIBLE MANUEL ACTEUR EXTERIEUR EXIGENCE 131 BOITE a idees D’OUTILS 2 531 Etape 4 – Améliorer la performance des processus • LE SUIVI DE LA PERFORMANCE DES PROCESSUS - KPI - COTÉ PROCESSUS CLIENTS Le suivi de l’évolution de la performance des processus est assuré par des KPI. A titre d’exemple, nous présentons deux situations, l’une relative au processus clients, l’autre relative au processus achats, approvisionnements (procurement). KPI - SUIVIS Suivi des engagements d’achats Suivi de la facturation Suivi des encaissements Suivi des délais de clôture †o †m¹Ž †o †m¹Ž †o †m¹Ž †o †m¹Ž œom‹re de CDE d’achats de Sous¬traitance ¶” ∙” œom‹re de CDE d’autres achats ¶’ ∙’ œom‹re de factures pažées manuellement ¶Ž ∙Ž ˆontant des factures émises entre °¬”— et °¬• ¶› ∙› ˆontant des factures émises entre °¬• et ° ¶› ∙› †au• d’avoirs émis ¶› ∙› ˆontant des avoirs émis ¶ ÂE ∙ ÂE ˆontant des †ravau• en cours ¶ ÂE ∙ ÂE DS• ¶ ÂE ∙ ÂE ˆontant des clients ´ ”’— ¤ours ¶ ÂE ∙ ÂE Date d’arr®t des compta‹ilités au•iliaires ¶a ∙a œom‹re d’•D ¶‹ ∙‹ Date du reporting °˜ °• Contenu des indicateurs Valeurs données aux différents indicateurs To correspond ¦ la date de mise en «uvre (c’est la date de référence) Tm+3 correspond ¦ la date de l’o‹servation †h§mes qui font l’o‹¤et d’un suivi de performance 132 BOITE a idees D’OUTILS 25 3 1 Etape 4 – Améliorer la performance des processus • LE SUIVI DE LA PERFORMANCE DES PROCESSUS - KPI COTÉ PROCESSUS ACHATS, APPROVISIONNEMENTS Key indicator Frequence Value Sorted by Applicative Non - Applicative Purchase process environnement (P• and –endors) ERP - Others Purchase orders (P•) ˆonthlž –olume ³ ‡mount užer / Pro¤ect / –endor / Commoditž • Pro¤ect P• / œon Pro¤ect P• ˆonthlž •atio –endors in ˆaster• le ˆonthlž –olume –endors quali• ed / total –endors ˆonthlž •atio in volume • †emporarž / permanent empložees among supplž chain Department ˆonthlž •atio in volume • Invoices process monitoring •pen Purchase requisitions (P•) ˆonthlž –olume ³ ‡mount užer / Pro¤ect / –endor / Commoditž •pen P• ˆonthlž P• …ith no Ÿ•/I• (Ÿ•Ã Ÿood receipt) ˆonthlž P• …ith quantitž received ´ quantitž ordered ˆonthlž lan-et P• (ˆulti¬Invoice P•) ˆonthlž Invoice …ithout P•’s ˆonthlž Invoices pending for approvals ˆonthlž Invoice date same or closed to P• date ˆonthlž Invoice date same or closed to change order date ˆonthlž ¢se of one¬time vendors ˆonthlž Sale source purchases ˆonthlž Âež indicator • nalitž trac-ing process P• Creation date Ã P• –alidation date ˆonthlž –olume ³ ‡mount užer / Pro¤ect / –endor / Commoditž P• Creation date Ã P• creation date ˆonthlž Supplier creation Ã near P• creation date ˆonthlž P• placed …ithout P• (Fast trac- P•) ˆonthlž Change order date Ã P• date ˆonthlž P• Date Ã Ÿ• Date (Ÿ• Ã good receipt) ˆonthlž Invoice Date Ã P• date ˆonthlž Invoice Date Ã Change order date ˆonthlž Change of vendor ‹an- datas ˆonthlž Indicator’s purpose Software where necessary information is located 133 BOITE a idees D’OUTILS 2 531 Etape 4 – Améliorer la performance des processus • TABLEAU DE BORD DE SUIVI DES RISQUES - DYSFONCTIONNEMENTS ET DES PLANS D’ACTIONS Risques Opérationnels Constats Actuels Plans d’actions cible Type de Risque Risques Impacts Références de risques identiﬁ és Niveau de risque actuel (BRUT) Niveau actuel des précautions mises en place Dysfonctionnement Objectifs d’évolution Moyens à mettre en œuvre Niveau de risque futur (RISQUE RESIDUEL) Délégations Procédures Contrôles Commercial aisse d’activité Diminution du C‡ R1 ▲ ■ ■ ¬ ˆanque de réserves fonci§res ¬ Surveiller l’état des stoc-s de terrains acquis par la ¢ ✓ ▲ ¬ Sous estimation du pri• des terrains lors de l’éta‹lissement des offres d’achat Financier Dérapage des pri• des prestations Diminution de l’E • R2 ▲ ■ ■ ¬ œégociation de pri• mal a‹outie ✓ ▲ ¬ Engagement avec les ma¤ors sans maitriser le niveau de pri• ¬ Insuf• sance de contr±le • nancier de l’avancement du chantier ¬ †endance ¦ la hausse du marché des prestations ¬ Co½ts de dépollution mal évalué ¬ ‡nticiper/ négocier les co½ts de dépollution ds les contrats ✓ Dérapage de la qualité des prestations Diminution de l’E • R3 ▲ ■ ■ ¬ ˆauvaise maÁtrise de la sous traitance ✓ ▲ Dérapage des délais des prestations Diminution de l’E • R4 ▲ ■ ■ ¬ ˆauvaise maÁtrise de la sous traitance ✓ ▲ ¬ I nsuf• sance de contr±le opérationnel du chantier permettant de détecter un retard ¬ ˆise en place par la direction technique d’une procédure de controle interne ✓ •upture a‹usive des négociations avec un investisseur Paiement de dommages et int®rets R5 ▲ ■ ■ ¬ Echange de courrier avec l’investisseur sans passer par une validation ¤uridique ▲ Engagement de construction sur la ‹ase d’études amont limitées Diminution de l’E • R6 ▲ ■ ■ ■ ¬ •ecensement des risques intrins§ques ¦ l’opération non e•haustif ¬ Eta‹lir un mode opératoire d’application des mécanismes d’appréciation des risques ✓ ▲ •efus d’o‹tention du permis de construire Diminution de l’E • R7 ▲ ■ ■ ■ ¬ †ransmission d’un dossier de permis de construire incomplet ▲ •pérationnels ‡ccident du travail du personnel Condamnation civile ou pénale R8 ▲ ■ ■ ¬ œon respect des régles de sécurité sur le chantier par le personnel ▲ ¬ Impossi‹ilité de prouver que les régles de sécurité ont été mises en place ¬ ‡méliorer le sžst§me de délégation ✓ œon o‹tention du certi• cat de conformité Diminution de l’E • R9 ▲ ■ ■ ¬ •éalisation de modi• cations non autorisées par le permis de construire ¬ Compléter les • ches navettes pour détecter les points déclencheurs de permis modifŠ ✓ ▲ ¬ ‡‹sence de suivi des modi• cations du permis pour l’o‹tention du permis ‹alai ¬ Eta‹lir une procédure de suivi du permis recti• catif ✓ •etard d’ouverture d’un centre commercial –ersement de dommages et intér®ts R10 ▲ ■ ■ ¬ ˆauvaise appréciation des actions correctrices ¦ mener ▲ ¬ œon maÁtrise de la date d’ouverture du centre commercial LEGENDE •isque Ef• cacité du dispositif de maÁtrise des risques ▲ Risque Fort œiveau ” £ ■ ▲ Risque Moyen œiveau ’ £ ■ ■ ▲ Risque Faible œiveau Ž £ ■ ■ ■ œiveau d’ef• cacité du dispositif de maÁtrise des risques actuel 134 BOITE a idees D’OUTILS Risques Opérationnels Constats Actuels Plans d’actions cible Type de Risque Risques Impacts Références de risques identiﬁ és Niveau de risque actuel (BRUT) Niveau actuel des précautions mises en place Dysfonctionnement Objectifs d’évolution Moyens à mettre en œuvre Niveau de risque futur (RISQUE RESIDUEL) Délégations Procédures Contrôles Commercial aisse d’activité Diminution du C‡ R1 ▲ ■ ■ ¬ ˆanque de réserves fonci§res ¬ Surveiller l’état des stoc-s de terrains acquis par la ¢ ✓ ▲ ¬ Sous estimation du pri• des terrains lors de l’éta‹lissement des offres d’achat Financier Dérapage des pri• des prestations Diminution de l’E • R2 ▲ ■ ■ ¬ œégociation de pri• mal a‹outie ✓ ▲ ¬ Engagement avec les ma¤ors sans maitriser le niveau de pri• ¬ Insuf• sance de contr±le • nancier de l’avancement du chantier ¬ †endance ¦ la hausse du marché des prestations ¬ Co½ts de dépollution mal évalué ¬ ‡nticiper/ négocier les co½ts de dépollution ds les contrats ✓ Dérapage de la qualité des prestations Diminution de l’E • R3 ▲ ■ ■ ¬ ˆauvaise maÁtrise de la sous traitance ✓ ▲ Dérapage des délais des prestations Diminution de l’E • R4 ▲ ■ ■ ¬ ˆauvaise maÁtrise de la sous traitance ✓ ▲ ¬ I nsuf• sance de contr±le opérationnel du chantier permettant de détecter un retard ¬ ˆise en place par la direction technique d’une procédure de controle interne ✓ •upture a‹usive des négociations avec un investisseur Paiement de dommages et int®rets R5 ▲ ■ ■ ¬ Echange de courrier avec l’investisseur sans passer par une validation ¤uridique ▲ Engagement de construction sur la ‹ase d’études amont limitées Diminution de l’E • R6 ▲ ■ ■ ■ ¬ •ecensement des risques intrins§ques ¦ l’opération non e•haustif ¬ Eta‹lir un mode opératoire d’application des mécanismes d’appréciation des risques ✓ ▲ •efus d’o‹tention du permis de construire Diminution de l’E • R7 ▲ ■ ■ ■ ¬ †ransmission d’un dossier de permis de construire incomplet ▲ •pérationnels ‡ccident du travail du personnel Condamnation civile ou pénale R8 ▲ ■ ■ ¬ œon respect des régles de sécurité sur le chantier par le personnel ▲ ¬ Impossi‹ilité de prouver que les régles de sécurité ont été mises en place ¬ ‡méliorer le sžst§me de délégation ✓ œon o‹tention du certi• cat de conformité Diminution de l’E • R9 ▲ ■ ■ ¬ •éalisation de modi• cations non autorisées par le permis de construire ¬ Compléter les • ches navettes pour détecter les points déclencheurs de permis modifŠ ✓ ▲ ¬ ‡‹sence de suivi des modi• cations du permis pour l’o‹tention du permis ‹alai ¬ Eta‹lir une procédure de suivi du permis recti• catif ✓ •etard d’ouverture d’un centre commercial –ersement de dommages et intér®ts R10 ▲ ■ ■ ¬ ˆauvaise appréciation des actions correctrices ¦ mener ▲ ¬ œon maÁtrise de la date d’ouverture du centre commercial LEGENDE •isque Ef• cacité du dispositif de maÁtrise des risques ▲ Risque Fort œiveau ” £ ■ ▲ Risque Moyen œiveau ’ £ ■ ■ ▲ Risque Faible œiveau Ž £ ■ ■ ■ Description des actions qui vont ®tre mises en place pour contri‹uer ¦ diminuer les risques et connaÁtre le risque résiduel 135 136 ETAPE 5 - OPTIMISER LE DISPOSITIF DE GESTION DES RISQUES • Impact métiers du risque informatique : Cas RH Paie • Evolution de la maturité du dispositif de maîtrise des risques 137 BOITE a idees D’OUTILS 2 3 41 Etape 5 – Optimiser le dispositif de gestion des risques • IMPACT MÉTIERS DU RISQUE INFORMATIQUE : CAS RH PAIE RISQUES LIES AU PROCESSUS INFORMATIQUE (IT) SCENARIO DE DYSFONCTIONNEMENTS DU PROCESS INFORMATIQUE ET D’IMPACT SUR LE PROCESSUS METIER RISQUES METIERS DECLENCHES PAR CES DYSFONCTIONNEMENTS DU PROCESSUS INFORMATIQUE QUALIFICATION DES SCENARIOS DE DYSFONCTIONNEMENTS Évaluation de la probabilité de survenance Evaluation de la gravité /l’impact Criticité ACTUELLE du risque nette après contrôlesN° Scénario de dysfonctionnements Description de l’impact de ce dysfonctionnement sur le déroulement du processus métier Nature et importance Contrôles métier existant Impact sur les contrôles métier Risque de fraude œon autorisation, validation, appro‹ation des demandes de modi• cation avant le passage en production S” Passage en production d’une modi• cation de paramétrage non ¤usti• ée, mal recettée ou mal mise en production ¢ne modi• cation de paramétrage non ¤usti• ée, mal testée ou mal mise en production sur l’application de P‡IE est mise en productionŠ Elle provoque £ ¬ une non/mauvaise application d’une évolution réglementaire ¬ une modi• cation signi• cative du calcul de la masse salariale sans que les acteurs en soient informés •” ¬ Ine•actitude de la masse salariale ¬ ’ accords par an ¬ ” accord ponctuel en cours d’année ¬ ” évolution de la réglementation par an en dé‹ut d’année C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C” et C’ permettent de détecter toute erreur) œ/‡ PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 Création et maintenance des comptes utilisateurs non autorisés, appropriés et validesŠ S’ ‡ccord non ¤usti• é de droit d’acc§s ¦ l’application de P‡IE Création non autorisée/¤usti• ée d’un compte utilisateur P‡IE (données paže) ¡a création non autorisée/¤usti• ée ou mal effectuée d’un compte utilisateur sur l’application de P‡IE permet pour l’utilisateur de £ ¬ créer de nouvelles données (salariés • ctifs, a¤outer des primes, …) ¬ modi• er des paies •” ¬ Ine•actitude de la masse salariale •• ¬ œon respect des délégations de pouvoir (ha‹ilitation/signature) œom‹re de création par an d’utilisateurs sur l’application ‡ Ã ’—— œom‹re de création par an d’utilisateurs sur l’application £ ”—— C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C‘ ¬ Contr±le événementiel sur l’origine des demandes d’ha‹ilitation ‡ucun (car les modalités d’e•cécution des contr±les C” et C‘ permettent de détecter toute erreur) •¢I PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 ¢tilisateurs disposent du compte Ä‡dministrateurÅ SŽ Création non ¤usti• ée d’un compte Ä‡dministrateurÅ ¡a création non ¤usti• ée d’un compte Ä‡dministrateurÅ sur les applications de paie permet ¦ l’utilisateur de £ ¬ modi• er des données de paramétrage (pourcentage de charges sociales, patronales, r§gles de calcul des charges diverses liées ¦ la paie…) ¬ donner des droits ¦ une autre personne •” ¬ Ine•actitude de la masse salariale •• ¬ œon respect des délégations de pouvoir (ha‹ilitation/signature) ’ par an C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois C‘ ¬ Contr±le événementiel sur l’origine des demandes d’ha‹ilitation ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ et C‘ permettent de détecter toute erreur) •¢I •‡•E F••†E 2 Changements non autorisés des programmes et des données S™ ‡ccés ¦ un compte utilisateur de l’application de P‡IE ¡’accés ¦ un compte utilisateur de l’application de P‡IE pour £ ¬ créer des salariés • ctifs ¬ modi• er des données de salariés e•istants (coordonnées ‹ancaires) ¬ modi• er les éléments • •es de paže •” ¬ Ine•actitude de la masse salariale •’ ¬ Flu• de trésorerie erronés ”— personnes mettent ¦ ¤our les données de P‡IE £ ¬ Service •ecrutement ¬ Service Ÿestion des carri§res ¬ Service Ÿestion adminstrative C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) •¢I •‡•E F‡I ¡E 1 Impossi‹ilité de restaurer correctement des données sur une période adéquate S•Š” ‡‹sence de sauvegarde produisant une mauvaise/non prise en compte des données Suite ¦ un incident de production, le sžst§me ne peut pas ®tre correctement restauré en raison de l’a‹sence de sauvegarde ou de l’impossi‹ilité de restaurer les sauvegardes e•istantesŠ Cela provoque une perte ou une altération de tout ou partie des données (réglementaires et/ou individuelles) •” ¬ Ine•actitude de la masse salariale • serveurs C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) œ/‡ PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 S•Š’ ‡‹sence de sauvegarde produisant une indisponi‹ilité du sžst§me Suite ¦ un incident de production, le sžst§me ne peut pas ®tre correctement restauré en raison de l’a‹sence de sauvegarde ou de l’impossi‹ilité de restaurer les sauvegardes e•istantesŠ Cela provoque©£ ¬ une perte ou une altération de tout ou partie des données (réglementaires et/ou individuelles) •” ¬ Ine•actitude de la masse salariale • serveurs ‡ucun œon (réalisation des contr±les prévus) œ/‡ •‡•E F••†E 2 Incidents non enregistrés, et non analžsés résolus dans un temps approprié S‘ Survenance d’un incident utilisateur ¢n incident utilisateur provoque £ ¬ une erreur ou une a‹sence de saisie de données réglementaires ¬ une erreur ou une a‹sence de saisie de donnée individuelles sans que les utilisateurs/acteurs métiers s’en rendent compteŠ •” ¬ Ine•actitude de la masse salariale ’—— anomalies par an C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) œ/‡ •‡•E F••†E 2 atchs e•ecutés sans respect des instructions d’e•ploitation S“Š” locage de l’interface de l’application P‡IE Certaines interfaces peuvent ne plus fonctionner et provoquer un ‹locage du sžst§me d’interface entre les applications de P‡IE emp®chant la prise en compte des évolutions pour la paže des dirigeants sans que les utilisateurs/acteurs métier s’en rendent compteŠ •” ¬ Ine•actitude de la masse salariale ”— anomalies par an sur l’interface P‡IE ‡ucun •ui (mettre en place le contr±le adéquat) œ/‡ ˆ•∙EœœE F••†E 3 S“Š’ Pro‹l§me de communication entre les applications ¢n pro‹l§me technique d’e•écution du ‹atch ou un pro‹l§me d’origine frauduleu• peuvent induire une perte ou une altération des données transmise ¦ la ‹anque •’ ¬ Flu• de trésorerie erronés •— erreurs/ mois ‡ucun •ui (mettre en place le contr±le adéquat) œ/‡ ˆ•∙EœœE F••†E 3 ¢ne description des risques et džsfonctionnements informatiques qui déclenchent des risques métiers/opérationnels PROBABILITE Pro‹a‹le ’ Ž Ž Peu Pro‹a‹le ” ’ Ž •are ” ” ’ Fai‹le ˆoženne Forte GRAVITE 138 BOITE a idees D’OUTILS RISQUES LIES AU PROCESSUS INFORMATIQUE (IT) SCENARIO DE DYSFONCTIONNEMENTS DU PROCESS INFORMATIQUE ET D’IMPACT SUR LE PROCESSUS METIER RISQUES METIERS DECLENCHES PAR CES DYSFONCTIONNEMENTS DU PROCESSUS INFORMATIQUE QUALIFICATION DES SCENARIOS DE DYSFONCTIONNEMENTS Évaluation de la probabilité de survenance Evaluation de la gravité /l’impact Criticité ACTUELLE du risque nette après contrôlesN° Scénario de dysfonctionnements Description de l’impact de ce dysfonctionnement sur le déroulement du processus métier Nature et importance Contrôles métier existant Impact sur les contrôles métier Risque de fraude œon autorisation, validation, appro‹ation des demandes de modi• cation avant le passage en production S” Passage en production d’une modi• cation de paramétrage non ¤usti• ée, mal recettée ou mal mise en production ¢ne modi• cation de paramétrage non ¤usti• ée, mal testée ou mal mise en production sur l’application de P‡IE est mise en productionŠ Elle provoque £ ¬ une non/mauvaise application d’une évolution réglementaire ¬ une modi• cation signi• cative du calcul de la masse salariale sans que les acteurs en soient informés •” ¬ Ine•actitude de la masse salariale ¬ ’ accords par an ¬ ” accord ponctuel en cours d’année ¬ ” évolution de la réglementation par an en dé‹ut d’année C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C” et C’ permettent de détecter toute erreur) œ/‡ PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 Création et maintenance des comptes utilisateurs non autorisés, appropriés et validesŠ S’ ‡ccord non ¤usti• é de droit d’acc§s ¦ l’application de P‡IE Création non autorisée/¤usti• ée d’un compte utilisateur P‡IE (données paže) ¡a création non autorisée/¤usti• ée ou mal effectuée d’un compte utilisateur sur l’application de P‡IE permet pour l’utilisateur de £¬ créer de nouvelles données (salariés • ctifs, a¤outer des primes, …)¬ modi• er des paies •” ¬ Ine•actitude de la masse salariale•• ¬ œon respect des délégations de pouvoir (ha‹ilitation/signature) œom‹re de création par an d’utilisateurs sur l’application ‡ Ã ’—— œom‹re de création par an d’utilisateurs sur l’application £ ”—— C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C‘ ¬ Contr±le événementiel sur l’origine des demandes d’ha‹ilitation ‡ucun (car les modalités d’e•cécution des contr±les C” et C‘ permettent de détecter toute erreur) •¢I PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 ¢tilisateurs disposent du compte Ä‡dministrateurÅ SŽ Création non ¤usti• ée d’un compte Ä‡dministrateurÅ ¡a création non ¤usti• ée d’un compte Ä‡dministrateurÅ sur les applications de paie permet ¦ l’utilisateur de £ ¬ modi• er des données de paramétrage (pourcentage de charges sociales, patronales, r§gles de calcul des charges diverses liées ¦ la paie…) ¬ donner des droits ¦ une autre personne •” ¬ Ine•actitude de la masse salariale•• ¬ œon respect des délégations de pouvoir (ha‹ilitation/signature) ’ par an C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois C‘ ¬ Contr±le événementiel sur l’origine des demandes d’ha‹ilitation ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ et C‘ permettent de détecter toute erreur) •¢I •‡•E F••†E 2 Changements non autorisés des programmes et des données S™ ‡ccés ¦ un compte utilisateur de l’application de P‡IE ¡’accés ¦ un compte utilisateur de l’application de P‡IE pour £¬ créer des salariés • ctifs¬ modi• er des données de salariés e•istants (coordonnées ‹ancaires)¬ modi• er les éléments • •es de paže •” ¬ Ine•actitude de la masse salariale•’ ¬ Flu• de trésorerie erronés ”— personnes mettent ¦ ¤our les données de P‡IE £ ¬ Service •ecrutement ¬ Service Ÿestion des carri§res ¬ Service Ÿestion adminstrative C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) •¢I •‡•E F‡I ¡E 1 Impossi‹ilité de restaurer correctement des données sur une période adéquate S•Š” ‡‹sence de sauvegarde produisant une mauvaise/non prise en compte des données Suite ¦ un incident de production, le sžst§me ne peut pas ®tre correctement restauré en raison de l’a‹sence de sauvegarde ou de l’impossi‹ilité de restaurer les sauvegardes e•istantesŠ Cela provoque une perte ou une altération de tout ou partie des données (réglementaires et/ou individuelles) •” ¬ Ine•actitude de la masse salariale • serveurs C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) œ/‡ PE¢ P•• ‡ ¡E ˆ•∙EœœE 2 S•Š’ ‡‹sence de sauvegarde produisant une indisponi‹ilité du sžst§me Suite ¦ un incident de production, le sžst§me ne peut pas ®tre correctement restauré en raison de l’a‹sence de sauvegarde ou de l’impossi‹ilité de restaurer les sauvegardes e•istantesŠ Cela provoque©£ ¬ une perte ou une altération de tout ou partie des données (réglementaires et/ou individuelles) •” ¬ Ine•actitude de la masse salariale • serveurs ‡ucun œon (réalisation des contr±les prévus) œ/‡ •‡•E F••†E 2 Incidents non enregistrés, et non analžsés résolus dans un temps approprié S‘ Survenance d’un incident utilisateur ¢n incident utilisateur provoque £ ¬ une erreur ou une a‹sence de saisie de données réglementaires ¬ une erreur ou une a‹sence de saisie de donnée individuelles sans que les utilisateurs/acteurs métiers s’en rendent compteŠ •” ¬ Ine•actitude de la masse salariale ’—— anomalies par an C” ¬ Contr±le mensuel de cohérence du net ¦ pažer du mois C’ ¬ Contr±le mensuel de cohérence du net ¦ pažer dirigeants du mois ‡ucun (car les modalités d’e•cécution des contr±les C”, C’ permettent de détecter toute erreur) œ/‡ •‡•E F••†E 2 atchs e•ecutés sans respect des instructions d’e•ploitation S“Š” locage de l’interface de l’application P‡IE Certaines interfaces peuvent ne plus fonctionner et provoquer un ‹locage du sžst§me d’interface entre les applications de P‡IE emp®chant la prise en compte des évolutions pour la paže des dirigeants sans que les utilisateurs/acteurs métier s’en rendent compteŠ •” ¬ Ine•actitude de la masse salariale ”— anomalies par an sur l’interface P‡IE ‡ucun •ui (mettre en place le contr±le adéquat) œ/‡ ˆ•∙EœœE F••†E 3 S“Š’ Pro‹l§me de communication entre les applications ¢n pro‹l§me technique d’e•écution du ‹atch ou un pro‹l§me d’origine frauduleu• peuvent induire une perte ou une altération des données transmise ¦ la ‹anque •’ ¬ Flu• de trésorerie erronés •— erreurs/ mois ‡ucun •ui (mettre en place le contr±le adéquat) œ/‡ ˆ•∙EœœE F••†E 3 ¡a véri• cation que les contr±les métiers en place permettent de détecter les džsfonctionnements informatiques décrits dans la partie gauche du ta‹leau ¡a criticité nette dans la situation actuelle avant contr±les complémentaires œiveau de risque devant ®tre réduit par la mise en place de contr±les complémentairesŠ œiveau de risque glo‹alement maÁtrisé mais pouvant ®tre amélioréŠ œiveau de risque au¤ourd’hui maÁtrisé (suf• sament couvert et ¤ugé accepta‹le)Š 139 BOITE a idees D’OUTILS 2 3 41 Etape 5 – Optimiser le dispositif de gestion des risques SUIVRE L’EVOLUTION DE LA MATURITE d’UN DISPOSITIF DE GESTION DES PRISES DE RISQUES •¥œE• •¥œE• CE• •…ner / CE•… •…ner •…ner / CE•… •…ner / CE•… •…ner / CE•… •¥œE• •¥œE• •¥œE• •¥œE• •¥œE• •¥œE• •…ner •…ner / CE•… •…ner / CE•… •…ner / CE•… –éri• ée CE• P••CESS¢S Code du •ISˉ¢E •ISˉ¢E P•ISE DE •ISˉ¢E ‡CCEP†EE Inf uence sur lea o‹¤ectifs de l’entreprise Pro‹a‹ilité ‹rute Impact ‹rut image Impact ‹rut humain Impact ‹rut • nancier œiveau criticité ‹rute du risque Code du džsfonc¬ tionnement D∙SF•œC†I•œœEˆEœ†S ‡C†I•œS DE P•E–Eœ†I•œS ˆISES Eœ Æ¢–•E •ésultat des actions ‡C†I•œS DE P••†EC†I•œ ˆISES Eœ Æ¢–•E •ésultat des actions Pro‹a‹ilité nette Impact net image Impact net humain Impact net • nancier œiveau criticité nette du risque œI–E‡¢ DE P•ISE DE •ISˉ¢E •ESPEC†EE •emarque Commercial •—” ˆauvaise performance du service commercial ” Oui ● ™ ● ’ œ/‡ ● Ž Fort D∙S” Données relatives au• lots mis en location ne sont pas sžstématiquement enregistrées dans l’application de gestion Contr±le de la saisie dans l’application ‡ Conforme Communication de crise Correcte ● ’ ● ” œ/‡ ● Ž ˆožen œon ‡ctions complémentaires ¦ conduire pour respecter la prise de risques demandée Contr±le de la saisie dans l’application ‡ œon testa‹le Correcte Contr±le de la saisie dans l’application ‡ Conforme Correcte •approchement périodique entre l’application ‡ et E•cel œon conforme Correcte D∙S’ Erreurs au niveau de la description et de la super• cie du ‹ien immo‹ilier (lot) •evue de commercialisation avec les mandants Conforme Correcte Contr±le du statut du locataire lors du renouvellement Conforme Correcte D∙S œ… … •—’ ‡pplication incorrecte des r§gles liées au• activités commerciales ” Oui ● ’ ● ’ œ/‡ ● Ž Fort D∙S—’¬ —” Délivrance ¦ un locataire en situation sans droit ni titre Contr±le du statut du locataire lors du renouvellement Conforme ● ” ● ’ œ/‡ ● ’ Fai‹le •ui Pas d’actions complémentaires D∙S—’¬ —’ •mission ou non prise en compte d’un des co titulaires lors du renouvellement Contr±le des destinataires de l’offre de renouvellement Conforme D∙S—’¬ —Ž ‡‹sence d’attestation d’assurance des locau• loués Pointage ¹ contr±le des éléments lors de la remise des clés œon conforme Souscription d’une police d’assurance spéci• que Correcte D∙S—’¬ —™ œon respect de la forme lors de l’envoi des offres de renouvellement ¢tilisation d’une offre de renouvellement tžpe compl§te Conforme Contr±le de la forme des offres de renouvellement par le gérant ou l’huissier Conforme Contentieu• •—Ž œon recouvrement de l’ensem‹le des créances recouvra‹les sur immeu‹les ” Oui ● ” ● ’ œ/‡ ● ’ ˆožen D∙S—Ž¬ —” Erreurs ou ou‹lis dans l’émission des mises en demeure •evue sžstématique du dossier Contentieu• lors du transfert Ÿestion Contentieu• Conforme ● ” ● ” œ/‡ ● ” Fai‹le •ui Pas d’actions complémentaires D∙S—Ž¬ —’ •u‹li d’émission des commandements de pažer (ou autre acte de procédure) Contr±le des pi§ces du dossier contentieu• œon effectué E•ternaliser aupr§s d’un huissier avec garantie de résultat Correcte •evue périodique des comptes clients avec les mandants D∙S—Ž¬ —Ž •u‹li de la mention Indemnité d’occupation •evue des locataires ažant fait l’o‹¤et d’un ¤ugement Conforme D∙S—Ž¬ —™ ‡cte de procédure avec références de ‹ail ou lot ou montant erronés Contr±le des pi§ces du dossier contentieu• Conforme D∙S—Ž¬ —• •epositionnement en statut normal non ¤usti• é Procédure d’autorisation de signature actualisée et diffusée Conforme •evue périodique des comptes clients avec les mandants •evue sžstématique du dossier Ct• par le gestionnaire au retour en gestion D∙S—Ž¬ —‘ ‡‹sence de nouvelle adresse d’un locataire parti Contr±le des adresses des locataires partis œon effectué •—™ Sous estimation du risque locataire ” Oui ● ’ ● ’ œ/‡ ● Ž ˆožen D∙S—™¬ —” •isque locataire non calculé •evue e•haustive des dossiers par la Ÿestion œon effectué Soucription d’une police d’assurance spéci• que Correcte ● ” ● ” œ/‡ ● ” Fai‹le •ui Pas d’actions complémentaires•evue e•haustive des dossiers par le Contentieu• œon effectué Correcte Ÿestion •—• œon respect des r§gles de régularisation de charges du mandat ’ Non ● ’ ● Ž œ/‡ ● Ž ˆožen D∙S—•¬ —” œon respect du délai de régularisation des charges Suivi du ta‹leau des régularisations de charges (•égion) Conforme ● ” ● ’ œ/‡ ● Ž Fai‹le •ui Pas d’actions complémentaires Suivi du ta‹leau des régularisations de charges (IDF) Conforme D∙S—•¬ —’ ˉuittancement des régularisations de charges alors que la contestation du locataire est possi‹le Soumission du