Service
Un dispositif de risques que la direction peut reprendre.
La gestion des risques tient la carte dans la durée : appétit, propriétaires, traitements, indicateurs. Ce n’est pas une mission d’assurance. L’audit interne teste un périmètre ; ici, on organise ce que l’organisation surveille.
Ce que la mission apporte.
Une carte que l’on peut tenir
Risques stratégiques, opérationnels, financiers et de conformité, décrits avec leur propriétaire. Une liste sans responsable n’est pas un dispositif.
Un appétit explicite
Ce que l’organisation accepte, ce qu’elle réduit, ce qu’elle refuse. Le comité peut alors discuter d’un écart, pas d’une impression.
Des traitements suivis
Chaque risque retenu a une réponse : réduire, transférer, accepter, ou arrêter l’activité. La réponse a une échéance.
Des indicateurs peu nombreux
Quelques signaux que la direction regarde vraiment. Mieux qu’un tableau que personne n’ouvre.
Déroulé.
01
Cadrage
Périmètre, parties prenantes, décisions que la cartographie doit éclairer. On fixe aussi ce qui reste hors sujet.
02
Inventaire
Entretiens et revue des dispositifs existants : assurances, contrôles, incidents, audits déjà menés. On ne réinvente pas ce qui est déjà écrit.
03
Évaluation
Impact et vraisemblance, avec les hypothèses au clair. Les désaccords sont notés plutôt que lissés.
04
Traitement
Priorités, propriétaires, actions. Le plan tient sur ce que l’organisation peut réellement faire dans les douze mois.
05
Reporting
Un support de comité et le rythme de mise à jour. La carte vieillit si personne ne la reprend.
Lien avec l’audit.
Une cartographie sert à choisir les prochains travaux d’audit. Un rapport d’audit sert à corriger la carte. Les deux missions peuvent se suivre ; elles ne se confondent pas.
Livrables habituels.
- Note de cadrage
- Cartographie des risques
- Registre des propriétaires
- Plan de traitement
- Support de comité
Le travail s’adresse aux directions générales, aux comités et aux fonctions risques, audit ou conformité. Il ne promet pas un risque nul.
Cadrer la carte avant de l’allonger.
Indiquez l’entité, les décisions que la cartographie doit éclairer, et ce qui existe déjà. Nous dirons si la mission est la bonne, ou si un audit suffit.