Mémoire de professionnalisation

La formalisation du processus de management

des risques à travers l’élaboration
d’une cartographie des risques

Mathieu Girème
Sous la direction d’Élisabeth Bertin
Maître de conférences à l’université de Bordeaux 4

Master 2 Direction Financière, Contrôle de Gestion et Audit Interne

Année universitaire 2010-2011
Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 2
Remerciements

Je tiens particulièrement à remercier Mme Delphine Josse qui m’a encadré durant mon
stage de fin d’études ainsi que Messieurs Christian Victorion et Vincent Lahogue avec qui j’ai
pu travailler. Leurs conseils et leurs compétences m’ont permis de progresser et d’acquérir
une première expérience bénéfique en tant qu’auditeur interne.

Je remercie aussi Mme Élisabeth Bertin pour ses précieux conseils lors de la rédaction
de mon mémoire. Je lui suis aussi reconnaissant des cours reçus à l’IAE de Bordeaux qui
m’ont permis de bien comprendre le cadre, les principes et les méthodes de l’audit interne.

Je pense également à Mme Rebecca Doucet, Mr Christian Fouquet et Mr Pierre Schick

qui sont intervenus à l’IAE de Bordeaux en tant que professionnels pour présenter leurs
expériences respectives. Ils ont su transmettre aux étudiants avec conviction, l’intérêt,
l’engouement et leur passion qu’ils ont pour le métier d’auditeur interne.

Enfin, j’exprime ma reconnaissance envers le personnel de l’IFACI qui m’a

chaleureusement accueilli dans la bibliothèque professionnelle et dont les ouvrages et les
mémoires étudiants m’ont aidé lors de mes recherches.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 3

Résumé

Dans un environnement de plus en plus risqué pour les entreprises, la cartographie des
risques s’impose comme le tableau de bord par excellence de la gestion des risques.
Synthétique, visuelle et très explicite, la cartographie des risques permet lors de sa
conception, puis de son utilisation, de donner une impulsion sans précédent au management
des risques de l’entreprise.
Ce mémoire propose dans un premier temps de dresser un état des lieux sur cette
pratique de plus en plus répandue. Il résume également les exigences des principaux
référentiels de gestion des risques et rappelle la méthodologie de la cartographie : choix de
l’approche, constitution des échelles d’évaluation, etc.
Puis, dans une seconde partie plus concrète, la cartographie prend forme une fois les
entretiens avec les managers réalisés. La cartographie prend alors vie lorsqu’elle aboutit à la
décision de plans d’actions et qu’elle devient ainsi le moteur du processus de management des
risques. Cependant, comme dans toute démarche, le risk manager doit s’attendre à rencontrer
quelques difficultés fréquentes lors de l’élaboration de la cartographie.

Mots-clés

- Cartographie des risques / risk mapping

- management des risques / risk management
- évaluation du risque / risk assessment

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 4

Sommaire

Remerciements………………………………………………………………………………..3

Résumé & Mots-clés………………………………………………………………………….4

Introduction…………………………………………………………………...........................6

I La cartographie des risques, une précieuse aide à la décision………………………….11

A/ La cartographie des risques, la boussole des dirigeants……………………………….11

1. De la nécessité de maîtriser ses activités…………………………………………11

2. La cartographie des risques : une pratique quasi-généralisée…………………….20

B/ Méthodologie générale de la cartographie des risques………………………………...30

1. Les choix préalables à l’élaboration d’une cartographie des risques……………..30

2. Les évaluations du risque : de multiples dissections……………………………..36

II Les bonnes pratiques d’implantation de la cartographie des risques………………....43

A/ La genèse de la cartographie : les rencontres avec les risk owners …………………...43

1. Le recensement des risques lors des entretiens avec les responsables……………43

2. Les outils de formalisation de la cartographie des risques……………………….49

B/ La cartographie des risques, élément moteur du management des risques………….56

1. Un outil vivant qui reflète les orientations de l’entreprise………………………..56

2. Les limites de la cartographie des risques………………………………………...62

Conclusion …………………………………………………………………………………..68

Bibliographie………………………………………………………………………………...70

Glossaire……………………………………………………………………………………...72

Table des documents………………………………………………………………………...73

Table des annexes…………………………………………………………………………....75

Tables des matières………………………………………………………………………….83

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 5

La formalisation du processus de management des risques
à travers l’élaboration d’une cartographie des risques

Introduction

Étymologiquement, le mot risque provient du latin resecare1 qui signifie « couper ».