quittancement des régularisation de charge ¦ la validation du gestionnaire œon effectué •—‘ Emission éronnée du quittancement ” Oui ● ” ● ’ œ/‡ ● Ž ˆožen D∙S—‘¬ —” •u‹li d’émission d’avis d’échéance Contr±le de l’e•haustivité du quittancement œon effectué ● ” ● ’ œ/‡ ● Ž ˆožen œon ‡ctions complémentaires ¦ conduite pour sécuriser l’e•haustivité du quittancement D∙S—‘¬ —’ •u‹li de saisie de la date de report dans l’application de gestion Contr±le du correct report de la date dans l’application œon effectué •—“ Erreur de quittancement lors de leur éta‹lissement manuel ” Oui ● ’ ● ” œ/‡ ● ’ ˆožen D∙S—“¬ —” •u‹li de facturation au locataire du montant issu de la décision de ¤ustice •evue périodique des comptes clients avec les mandants Conforme ● ” ● ” œ/‡ ● ’ Fai‹le •ui Pas d’actions complémentairesD∙S—“¬ —’ •evue e•haustive des dossiers par la Ÿestion et le Contentieu• Conforme D∙S—“¬ —Ž •evue sžstématique du dossier Ct• par le gestionnaire au retour en gestion Conforme ¡es prises de risque pour chacun des processus ¡a criticité •¢†E du risque avec la décomposition en terme de pro‹alité de survenance et d’impact ¡e niveau de prise de risque acceptée par le CE• • EVOLUTION DE LA MATURITÉ DU DISPOSITIF DE MAÎTRISE DES RISQUES Niveau détaillé 140 BOITE a idees D’OUTILS SUIVRE L’EVOLUTION DE LA MATURITE d’UN DISPOSITIF DE GESTION DES PRISES DE RISQUES •¥œE• •¥œE• CE• •…ner / CE•… •…ner •…ner / CE•… •…ner / CE•… •…ner / CE•… •¥œE• •¥œE• •¥œE• •¥œE• •¥œE• •¥œE• •…ner •…ner / CE•… •…ner / CE•… •…ner / CE•… –éri• ée CE• P••CESS¢S Code du •ISˉ¢E •ISˉ¢E P•ISE DE •ISˉ¢E ‡CCEP†EE Inf uence sur lea o‹¤ectifs de l’entreprise Pro‹a‹ilité ‹rute Impact ‹rut image Impact ‹rut humain Impact ‹rut • nancier œiveau criticité ‹rute du risque Code du džsfonc¬ tionnement D∙SF•œC†I•œœEˆEœ†S ‡C†I•œS DE P•E–Eœ†I•œS ˆISES Eœ Æ¢–•E •ésultat des actions ‡C†I•œS DE P••†EC†I•œ ˆISES Eœ Æ¢–•E •ésultat des actions Pro‹a‹ilité nette Impact net image Impact net humain Impact net • nancier œiveau criticité nette du risque œI–E‡¢ DE P•ISE DE •ISˉ¢E •ESPEC†EE •emarque Commercial •—” ˆauvaise performance du service commercial ” Oui ● ™ ● ’ œ/‡ ● Ž Fort D∙S” Données relatives au• lots mis en location ne sont pas sžstématiquement enregistrées dans l’application de gestion Contr±le de la saisie dans l’application ‡ Conforme Communication de crise Correcte ● ’ ● ” œ/‡ ● Ž ˆožen œon ‡ctions complémentaires ¦ conduire pour respecter la prise de risques demandée Contr±le de la saisie dans l’application ‡ œon testa‹le Correcte Contr±le de la saisie dans l’application ‡ Conforme Correcte •approchement périodique entre l’application ‡ et E•cel œon conforme Correcte D∙S’ Erreurs au niveau de la description et de la super• cie du ‹ien immo‹ilier (lot) •evue de commercialisation avec les mandants Conforme Correcte Contr±le du statut du locataire lors du renouvellement Conforme Correcte D∙S œ… … •—’ ‡pplication incorrecte des r§gles liées au• activités commerciales ” Oui ● ’ ● ’ œ/‡ ● Ž Fort D∙S—’¬ —” Délivrance ¦ un locataire en situation sans droit ni titre Contr±le du statut du locataire lors du renouvellement Conforme ● ” ● ’ œ/‡ ● ’ Fai‹le •ui Pas d’actions complémentaires D∙S—’¬ —’ •mission ou non prise en compte d’un des co titulaires lors du renouvellement Contr±le des destinataires de l’offre de renouvellement Conforme D∙S—’¬ —Ž ‡‹sence d’attestation d’assurance des locau• loués Pointage ¹ contr±le des éléments lors de la remise des clés œon conforme Souscription d’une police d’assurance spéci• que Correcte D∙S—’¬ —™ œon respect de la forme lors de l’envoi des offres de renouvellement ¢tilisation d’une offre de renouvellement tžpe compl§te Conforme Contr±le de la forme des offres de renouvellement par le gérant ou l’huissier Conforme Contentieu• •—Ž œon recouvrement de l’ensem‹le des créances recouvra‹les sur immeu‹les ” Oui ● ” ● ’ œ/‡ ● ’ ˆožen D∙S—Ž¬ —” Erreurs ou ou‹lis dans l’émission des mises en demeure •evue sžstématique du dossier Contentieu• lors du transfert Ÿestion Contentieu• Conforme ● ” ● ” œ/‡ ● ” Fai‹le •ui Pas d’actions complémentaires D∙S—Ž¬ —’ •u‹li d’émission des commandements de pažer (ou autre acte de procédure) Contr±le des pi§ces du dossier contentieu• œon effectué E•ternaliser aupr§s d’un huissier avec garantie de résultat Correcte •evue périodique des comptes clients avec les mandants D∙S—Ž¬ —Ž •u‹li de la mention Indemnité d’occupation •evue des locataires ažant fait l’o‹¤et d’un ¤ugement Conforme D∙S—Ž¬ —™ ‡cte de procédure avec références de ‹ail ou lot ou montant erronés Contr±le des pi§ces du dossier contentieu• Conforme D∙S—Ž¬ —• •epositionnement en statut normal non ¤usti• é Procédure d’autorisation de signature actualisée et diffusée Conforme •evue périodique des comptes clients avec les mandants •evue sžstématique du dossier Ct• par le gestionnaire au retour en gestion D∙S—Ž¬ —‘ ‡‹sence de nouvelle adresse d’un locataire parti Contr±le des adresses des locataires partis œon effectué •—™ Sous estimation du risque locataire ” Oui ● ’ ● ’ œ/‡ ● Ž ˆožen D∙S—™¬ —” •isque locataire non calculé •evue e•haustive des dossiers par la Ÿestion œon effectué Soucription d’une police d’assurance spéci• que Correcte ● ” ● ” œ/‡ ● ” Fai‹le •ui Pas d’actions complémentaires•evue e•haustive des dossiers par le Contentieu• œon effectué Correcte Ÿestion •—• œon respect des r§gles de régularisation de charges du mandat ’ Non ● ’ ● Ž œ/‡ ● Ž ˆožen D∙S—•¬ —” œon respect du délai de régularisation des charges Suivi du ta‹leau des régularisations de charges (•égion) Conforme ● ” ● ’ œ/‡ ● Ž Fai‹le •ui Pas d’actions complémentaires Suivi du ta‹leau des régularisations de charges (IDF) Conforme D∙S—•¬ —’ ˉuittancement des régularisations de charges alors que la contestation du locataire est possi‹le Soumission du quittancement des régularisation de charge ¦ la validation du gestionnaire œon effectué •—‘ Emission éronnée du quittancement ” Oui ● ” ● ’ œ/‡ ● Ž ˆožen D∙S—‘¬ —” •u‹li d’émission d’avis d’échéance Contr±le de l’e•haustivité du quittancement œon effectué ● ” ● ’ œ/‡ ● Ž ˆožen œon ‡ctions complémentaires ¦ conduite pour sécuriser l’e•haustivité du quittancement D∙S—‘¬ —’ •u‹li de saisie de la date de report dans l’application de gestion Contr±le du correct report de la date dans l’application œon effectué •—“ Erreur de quittancement lors de leur éta‹lissement manuel ” Oui ● ’ ● ” œ/‡ ● ’ ˆožen D∙S—“¬ —” •u‹li de facturation au locataire du montant issu de la décision de ¤ustice •evue périodique des comptes clients avec les mandants Conforme ● ” ● ” œ/‡ ● ’ Fai‹le •ui Pas d’actions complémentairesD∙S—“¬ —’ •evue e•haustive des dossiers par la Ÿestion et le Contentieu• Conforme D∙S—“¬ —Ž •evue sžstématique du dossier Ct• par le gestionnaire au retour en gestion Conforme ¡es actions mises en place pour se prémunir contre la survenance des risques ¡a criticité œE††E du risque avec la décomposition en terme de pro‹alité de survenance et d’impact ¡’attente ou non du niveau des risques recherchés par le CE• 141 BOITE a idees D’OUTILS 2 3 41 Etape 5 – Optimiser le dispositif de gestion des risques • EVOLUTION DE LA MATURITÉ DU DISPOSITIF DE MAÎTRISE DES RISQUES Niveau synthèse SUIVI EVOLUTION DE LA MATURITE DU DISPOSITIF DE MAITRISE DES RISQUES T0 T1 Tn C‡•‡C†E•IS†Iˉ¢ES œom‹re Situation œom‹re Situation œom‹re Situation PROCESSUS 3 PRISES DE RISQUE 7 DYSFONCTIONNEMENTS 18 Ž džsfonctionnements par prise de risque ¶ džsfonctionnements par prise de risque ¶n džsfonctionnements par prise de risque ACTION DE PREVENTION 27 ™ actions par prise de risque ∙ actions par prise de risque ∙n actions par prise de risque ACTION DE PROTECTION 4 ” action par ’ prises de risque ¸ actions par ’ prises de risque ¸n actions par ’ prises de risque PRISE DE RISQUE RESPECTEE 5 “”› •—› ‘—› PRISE DE RISQUE NON RESPECTEE 2 ’Œ› •—› ™—› 142 PARTIE 1 CONCLUSIONCONCLUSION CONCLUSION 144 145 conclusion C es travaux ont été déclenchés par le régulateur AMF qui, en juillet 2010, a introduit, dans son cadre de référence, la dimension gestion des risques comme outil de progrès tant du côté du pilotage des activités que du côté de la sécurité dans l’exécution des activités et dans l’atteinte des objectifs. En d’autres termes, la mise en œuvre d’une gestion des risques efﬁ cace doit contribuer à la robustesse du modèle économique. Ces travaux se sont focalisés sur les modalités de mise en œuvre de cette nouvelle dimension qu’est la gestion des risques. Nous avons constaté, dès nos premières réunions de travail, que la mise en œuvre peut être entreprise soit dans le cadre d’une simple recherche de conformité rè- glementaire soit en instaurant une dynamique (le « cercle vertueux ») qui ouvre de nouvelles perspectives en termes d’évolutions, de transformations des pratiques opéra- tionnelles et de performance opérationnelle. Cependant construire deux trajectoires d’évolution ne nous semble pas pertinent car cela laisse perdurer l’opposition entre la conformité et la performance opérationnelle qui est à contre-courant de la réalité économique. C’est pourquoi nous proposons au directeur ﬁ nancier une trajectoire d’évolution unique qui couvre les deux objectifs. Cette trajectoire va lui permettre de construire les étapes d’une transformation des pratiques opération- nelles qu’il va devoir conduire pour installer un compor- tement de progrès continu et mettre en place un modèle économique robuste. Cette trajectoire lui permettra natu- rellement de satisfaire aux règles de conformité ﬁ xées par le régulateur AMF. Le contenu de cette trajectoire, composé de 5 étapes, est décrit dans les ﬁ ches techniques que nous présen- tons dans ce document. La montée en puissance vers la performance et la robustesse du modèle économique est organisée dès le début c’est-à-dire sans fracture entre la conformité et la performance. A chacune des étapes nous avons associé des outils de mise en œuvre issus de l’expérience des membres du groupe de travail. Cette boite à idées d’outils et les outils qui la constituent sont, pour nous, là plus pour donner des idées aux équipes qui conduisent les travaux de transformation que pour une stricte utilisation en l’état. Il ressort ainsi clairement de ces travaux que pour dépas- ser la connaissance des zones à risques, des risques et pro- gresser dans l’amélioration de la performance, il convient d’introduire une dimension complémentaire, « l’approche processus ». En effet, la maîtrise de la modélisation des processus associée à une forte culture des risques nous semble être un facteur clé de succès dans la conduite des travaux de transformation. En installant cette dynamique, on accroit la diffusion de la culture de « l’approche processus » dans des fonctions et métiers qui ne l’utilisent pas habituellement, leur per- mettant de conduire des améliorations sur d’autres sujets comme l’évolution du système d’information, l’évolution des systèmes de gestion vers l’ABC, le Lean Management ou la mise en place d’une vision transversale indépen- dante de l’organisation de l’entreprise. En n’oubliant pas une règle d’or : Agir en deux temps, tout d’abord faire fonctionner les processus pour que leur exécution soit solide et robuste et ensuite les optimiser pour en augmenter leur efﬁ cience lors de l’exécution. Ainsi la direction ﬁ nancière conforte son cheminement vers le statut de « business partner ». 146 ANNEXES 6 ANNEXE 1 : RECUEIL DES PRATIQUES DE PLACE. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 LE PERIMETRE DES ETUDES ET DES ENQUETES SELECTIONNEES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 POINTS SAILLANTS DES PRATIQUES DE PLACE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 LES PRATIQUES DE PLACE SELON LES THEMES DU CADRE DE REFERENCE DE L’AMF . . . . . . . . . . . . . . . . . . . . . . . . 6 La déﬁ nition de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Les objectifs de la gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Le cadre organisationnel de la gestion des risques : organisation et responsabilité. . . . . . . . . . . . . . . . . . . . . . . . 6 Le processus de gestion des risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Le pilotage du dispositif de gestion des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 ANNEXE 2 : BIBLIOGRAPHIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 EN FRANCE, GESTION DES RISQUES ET CONTROLE INTERNE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Loi de Sécurité Financière (2003, 2005 et 2008) : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.2 Ordonnance du 8 décembre 2008 :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.3 Le cadre de référence de l’AMF 2010 – publication juillet 2010 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.4 Les documents de référence des sociétés cotées déposés sur le site de l’AMF. . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.5 Ministre du budget demande une cartographie des risques à tous les grands opérateurs de l’Etat ; Décembre 2010 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.6 Travaux de l’AFEP, de l’ANSA, du MEDEF et de MiddleNext : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.7 Travaux de l’IFA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.1.8 Travaux de l’IFACI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.2 EN EUROPE ET DANS LE RESTE DU MONDE, GESTION DES RISQUES ET CONTROLE INTERNE . . . . . . . . . . . . . . . . . 6 6.2.1 SOX Juillet 2002 :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.2.2 Allemagne, Angleterre, Pays-Bas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.3 CERCLE DES JURISTES : . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.4 DOCUMENT EUROPEANISSUERS :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.5 DOCUMENTS AMRAE RELATIFS AU COMITE D’AUDIT :. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 6.6 LES REFERENTIELS SPECIFIQUES METIERS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 PARTIE 1 Annexes annexes 148 annexes ANNEXE 1 : RECUEIL DES PRATIQUES DE PLACE I l nous a paru intéressant de recueillir et d’analyser les pratiques des entreprises principalement en France, parfois en Europe ou dans le monde. A travers cette analyse, nous avons tenté de comparer le niveau des pra- tiques constatées avec celles exigées par le référentiel AMF. En effet, c’est à travers le prisme des principes géné- raux du cadre de référence que l’ensemble des enquêtes a été décortiqué, analysé et exploité. Ces résultats permettent au lecteur de :  Se positionner par rapport aux pratiques déclarées ;  Se rassurer sur son niveau de déploiement ;  Disposer d’informations à l’international. Ces enquêtes ne représentent qu’un échantillon de l’in- formation existante sur le sujet. Un choix subjectif mais professionnel a été réalisé pour ne sélectionner que celles qui répondaient à notre objectif : savoir où en était le sys- tème de gestion des risques dans les entreprises. Aucune information sur les risques en eux-mêmes n’a été prise en compte, nous nous sommes attelés uniquement au dispo- sitif et à son déploiement. 1. Le périmètre des études et des enquêtes sélectionnées Huit études ont été retenues et analysées. Ces études couvrent la période de janvier 2010 à décembre 2011. Les principaux auteurs de ces publications, qu’ils soient re- merciés des travaux réalisés au sein de leurs structures, sont :  Protiviti, Baromètre E1  AMRAE, Baromètre E2  Autorité des Marchés Financiers, études E3 & E5  The Economist Intelligence Unit, Enquête E4  Ernst & Young, Panorama E6  FERMA, Enquête E7  IFACI, Enquête E8 Enquêtes utilisées pour analyser les pratiques de place Nom de l’enquête Auteurs Publication Date de publication Panel Interviewés Caractéristiques de l’échantillon analysé Référence Baromètre du Risk Management 2011 7 ème édition Protiviti en partenariat avec TNS Sofres Périodique juin 2011 100 Directeurs Financiers par téléphone CA de 150 à 760M€ : 76%, CA> 750 M€ : 24% Industrie 30%, Banque-Assurance 22%, Distribution 26%, Services 22%. Cotées 45%. Périmètre France E1 Baromètre du Risk Manager 2 ème édition AMRAE en partenariat avec Deloitte Périodique janvier 2011 106 risk managers : enquête internet CA < 1m€ : 20%, CA de 1 à 7,5 m€ : 34% ; CA> 7,5m€ 45% Industrie 41%; Services 35%; Autres 14% Périmètre France E2 Rapport complémentaire de l’AMF sur les valeurs moyennes et petites se réfé- rant au Code de gouvernement d’entreprise de MIDDLENEXT de décembre 2009 AMF Autorité des Marchés Financiers Ponctuelle décembre 2010 30 documents de référence : analyse 7 sociétés Compartiment B, 23 Compartiment C Périmètre France E3 Risk management in the front line - Fall guys Economist Intelligence Unit sponsorisé par ACE et KPMG Ponctuelle novembre 2010 500 executives (CEO, CRO, Senior Manager…) survey + Interviews CA < 1m€ 55% ; CA de 1m€ à 10m€ 26%; CA > 10m€ 19% Industry 57% ; Financial Services 23%; Services 14%; Other 6% Périmètre worldwide E4 Rapport de l’AMF sur le gouvernement d’entreprise et le contrôle interne - décembre 2011 8 ème édition AMF Autorité des Marchés Financiers Périodique décembre 2011 90 documents de référence 90 sociétés côtées (40 compartiment A, 20 compartiment B, 30 compartiment C) Périmètre France E5 Panorama des pratiques de gouvernance des sociétés cotées françaises 9 ème édition Ernst & Young Périodique octobre 2011 223 documents de référence, lettres aux actionnaires et informations sites internet : analyse CA< 1m€ 51%; CA de 1m€ à 5m€ 25%; CA>5m€ 24% Industrie : 50% ; Banques Assurances 10%; Services : 17%; Autres 23% Périmètre France 38 sociétés du CAC40, 76 du SBF120, 111Midcaps E6 Tendances et pratiques de gestion des risques en Europe - Etude comparative 2010 5 ème édition FERMA avec AXA Corporate solutions et Ernst & Young Périodique septembre 2010 782 répondants par internet (32% risk manager, 31% insurance manager, CRO 7%, Head of Internal Audit 5%...) CA <1m€ 31%; CA de 1m€ à 10m€ 42%; CA > 10m€ 25% Industrie 52%; Financial Services 10%; Services 11% ; Other 27% Cotées 52% Périmètre Europe (16 pays) E7 Les pratiques de l’audit et du contrôle internes en France en 2009 IFACI en partenariat avec l’ESSEC Ponctuelle janvier 2010 159 auditeurs internes 59 contrôleurs internes CA < 750M€ 35%; CA de 750M€ à 7,5m€ 43%; CA > 7,5m€ 22% Industrie 22%, Banques Assurances 36%, Services 22%, Autres 20% Périmètre France E8 149 annexes Les résultats de ces études doivent être analysés au re- gard des caractéristiques techniques de l’échantillon : Carte d’identité de l’entreprise (Chiffre d’affaires, sec- teur…), qualité et quantité de répondants (Risk manager, CEO, DAF, DAI…), périmètre géographique (France, Eu- rope, Monde) ou encore base documentaire de l’analyse. Avec une telle diversité entre chaque enquête, nous sommes restés prudents dans nos « grandes vérités » et vous proposons simplement une synthèse des conclusions de chacun. Nous avons néanmoins eu le plaisir de consta- ter que peu de résultats divergeaient, la plupart des pour- centages et des tendances allant dans le même sens. Nous avons articulé la restitution de ces enquêtes selon deux dimensions : 1. Les principes généraux du cadre de référence, à savoir :  Les objectifs de la gestion des risques,  Le cadre organisationnel,  Le processus de gestion des risques : • L’identiﬁ cation des risques, • L’analyse des risques, • Le traitement des principaux risques,  Le pilotage du dispositif, la surveillance et la revue de la gestion des risques 2. Le point de vue des membres du groupe de travail 2. Points saillants des pratiques de place Sur la base de l’analyse des informations communiquées au public, il ressort de l’ensemble de ces observations que :  La gestion des risques n’est pas un nouveau sujet. C’est un sujet opérationnel que les entreprises d’une certaine taille ont formalisé depuis de nombreuses années, des plans d’amélioration et des plans d’ac- tion existent. Ces plans concourent à l’amélioration de l’exposition à certains types de risques. Dans les entreprises de taille moyenne c’est une préoccupation implicite des dirigeants qui n’est pas formalisée. Ni le besoin, ni une obligation n’ont conduit à une formali- sation ou à une communication de ce dispositif ;  De nombreuses entreprises avancent sur ces sujets pour être conformes à une législation. Cependant, l’exercice, « contraint » au début, devient « apprécié » par les dirigeants qui en découvrent les bénéﬁ ces au fur et à mesure ; il n’existe pas d’objectif du dispositif de gestion des risques standard applicable à toutes les sociétés.  La fracture croissante entre les moyens mis en œuvre par les Bigcaps et ceux des Midcaps du fait des contraintes réglementaires qui deviennent de plus en plus lourdes. Ces dernières ne comprenant pas, au premier abord, la valeur ajoutée immédiate du dispositif.  Le rattachement de la fonction risk manager, lorsqu’elle existe, est également réparti entre la direc- tion générale, la direction ﬁ nancière et un regroupe- ment avec l’audit et le contrôle interne. La fonction de Risk management existe dans moins de la moitié des Midcaps ou Bigcaps.  Les référentiels utilisés sont des référentiels de contrôle interne, il n’est pas fait état de référentiel de gestion des risques : Il s’agit des référentiels COSO et AMF ou dans des cas exceptionnels de référentiels internes aux entreprises. Pour les sociétés du CAC 40, SBF 120 et la moitié des Midcaps les référentiels COSO et AMF sont utilisés. Pour l’autre moitié des Midcaps, il n’est pas utilisé de référentiel.  La maturité des administrateurs aux pratiques de gestion des risques et de contrôle interne est source de progrès. Le suivi des risques s’inscrit plus réguliè- rement dans les comités d’audit et/ou de risques, le suivi de l’efﬁ cacité du dispositif étant encore assez faible. Quant à l’optimisation des mesures de trai- tement, ce n’est pas considéré (encore) comme une priorité.  La communication d’information relative aux actions de la gestion des risques est fortement corrélée à son niveau de capitalisation boursière. Pour autant, le ni- veau de communication d’information ne signiﬁ e pas que ces entreprises à plus faible capitalisation n’en- gagent pas d’actions relatives à la gestion des risques ou n’ont pas de dispositifs opérationnels en place. 150 annexes 3. Les pratiques de place selon les thèmes du cadre de référence de l’AMF Les pratiques de place analysées par les enquêtes sont présentées selon le prisme des sept thèmes composant le cadre de référence. 3.1 La déﬁ nition de la gestion des risques Pour l’AMF le dispositif de gestion des risques comporte trois caractéristiques majeures :  Globalité : le périmètre est global, il couvre l’ensemble des activités, processus et actifs de la société. Comme le périmètre est global la gestion des risques est l’affaire de tous les acteurs de la société.  Dynamique : la gestion des risques est un dispositif dy- namique et non statique de la société, déﬁ ni et mis en œuvre sous sa responsabilité.  Géométrie variable : la gestion des risques est un dis- positif à géométrie variable d’une société à l’autre. Le dispositif comprend un ensemble de moyens, de com- portements, de procédures et d’actions adaptés aux caractéristiques de chaque société qui permet aux diri- geants de maintenir les risques à un niveau acceptable pour la société. Déﬁ nition du cadre de référence de l’AMF : « Le risque représente la possibilité qu’un événement survienne et dont les conséquences seraient susceptibles d’affecter les personnes, les actifs, l’environnement, les objectifs de la société ou sa réputation. » L’enquête E8 conduite par l’IFACI précise : « La gestion des risques repose d’abord sur la capacité de l’en- treprise à identiﬁ er précisément et rapidement les principaux risques auxquels elle est confrontée, quelle que soit leur na- ture. C’est pourquoi nous recommandons d’utiliser une déﬁ ni- tion large du risque : le risque correspond à toute incertitude ou tout événement pouvant menacer les activités et les actifs de l’entreprise (matériels et immatériels) et ainsi entraver l’at- teinte de ses objectifs et son développement à long terme ». Un risque est composé de trois éléments qui sont : • Un évènement de type Danger, Péril Facteur de risque, Dysfonctionnements. • Une activité de l’entreprise qui s’exécute en mobili- sant différents moyens humains et matériels. • Un ou plusieurs impacts qui correspondent aux conséquences mesurables de la mauvaise ou non- exécution de l’activité en cause ou encore des objec- tifs assignés à la ressource. Il peut y avoir plusieurs impacts de natures différentes (humain, économique, ﬁ nancier - la diminution du chiffre d’affaires, la di- minution de l’Excédent Brut Opérationnel, judiciaire). Dans certains cas il peut entraîner la condamnation civile et pénale d’un mandataire social ou de la per- sonne qui en a reçu délégation. EVENEMENT (Danger,Péril, Facteur de risque, Dysfonctionnement) RESSOURCES de l’ENTITE INTERNE-EXTERNE IMPACTS conséquences RISQUES Affecte les objectifs spéciﬁ ques de la ressource Un évènement est un fait qui survient à un moment donné et qui est la source du risque La ressource est un composant- moyens mise en oeuvre pour permettre l’activité de l’entreprise (réaliser la mission du processus) Estimer-Mesurer les conséquences de non atteinte de ou des objectifs assignés à la ressource (et par extension au processus 151 annexes 3.2 Les objectifs de la gestion des risques L’une des caractéristiques essentielles qui ressort des en- quêtes et des pratiques, est la multiplicité des objectifs. Chaque acteur en fonction de son rôle attribue une ﬁ na- lité particulière à la gestion des risques. Il n’existe pas d’objectif standard applicable à toutes les sociétés. Chaque entreprise détermine les objectifs de son dispositif de gestion des risques, qui correspondent à son modèle d’entreprise, à ses objectifs généraux et spéciﬁ ques, à sa stratégie, à ses processus et à ses règles qu’elles soient légales ou internes. Pour le rapport AMF(E5), seuls 26% des sociétés répon- dantes parlent des objectifs du dispositif de gestion des risques du cadre de référence comme les leurs. Les résultats des différentes études relatifs aux objectifs ﬁ xés au processus de gestion des risques sont les suivants : L’enquête E1, nous apprend que : • Les Directeurs ﬁ nanciers attendent en premier lieu de la gestion des risques qu’elle leur permette de décou- vrir les risques émergents (88%). • Pour répondre à cet objectif ambitieux, il conviendra de disposer d’un processus continu de surveillance de ces risques, en réalisant des mises à jour de la cartogra- phie, en examinant les impacts potentiels des risques nouveaux et en optant pour un reporting régulier du niveau de risques aﬁ n d’identiﬁ er des risques faibles dont la gravité pourrait s’accroitre rapidement. • Le deuxième bénéﬁ ce attendu, limiter les variations brutales de résultats, constitue toujours un enjeu clé pour les entreprises. A ce titre, une gestion des risques efﬁ cace est perçue comme un levier d’action pertinent. • Le troisième bénéﬁ ce cité, renforcer le processus de planiﬁ cation stratégique, fait un véritable bond en avant (68%) et retrouve le taux de citations atteint en 2007. Cela va permettre aux entreprises de mieux prendre en compte les impacts potentiels d’une situa- tion de risques dans la mise en œuvre de leurs actions stratégiques. L’enquête E4 nous enseigne que : • Bien que les répondants attendent en premier lieu de la gestion des risques qu’elle leur permette de découvrir les risques émergents (88%), ces répondants indiquent que ce point constitue leur plus grande faiblesse. • Seulement 46% des répondants pensent que leur société est efﬁ cace lorsqu’il s’agit de relier la gestion des risques avec la stratégie globale de l’entreprise. L’enquête E7 nous informe que : • Les objectifs assignés à la gestion des risques demeu- rent traditionnels : - Diminuer les pertes opérationnelles 70% - Identiﬁ er / gérer les risques transverses 52% • Les résultats de l’étude soulignent un rôle croissant accordé à la gestion des risques comme outil de sécu- risation de la stratégie et de l’atteinte des objectifs de l’entreprise (notamment au sein des pays du Nord de l’Europe). • En Grande Bretagne, en Belgique et aux Pays Bas, l’alignement du degré d’appétence au risque avec la stratégie retenue est désormais considéré comme l’un des objectifs majeurs du «top management» pour plus de 50% des répondants. • La gestion des risques doit également permettre de mieux appréhender le lien entre prise de risque et re- tour sur investissement (36% des répondants). Sur la base de la pratique des membres du groupe de travail les objectifs sont différents selon les rôles assurés. L’attente de chacun des trois principaux rôles est détaillée ci-dessous : Pour le président et la direction générale :  La vision de risques critiques (marche et opération- nels) et de leur monitoring.  