RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
Abonnement gratuit sur
page 32 - Numéro 428 du 18 décembre 2015
Reportage
tous sont impliqués dans le processus d’une façon
ou de l’autre. En fait tous ceux qui participant à la vie
d’un organisme jouent leur partition dans la GRC,
consciemment, ou non. Pour la gestion des risques, Kevin
Knight aimes à souligner le voyage continu plutôt que la
destination, il en va de même pour la GRC, et le voyage
vers la maturité est comme un voyage vers l’asymptote,
voire le pied de l’arc en ciel !
Toutefois, le marché semble porteur puisqu’un
recensement systématique permet d’identifier plus de
700 fournisseurs de solutions technologiques de GRC,
et plus de 115 des solutions de « GRC intelligence », et
quant aux solutions de contenus, l’offre compte plus
de 500 solutions. Pour l’acheteur en recherche on voit
que trouver la solution optimum suppose de disposer
de critères rigoureux pour réduire l’éventail et être en
mesure de faire une recommandation à ses dirigeants.
En fait, des réglementations de plus en plus
contraignantes, variables selon les territoires et les
activités, contribuent à la pression desmarchés financiers
et des parties prenantes pour que soit formalisées les
liaisons entre les trois pointes du triangle GRC.
On rappelle que dans cette perspective les points
principaux des trois pôles recourent les activités
suivantes :
1. Gouvernance
: philosophie de risques et appétit,
éthique et conformité, politique de conformité de
l’entreprise, politique et procédure de management,
et responsabilité sociale d’entreprise
.
2. Risk Management
: identification des risques, ana-
lyse des risques, débouchant sur une matrice des
risques mettant en relief les priorités et aider à la
prise de décision, mise en œuvre, vérification, suivi,
le tout avec une taxonomie de risques qui est à la
discrétion de l’organisme.
3. Conformité (réglementaire)
:
Documentation et sys-
tème de management, définition et documentation
des contrôles, suivi, publication et certification
.
Pour être efficace, un programme de GRC doit être taillé
sur mesure pour prendre en compte la culture, l’éthique
et les principes de l’organisme ; la GRC ne se limite pas
à un ensemble de règles, elle est aussi une question
de comportement. Elle suppose donc que travaillent
ensemble toue l’équipe de direction : le directeur
financier, le directeur de la conformité, le directeur du
risk-management, le directeur de l’audit, le directeur
de la qualité, le directeur de l’information, le directeur
juridique, le directeur des ressources humaines dans
l’objectif ultime d’optimiser la performance globale de
l’organisme.
Beaucoup d’organismes gèrent encore leurs programmes
en silos alors que les initiatives dans ce domaine
doivent être de plus en plus intégrées de façon à éviter
les duplications et les processus contradictoires. Ces
redondances non seulement font dériver les coûts
mais de plus ils réduisent l’efficacité de ces différentes
activités. En intégrant toutes ces activités, et en alignant
les objectifs sur les objectifs stratégiques de l’organisme,
et en mettant en pratique les règles de la gouvernance
du siège à tous les niveaux, les solutions intégrées
améliorent effectivement la performance.
Quels sont les dix risques clés en 2015 ?
On ne compte plus les études de terrain qui essaient
d’anticiper les risk majeurs auxquels sont confrontées les
entreprises, risques émergents ou largement émergés.
KPMG n’est pas en reste et pour assister les auditeurs
dans leur mission d’assistance à la gestion des risques
elle a conduit une large enquête pour identifier les dix
principaux risques et le résultat qui mélange activités
et menaces est le suivant en précisant le rôle que peut
jouer l’audit interne :
1. Cyber sécurité
: Il s’agit d’éviter les conséquences
lourdes de vols de données, tant au niveau des
conséquences directes, y compris les amendes, mais
aussi la perte de propriété intellectuelle, et l’impact
sur la réputation.
L’audit interne peut conduire une analyse de haut en
bas des procédures de cyber sécurité de l’organisme,
veiller à leur maintien à jour dans un environnement
mouvant, prendre en compte les nouvelles
technologies et envisager les dommages aux tiers
pour poser des recommandations raisonnables à la
direction
.
2. Conformité réglementaire
: Il s’agit de mettre en
place une veille réglementaire et de suivre les coûts
de conformité, en particulier dans les cas de fusions
acquisitions et d’expansion internationale.
L’audit interne peut dresser l’inventaire des sources
de réglementations et de contrôle, et évaluer la
robustesse des procédures mises en place pour
adresser des recommandations à la direction en tant
que de besoin.
3. Corruption active & passive
: Il s’agit de rester vigi-
lant en particulier lors de l’expansion dans des nou-
veaux marchés où les pratiques commerciales ne
sont pas toujours compatibles avec les lois anticor-
ruptions les plus rigides comme celles des Etats-Unis
ou de la Grande-Bretagne voire les recommanda-
tions des Nations Unies.
