Jusqu'où l'audit peut-il aller en matière de conseil sur la gestion des risques

Même si l’audit interne intervient dans une mission de conseil dédiée à la gestion des risques, la Direction de l’organisation reste seule responsable de la maîtrise des activités. Les auditeurs peuvent par contre assister l’exécutif en réalisant les prestations suivantes :

• former la Direction aux enjeux et aux problématiques relatifs à la gestion des risques et au contrôle interne. Des actions de formation en direction de la gouvernance, y compris les membres du Conseil ou de comité de surveillance, contribuent au développement dans la structure d’un environnement propice au contrôle ;

• promouvoir le dispositif de gestion des risques au sein de l’organisation, en sensibilisant l’ensemble des collaborateurs sur des questions qui les concernent tous même s’ils ne se les ont jamais posées ;

• participer aux travaux de cartographie des risques sans être acteur. C’est certainement sur ce point que la frontière entre conseil et immixtion dans la gestion est parfois poreuse. Concrètement, l’auditeur peut apporter une méthode de travail, en organisant par exemple des ateliers réunissant la Direction et les métiers opérationnels afin d’identifier et mesurer les risques inhérents aux activités. Sauf que l’audit interne coordonne les travaux, en aucune façon il ne doit produire les résultats.

Le conseil nécessite des auditeurs qu’ils s’impliquent sans compromettre leur indépendance et leur objectivité. Même si l’audit appartient aux fonctions clés du contrôle, conseiller ne signifie pas que tout peut être fait. Ainsi, s’agissant d’accompagner la direction dans la gestion des risques, l’audit interne évitera de :

• définir le cadre d’appétence aux risques applicable au sein de l’organisation. Cette définition appartient à la gouvernance et à elle-seule, plus précisément au Conseil représentant les propriétaires, puis respecté par l’exécutif, soit la direction générale ;

• déterminer les processus de gestion des risques. Même si l’auditeur interne peut sensibiliser les directions opérationnelles sur les éléments clés de maîtrise des risques, la création des dispositifs de contrôle appartient au contrôle permanent de 1^er et de 2^nd niveau. L’audit contribue à leur amélioration en formulant des recommandations une fois ces dispositifs audités et non en les rédigeant ;

• assurer la gestion des risques, notamment en identifiant et en mesurant les risques, en lieu et place de la Direction générale et des directions opérationnelles. Le conseil délivré par l’audit est en effet  ponctuel, non permanent ;

• prendre des décisions, comme arbitrer entre différentes techniques de couverture des risques. Seule la direction générale est responsable de cette gestion, même si fonctionnellement elle la délègue à une fonction dédiée. La-aussi, en matière de couverture des risques, l’auditeur est une partie prenante lorsqu’il audite, moins quand il conseille.

A lire également :

Retour à l'accueil