La conformité aux dispositions règlementaires et son monitoring.  L’introduction de la dimension risques par les équipes dans la préparation des opportunités de croissance. Pour les directions opérationnelles et les opérationnels :  L’amélioration de la performance opérationnelle par la diffusion de la culture de la prise de risques dans les décisions.  L’optimisation des processus par la diminution du nombre de dysfonctionnements.  La diffusion de meilleures pratiques grâce à l’existence et au pilotage monitoring de Plans d’action spéciﬁ ques. Pour les actionnaires :  Le renforcement de la conﬁ ance en l’image et la réputation. 152 annexes  L’alignement du dispositif de maîtrise de risques avec les risques majeurs pesant sur la création de valeur de l’entreprise. 3.3 Le cadre organisationnel de la gestion des risques : organisation et responsabilité Le cadre organisationnel qui assure le fonctionnement du dispositif de gestion des risques est à géométrie variable. Pour l’AMF Le dispositif de gestion des risques comporte trois caractéristiques majeures : • Une organisation qui déﬁ nit les rôles et responsabili- tés des acteurs, établit des procédures et les normes claires et cohérentes du dispositif ; • Une démarche d’identiﬁ cation, d’analyse et de traite- ment des risques, et le cas échéant les limites que la société détermine ; • Un système d’information qui permet la diffusion en interne d’informations relatives aux risques. 3.3.1 La distribution de la responsabilité de la gestion des risques Il ressort de l’étude E1, que la distribution des responsa- bilités se structure autour de trois acteurs suivants (hors cas du secteur Banque Assurance qui n’entre pas dans le scope de leurs travaux) : • La direction ﬁ nancière qui poursuit sa montée en puissance, • La direction générale qui portait le sujet précédem- ment et qui passe le témoin à la direction ﬁ nancière, • La direction des risques qui monte en puissance. Il faut souligner que sans responsabilité clairement dé- ﬁ nie, la gestion des risques présente généralement un faible niveau de maturité, ce qui limite son efﬁ cacité au regard de son objectif de meilleure maîtrise des activités. De plus, l’étude E7 apporte des précisions sur la fonction gestion des risques : • La fonction gestion des risques rend globalement compte de son activité au plus haut niveau de l’entre- prise (85%), toutefois, le rattachement au Directeur Financier demeure assez largement répandu (35%) en Europe ; • Les différentes fonctions en charge de la gestion des risques ne travaillent plus en silos, toutefois, leur de- gré de coordination demeure perfectible. 61% des entreprises européennes ont une coordination par- tielle avec les autres fonctions des risques, tandis que 23% ont une forte coordination des fonctions risques et assurances. Concernant l’enquête E2, nous relevons que : • Les relations au sein de l’entreprise sont essentielle- ment des relations de partenariat entre les services : 61% des répondants ont des relations de partenariat, 10% n’ont aucune relation et 3% ressentent des rela- tions de concurrence. Par ailleurs, le rapport E5 stipule que : • La Direction des risques réalise à 62% l’évaluation formelle des risques, contre 43% pour la Direction du contrôle interne ou 39% pour la Direction de l’Audit interne. • Dans respectivement 29% et 26% des cas, la Direc- tion des risques et la Direction du Contrôle interne n’existent pas. Enﬁ n, pour les membres du groupe de travail au groupe de travail • Le Directeur Administratif et Financier est fortement impliqué dans le dispositif de gestion des risques. • La direction de l’audit interne réalise ou actualise la cartographie des risques. 3.3.2 Périmètre d’activités de la gestion des risques Selon l’enquête E7 : • Seuls 29% des répondants ont une pratique mature de la gestion des risques, alors que 14% sont avan- cés. La pratique mature, selon cette enquête, repose sur la réalisation de 4 à 5 missions (Sur les 6 décrites) qui sont : - Coordination des politiques de gestion des risques ; - Identiﬁ cation et quantiﬁ cation des risques et des contrôles ; - Pilotage continu de l’amélioration des pratiques de gestion des risques opérationnels ; - Déﬁ nition et mise en œuvre de solutions de ﬁ nan- cement des risques ; - Audit de conformité de la qualité des procédures et standards de gestion des risques ; - Existence d’un reporting risques industrialisé. 153 annexes Selon l’enquête E4 : • Le lien entre la stratégie et la gestion des risques est réalisé dans 46% des cas. • La mise à jour des risques et sa diffusion dans l’organi- sation fonctionne chez plus de 35% des répondants. • La prise en compte de risque émergent ne fonctionne bien que dans 60% des cas. • La correcte appréhension des risques par le board est effective à 55%. • Le risk management joue un rôle actif dans les mis- sions suivantes : - Implication dans les projets d’investissements sur les nouveaux marchés (46%) ; - Implication dans les projets d’investissements sur des nouvelles zones (39%) ; - Implication dans la mise en œuvre de la stratégie (44%). 3.3.3 Les procédures et documentations Selon l’enquête E7 : • le rôle de la gestion des risques est clairement déﬁ ni dans une charte ou une politique dédiée. En effet, 62% des répondants (européens) déclarent disposer et avoir diffusé une procédure écrite et une charte de gestion des risques. 21% l’annoncent comme « en préparation ». Selon l’étude E5 : • 79% des sociétés ont donné des informations sur les procédures de gestion des risques et, en particulier, sur l’identiﬁ cation et l’analyse des risques. 3.3.4 Les facteurs de succès et freins pour la gestion des risques Selon l’étude E1, les trois principaux facteurs clés de suc- cès sont : • Une distribution claire des rôles et responsabilités ; • Une déﬁ nition des objectifs et des apports attendus par la gestion des risques ; • La mise au point d’un langage commun et partagé entre les différents intervenants sur le sujet au sein de l’entreprise. Tandis que les principaux freins à la mise en œuvre d’une gestion des risques efﬁ cace sont : • Les lourdeurs administratives freinant l’initiative, la décision et la réactivité ; • La complexité de mise en place et de déploiement ; • La résistance au changement ; • Manque de compétences. Pour les membres du groupe de travail les principaux freins sont les suivants : • Un manque de sponsoring fort de la direction géné- rale ; • Un manque de moyens et de ressources. 3.3.5 La multiplicité des référentiels existants La multiplicité des référentiels utilisés par les différents propriétaires de processus constitue un frein à l’appropria- tion, par les opérationnels, du dispositif de gestion des risques et à l’atteinte de ses objectifs. En conséquence, la déﬁ nition des objectifs de la gestion des risques doit être l’occasion de déterminer et de formaliser un référentiel propre et unique à l’entreprise aﬁ n de relier notamment les spéciﬁ cités métiers, réglementaires avec les objectifs de la gestion des risques. A partir de cette observation une double question : • Comment positionner un référentiel de gestion des risques par rapport à ceux déjà installés sachant que certains de ces référentiels abordent la gestion des risques ? • Comment articuler cette dimension avec les pra- tiques relatives au référentiel de contrôle interne qui sont présentées dans le tableau ci-dessous ? Il ressort des travaux de l’étude conduite par l’enquête E5 relative aux référentiels de contrôle interne les pratiques suivantes : Les référentiels de contrôle interne utilisés (source : étude E5) COSO AMF Autre Pas de référentiel CAC 40 50% 42% 3% 5% SBF 120 30% 54% 1% 15% MidCap 12% 44% 3% 41% C’est à l’issue de la déﬁ nition des caractéristiques de la politique de gestion des risques (couple mission / objec- tif) et des règles que pourront être déterminées celles du cadre organisationnel de la gestion des risques, objet du paragraphe suivant.154 annexes 3.4 Le processus de gestion des risques Pour l’AMF le fonctionnement du processus de gestion des risques repose sur 3 temps forts :  L’identiﬁ cation des risques,  L’analyse des risques (que nous regrouperons car les enquêtes montrent peu ou pas de distinction),  Le traitement des risques. 3.4.1 L’identiﬁ cation et l’analyse des risques Selon l’étude E1, qui interviewe exclusivement des di- recteurs ﬁ nanciers, les trois moyens les plus utilisés pour identiﬁ er et mesurer les risques sont : • Les missions d’audits internes, • Une liste d’indicateurs de risques suivis régulièrement, • Des réunions et travaux spéciﬁ ques de la Direction Générale. Pour l’enquête E7: 72% des sociétés identiﬁ ent et quantiﬁ ent qualitativement leurs risques et contrôles. En revanche, l’évaluation des risques des processus reste qualitative (par exemple réalisée grâce à des ateliers de gestion) et de l’utilisation des outils avancés quantita- tive apparaissent toujours comme une exception (5%), même si plus largement répandue dans certains pays (par exemple L’Allemagne et le Royaume-Uni). Toujours pour E7, les ateliers de hiérarchisation des risques sont désormais organisés dans plus des trois quart des sociétés européennes (88%). Ainsi, la tenue d’ate- liers de hiérarchisation des risques s’est imposée comme la pratique de référence parmi les sociétés européennes, en revanche, les outils quantitatifs d’analyse plus évolués demeurent peu utilisés. Toutefois les outils évolués de quantiﬁ cation des risques demeurent peu utilisés au sein des grands pays européens (UK, ALL, France, Esp) : • les modèles d’agrégation stochastique des cartogra- phies des risques réalisées au niveau des branches sont utilisés par moins de 25% des sociétés ; • les modèles de simulation de la «value at risk» sont également utilisés par moins de 25% des sociétés, à l’exception de l’Allemagne (38%). Pour l’étude E6, la publication du chiffrage, issue de l’analyse des risques, reste une pratique marginale puisque les sociétés ne sont que 14% à le faire. En ef- fet, partagées entre la nécessité de transparence vis-à-vis des actionnaires et le refus d’exposer des informations conﬁ dentielles, les sociétés cotées restent encore peu fa- vorables à une communication sur le chiffrage de leurs risques. 3.4.2 Les modalités de traitement des principaux risques : Rappelons que les actions de maîtrise / de traitement des risques qui sont en général mises en place sont les suivantes :  La réduction du risque (mise en place de contrôles, adaptation de l’organisation, recrutement de compé- tences supplémentaires,…) ;  Le transfert (mécanismes d’assurance ou de sous- traitance) ;  La suppression (changement d’activité ou de stratégie) ;  L’acceptation du risque. D’après l’étude E1, les solutions de traitements des risques majeurs sont : • les procédures de contrôle interne, toujours consi- dérées par les entreprises comme la pratique incon- tournable pour limiter les risques, obtient un taux de citation qui frôle 100%, • l’interdiction des pratiques générant des risques élevés, qui avait nettement reculé entre 2005 et 2007/2008, redevient cette année une stratégie clé de gestion des risques pour 91% des entreprises interrogées, • les protections contractuelles vis-à-vis des tiers, dans un contexte de crise économique et de développe- ment commercial très tendu, dépassent de 7 points le niveau de citations le plus élevé atteint en 2004 avec 88%, • l es couvertures par des polices d’assurance : qui est stable avec un taux de citation de 80%. Il ressort également de cette enquête que : • deux traitements sont du domaine de la prévention et deux du domaine de la protection. Dans un tel en- vironnement, il n’existe intrinsèquement pas d’aléa liés à l’exécution, • la stratégie qui vise à transférer et à externaliser une fonction qui présente des risques est aujourd’hui uti- lisée par 20% des répondants contre 40 % à 51% lors des exercices 2004 à 2008. 155 annexes Pour l’enquête E7 : • seules 43% des entreprises déﬁ nissent et mettent en œuvre des solutions de ﬁ nancement des risques en coordination avec la maîtrise globale des risques, • le degré d’appétence au risque repose plus sur la catégorie de risques que sur sa gravité : les sociétés semblent prêtes à prendre des risques lorsque ceux- ci sont externes (environnement concurrentiel, mar- chés ﬁ nanciers, fusion & acquisition) contrairement à ceux qui seraient internes (santé & sécurité, liquidité, conformité, contrôle interne). 3.5 Le pilotage du dispositif de gestion des risques Deux aspects sont traités dans le cadre des enquêtes : le volet monitoring via le reporting et le volet gouvernance par des instances dédiées. 3.5.1 Reporting L’enquête E7 nous informe que : • la cartographie des risques s’est imposée comme un reporting de référence au niveau européen : 60% font un exercice de cartographie sur l’ensemble du groupe tandis que 17% se contentent du Corporate. Par ailleurs, l’étude E5 nous dit que : • 56 sur les 90 sociétés analysées ont indiqué l’exis- tence d’une cartographie des risques soit 62% : 53 d’entre elles en ont décrit les principaux éléments : 34 de ces sociétés font partie du compartiment A, dont 29 appartiennent à l’indice CAC40 (72%). Selon l’enquête E6, la cartographie est l’outil de repor- ting le plus utilisé par l’ensemble des sociétés avec : 84% pour le CAC 40, 80% pour le SBF120 et 40% pour les MidCap. Selon les membres du groupe de travail : • les travaux de construction des cartographies sont conduits en recherchant les risques sans un travail de recherche des dysfonctionnements réels et encore moins potentiels (cause des risques) dans les activités opérationnelles. En d’autres termes, les dysfonction- nements ne sont pas déduits et localisés au sein des processus exécutifs, opérationnels et supports, reﬂ et de l’activité de l’entreprise. • les approches conduites par les membres du groupe de travail sont en ligne avec les enquêtes, par contre la déduction des dysfonctionnements et des risques à partir des processus n’est pas une pratique installée. Selon l’étude E1, d’autres reporting sur les risques sont utilisé: • Reporting spéciﬁ que sur incidents (déclarations d’assurance, réclamation clients, déclaration d’acci- dents du travail…), c’est la méthode la plus utilisée pour suivre les risques (77%). Si elle constitue un point essentiel du dispositif (et même obligatoire dans certaines industries comme la banque), elle n’offre qu’une vision « rétroviseur des risques » en ne prenant en compte que les risques avérés et ne per- met pas d’avoir une vision plus proactive permettant d’identiﬁ er les risques émergents, peut-être faibles pour le moment mais dont la gravité pourrait s’ac- croître rapidement. • Auto-évaluation périodique des risques et du contrôle interne opérationnel : cette méthode est citée par 76% du panel de l’étude E1 (soit le même niveau que le reporting spéciﬁ que sur incident). Cette démarche, qui est en progression dans les entreprises françaises, présente l’avantage d’impliquer et donc de sensibiliser les opérationnels sur le terrain. Cette méthode permet en outre de détecter les nouveaux risques et de suivre l’évolution des risques émergents. • Intégration des risques dans les reporting stan- dards du management : c’est la 3ème méthode citée dans l’étude E1 (61%). Cette méthode permet d’afﬁ r- mer la place de la gestion des risques dans les missions et le quotidien de chaque manager opérationnel et ouvre aussi la voie à l’objectivation de ces derniers sur la performance de leur dispositif de gestion de risques qui peut se trouver de fait intégré aux indicateurs étu- diés lors des revues de performance managériale. • Les directeurs ﬁ nanciers, de leur côté, citent dans 48% des cas des tableaux de bord spéciﬁ ques d’in- dicateurs de risques. De plus, l’étude E6 mentionne que : • sur le plan européen, l’activité gestion des risques est globalement bien intégrée dans le reporting effectué auprès des conseils (78%) et le thème de la gestion des risques est généralement abordé a minima une fois par an au sein des conseils d’administration. 156 annexes • en revanche, les entreprises françaises sont en retrait sur l’intégration de la gestion des risques dans le re- porting au conseil d’administration (35%), à compa- rer aux meilleures pratiques britanniques (76%) ou allemandes (60%). Enﬁ n, nous avons noté que le guide Méthodologique de novembre 2010 de l’IFA (Le suivi de l’efﬁ cacité des systèmes de contrôle interne et de gestion des risques) préconise que le pilotage du dispositif de gestion des risques repose sur : • l e suivi d’indicateurs-clés de performance relatifs au dispositif de gestion des risques : ces indica- teurs doivent permettre de rendre compte autant que faire ce peut de l’évolution d’un risque (dans sa dimension impact et probabilité) au travers par exemple d’indicateurs d’alerte (ex : dérives par rap- port aux prévisions, évolution des causes/évène- ment générateur du risque, évolution de la vulnéra- bilité de l’entité/entreprise au risque…), • le suivi documenté des plans de remédiation de chacun des risques identiﬁ és par l’intermédiaire d’in- dicateurs permettant de suivre le déploiement des plans et quand cela est possible d’indicateurs per- mettant de mesurer l’efﬁ cience du plan (réduction de la probabilité et/ou de l’impact), • le recensement et l’analyse des incidents avérés : incidents, fraude, sinistres. 3.5.2 La gouvernance des dispositifs : les instances dédiées Il ressort des différentes études que la gouvernance des dispositifs de gestion des risques est assurée par ces ins- tances ou fonctions : le comité des risques, le comité d’au- dit et l’audit interne. LE COMITÉ D’AUDIT ET/OU DES RISQUES Pour l’enquête E2, nous relevons que : • 35% des répondants sont membres ou invités d’un comité « opérationnel » des risques tandis que 30% sont invités au comité d’audit, • dans 92% des cas le comité des risques s’intéresse à l’ensemble des risques de l’entreprise et pas seule- ment aux risques ﬁ nanciers. Pour l’étude E7 : • 40% des personnes interrogées comprennent le man- dat assigné au comité d’audit et/ou des risques dans leur entité (contrôler la conformité, analyse des risques et revue critique de la stratégie de gestion des risques), • l’activité de gestion des risques est globalement bien intégrée dans le reporting effectué auprès des conseils (78%) et le thème de gestion des risques est généralement abordé a minima une fois par an au sein du conseil d’administration. Pour l’enquête E6 : • la distinction entre les comités des risques et les co- mités d’audit ne concerne que 14% des sociétés du CAC 40 (et respectivement 8% du SBF 120 et 5% des midcaps) celle-ci est encore naissante. Le suivi et la surveillance du dispositif de management des risques est un sujet concernant surtout les comités d’audit des entreprises du CAC 40 et du SBF 120 et dans une moindre mesure les midcaps, • les principaux travaux assurés par le comité d’audit sont les suivants : Suivi de la gestion des risques durant l'exercice Revue de la cartographie des risques Suivi de l'efﬁ cacité des mesures de couverture des risques CAC 40 92% 47% 58% SBF 120 77% 56% 40% Midcaps 37% 22% 17% TRAVAUX DU COMITÉ D'AUDIT LIÉS À LA GESTION DES RISQUES 157 annexes Concernant l’étude E5, à propos du comité d’audit : • 85% des sociétés de l’échantillon ont mis en place un comité d’audit ou des comptes distincts du conseil (ce taux s’élève à 100% pour les sociétés du CAC 40 de l’échantillon). 7% des sociétés de l’échantillon ont conﬁ é cette fonction au conseil réuni en formation de comité d’audit, parmi les 8% restantes, 4 ont déclaré n’avoir pas mis en place de comité d’audit et les trois autres n’ont donné aucune information sur ce point ; • dans 81% des sociétés qui ont mis en place un comi- té d’audit distinct du conseil et qui ont communiqué l’information adéquate, la présidence de ce comité a été conﬁ ée à un administrateur indépendant. Au sein des sociétés du CAC 40, 91% des comités d’au- dit sont présidés par un administrateur indépendant ; • 33% des sociétés de l’échantillon ont précisé s’être appuyées sur le rapport du groupe de travail de l’AMF sur le comité d’audit de juillet 2010. L’AUDIT INTERNE Pour l’étude E6 : • l’audit interne est totalement ou partiellement impli- qué dans le processus d’évaluation de la robustesse et de l’efﬁ cacité des risques pour 61% des personnes interrogées. Toutefois pour plus d’un tiers des répon- dants (39%), l’audit interne est toujours considéré comme non impliqué dans ce processus d’évaluation (29%), ou comme jouant un rôle ﬂ ou voir ambiguë, • ces opinions sont sans doute en lien avec le fait que selon l’étude E7, dans 13% des cas, l’audit interne et les risques sont intégrés à la même direction, et dans 30% des cas la direction regroupe l’audit Interne, le contrôle Interne et les risques. D’après l’étude E5 : • l’évaluation du contrôle interne et de la gestion des risques concernent 55 sociétés de l’échantillon. En ef- fet, 61% du panel ont consacré des développements à l’évaluation et/ou l’audit de tout ou partie des pro- cédures de contrôle interne et de gestion des risques en précisant, le cas échéant, la nature des travaux conduits spéciﬁ quement en la matière au titre de l’année 2010, • parmi ces sociétés ﬁ gurent 34 sociétés appartenant au compartiment A, représentant 85% de cette caté- gorie et 21 sociétés appartenant aux compartiments B et C, représentant 42% de cette catégorie. ANNEXE 2 : textes et references BIBLIOGRAPHIques En France, Gestion des risques et contrôle interne Loi de Sécurité Financière (2003, 2005 et 2008) Le rapport du président devant « rendre compte des pro- cédures de contrôle interne et de gestion des risques mises en place par la société, en détaillant notamment celles des procédures relatives à l’information à l’élaboration et au traitement de l’information comptable et ﬁ nancière pour les comptes sociaux et, le cas échéant pour les comptes consolidés » (article L225-37 du code de commerce) ; Dili- gences du CAC sur le rapport du président ; Ordonnance du 8 décembre 2008 Le comité d’audit est notamment chargé d’assurer le suivi de l’efﬁ cacité des systèmes de contrôle interne et de ges- tion des risques (article L823-19 du code de commerce) ; Le cadre de référence de l’AMF 2010 - publication juillet 2010 Il correspond à un aménagement du cadre de référence publié en 2007, ce travail a été conduit par un groupe de travail entre septembre 2009 et juillet 2010. Ce nou- veau cadre a une double ﬁ nalité (i) répondre à la Loi de Sécurité Financière : cadre de référence, (ii) répondre à l’ordonnance de décembre : rapport du comité d’audit. Travaux de l’AFEP, de l’ANSA, du MEDEF et de MiddleNext - Code de gouvernement d’entreprise des sociétés cotées AFEP-MEDEF (Décembre 2008) ; - Code de gouvernement d’entreprise pour les valeurs moyennes et petites - MiddleNext (dé- cembre 2009) ; - Systèmes de contrôle interne et de gestion des risques (« CIGR ») Principes communs pour les sociétés. 158 annexes Travaux de l’IFA - Les comités d’audit : 100 bonnes pratiques (Jan- vier 2008) - Prise de position IFA-IFACI sur le rôle de l’audit interne dans le gouvernement d’entreprise (mai 2009) ; - Le rôle de l’administrateur dans la maîtrise des risques (en collaboration avec l’AMRAE, juin 2009) ; - Comités d’audit et auditeurs externes (novembre 2009) ; - Guide Méthodologique de suivi de l’efﬁ cacité des systèmes de contrôle interne et de gestion des risques (novembre 2010). Travaux de l’IFACI Relatifs aux procédures de gestion des risques - Management des risques, 2001 (traduction d’un ouvrage anglais) ; - L’efﬁ cacité des comités d’audit, les meilleurs pra- tiques (étude réalisée par PwC et parrainée par l’IIA, traduite par l’IFACI et PwC, mai 2002) ; - Etude du processus de management et de carto- graphie des risques, janvier 2004 (cahier de la recherche - guide d’audit) ; - L’auto-évaluation du contrôle interne, octobre 2005 (cahier de la recherche -guide d’audit-) ; - Des clés pour la mise en œuvre du CI, avril 2008 (cahier de la recherche- meilleures pratiques-) ; - Contrôle interne et qualité, pour un management intégré de la performance, mai 2008 (cahier de la recherche notes professionnelles). Travaux de l’AMRAE - Rôle de l’administrateur dans la maîtrise des risques ; - Analyse et présentation des travaux de l’AMF relatifs à la gestion des risques et au comité d’audit ; - Le Risk Manager et l'intelligence économique ; - Trajectoire vers un Enterprise Risk Management (ERM) ; - La cartographie: un outil de gestion des risques ; - FERMA - European Guidance ; - La gestion du risque juridique dans l'entreprise (étude de FIDAL menée pour l’AMRAE). 159 160 CONTACTS AMRAE - Association pour le Management des Risques et des Assurances de l’Entreprise Bénédicte HUOT DE LUZE Déléguée Générale benedicte.deluze@amrae.fr www.amrae.fr APDC - Association des Directeurs de Comptabilité & de Gestion Philippe THIERRY-MIEG Secrétaire général Responsable du groupe Contrôle Interne pthierry-mieg@apdc-france.com www.apdc-france.com BMA - Bellot Mullenbach & Associés Jean-Louis BRUN D’ARRE Expert-comptable, commissaire aux comptes jl.brun-darre@bma-paris.com www.bma-paris.com KPMG Sylviane HAUTIN Associée Internal Audit, Risk and Compliance Services shautin@kpmg.fr www.kpmg.fr DFCG - Association nationale des directeurs ﬁ nanciers et de contrôle de gestion Florence GIOT Coprésidente de la Commission Contrôle interne et maîtrise des risques de la DFCG siege@dfcg.asso.fr www.dfcg.com GROUPE DE TRAVAIL Membres du Groupe de Travail Jean-Paul ARTAUD RTE Responsable de la mission « Maîtrise des risques » Réseau de Transport d’Electicité Direction Financière Pierre-Alain AUBIN EURAZEO Head of Internal Audit Christophe AUTRIVE CARREFOUR Directeur de l’Audit interne Philippe BERNARD RHODIA Directeur des Risques et Assurances Bruno BIGUET THALES Directeur des Risques et du Controle interne Anne BRAU IMERYS Risk manager, responsable contrôle interne Gilbert CANAMERAS ERAMET Directeur du Management des risques Groupe Président de l’AMRAE Emmanuel DAOUD Cabinet VIGO Avocat - Associé Florence GIOT ALSTOM POWER VP Finance Efﬁ ciency Alstom Power Benoit GRISARD LA POSTE Direction des Risques Groupe Sylviane HAUTIN KPMG Associée Internal Audit, Risk and Compliance Services Maureen JUBERT ETAM Directrice Audit interne Christine LEFEVRE EDF Responsable du Contrôle interne comptable et ﬁ nancier / Direction comptable groupe Anne MARGUERIE LA POSTE Direction des Risques Groupe Bertrand MONTIER BMA Manager Jean-Marie PIVARD NEXANS Corporate VP Internal Audit Michel TUDREJ EDF Directeur de mission - en charge du CI groupe EDF David WILLIAME SUEZ ENVIRONNEMENT Chargé de Mission Direction de la Performance Membres du Comité de pilotage Jean-Louis BRUN D’ARRE BMA Expert comptable, Associé Bénédicte HUOT DE LUZE AMRAE Déléguée Générale Eric ROPERT KPMG Associé Philippe THIERRY-MIEG AREVA Responsable contrôle interne / Direction Financière AREVA Responsable du groupe Contrôle interne Finance APDC Remerciements Guillaume GASZTOWTT, Co-Président du groupe de place AMF 2005, Partner Advisory Services KPMG Livre Blanc En partenariat avecavec le soutien de AMRAE 80 Bd Haussmann 75008 Paris Tél. : 01 42 89 33 16 www.amrae.fr amrae@amrae.fr APDC Maison de la Finance 14 rue Pergolèse CS11655 75773 Paris CEDEX 16 Tél. : 01 40 20 96 05 www.apdc-france.com contact@apdc-france.com ISBN : 978-2-9535998-3-1 « Pour une amélioration de la performance opérationnelle via l’optimisation des processus et une meilleure intégration de la maîtrise des risques » MISE EN ŒUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF « Gestion des risques, efﬁ cacité du processus de la gestion des risques, suivi de l’efﬁ cacité… » - depuis 2010 tous ces termes ont été pris et repris mais sans aller plus loin dans les informations pratiques quant à leur mise en œuvre. Avec ce livre blanc - issu d’une collaboration fructueuse entre des risk managers, contrôleurs ou auditeurs internes d’entreprises, des associations professionnelles et des cabinets d’audit - ce sont l’expérience terrain, le vécu des entreprises et des proposi- tions pratiques qui sont exposés. Le cadre de référence de l’AMF sert de ﬁ l rouge à cet ouvrage et permet au lecteur de comprendre pas à pas le déploiement d’un dispositif de gestion des risques. Trois chapitres pour trois objectifs : - En premier lieu, une compilation d’enquêtes permettra au lecteur de mesurer la performance de sa pratique de gestion des risques, - En deuxième lieu, un planning précis de déploiement d’un dispositif sous forme de cinq étapes clés lui sera proposé, dans le but ultime d’améliorer la performance de l’entreprise, - En troisième lieu, les outils et reporting réellement utilisés lui seront présentés. Destiné aux Entreprises de Taille Intermédiaire, cet ouvrage s’adresse aux directions ﬁ nancières, souvent responsable de la gestion des risques dans ces structures. Un livre blanc pratique, un guide de mise en œuvre, un soutien pour les entreprises qui veulent transformer une conformité réglementaire en un avantage compétitif, gage de performance. MISE EN œUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF « Pour une amélioration de la performance opérationnelle via l’optimisation des processus et une meilleure intégration de la maîtrise des risques » Livre Blanc MISE EN œUVRE DU CADRE DE RÉFÉRENCE ACTUALISÉ DE l’AMF Livre Blanc AMRAE - APDC Risk Management Implementing the French RM framework “For an improved operational performance through processes optimisation and a Risk Management fuller integration” WHITE PAPER 2015 2 About AMRAE The Association pour le Management des Risques et des Assurances de l’Entreprise (The Association for Corporate Risk and Insurance Management) comprises more than 1000 members from 700 French public and private sector firms. One of the association’s objectives is to develop a Risk Management “culture” within organizations and to assist members in their relationships with insurance market actors and public authorities. The association advises members on risk assessment, funding control and insurance spending. In order to answer professional training expectations of its members, who legitimately look to the association for support, its entity called AMRAE Formation provides high-level, certified and graduate formation. This book is a translation of part 1 and 2 of APDC White Paper published in 2012 and written by AMRAE and APDC with support from the DFCG and in partnership with KPMG and BMA. 3 We would like to take this opportunity to thank all those who have contributed to the realization of this manual - Jean-Louis Brun D’arree, Accountant, BMA - Bénédicte Huot de Luze, Chief Executive Officer, AMRAE - Eric Ropert, Partner, KPMG - Philippe Thierry-Mieg, Head of internal audit, AREVA - Jean-Paul Artaud, Director of the mission « Risk Management », RTE - Pierre-Alain Aubin, Head of Internal Audit, EURAZEO - Christophe Autrive, Head of Internal Audit, CARREFOUR - Philippe Bernard, Director of Risks and Insurance, RHODIA - Bruno Biguet, Director of Risks and Internal Audit, THALES - Anne Brau, Risk Manager, Head of Internal Audit, IMERYS - Gilbert Canameras, Director of Risk Management, ERAMET - Emmanuel Daoud, Partner, VIGO Office - Florence Giot, VP Finance Efficiency Alstom Power, ALSTOM POWER - Benoit Grisard, Direction of Risk, LA POSTE - Sylviane Hautin Partner Internal Audit, Risk and Compliance Services, KPMG - Maureen Jubert, Head of Internal Audit, ETAM - Christine Lefevre, Head of Internal Audit Accounting and financial, EDF - Anne Marguerie, Direction of Risk, LA POSTE - Bertrand Montier, Manager, BMA - Jean-Marie Pivard, Corporate VP Internal Audit, NEXANS - Michel Tudrej, EDF Director of the mission – in charge of the CI, EDF - David Williame, Head of Mission, Direction of Performance, SUEZ ENVIRONNEMENT - Guillaume GASZTOWTT, Co -President of the group AMF 2005, Partner Advisory Services KPMG - We thank Jean-Paul Louisot, Member of AMRAE who made this translation. 4 Editorial The transposition into French legislation of the European Union Directives has triggered a number of reactions, discussions and awareness and at the forefront the need for all organisations to develop and implement an efficient management of risk. This increase visibility on risk management, not a new topic but often limited so far to raising the level of risk culture within the organisation, encourages and sheds a new and positive light on managed risk taking as creating value. In this context, the regulator 2 has updated in 2010 his framework published in 2007 on two issues: risk management and the role of audit committee, which will not be addressed in this document. The development on risk management is entirely new and it is worth noting the dual purpose of the regulator: “Improve the monitoring of the activities and secure the objectives.” Therefore, this regulation should not be perceived as a constraint. Practitioners, auditors, and professional organisations understanding the context have decided to develop a positive, structured, and tailored approach to i mplement the framework. The basic idea is to transform a potential constraint in a fundamental element for the performance and the improvement of the organisation. A number of exchanges have allowed designing a five key steps path from compliance to performance. With the present approaches, organisations progress simultaneously on several fronts: strategy and process reliability, ethics and governance. It is the combined strength of all these drivers that ensures the overall organisation’s maturity, the optimal performance can be reached only if all these elements are managed efficiently. At the end of its project, the group has wished to offer to the financial officers a set of tools used by all the participants. These tools aim at serving as a source of inspiration, while remaining practical for the implementation of the framework. The set is not intended for exhaustive implementation in any single organisation. The objectives of this white paper is to seek performance rather than compliance, pragmatism rather than theory, a pathway focused rather than scattered. Jean-Jacques JEGOU Chief Financial Officer ZODIAC AEROSPACE GROUP 2 AMF – French regulator for Financial Markets in France 5 Table of contents Editorial...................................................................................................................................................................................................... 4 Executive Summary ....................................................................................................................................................................... 6 I) THE CFO PATH TO RISK MANAGEMENT ............................................................................................. 7 1) Risk Management in a few words .................................................................................................................................. 7 2) Risk Management: organisational practices & maturity ..................................................................................... 9 3) Risk Management: implementation steps ............................................................................................................... 11 4) The Key Drivers of success for the implementation ........................................................................................... 20 Conclusion of part 1 ........................................................................................................................................................................ 21 II) Incorporating Risk Management in the Performance Improvement process: steps and tool sets ......................................................................................................................... 22 1) Definitions ............................................................................................................................................................................. 22 2) The steps in the evolution and transformation .................................................................................................... 23 3) Risk Management Tool Sets ........................................................................................................................................... 29 III) Technical Summary Sheets: Step by Step ERM implementation path ............ 39 1) Step 1 : Identifying risk areas ....................................................................................................................................... 39 2) Step 2 : Implementing the Risk Management Frame ......................................................................................... 40 3) Step 3: Making Sure the Risk Management Frame is efficient…………………………………………………..41 4) Step 4: Improving the operational processes performance………………………………………………… …...42 5) Step 5: Optimizing the Risk Management Frame………………………………………………… …........................43 6 Executive Summary In July 2010, as a part of the process of transposing the European Union Directives, into the French legal system, the AMF introduced a risk management dimension within its framework and specified that its intention was to propose a progress tool, going much further than a mere compliance. The framework sets out some principles and proposes some questionnaires. It includes a specific reference to risk management without providing an implementation guideline. Taking into account that what is at stakes is the improvement of the performance in the execution of the operational activities, and the need for robust economic models, the drafting team was set up to develop implementation for the framework to open a new perspective in term of organisations’ evolution, transformation, and performance. The paper resulting from the discussion is organised in two parts:  In part one; we suggest to the CFO the steps in an evolution path to go beyond regulatory compliance to improved performance, thanks reasonable optimal risk taking. This path includes the modelling of processes, an improved understanding of risks, followed by the transformation of operational practices, to end up establishing a continuous progress approach in the execution of operational processes. When the path has been completed, the CFO will have established a sustainable man agement practice of a cultural process approach together with reasonable risk taking. This culture is the best rampart of protection and growth for the organisation’s economic model.  In part two, we offer an implementation guide. It supply to the staff of the finance department that will be in charge of implementing the package a set of tools that will allow them to develop the road map to evolution. The package is made of technical forms describing the content of the step, a toolkit, and feedback loops. For each step, we suggest tools that have been already tested by members of the group. The toolbox is more like a suggestion box where each team can borrow ideas to adapt and tailor the tools to the organisation’s specific needs and circumstances. The development of the reasonable risk taking culture, the performance and robustness of the economic model are initiated as early as the first step to ensure alignment of performance and compliance. During the group proceedings, it was established that to exceed th e knowledge of risk areas and exposures, and progress towards performance improvement, it is essential to include an additional dimension, the process approach. We believe that mastering process modelling associated with a strong risk culture is essential driver of success in the transformation effort. Such a dynamics will open to the process approach different positions and trades not usually inclined to do it, thus allowing them to improve other topics like information systems, and management systems like ABC, lean management, or an independent transversal vision of the organisation. Thanks to this project, the finance department consolidates its progress towards a business partner’s status. Caveat The present translation is limited to part of part 1 and part 2 of the whitepaper relating to the integration of Risk Management and Performance enhancement i.e. pages 15 to 51 extracted from the 160 pages document. 7 THE CFO PATH TO RISK MANAGEMENT 1) Risk Management in a few words Any organisation’s objective is to take measured risks, i.e. take risks but not at any cost. All managers, all organisations through the ages have dreaded yet taken and managed risks. However, in the current international context of globalisation, where mega size companies are developed, it is more and more difficult for top management to know their exposures and put in place relevant radar to monitor constantly their major threats, and the lack of opportunities. The risk managemen t framework offers the structured and formalised mean for bottom-up information on threats and their prioritization. As far as the internal control framework is concerned, it organises systematically and automatically operations reliability.  The Risk Management framework Within the AMF framework, risk is defined as: “Risk is the possibility that the occurrence of an event will produce consequences which could impact people, assets, the environment, the organisation’s objectives, or its reputation.” Risk is characterized by one or several sources (dysfunctions, or risk factors) and one or more impacts (consequences). Within the AMF approach, the risk management framework is defined as: “Risk management includes a set of means, behaviours, process es, and actions tailored to the characteristics of each organisation allowing top management to maintain risks at a level acceptable for the organisation.” Risk management’s objectives as set by the AMF approach include:  Protecting value: create and preserve the value, the assets and the reputation of the organisation;  Securing process execution: decision making process security, and the organisation process to enhance objectives achievement;  Enhancing Values: ensure coherence of actions within societal values;  Sharing understanding of risks specific to the organisation: mobilize the organisational staff on a common vision of the major risks and raise their awareness of risks specific to their activity. The four components of the risk management frame work suggested by the AMF are: 1. Risk management objectives, 2. Organisational frame, 3. Risk management process: a. Risk identification b. Risk analysis c. Risk treatment (major risks) d. Monitoring and review I 8 In other words, the Risk Management framework sets up the mechani sms that will facilitate the detection of dysfunctions and undesirable risk taking. Its main purpose is be proactive (anticipate risk) contrary to internal control that aims at being reactive (protection against revealed risks). The RM framework has three main characteristics: 1. Global: It is global in scope and covers all activities, processes, and assets of the organisation. Hence, Risk management is everyone’s business within the organisation (operational as well as support functions); 2. Dynamic: Risk Management is a dynamic device for the organisation, not a static one. It is the organisation’s responsibility to develop and implement risk management as an evolution project. It evolves year after year to follow the markets and activities evolution. It must be adjusted according to noticed and foreseeable evolutions of the context in which the organisation operates; 3. Tailored: Risk Management must be organized and adapted to the organisation’s size so that the effort is aligned with what is at stake in the organisation, and its orientations.  The Internal Control framework Within the AMF approach, internal control is defined as: “Internal Control is an organisation’s function developed and implemented under its responsibility. It includes a set of means, behaviours, processes, and actions tailored to the characteristics of each organisation that: - Contribute to the conduct of activities, operation efficiency and effectiveness (optimal use of resources); and - Allow it to take into account the significant risks appropriately, whether they are operational, financial, or compliance.” In other words, the Internal Control function, through behaviours and processes, aims at enhancing the reliability of operations as well as accounting and financial information. Its first goal is to act as a protection of the organisation, and not as an anticipation mechanism like the risk management framework.  The Interactions between Risk Management & Internal Control The risk management function: - Reveals the unacceptable risks that must be reduced through appropriate control measures that are part of or should be part of the internal control function, - Includes “control points” to verify that the measures are in place. The internal control function: - Keeps under acceptable levels the risks revealed by the risk mapping process, - Includes “control points” to validate the control measures. 9 2) Risk Management: organisational practices & maturity To provide the CFO as accurate a picture as possible of the current state of affairs in matters of risk management in the different organisations, we compiled several recent surveys and studies on risk management. This compilation provides a vision of the current level of maturity of RM practices in organisations in France, in Europe, and in the World. The results of the practices found in the literature are presented here below in alignment with the themes of the AMF framework introduced here above, i.e. RM objectives, Frame, RM process, and Monitoring & Review.  The Objectives of Risk Management Close to twenty different objectives are mentioned in the literature reviewed which illustrates the heterogeneity of the expectations with regard to risk man agement activities. However, five of them are quoted most often: - Identify emerging risks - Reduce operational losses - Contain results volatility - Reinforce the business plan hypothesis / strengthen the strategic process / align risk appetite and strategy; - Improve the organisation’s resources / allow managers to make better decisions. However, the major conclusion that stems from these studies is that the main driver for implementing risk-management in an organisation remains compliance, followed by reaching the organisational objectives within the defined risk appetite. The experience of the members of the group is that the objectives assigned depend on the responsibilities of the person detailing them (top management, operational managers, stockholders, etc.). When it comes to top management, their expectations are to understand and control critical risks, legal and regulatory compliance, and identify risks linked to future investments.  The Risk Management Frame Most of the literature stresses the need to clearly define the process for which risk management can be efficient: i.e. assigning specific responsibilities, sharing a common vocabulary, and communicating RM objectives. These elements are included in the formal document defining the Risk Management policy. Conversely the main hindrances for a successful RM are the complexity of the system and its implementation and resistance to change. When RM is accompanied by a heavy bureaucracy it may be conceived as an additional layer of compliance. Risk Management activities are usually split between the finance department , top management, audit, and internal control, and the risk manager generally reports to one of these entities. 10 Studies show that the risk manager’s coordination and relations with the other “risk owners” are improving. There is increasing evidence of a b etter partial and even sometimes complete, integration of the different components, where some act as true partners, and not as competitors. Few studies report on Risk Management documentation, especially on the definition of risk tolerance or risk appetite. However, it seems that this will be a major and delicate issue in the near future as more and more regulations insist on governance bodies defining “tolerable risk levels”. Many organisations declare that they use the AMF approach, but some refer to th e COSO 2 frame. As far as the group members are concerned: - Their Finance department and audit are heavily involved in the RM activities, - The absence of a strong sponsoring by top management and the lack of appropriate resources (human and financial) are t he main hindrance to the development of risk management throughout the organisation.  The Risk Management Process Risk Identification and Analysis Several risk identification tools are mentioned: interview, workshops with top management, internal audit missions, and monitoring indicators are key tools in the identification step. Risk analysis consists of the examination of the different possible causes and the probability of occurrence of a risk, and the potential impact (financial, human, legal, and reputational) if an event occurs, and the level of control the organisation has over risk occurrence. Thus management will be in a position to decide whether the residual risk is at a level acceptable for the organisation. Risk analysis provides a qualitative evaluation of risks and of their controls. Setting up prioritization workshops has become the benchmark in Europe. Some listed companies are torn between the obligation of risk transparency towards their stockholders, and the need to protect confidential information and as a result do not divulge estimates on their risks. Risk Treatments for major risks The surveys list only the traditional risk reduction methods used by the organisations like internal control processes or contractual transfer for risk reduction, or risk financing. It seems also that externalization that was once hot for risky activities has become less fashionable. This has created a move towards re-internalization to take over the control of activities once subcontracted, resulting in a lower cost of risk. There seems to be a growing trend toward limiting the level of risk that operational managers are allowed to take so that they align with the decisions made by the governance bodies and top management. 11  The Risk Management Monitoring and Review Risk Mapping and its regular updating has become the monitoring tool of reference in Europe. In France most of CAC 40 companies and SBF 120 [organisations state th at they use this tool. As far as midsize companies are concerned, only 50% of them use it. The surveys do not mention the frequency of updating, and other monitoring tools are mentioned, but their efficiency or effectiveness is not clearly defined: - Key Indicators: They ensure a follow-up on some risks, or the performance of risk reduction measures; - Follow-up on action plans : They include a time table to follow the implementation of measures and activities which ensure that risks are controlled internally; - Risks and operational controls self -evaluation: These assure that control measures are properly implemented and efficient, and help in detecting emerging risks; - Incident registration for specific processes : It allows the identification of areas where risks are not enough under control, and also to follow the development of disputes bringing feedback experience and providing alleys to correct the measures that would prove inappropriate. As far as group members are concerned, their experiences are aligned with the findings of the surveys. However, dysfunctions and risks are not identified at the process level or through a mapping of process risks. They are identified thought listed scenari os that allow assessing the level of risk taking. 3) Risk Management: implementation steps In the following pages, we aim at bringing elements needed for rules regarding risk management that will be prescribed or reinforced not only be aligned with compliance but also allow the CFO to contribute to his/her organisation’s transformation, to participate in optimization efforts, and thus to transform a constraint into an opportunity. The path to ERM evolution and transformation is split into six steps that will be explained next.  Risk Management: The six steps for evolution and transformation No organisation could expect to go from no risk management at all to a fully mature RM development in a very brief period. Each organisation is unique in its levels of maturity, and the steps proposed here after will allow each to find its own path of evolution. The trajectory proposes a path to maturity in six steps. We believe the ultimate goal of the implementation of risk management is to help optimize the organisation’s performance, with compliance with the proposed AMF RM framework reached as early as step 3. The six steps sequence is illustrated in table 2. The feedback loop is materialized to stress the importance of the iteration of the steps (we recommend an annual revision) so that the process of continual improvement is 12 made clear to staff. We have labelled “0” the preparatory step that is absolutely essential. At this step, the evolution and/or transformation scope is defined, as well as the definition of priorities and hedging. These decisions may result in the temporary or permanent exclusion from the scope of the Risk Management project of some activities, some territories, and some Business Units. The members of the drafting team have often obse rved that here, as in other areas, there can be the lack of proper preparation, adequate communication, and evaluation of the resources required to be deployed to properly address the top management priorities. These weaknesses can lead to: - Consider RM only as an additional compliance issue : This leads to losing the potential dynamic created by the RM process that could develop a continuous improvement logic and a transformation process; or - Initiate a transformation process doomed to fail : This results in failure because the operational managers involved in the process have not been properly coached to understand and perform the modelling of processes and the productivity gains that they could obtain thus. The path that leads to compliance and on to performa nce consists in the six following steps. Step 0: Defining the evolution/transformation project  Define with precision top management expectations – risk management objectives – with a clear distinction of what pertains to compliance and what pertains to performance because stakes, resources and benefits are different;  Identify and spot the sponsor;  Define the operational and functional areas to be included in the risk management project scope, these are specific for each organisation;  Adapt the content of each of the implementation steps to fulfil expectations;  Assess the resources needed for the risk management project. Step 1: Identifying risk areas  List the operational activities that generate major dysfunctions and could induce risks;  Identify and rank the main risk areas that might jeopardize the organisation’s objectives; 13  Sketch the architecture of the risk management framework (position the various components of the framework). Step 2: Implementing the Risk Management system  Deepen the understanding of the operational activities included in the project through refining the modelling of the processes;  Identify the processes that will be considered to be critical;  Develop and implement the Risk Management plan;  Formalize the content of the Risk Management system within the organisational frame: functions, human, technical, and financial resources, the progression of the risk management system to guarantee the sustainability of the functioning organisation. Step 3: Making sure the Risk Management Frame is efficient  Verify the risk areas are known and the control measures organized;  Execute the self-evaluation and consolidate the results;  Assess the implementation maturity and whether action plans are relevant;  Establish and implement revised action plans (on the basis of the results of the self evaluation). Step 4: Improving the operational processes performance  Develop a reference table for operational and support processes;  Define and update improvement objectives for the execution of the processes;  Optimize the processes functioning and improve the efficiency and effectiveness of all those within the project scope;  Implement the performance indicators defined for the processes:  Reassess periodically the performances of the activities of the processes, and the level or risk exposure. Step 5: Optimizing the Risk Management Frame  Simplify the processes that are mature and mastered in order to improve their efficiency;  Master risk taking while optimizing technical, human, and financial resources;  Integrate risk management efforts to all projects in the organisation.  The steps of the virtuous circle: evolution and transformation The evolution dynamic the steps of which are described in the following pages constitutes and engine for continuous progress. This dynamic is an essential element in the constant adaptation of the organisation’s practices to adapt to the market context evolution. To illustrate this situation, we have deemed necessary to introduce the concept of “virtuous circle” as represented in the exhibit 3. This “virtuous circle” corresponds to changes in behaviour and operational practices as the different steps are implemented which produces a new or revised culture. This culture is based on a shared knowledge of the operational and functional processes of the organisation. 14 Our understanding is that this “virtuous circle” creates a perpetual movement in which the organisation is involved that constitutes a consistent factor of progress for the improvement of the performance of its processes. The content and the extension of this “virtuous circle” will be modified year after year to the take into account the evolution of the context of the organisation (economical, activities, difficulties, organic frontier, and markets that can be outside of the organisation’s control). All staff within the organisation must share the dynamic that is embodied in the “virtuous circle” as far as performance and value creation as it allows, as soon as the project is implemented, to transcend the mere compliance. This approach imprints in all actors’ minds the notion of an opportunity to conduct change and performance enhancement. All the actors include the teams of the operational side as well as the support side of the organisation. Of course, each organisation will tailor the steps of the “virtuous circle” to its specific needs and capacity. The resources needed are different and the means are aligned to the orientations, objectives to be met, and ambition defined by top management. When the organisation acquires a new structure or develops new activities, it needs to integrate the “virtuous circle” and propagate this new dynamic that aims at developing a synergetic culture combining a process approach and a risk management. Scope of the steps of evolution-transformation It is quite essential that time and thought is spent on defining the scope of the project, which entities, activities, subsidiaries, BU, will be included in the project. The point is to clearly identify what is significant for the organisation, and the rules that lead to the identification must be formalized. The scope must be revised at least annually to take into account the evolution of the internal and external context (organic, markets, execution). The rationalization and the formalization of the RM project scope are essential, especially during the compliance phase. Economic reality must remain at the heart of the process, and the organisation must be particularly watchful so that geographically far away subsidiaries, or out of the core of business activities, are included within the RM scope. 15  The shared knowledge of the process progress To identify the risk areas and organize risk taking, it is essential to formalize the knowledge of processes, of activities, and context information regarding the organisation’s and group’s entities. This formalized knowledge is useful at several levels:  It creates a shared knowledge and a common language between the operational and the functional teams, including the financial department;  It allows to keep the hand on objectives and priorities defined by the sponsors to avoid entering a level of superfluous details that would require to high a level of resources;  It aims at organisational efficiency and effectiveness;  It introduces in each entity the process culture, a structuring approach for the entity, which can then be used to tackle other issues as explained here below. As the need to tackle performance begins to take shape within an organisation, it is important to gain a more and more precise knowledge of the activities and their operational and support processes. This understanding is translated int o a description that is more and more precise as time passes by. The modelling levels are described here below. The levels of activities modelling The level of activities modelling needed to develop the program of evolution - transformation pursued in this project is structured in three levels:  Global level: This level is needed to identify the risk areas. The detail level must be limited to fit on an A3 page. Such a space can show for up to forty processes which should be enough to formalize the progress of the main activities and the information flows needed for their development. With this basic knowledge, the identification of key risk areas is possible. Depending on the size of the organisation, this level may cover the entire organisation, or only a business unit or department.  Refined level: This level is needed to build the risk taking frame and identify the processes that could trigger them. Each of the entity or BU (business unit) that constitutes an organisation must identify its processes. The same is needed at the global level too; the A3 sheet limitation for each BU or entity seems a reasonable level of detail (granularity).  Detailed level: This level is needed to initiate the performance improvement process in order to enrich the model. The level of detail needed will depend on the activities and specificity of the organisation. At this level, activities and management rules accomplished within a process are described to allow for the necessary modifications of practices and the overall organisation’s performance. These general principles must be tailored to the organisational stakeholders. Thus, even within a given organisation, the levels of details depend on the entity or the BU specificity. Therefore, within a given entity, the level of modelling may differ from global (organisation level), to refined (BU level), to detailed (activity level). This understanding of the processes and activities, and of the management rules associated, is documented through a graphic representation (a model of the processes) whose formulation is specific to each organisation. 16 There are stumbling blocks. The level of granularity of the description must be defined with care. In most cases, organisations tend to adopt a level of details for the processes far beyond what is needed to reach the expected results. This situation will tend to slow down the expected dynamics. This exhibit illustrates at which of the six steps in the trajectory the description will have to be developed. This modelling in three levels offers these benefits:  Improved focus on essential stakes and critical processes;  Progressive effort aligned with priorities and top management choices;  Approach aiming both at compliance objectives, and identifying the performance drivers.  The benefits expected at each step Once the content of each step has been defined, it seemed necessary to offer markers that are key points in the evolution process and allow measuring the level reached. These marks have been split into six categories:  Expected benefits,  Difficulties/stumbling blocks,  Key success drivers,  Time needed,  Required resources,  Return on Investment (ROI) 17 Expected Benefits Expected Benefits Expected Benefits Expected Benefits Expected Benefits Expected Benefits - Formalization of what we want to undertake - Global rolling of the activities - Risk Management scheme elements architecture - Evaluation of the effectiveness of the RM Scheme - Reduction ofs processes dysfunctions - Delimitation of the scope of works - Spotting & prioritzing of risks -Risk Control measures -development of inidicators /monitoring KPI - Improvement of value created by the processes - RM Scheme simplification - Diminution du niveau des risques - Additional improvement of the processes performance Challenges Challenges Challenges Challenges Challenges Challenges - Appointment of the sponsors of works - Introduction of a process culture - Obtention of a real vision of the existing protection via sel- evaluation questionnaires - Understanding the RM scheme costs (braod approach) -Identification of relevant corrective actions -Assessment of the accpetable level of risk to be maintained -Definintion of the granularity of activities description via processes - Action plans relevance for RM scheme implementation - Decisions to be made on the existing scheme to transform and optimize it - Definition of a performance referential as a basis for performance measure - Definition of new performance indicators - Intégration of the proces approach for all actors - Too detailed description of concerned processes Key Success Factors Key Success Factors Key Success Factors Key Success Factors Key Success Factors Key Success Factors - Establishment of scope relevant work - Clear sponsor decision - Operational staff involvement in the project - Adequate deployment of the elements of the RM scheme - Involvement & mobilisétion of operational staff -Top management (executive team) involvement - Sensibilization of all actors to the process approach - Close monitoring of teams - Clear will of risk management (linked to the change of sponsor) -Clear definition of progress plans with unambiguous operational support - Integration of risk culture in all of the organzation's projects - Definition of "critical activities" scope - Good assimilation of process culture - Motivation of some actors' team Time needed Time needed Time needed Time needed Time needed Time needed * * * * * * * * * * * * * * * * * * * Required resources Required resources Required resources Required resources Required resources Required resources - the Finance Department, the direction of the audit and risk management - BU / Départements managers - BU / Départements managers BU / Départements managers & operational - BU / Départements managers & operational BU / Départements managers & operational ROI STEP 1 RISK AREAS IDENTIFICA TION STEP 2 Implement ing the Risk Manageme nt frame STEP 3 Making sure the Risk Manageme nt Frame is effective STEP 4 Improving the operational processes performanc e STEP 5 Optimizing the Risk Management Frame STEP0 PROJECT SCOPE For each step, the markers have been identified. These markers allow putting in perspective the objectives of the step. These key markers allow anticipating difficulties, to find the optimal conditions of success for the step and to develop guidelines to communicate with the operational managers and other interested parties. This exhibit offers a detailed presentation of the different markers themes. The last line sums up the ROI for each step. The table sums up the experiences and exchanges within the drafting team. It provides the marks in all six categories for each of the six steps described earlier. Although it is not exhaustive, it provides a sound vision on how to manage change in order to successfully cross each step. Next page in large size 18 Expected Benefits Expected Benefits Expected Benefits Expected Benefits Expected Benefits Expected Benefits - Formalization of what we want to undertake - Global rolling of the activities - Risk Management scheme elements architecture - Evaluation of the effectiveness of the RM Scheme - Reduction ofs processes dysfunctions - Delimitation of the scope of works - Spotting & prioritzing of risks -Risk Control measures -development of inidicators /monitoring KPI - Improvement of value created by the processes - RM Scheme simplification - Diminution du niveau des risques - Additional improvement of the processes performance Challenges Challenges Challenges Challenges Challenges Challenges - Appointment of the sponsors of works - Introduction of a process culture - Obtention of a real vision of the existing protection via sel- evaluation questionnaires - Understanding the RM scheme costs (braod approach) -Identification of relevant corrective actions -Assessment of the accpetable level of risk to be maintained -Definintion of the granularity of activities description via processes - Action plans relevance for RM scheme implementation - Decisions to be made on the existing scheme to transform and optimize it - Definition of a performance referential as a basis for performance measure - Definition of new performance indicators - Intégration of the proces approach for all actors - Too detailed description of concerned processes Key Success Factors Key Success Factors Key Success Factors Key Success Factors Key Success Factors Key Success Factors - Establishment of scope relevant work - Clear sponsor decision - Operational staff involvement in the project - Adequate deployment of the elements of the RM scheme - Involvement & mobilisétion of operational staff -Top management (executive team) involvement - Sensibilization of all actors to the process approach - Close monitoring of teams - Clear will of risk management (linked to the change of sponsor) -Clear definition of progress plans with unambiguous operational support - Integration of risk culture in all of the organzation's projects - Definition of "critical activities" scope - Good assimilation of process culture - Motivation of some actors' team Time needed Time needed Time needed Time needed Time needed Time needed * * * * * * * * * * * * * * * * * * * Required resources Required resources Required resources Required resources Required resources Required resources - the Finance Department, the direction of the audit and risk management - BU / Départements managers - BU / Départements managers BU / Départements managers & operational - BU / Départements managers & operational BU / Départements managers & operational ROI STEP 1 RISK AREAS IDENTIFICA TION STEP 2 Implement ing the Risk Manageme nt frame STEP 3 Making sure the Risk Manageme nt Frame is effective STEP 4 Improving the operational processes performanc e STEP 5 Optimizing the Risk Management Frame STEP0 PROJECT SCOPE 19  The comparison: steps content versus AMF framework The six steps of the path to RM maturity just described lead from compliance to performance. The content of this evolution is detailed in the technical data sheets that constitute part 2 of this document with the tasks to be performed at each step. These data sheets constitute an implementation guide for the risk management dimension included in the AMF framework version published in July 2010. Exhibit 6 presents in a matrix format the content of each of the steps 1 to 5 and the four component of the AMF Framework thus allowing mapping their alignment. Under the matrix, some comments are added. Step 0 has been omitted as it is really a preparatory step to organize the projects, and not really a technical step. It should be noted that efficiency for a risk management frame is reached when steps 1, 2, and 3 have been successfully implemented (see orange cells in Exhibit 6). While step 1 is crucial, it is too often not at all or not sufficiently formalized. Step 1 aims at identifying the risk areas. Therefore, this preparatory step is key to a successful implementation of RM. We have already stres sed that the scope of the RM frame, the activities, BU or department included in the project are the key to defining the level of resources needed for success. An annual revision of the elements included within the scope of the project is necessary to maintain its relevance taken into account the evolution of the internal and external context of the organisation. 20 The performance of the RM system (see green cells in Exhibit 6) will be optimised only upon completion of steps 4 & 5. Step 4 is particularly important when the goal is to improve the performance on the basis of an in depth understanding of the activities, the major processes of the organisation and how robust they are when executed. Once this level of maturity has been reached, it is then possible to initiate a performance continuous improvement process. The RM frame will be reinforced or simplified on the basis of the process of performance improvement involved with step 4. Thus, it is clear that the steps proposed here constitute a guide to implement the Risk Management extension of the AMF Framework as published in 2010. 4) The Key Drivers of success for the implementation We have identified four key drivers for the implementation:  Identification of the risk areas, and critical activities generating risks;  Developing a process approach, the benefits of which are shared by all;  Creating value (measurable) at the end of each step;  Establishing a communication policy.  Identification of the risk areas Whether during the compliance phase, or within the performance phase, it is essential to initiate the process by identifying the most critical processes in term of their impact on the implementation of the organisation’s strategy and the major risk areas. Step 1 and 2 are essential in the creation of this link.  Developing a process approach The introduction of a process approach culture and its integration into the operational practices is essential as it allows to work differently and to have a contro l lever for continuous improvement in the execution of the activities involved in the processes. As mentioned earlier, this culture will prove helpful in improving other topics, and other areas in the organisation.  Creating value (measurable) at the end of each step The steps proposed in the path to full maturity allow measuring the value created at each step and this becomes the dynamic engine for the evolution. In fact, the implementation of the RM frame rests on the efforts of the middle and top management of the organisation. As long as Risk Management is considered as a mere compliance, the operational personnel will not be inclined to spend time and efforts on 21 interviews and workshops, unless they can envision that this will lead to improvement in the operational management which is their daily responsibility. This is why the leader of this project must set a goal and measure the value created at each step.  Establishing a communication policy A strong communication policy is essential to the success of the RM project. These communication actions must inscribe in the DNA of all actors involved that the risk culture and the process culture are intertwined and both needed for the path to success. These actions will contribute to the creation of the culture needed, where all actors will understand the importance of taking controlled risks, use a common language, the same scales to measure frequency and severity, and the same perception of the risk limits that should not be crossed or exceed.  Conclusion of part 1 The objective of this part was to demonstrate that reaching compliance in terms of risk management is not enough, it is only a point of passage towards improvement in the operational execution and the robustness of the economic model of the organisation. This project requires strong preparation and appropriate communication so that operational staff see the benefits to themselves and contribute willingly to its success and to the continuous progress dynamics. From an economical perspective, the project is an investment the ROI of which is between 6 and 16 months depending on the complexity of the situation. Once the content of the maturity path has been established, Part 2 will be devo ted to the tasks to be undertaken to finalize the various steps. Technical data sheets are used to present a description of all these tasks. The toolbox developed by the group members to assists others in implementing the RM project has to be tailored for each organisation and each situation. 22 Incorporating Risk Management in the Performance Improvement process: steps and tool sets 1) Definitions  Compliance In legal terms, compliance can be defined as: “a set of actions aiming at setting standards such as the behaviour of top management, and staff within private or public organisations (not for profit, associations, companies, trade unions, etc.), as well as making sure activities with outsiders are aligned with the outside or inside norms that are applicable in the context in which they operate.” In the world of Finance, compliance is used in reference to the alignment with legal and regulatory measures specific to the activities, the adherence to professional and deontological norms, and the implementation of the orientations provided by the governance bodies and the instructions of top management. It constitutes one of the objectives of the AMF Internal Control Framework as stated: “The framework aims most specifically at legal and regulatory compliance…”  Effectiveness Effectiveness is the capacity to reach a goal or objective. To be effective is to achieve the expected results and reach the objectives, in terms of quality, speed, and costs. Effectiveness is a measure of results and reaching the objectives. In other words, it is how robust is the execution that makes processes effective. No major dysfunction happens during the execution that reaches a level stable enough to call it “effective”. Effectiveness must not be confused with efficiency.  Efficiency Efficiency measures the level of resources consumed to reach the objectives. Pursuing efficiency can be undertaken only when effectiveness has already been attained. To be efficient means to make the best use of all resources (human, technical, informational, and financial). In other words, it is to use good practices to optimize the use of resources. Efficiency represents the achievement of goals and objectives with optimized resources at all times. Therefore, efficiency must not be confused with effectiveness. II 23  Performance In the world of management, performance is the ultimate result of all the efforts developed in an organisation. These efforts are developed to do the right things, in the right manner, at the right time, for the lowest cost, to produce good results to fulf il the needs and expectations of customers or clients, and all interested parties, while reaching the organisation’s objectives.  Duration The duration (of a project) is the time horizon the organisation has set to itself to reach an objective, or successfully complete the project. 2) The steps in the evolution and transformation As mentioned earlier the path to compliance and performance is split into six steps.  Step 0: Defining the evolution/transformation project  Step 1: Identifying risk areas  Step 2: Implementing the Risk Management frame  Step 3: Making sure the Risk Management Frame is efficient  Step 4: Improving the operational processes performance  Step 5: Optimizing the Risk Management Frame In this white paper, aiming at assisting mostly top management in Small and Medium size organisations, we assume that the risk management efforts will be deployed under the responsibility of the Finance department (CFO). The involvement and the efforts of the operational managers will have to increase as the path progresses through the different steps. 24 Depending on the organisation’s risk culture, top management roadmap, and governance needs, the iteration can be biannual, annual, or biennial. The implementation and deployment of the RM path steps may take more or less time depending on the scope of the activities included. As stated earlier, following the AMF suggestion, the organisation should start the project with a scope limited to risk areas, critical activities, and risky entities prior to extending the RM system to the entire organisation. The description of the different steps, and the technical data sheets attached, will provide potential users with a roadmap, and practical method rooted in experience to develop pragmatically and effectively the risk management scheme in their own organisation. Then, they will be able to embark in the performance improvement efforts using the logic of continuous progress.  Step 0: Defining the evolution/transformation project Objectives  Define with precision top management expectations – risk management objectives – with a clear distinction of what is pertaining to compliance and what is pertaining to performance as stakes, resources and benefits are different;  Identify and localize the sponsor;  Define the operational and functional areas to be included in the project scope, these are specific for each organisation;  Adapt the content of each of the implementation steps to fulfil expectations;  Assess the resources needed for the project. The project must be framed with top management and the sponsor(s) as it is essential that the project be prioritized within the portfolio of project in the organisation and also set the expectations, contribution, and scope of the RM system. Deliverable The deliverable includes the following elements: - The economic impact of this evolution/transformation: in practice the main managerial accounting indexes like turnover, gross margin, etc. for each product line, market, and country, that will be detailed in Step 1; - The expectations and contributions for top and operational management that will become the objectives to be reached; - The milestones for the evolution and the agenda for the implementation of the risk management system; - The positioning of this project vis-à-vis the other change projects to avoid doing the same task twice and to improve the coordination in secondary issues involved in the portfolio of projects; - The sponsor’s missions especially concerning the necessary choices. 25  Step 1: Identifying risk areas Objectives  List the operational activities that generate major dysfunctions and could induce risks;  Identify and rank the main risk areas that might jeopardize the organisation’s objectives;  Sketch the architecture of the risk management framework (position the various components of the framework). This is a preparatory work to be conducted with all the managers involved in the project, operational as well as support functions. Those to inv olve in the loop differ from organisation to organisation. It is necessary to acquire a kind of “intimacy” with the organisation, through the understanding of its internal and external context (markets, products, production – internal and subcontracted –, and supervision mode. This “intimacy” must be formalized so that it can be shared with all those involved and help to solve differences should they occur in the development of the process. This step should be used to:  Identify and localize the processes that generate the major risk areas and could jeopardize the organisation’s objectives. This is why all the activities must be reviewed in a top-down approach. This review will allow localizing the stakes, and deciding on the granularity level of the project, hence the level of effort to be deployed.  Identify the critical points to be treated, the constraints linked with the situations, and the different expectations of the operational so that the main aspects of the RM system architecture can be sketched. The architecture will be completed and finalized in step 2: Implementing the Risk Management System . Deliverable The deliverable includes the following Chapters: - Chapter 1: Introduction of the vectors product/market, and the development axis of each of the entities involved in the project; - Chapter 2: Introduction of the financial stakes resulting from the specificities of the activities and the economic model; - Chapter 3: The global mapping of activities and risk areas, positioning the major dysfunctions identified in the process. It is a global view, like that from a helicopter, of the activities split as is required in each specific situation/entity. For middle size entities, the mapping must fit on an A3 page. - Chapter 4: A summary of the existing devices, and a sketch of what to put in place.  Step 2: Implementing the Risk Management frame Objectives  Deepen the understanding of the operational activities included in the project through refining the modelling of the processes;  Identify the processes that will be considered as critical;  Develop and implement the Risk Management plan;  Formalize the content of the Risk Management system within the organisational frame: functioning, human, technical, and financial resources, the progression of the risk management scheme to guarantee the sustainability of the functioning. 26 During this step the main issues to be tackled are:  Develop the first risk mapping on the basis of a refined understanding of the activities in the entities. This extended knowledge rests on the execution processes identified during step 1;  Localize the critical processes to size the resources to engage and the risk management guidelines to develop;  Develop and implement a plan to deploy the risk management system so that is in place and functioning according to the plan at the end of this step;  Define and document:  The risk management system, and especially its functioning mode, the processes to be watched, and the architecture of its components;  The organisational frame on which this system will be grafted;  The human and technical resources that will be needed for the sustainability of the system. Deliverable The deliverable includes the following Chapters: - Chapter 1: The major risks identified in the risk mapping process (including the treatment tools and curbing actions, as may be the case); - Chapter 2: The critical processes as identified in process/risks matrix, and existing product; - Chapter 3: The description of the target frame to protect the critical processes (including the architecture of the components) – it goes far beyond the sole organisation which is only one component of the system; - Chapter 4: An initial draft of the risk management policy. Treating the risk deemed “unacceptable” by top management will cons titute the first risk management policy. Treatment plans are developed to reduce/transfer/suppress those risks.  Step 3: Making sure the Risk Management Frame is efficient Objectives  Verify the risk areas are known and the control measures organized;  Execute the self-evaluation and consolidate the results;  Assess the implementation maturity and whether action plans are relevant;  Establish and implement revised action plans (on the basis of the results of the self- evaluation). During this step, one must mostly seek to:  Verify that the risk management system implemented during Step 2 complies with current recommendations and the expectations of the standard selected;  Assess the effectiveness of the system implemented: the evaluation must look into the precision of the RM objectives and to what degree it is aligned with its objectives, the understanding by the operational staff of what risks are deemed acceptable by top management, the degree of containment of the critical risks, identification of risk areas, analysis and feedback from risk occurrences, reporting allowing the risk and/or audit committee to practice diligences, and top management to make appropriate decisions;  Define the component for “monitoring the risk management framework”: the mo nitoring the operational implementation will allow to ensure the appropriate evolution of the system implemented during step 2. This will facilitate measuring the level of teams’ 27 maturity and suggest the sponsor to progress from a strict compliance objecti ve to a performance objective. Deliverable The deliverable includes the following Chapters: - Chapter 1: The result of self-evaluation efforts: they will serve as a source for the risk-mapping update ; - Chapter 2: The assessment of the effectiveness of th e RM process by process (analyze the position of the current process and the results it produces as compared primarily with the assigned results, and secondarily with the chosen standard requirements); - Chapter 3: Progress Action Plan associated: which applies to each of the activities, and each of the process within the scope, identical as in the preceding document.  Step 4: Improving the operational processes performance Objectives  Develop a reference table for operational and support processes;  Define and update improvement objectives for the execution of the processes;  Optimize the processes functioning and improve the efficiency and effectiveness of all those within the project scope;  Implement the performance indicators defined for the processes:  Reassess periodically the performances of the activities of the processes, and the level or risk exposure. This step is the tipping point from a compliance exercise the aim of which is to fulfill the regulatory obligations in matters of risk management , to the other side of the Risk Management effort aiming at transforming the organisation to enhance operational performance (risk taking, dysfunctions, effectiveness of the processes). The start-up of the transformation plan is made possible, or accelerated, by the successful deployment of the first three steps in the risk acculturation, especially an in-depth and formalized understanding of the activities, and associated processes. Thus, the “critical” processes are identified, those that may generate the life threatening risks for the organisation. That approach has prepared the teams to use processes as a vehicle for transformation, and understanding of the transversal operation of the organisation. During this step, one must mostly seek to:  Generate a taxonomy referencing all the processes. The referencing is a translation of the in-depth understanding gained during the preceding steps. It is essential to uncover the activities, management rules, modus operandi that must be modified to treat the dysfunctions;  Define the objectives for the improvement expected. These improvements may cover different areas like: reduce the deadlines for billing, and for collection, the amount of receivable, secure periodic accounting and financial information, systematic issue of an order form for any purchase;  Limit dysfunctions;  Identify processes and actions for which action plans must be designed to improve execution modalities for operational activities. It consists in reinforcing and perpetuate the system while improving the processes;  Monitor periodically the improvements. The monitoring will require among others to define performance indexes to measure it at the process level. It is the use of adequate 28 KPI that will ensure that the effectiveness of the transfor mation is measured in comparison with a T0, reference value, and to follow the evolution with a periodicity that can be monthly or quarterly. Deliverable The deliverable includes the following Chapters: - Chapter 1: The improvements objectives expected, - Chapter 2: The referencing of all processes within the chosen scope, - Chapter 3: The dysfunctions to be eliminated and corrective actions to be initiated, - Chapter 4: Action plan(s) that must be developed and their implementation planning, - Chapter 5: Follow-up plan to monitor the improvements, including the KPI for the processes within the scope of the project.  Step 5: Optimizing the Risk Management Frame Objectives  Simplify the processes that are mature and mastered in order to improve their efficiency;  Master risk taking while optimizing technical, human, and financial resources;  Integrate risk management efforts to all projects in the organisation. To reach the compliance stage in the RM process, the organisation functioned in the project mode and then was transformed into a permanent scheme with permanent resources. In the same time, and possibly consecutively, a series of tasks are undertaken to improve the execution of the processes and reduce the dysfunctions of some of the activities of the processes and enhance a reasoned risk taking. During this step, one must mostly seek to:  Spot the activities for which precaution mechanisms could be simplified;  Allow the overall reduction effort to be reduced or redirected towards specific issues linked with the economic context. The risk management scheme, now effective, must be made more efficient, continuing risk areas analysis and dysfunctions, initiated during step 1 and continued in the following. Deliverable The deliverable includes the following Chapters: - Chapter 1: Review the processes to verify if those classified as critical remain so; - Chapter 2: Monitor the progress towards maturity of the RM scheme and action plans review. Analysis of the simplifications that could be implemented to the actions concerning the “non critical” processes; - Chapter 3: Introduce the IT dimension in the process as an axis of progress. Identify double protection and trade impacts of the IT. Assessment of the level of control of the IT risks. 29 3) Risk Management Tool Sets To implement the six steps transformation and evolution project as described here, the team has gathered a number tools split into five families covering:  Knowledge of the businesses and the associated strategies,  Knowledge of operational and support processes,  knowledge of risks,  Risk containment mechanisms/measures,  Monitoring and review. The five families reflect the main technical themes split on the five steps described here above and summed up in the exhibit 7 here below. In the following pages, for each of the family a special focus will be devoted to:  Their contributions,  The challenges they present when implemented,  The list of tools suggested,  The tools utilization on an ongoing basis.  Knowledge of the trades and the associa ted strategies This understanding is an essential component of the tasks to be performed and will help to (i) understand market(s), product(s), activity(ies) which include research, production, subcontracting and procurement, distribution, but also will help to (ii) measure what is at stake in economical terms through a few key data found essentially in the operational and financial reporting, and finally it will assist in helping the organisation (iii) understand what is at stake at the human resources level, localization, evolution, etc.  Contributions These tools allow identifying and taking into account what is at stake at the commercial, industrial and economical levels and hedging when developing and updating the existing schemes, and when introducing the Risk Management dimension. These tools ensure that the RM efforts are relevant and also provide special treatments concerning the processes that could generate specific and punctual risks with criticality levels high for the entity.  Challenges they present when implemented Two main challenges can be confronted: - Information confidentiality: more specifically information concerning the strategy concerning the vectors product-markets that may need to have a limited circulation, - Selection of information: those qualified as “useful” are not easy to identify as there is a profusion of internal information concerning markets, products, execution performance The members of the drafting team have debated about these two challenges. They conclude that a lot of attention and time must be devoted to aggregate these data as they may not be readily available depending on the research scope (However, the challenge brought by an insufficient knowledge of the structures should not be underestimated). 30  List of tools suggested These tools are essentially used to collect “useful” information to position with relevancy and effectiveness the evolutions and transformations that will be decided and to avoid a monolithic treatment of the organic structures of an entity. - Business Model: characteristics and stakes for each trade in the entity(ies) - Strategic Plans and 3 to 5 year business models for the entity(ies) - Mapping of all the organisation activities (global vision obtained through a representation all the processes). This mapping can be developed at different levels – Entity, BU, Support function, Finance Department, etc. - Spotting risk areas and development of the first risk areas universe: trade/risk areas map.  Knowledge of operational and support processes TOP-DOWN understanding the way activities are carried out in the organisation is essential in order to design a RM scheme relevant and tailored to meet the objectives decided by top management, that is also specific to each organisation. Processes and the associated flows of information are used to develop the knowledge. This schematic representation is not commonly used in management. However, it is generally used in the world of IT and quality. The feedback from the members of the drafting team is that operational staff appreciates this representation as it provides them a global vision formalized as a map where they can spot their interactions and find the best way to secure the operations. The reader should be well aware of the confusion that exists between several concepts: procedure, modus operandi, good practices. Therefore, the introduction of another concept “process” is made difficult because of the confusion just mentioned that is found in practice. This adds complexity where the maximum simplicity is sought. Later on it will be possible to un derstand that, once introduced, the process approach will be put to good use in other issues.  Contributions The introduction of the process approach offers multiple contributions and helps reaching several objectives: - Simplification of the apparent complexity as the dimensions IT and organisation are separated and not included in the process dimension, - The shared knowledge of activities executed through the processes and their interactions, - Creation and diffusion of a transversal vision that will allow the identification of silos practices or isolated of some of the actors, - Performance enhancement for the execution of all the activities that constitutes each of the processes, 31 - Development of a reference table for the processes, - Sharing of the functioning of the processes within the teams, - Possibility to work on the operational performance improvement, and the development simultaneously or after of performance indexes for the processes.  Multiple Uses The introduction and development of the process culture within the organisation facilitate the creation of a common vision shared by all the actors which is centred on the most stable element: the trade process. As soon as they are identified and shared, the processes bring several contributions and can be put to multiple usages within the organisation, for different issues, more or less complex. The process approach may lead to: - Use 1: Understand how to synchronize physical and information flows within the entity, - Use 2: Rationalize the process progress; - Use 3: Plan rigorously the evolution of the organisation’s information system to ensure it is aligned with the operational practices; - Use 4: Revamp and improve the organisation’s structure (entities / management / departments / etc.); - Use 5: Develop a more relevant understanding of the organisation’s costs (managerial accounting i.e. ABC – activity based costs – or ABM – activity based management); - Use 6: Secure financial information production and increase third parties trust and confidence in the account sincerity. - Use 7: Develop and implement an optimal risk management scheme. Beyond these seven uses listed above concerning the “process approach”, this culture may allow the organisation:  To enter into a continuous progress logic  To create the conditions for the sustainability of the evolution and transformation projects.  Challenges they present when implemented The introduction of the culture has to address four major challenges: - Modelling: aims at representing only the processes and information flows used or generated. This representation is meant to be simple and therefore does not integrate information concerning the organisation, modus operandi, and procedures that would complicate the representation, though it would be clos er to reality. The difficulty for the operational manager is to limit the modelling to the processes and their chain to reveal clearly the dynamism of the operational activities; - Identification of activities: modelling allows finding the activities nested within the processes, and their characteristics. Note that dysfunctions on these activities are the root of operational risks and risks on support functions. - Detail level of the description: the granularity of the description varies according to the trades involved, their riskiness, and the objectives set by top management. The choice of the detail level of the description is always delicate as the natural trend is to go to a level of more details that rally necessary. 32 - Confusion procedures, modus oper andi, processes: the most common difficulty met during these projects.  List of tools suggested The tools used by members of the drafting team are listed in the table below - Mapping of all of the organisation’s activities (global vision obtained through the representation of the processes). This mapping may be done at different levels in the organisation (Entity, BU, support function, etc.) - Processes reference table: purchase, procurement, etc - Processes reference table: Human Resources - Process transformation – Editing of order forms - Monitoring of process performance – KPI – customers process - Monitoring of process performance – KPI – purchasing and procurement process  Tools utilization on an ongoing basis The objective is to transfer the tools from project mode to an ongoing process that respects three rules: - Process owners: name a person responsible for the correct functioning of the process and the management of the team carrying out the activities consti tuting the process. - Progress plans: their development and monitoring are necessary to feed the dynamics, continuous improvement, and avoid quanta jumps that have a hazardous effectiveness. This progress plans are based on suggestions. - Monitoring: periodic review to provide rhythm to the progress plans.  Knowledge of risks exposure It is an issue for public companies using funding by financial markets as required by existing regulation to develop a risk management system. There exists a similar obligation for the companies whose stockholders include Investments funds, or which benefit from public funding. Assessing the risks involved in a new activity or the development of an existing one has become a usual criterion in the making of the decision, without falling in the trap of the problem where risks are identified everywhere. The drafting team did not embark in a complete review of all the existing literature on risk, but rather decided to integrate the risk exposure assessment in a glob al project and to propose a set of tools used regularly by individual members of the drafting team. 33  Contributions Understanding risk exposure allows: - Understanding by the operational staff of risk taking linked with their activities, and also those generated by the markets on which the organisation operates. Some activities are identified as critical points that must be monitored specifically, and the object of action plans the rolling out of which must be periodically reviewed and realigned if need be. - A better allocation of monitoring efforts on all dimensions. The risk exposure criterion is the best to focus on where a maximum effort is needed. - Contribution to operational performance improvement: the understanding and evolution of risk criticality contributes to the operational performance. The results of the action plans developed and implemented witness of that to the operational staff.  Challenges they present when implemented Risk mapping projects has become common for listed companies and those financed by investments funds and public money. Many books have been published on this subject with different perspectives, the major challenges are well known, they are listed here to reflect the drafting team members’ experience. For the team members the difficulties most often encountered are: - A complex project: requires the mobilization of many operational actors that may not understand the goal or the use of risk -mapping. This lies half way between compliance and operational performance. - Confusion Dysfunctions/Risks: the generic market and financial risks are not the concern of the operational staff, they are more interested in their inherent risks and more specifically the dysfunctions they face every day. - Link risks and processes: the link exists at the macroscopic level that is not precise enough to establish the link with the processes that generate risks. - Risk assessment: this is an exercise that is rarely done as it is perceived as dangerous because the assessments produced may be d iversely interpreted and open all sorts of discussions. In essence, any attempt at quantifying the impacts is a complex project with values that can be scattered depending on the parameters used. As a matter of tact the members of the drafting team remain undecided on the risk assessment issue. 34  List of tools suggested The tools used by members of the drafting team are listed in the table below - Mapping of all of the organisation’s activities (global vision obtained through the representation of the processes). This mapping may be done at different levels in the organisation (Entity, BU, support function, etc.) - Risk Mapping Methodology: maintenance guide - Risk Mapping Methodology: risk description forms (is there a need for translation in several languages?) - Risk Mapping Methodology: detailed risk description forms - Risk Mapping Methodology: simplified risk description forms - Risk Assessment grid – Scaling threats - First risk map - Risk Map – Service activity - Risk Map – Industrial activity - Risk Mapping Methodology: risk description sheet, including action plans  Tools utilization on an ongoing basis The issue is to transfer the tools from project mode to an ongoing use that three rules must be respected: - Risk owners: risks must be assigned explicitly to the operational managers, - Monitoring: the periodic review is key to instilling the culture, the periodicity is dictated by the objectives. Typically, the review is bi-annual or annual. - Reassessment of risk impacts: usually annual, unless unexpected changes in the context require a specific review.  Risk containment mechanisms/Risk treatment measures The risk treatment measures (prevention & protection, and risk financing) already in place or to be implemented guarantee that the objectives that the organisation set to itself will be reached (correct functioning of the operational activities) and hence curb the destruction of value. Reduction measures are illustrated in Exhibit 8. 35 Types of Prevention Measures Risk Prevention Traffic Accident Speed Limit Work related accident Work Station Ergonomic Theft, hostile acts Access controls Supplier failing Suppliers’ audit IT spying System Security Types of Protection Measures Risk Protection Traffic Accident Safety belt Work related accident Personal Safety Equipment Theft Alarms, Intrusions Detection Fire Fire Extinguisher - Prevention: the prevention measures reduce the probability of occurrence of the event that may generate damages. These are usually implemented for high probability events. The principle is to modify at least one of the events of the chain leading to the dreaded event. In other words, these actions aim at reducing the probability of occurrence of dysfunctions, risk factors, danger, and perils. The universe of prevention is part of the continuous progress and the search for performance improvement, but the correction i s then limited to lowering the probability of occurrence an undesirable event. - Protection: The protection measures reduce the consequences of a disaster. In reality, protection actions have an effect after the occurrence of the event to limit its impact. Some view insurance as an illustration of protection (however only 20 to 30% of disasters are insurable), most specialists would limit the term protection to the effective curbing of the impact level and would consider insurance as a transfer limited to the financial consequences, hence a risk financing measure as oppose to risk reduction.  Contributions Precaution measures, i.e. risk treatment, including loss control and risk financing, are many as Exhibit 8 shows. Their contributions are as follows: - The systematic and immediate prevention and protection actions allow identifying the risks that will remain the responsibility of the organisation (including those that will not be insured). - The protection measures include subcontracting to third parties som e risky situations (Insurance companies can not only cover losses but also help in some control measures for insurable risks). The implementation of these actions is independent of the organisation for an immediate cover of the risk. - The optimization of the effort to implement a monitoring of risk control. The implementations may take different shapes depending on: - The size of the organisation: SME, Middle Market, Global firms, etc. - Top management needs and culture: Appropriation more or less express of a risk sensitive management approach, - Interested parties/Business sector: stockholders expectations, specific regulation for the business sector (like financial institutions, bank or insurance), request linked to external financing. - The organisation ambition and objectives: expansion, the organisation’s performance enhancement, more or less rapidly. 36  Challenges presented when risk treatment plans are implemented Risk treatment measures have become a common issue in any organisatio n, whatever its size. It is the common world of safety, security, insurance, internal control, and risk management. The major challenges are well known, this is just a reminder based on the drafting team members’ experience: - Over protection: The review of the consistency and the extent of the protection offered by the existing measure is not commonly done. However, this leads often to a multiplication of the control points in addition to other instruments and the question of the relevance of such controls i s therefore never raised. - Risk reduction measures aiming at control : Implemented without perspective on all the other tools, it leads to an unnecessary multiplications of controls. - Over evaluation of the effectiveness of risk treatment measures : The operational reality is not always translated accurately through the self evaluation questionnaire. It is not unusual that weaknesses exist that are not included in the transmission to top management.  List of tools suggested No specific tools are offered in matter of prevention as most of them are part of the protection tool box. As far as traditional financing through insurance transfer, there is no point in listing all the different covers that an insurer may offer. Generally speaking, there are three types of tools (technical, organisational, and legal) that allow reaching the set level of precaution, as follows: - Technical tools: (i) prevention like failure detection, security/safety equipment, and access controls, and (ii) protection like firewall, compartmentalized storage, personal protection equipment, data backup, spare parts or finished goods inventory. - Organisational tools : (i) prevention like operating procedures, safety instructions, outsourcing of some functions, redundant training, and (ii) protection like continuity/survival planning, redundant suppliers. - Legal tools: (i) prevention like contractual policy for purchasing commitment, and (ii) protection like contractual transfer of risk or limitation of liability included in commercial contracts (and when it come to treatment by risk financing, the insurance contacts). The practical prevention measures aiming both at probability and impact of risks tend to be specific for each organisation and reflect their own constraints. - Deployment plans for the risk management efforts - Self-evaluation questionnaire – at the Entity level - Self-evaluation questionnaire – at the Process level - Risk description sheets, including action plans 37  Tools utilization on an ongoing basis The rules to ensure the long term use of the tools on an ongoing basis are the same as already mentioned for the other themes.  Monitoring and review  Contributions There exists a number of monitoring and review tools and they are generally in place. As far as the drafting team members are concerned, they see two major dimensions in these tools: - A vision of the evolution of exposure to risks: the risk management scheme in place should allow weighting of the evolution of the net criticality - A vision of controls effectiveness: it is a complex dimension to monitor short of implementing heavy control mechanisms unless two or three levels of controls and measure the effectiveness at each step.  Challenges they present when implemented Monitoring and review mechanisms have become a common issue in any organisation, whatever its size. This is just a reminder based on the drafting team members’ experience: - Measure of the effectiveness of control measure : the evaluation transmitted to the hierarchy might not be a true representation of the operational reality, developing an appreciation grid is a complex task. - Measure of criticality: the criticality assessment id generally limited to a qualitative approach, as attempting a quantitative approach seems a difficult exercise. -  List of tools suggested The tools used by members of the drafting team are listed in the table below - Assessment of the effectiveness level of the risk management program (radars, KPI, etc.) - Reporting of the monitoring of the effectiveness of the risk management program - Risk monitoring dashboard – Dysfunctions – Action plans - Monitoring of process performance – KPI – customers process - Monitoring of process performance – KPI – purchasing and procurement process - Risk Management scheme maturity evolution - Impact of Computer risks on trades – like IT/Pay Slip 38  Tools utilization on an ongoing basis The issue is to transfer the tools from project mode to an ongoing use that three rules must be respected: - Reporting concerning the operational performance must include considerations of risks; - Twice a year a formal review of the dashboards results, and the follow -up on dysfunction-risks must be performed with top management/board; - Monitoring the evolution of the processes performance for those the dysfunctions of which must progressively disappear. 39 Technical Summary Sheets: Step by Step ERM implementation path The following pages provide the main tips for the implementation of each step. Step 1: Identifying risk areas 1 – Objectives - List the operational activities that generate major dysfunctions and could induce risks; - Identify and rank the main risk areas that might jeopardize the organisation’s objectives; - Sketch the architecture of the risk management framework (position the various components of the framework). 2 - Prerequisite - A document framing the mission developed during step 0, with a description of the immediate objective (compliance) and short term (performance). The document must also include a definition of the scope of the project (operational activities, geographical areas, organisations, entities, etc.) and the stakes to be mastered; - A robust understanding of the trades, products, and markets, and the associated strategy of the organisation, and the implementation methods; - List the existing tools to curb risks: internal control and risk management, and the record of their setting-up within the organisation; - Evaluate the level of risk culture in each of the entities involved. 3 – Tasks to be performed (what to do to reach the steps objectives) - Formalize the specificities of the development strategy and the business plan of the organisation; - Formalize the risk mapping process for a global view, like that from a helicopter, of the activities of each entity and for each of them the mapping must fit on an A3 page . The scope may vary according to the objective; - Localize recurring dysfunctions on the processes description plan. Such processes could jeopardize the overall process progress and constitute potential risk factors; - Identify risk area that could jeopardize the budget and the business plan developed to execute the organisation’s strategy; - Quantify the potential impacts of each risk areas to prioritize reduction efforts; - Identify the existing risk treatment tools: governance, functioning charter, control environment, procedure, audit report, quality, etc. 4 – Tool box (to develop the deliverable) - Business model: characteristics and stakes of each trade and activity o f each of the entities within the scope of the project; - Strategic plan and 3/5 years Business model for each entity; - Mapping of all the organisation’s activity (global vision obtained from the mapping of all the processes). This mapping may be established at several levels: Entity, BU, and support functions – CFO; - Localize risk areas and development of the first iteration or the “risk universe”: mapping of trades/risk areas. Identifying the major risk areas in the entities generated by operational and support activities what could the formalized deliverable for step 1 include 5 - Deliverable - Chapter 1: Introduction of the vectors product/market, and the development axis of each of the entities involved in the project; - Chapter 2: Introduction of the financial stakes resulting from the specificities of the activities and the economic model; - Chapter 3: The global mapping of activities and risk areas, positioning the major dysfunctions identified in the process. It is a global view, like that from a helicopter, of the activities split as is required in each specific situation/entity. For middle size entities, the mapping must fit on an A3 page. - Chapter 4: A summary of the existing devices, and a sketch of what to put in place. III I 40 Step 2: Implementing the Risk Management frame 1 – Objectives - Deepen the understanding of the operational activities included in the project through refining the modelling of the processes; - Identify the processes that will be considered as critical; - Develop and implement the Risk Management plan; - Formalize the content of the Risk Management scheme within the organisation al frame: functioning, human, technical, and financial resources, the progression of the risk management scheme to guarantee the sustainability of the functioning. 2 - Prerequisite - Collect and summarized what exists in terms of: (i) strategic and operational objectives of the entity, (ii) representation of activities-trades/units/processes. (iii) documentation on risk management and internal control, (iv) economic model of the entity , (v) representation of the overall entity organisation; - Have a formalized and documented vision (global helicopter vision) of risk areas (and known dysfunctions) relating to the organisation economic model and its processes. (The economic model aims at identifying the financial stakes of the dysfunctions/risks in the processes; thus the entity will be able to identify the processes that will be deemed critical.); - One or several sponsors, identified and confirmed; - Having selected the standard (AMF, COSO 2, ISO 31000, etc.) that will serve as a foundation to build the RM scheme. 3 – Tasks to be performed (what to do to reach the steps objectives) - Define the scope of the frame (entities, activities/trades, Processes); - Define the objectives assigned to the RM scheme, this means the objectives for the organisation and the benefits for the different actors (i.e. what they can expect in addition to simply compliance/recommendation) ; - Define functions (i.e. actors) that will have to be involved actively in the scheme, and their respective tasks. Identify the factors that will enhance their participation and ensure the scheme sustainability; - Refine the documented vision that will be used for risk mapping; - Develop the risk-mapping methodology and the associated tools (top/down, down/up approach, interviews/workshops, risk universe.); - Implement the methodology and generate the first risk map (the concept refers here to the analysis and prioritization of the risks in the organisation). It must be presented to and validated by top management or the instance in charge of defining risk acceptability or risks (if deemed unacceptable risk must be treated – curbed/reduced); the risks included will be those considered major or critical. Action plans will have to de designed immediately for those considered as major (if not already protected by a mechanism); - Locate the major risks within the processes that become thus critical. The process allows to designate a risk owner, the process manager, also responsible of the treatment plan (the association allows to build the process/risk matrix); - Document the architecture of the different components of the RM scheme (identification, analysis, treatment, and review of risks, as well as key forum and tools, and the organisational frame. The monitoring of the sachem can be positioned at this step but it is finalized in step 3. - Elaborate a progressive implementation plan for the RM scheme (define an operational phasing in). A reminder: the sponsor and the team have been nominated during step 0, however new constraints may induce modifications). - Launch the implementation; - Follow-up on the implementation plan and make sure that the planning and objectives are achieved. Correct dysfunctions and anomalies, as need may be. 4 – Tool box (to develop the deliverable) - Refined risk universe - Risk Mapping Methodology (interview guide, risk forms, scales to evaluate and prioritize risks, actions plans, etc.); - Process and risk matrix through which some risks are linked with each process (the level of detail of these matrices depends on the granularity chosen by the organisation); - First risk map; - Implementation plan for the RM scheme. Development and implemen tation of the Risk Management Scheme what could the formalized deliverable for step 2 include 5 - Deliverable - Chapter 1: The major risks identified in the risk mapping process (including the treatment tools and curbing actions, as may be the case); - Chapter 2: The critical processes as identified in process/risks matrix, and existing product; - Chapter 3: The description of the target frame to protect the critical processes (including the architecture of the components) – it goes far beyond the sole organisation which is only one component of the scheme; - Chapter 4: An initial draft of the risk management policy. Treating the risk deemed “unacceptable” by top management will constitute the first risk management policy. Treatment plans are developed to reduce/transfer/suppress those risks. 41 Step 3: Making sure the Risk Management Frame is efficient 1 – Objectives - Verify the risk areas are known and the control measures organized; - Execute the self(evaluation and consolidate the results; - Assess the implementation maturity and whether action plans are relevant; - Establish and implement revised action plans (on the basis of the results of the self - evaluation). 2 - Prerequisite - Having an organisational framework (first component) detailing the roles and responsibilities of the actors, the risk management policy as well as information systems through which is spread risk information internally; - Having a risk management process (second component) detailing the identification, analysis, and treatment steps; - Having a sketch for the continuous monitoring and review of the RM Scheme (third component) 3 – Tasks to be performed (what to do to reach the steps objectives) - Finalize the elements constituting the monitoring component of the scheme (sketched at step 2) so that the discrepancies with the regulation requirements and the chosen standard recommendations (compliance), as well as the objectives to be reached (effectiveness). The expectations concerning the self-assessment can be specified at this level. The roles and responsibilities of the actors involved in this component must be consistent with those defined in the organisation frame (first component), they can be detailed further if need be; - Update regularly (according to a frequency to be defined) the process-risk matrices, especially at the light of the dysfunctions that occurred during the reference period (quarter, semester, and year) and update the list of critical processes (those impacted by major risks): - Develop and propose, with the risk owners, action plans taking into account the cost/benefit analysis of risk reduction measures suggested. Facilitate the dialogue between the actors involved in the RM process; - Link performance indicators with risk factors/sources so that their pending happenstance can be detected; - Implement the self-evaluation questionnaire including the Risk-Management section. The implementation of these questionnaires must take into account the organisation’s culture, its specificities, and the level of risk sensitivity of its staff. The project team will include operational staff to develop the questionnaires, so that the organisation’s challenges are at the heart of the questionnaires. If needed, it could be tested with a volunteer entity, and there may be help from a local team or correspondents in the entities, that will be trained on RM prior to rolling out the project. When the scheme is full speed, self -evaluation campaign will be regularly launched (annually?) within a sustainable organisation, the content of the questionnaire will be updated to reflect evolutions in the internal and external context; - Develop and implement action plans to correct the weaknes ses identified during the self- evaluation exercise; - Monitor the implementation of these action plans; - Develop audit plans and objectives based on major risks and critical processes; - Perform the audit and formalize the results (including the analysis of self-evaluation questionnaires filled by each entity); - Assess the RM scheme effectiveness on the basis of the self-evaluation questionnaires, the ensuing actions plans, and the audit results; - Identify the progress action plans that would improve the RM scheme effectiveness; - Communicate the results to all interested parties of the RM efforts. 4 – Tool box (to develop the deliverable) - Self-evaluation questionnaire – Entity level; - Self-evaluation questionnaire – Financial Processes Level ; - Risk Mapping – Service Activity; - Risk Mapping – Industrial Activity; - Risk Form with action plan associated; - Assessment of the maturity level of the RM Scheme (radars, KPI, KRI, etc.); - Reporting of the effectiveness of the risk management scheme. Risk Taking is contained and monitored What could the formalized deliverable for step 3 include 5 - Deliverable - Chapter 1: The result of self-evaluation efforts: they will serve as a source for the risk- mapping update ; - Chapter 2: The assessment of the effectiveness of the RM process by process (analyze the position of the current process and the results it produces as compared primarily with the assigned results, and secondarily with the chosen standard requirements); - Chapter 3: Progress Action Plan associated: It applies to each of the activities, and each of the process within the scope, identical as in the preceding document. 42 Step 4: Improving the operational processes performance 1 –Objectives - Develop a reference table for operational and support processes; - Define and update improvement objectives for the execution of the processes; - Optimize the processes functioning and improve the efficiency and effectiveness of all those within the project scope; - Implement the performance indicators defined for the processes: - Reassess periodically the performances of the activities of the processes, and the level or risk exposure. 2 - Prerequisite - An updated operational framework providing a description of the entire risk management scheme; - Knowledge of the results of the risk management scheme effectiveness measure; - Engage strongly the operational managers (support) at the level of their processes performance. 3 – Tasks to be performed (what to do to reach the steps objectives) - Define expected improvement objectives to enhance reliability/optimize strategy execution – so that the operational and support processes be highly performing; - Scoping the processes and actions that must be worked on with action plans to improve the operational activities execution modalities; - Refine the understanding of operational processes through the description of the activities that ensure their functioning. To achieve that the tasks realized in step 2 will prove useful; - Define taxonomy for the performance of the processes through the definition of appropriate measures (KPI, etc.) - Define indicators to (i) ensure the continuing of compliance, (ii) measure the cost (number of manual controls, number of automatic controls, number of staff involved, number of reporting and the time involved to do them, etc.). (iii) measure performance and effectiveness; - Identify correcting actions to put in place to reduce the dysfunctions, and redress the execution depending on the improvement objectives and the risk level defined by top management. 4 – Tool box (to develop the deliverable) - Processes Taxonomy – supplies and purchases (procurement) - Processes Taxonomy – Human Resources - Processes Transformation – Systematic Order Form for purchase - Monitoring of processes performance – KPI – customers processes - Monitoring of processes performance – KPI – procurement processes - Risk Monitoring Dashboard - Dysfunctions Robust and Performing Processes to enhance performance and risk taking what could the formalized deliverable for step 4 include 5 - Deliverable - Chapter 1: The improvements objectives expected, - Chapter 2: The referencing of all processes within the chosen scope, - Chapter 3: The dysfunctions to be eliminated and corrective actions to be initiated, - Chapter 4: Action plan(s) that must be developed and their implementation planning, - Chapter 5: Follow-up plan to monitor the improvements, including the KPI for the processes within the scope of the project. 43 Step 5: Optimizing the Risk Management Frame 1 – Objectives - Simplify the processes that are mature and mastered in order to improve their efficiency; - Master risk taking while optimizing technical, human, and financial resources; - Integrate risk management efforts to all projects in the organisation. 2 - Prerequisite - Having reach the level of effectiveness of the RM scheme evidenced by an internal or external evaluation with monitoring of the action plans (aiming at compliance); - Having a reference table for processes and for risks; - Sponsors maintaining the momentum (no questioning of effectiveness, but request of optimization). 3 – Tasks to be performed (what to do to reach the steps objectives) - Evaluate costs of the RM scheme during the development phase (project mode) and on an ongoing basis (sustainable mode): internal cost (times spent by staff on the RM effort, RM tools costs, etc.) and external associated costs; - Define indicators to (i)ensure ongoing compliance, (ii) measure the costs (number of manual controls, number of automatic controls, number of staff involved, number of reporting and the time involved to do them, etc.). (iii) measure the results – performance and effectiveness; - Review risks and their criticality level (identified and assessed during the previous steps), and update the vectors process/risks (reviewed at step 3). This review allows acting on the performance enhancement points identified in step 4. In fact, these points are taken into account to develop action plans aiming at improving the performance; - Spot the “embarked” controls (within the applications), and verify that they are not redundant with those in the “trades”; - Review and update the risk management frame (established at step 2). - Update/Optimize/Simplify the risk management scheme (and the controls associated with it) within a type GRC approach. 4 – Tool box (to develop the deliverable) - Review of the process/risk matrix: systematic analysis of “critical” processes to ensure they are still so; - Risk Management scheme maturity evolution; - Impact of Computer risks on trades – like IT/Pay Slip Efficient risk taking and resources optimization What could the formalized deliverable for step 5 include 5 - Deliverable - Chapter 1: Review the processes to verify if those classified as critical remain so; - Chapter 2: Monitor the progress towards maturity of the RM scheme and action plans review. Analysis of the simplifications that could be implemented to the actions concerning the “non critical” processes; - Chapter 3: Introduce the IT dimension in the process as an axis of progress. Identify double protection and trade impacts of the IT. Assessment of the level of control of the IT risks. 44 45 Please find other publications Technical books Dialoguer Collection Risk Management Collection Online Library www.amrae.fr/Publications This document, property of AMRAE is protected by copyright law. Any reproduction, total or partial, is subject to the compulsory indication of copyright. Copyright © AMRAE 2015 www.amrae.fr This document, property of AMRAE, is protected by copyright law. Any reproduction, total or partial, is subject to the compulsory indication of copyright. Copyright © AMRAE 2015

PUBLICATIONS ASSOCIÉES

Études & Enquêtes

Livre Blanc La maîtrise du risque cyber sur l'ensemble de la chaîne de sa valeur et son transfert vers l'assurance

Le 29/08/2016 à 1210

Fruit de 9 mois de travail, le livre blanc "La maîtrise du risque cyber sur l'ensemble de la chaîne de sa valeur et son transfert vers l'assurance" es ...

Études & Enquêtes

Livre Blanc AMRAE IFA Rôle Administrateur dans la maîtrise des risques

Le 30/06/2009 à 1216

Les bonnes pratiques proposées dans ce livre blanc ont vocation à être appliquées par les administrateurs de sociétés de toute nature quelle que soit ...

AUTRES PUBLICATIONS SUR LE MÊME SUJET

Études & Enquêtes

LUCY - Light Upon Cyber Insurance - 2026 Edition

Le 09/07/2026 a 1111

LUCY - LIGHT UPON CYBER INSURANCE - 2026 EDITION The cyber insurance market continues to expand, driven by falling pr ...

Études & Enquêtes

Panorama SIGR -18e édition 2026

Le 02/06/2026 a 1616

18e édition du Panorama SIGR de l’Amrae – Juin 2026 La version française de la 18e édition du Panorama SIGR de l’Amra ...

Études & Enquêtes

LUCY : Lumière sur la cyberassurance édition 2026

Le 29/05/2026 a 1010

LUMIÈRE SUR LA CYBERASSURANCE - Édition 2026 Une dynamique favorable mais un équilibre fragile Pour sa sixième édi ...

Études & Enquêtes

Etude 2026 KYU & AMRAE: organisation des fonctions risques-assurances

Le 13/05/2026 a 1111

Étude 2026 KYU & AMRAE Organisation des fonctions risques-assurances Une enquête inédite auprès des profe ...

Études & Enquêtes

2026 RMIS Panorama

Le 24/04/2026 a 1010

2026 RMIS Panorama The English version of the 2026 RMIS Panorama is now available for free download. As a market refe ...

Études & Enquêtes

Corporate Geopolitical Risk Barometer 2025

Le 20/04/2026 a 1212

Corporate Geopolitical Risk Barometer 2025 This first Corporate Geopolitical Risk Barometer – 2025 Edition offers a n ...

Livre Blanc AMRAE APDC | AMRAE

Livre Blanc AMRAE APDC

DOCUMENTS À TÉLÉCHARGER

DOCUMENTS À TÉLÉCHARGER

AGENDA

PUBLICATIONS ASSOCIÉES

Livre Blanc La maîtrise du risque cyber sur l'ensemble de la chaîne de sa valeur et son transfert vers l'assurance

Livre Blanc AMRAE IFA Rôle Administrateur dans la maîtrise des risques

AUTRES PUBLICATIONS SUR LE MÊME SUJET

LUCY - Light Upon Cyber Insurance - 2026 Edition

Panorama SIGR -18e édition 2026

LUCY : Lumière sur la cyberassurance édition 2026

Etude 2026 KYU & AMRAE: organisation des fonctions risques-assurances

2026 RMIS Panorama

Corporate Geopolitical Risk Barometer 2025