Ainsi, dans son acception courante, le risque est la survenance d’un événement négatif, voire
d’un danger, qui vient « couper », perturber le déroulement normal d’une activité, d’un
processus. Techniquement, pour les professionnels de la gestion des risques, le risque est :
« l’effet de l’incertitude sur l’atteinte des objectifs »2, selon la définition donnée par le guide
ISO 73 : management du risque. Cependant, l’incertitude peut également s’avérer bénéfique
pour l’organisation, ou à la fois bénéfique et négative sous différents aspects. On parle alors
de risque positif ou d’opportunité, suivant les référentiels utilisés.
Dans la théorie économique, la profitabilité d’une entreprise – qui demeure son
objectif premier - est générée par la prise de risque consciente et recherchée. Les entreprises,
pour réussir, sont donc avant tout des organisations preneuses de risques car, selon cette
citation de Louis de Broglie3 : « Le risque est la condition de tout succès ». En entreprise, ce
succès, c’est le profit, qui est la différence entre les coûts supportés par l’entreprise et ses
revenus qui constituent la prime de risque. Au final, faire payer cette prime de risque au client
semble légitime puisqu’il n’a pas eu à supporter les aléas et contraintes de cette activité.
Cependant, loin d’être fataliste, les entreprises peuvent se prémunir de leurs risques puisqu’ils
sont prévisibles. C’est là tout l’intérêt d’un processus de management des risques. Selon la
définition du référentiel COSO 24:

« Le management des risques est un processus mis en œuvre par le Conseil

d’administration, la Direction Générale, le management et l’ensemble des
collaborateurs de l’entreprise. Il est pris en compte dans l’élaboration de la stratégie
ainsi que dans toutes les activités de l’organisation. Il est conçu pour identifier les
événements potentiels susceptibles d’affecter l’organisation et pour gérer les risques
dans les limites de son appétence pour le risque. Il vise à fournir une assurance
raisonnable quant à l’atteinte des objectifs de l’organisation. »

1
Selon la définition issue du dictionnaire Le nouveau Petit Robert, 1993
2
[Link], « Guide ISO 73 : Management du risque – vocabulaire », 2009, p.1
3 ème
Mathématicien et physicien français du XX siècle, prix Nobel de chimie en 1929
4
[Link], “Enterprise Risk Management – Integrated Framework”, September 2004, p.2

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 6

 Dès lors, avec un processus de management des risques performant, l’impact et la
fréquence de la survenance d’un risque peuvent être diminués. C’est le rôle des risk managers
qui doivent, pour remplir leur mission d’assurance de l’atteinte des objectifs d’une
organisation, aider à la mise en place des bonnes décisions face aux risques. Ils s’appuient
pour cela sur les quatre stratégies fondamentales du management des risques : la réduction,
l’acceptation, l’évitement ou le transfert du risque par des mécanismes de contrôle interne.
Quatre référentiels majeurs viennent formaliser le management des risques.
Chronologiquement, c’est le cadre de référence de la gestion des risques de l’AMRAE
(Association pour le Management des Risques et des Assurances de l’Entreprise) qui en 2002
pose les bases de l’identification, de l’évaluation et du traitement des risques. En 2004, le
référentiel COSO 2 (Committee of Sponsoring Organisation of the Treadway Commission)
détaille le processus de management des risques en entreprise et vient compléter le COSO 1
de 1993, axé sur le contrôle interne. En 2007, l’AMF (Autorité des Marchés Financiers) édite
également son cadre de référence, réactualisé en 2010. Ce référentiel couvre également le
contrôle interne et met en exergue son articulation avec le management des risques. Enfin, en
2009, la norme ISO 31000 sur le management des risques est publiée. Cette norme a une
approche issue du management de la qualité et se focalise davantage sur les risques et la
sécurité industriels. Ces référentiels, même s’ils contiennent des approches différentes et
peuvent contenir un vocabulaire légèrement nuancé, se recoupent en leurs principaux points.
Le management des risques n’est toutefois pas une nouvelle pratique et existait bien
avant la publication de ces référentiels. Certains risk owners (les propriétaires du risque),
c’est-à-dire les responsables des risques qui ont les moyens de décider d’actions concrètes
(généralement des managers haut placés, en charge d’une direction, d’un site de production ou
membres du comité exécutif), n’ont pas attendu la publication de référentiels pour maximiser
leur chance d’atteindre leurs objectifs. Aujourd’hui, ce qui augmente principalement, c’est le
degré de méthodologie, de formalisme et de systématisation du management des risques, qui
est de plus en plus confié à une direction spécialisée. Cette tendance s’explique par deux
principaux facteurs.

D’une part, des études de 2009 auprès de grands dirigeants internationaux mettent en
lumière une perception d’un environnement plus risqué. Cela n’est pas étonnant étant donné
le contexte de récession économique actuel. Parmi les principaux risques cités, on

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 7

note5 (propre traduction): le risque de contraction du crédit, le risque réglementaire et de
conformité, le risque de « prise de conscience environnementale » (radical greening), le
risque lié à la réduction des coûts (cost cutting) et également le management des
compétences, avec un âge moyen des employés élevé et la gestion du transfert des
connaissances. Ces risques pèsent donc lourdement sur l’atteinte des objectifs de ces
entreprises. Or, la course impitoyable à la création de valeur s’est accélérée ces dernières
années et la pression s’est accentuée sur les dirigeants pour qu’ils rapportent à la fois
croissance et rentabilité aux actionnaires. Dorénavant, il devient de plus en plus difficile de
demeurer performant sans s’équiper d’un processus de maîtrise des risques efficace, confié à
des professionnels qui analysent en détail les menaces réelles qui pèsent sur l’entreprise.

D’autre part, la mise en place d’un processus de management des risques va de pair
avec les pratiques actuelles de renforcement de la gouvernance d’entreprise, initialisées dans
les années 2000. Elles font suite aux scandales financiers de grande envergure, comme
l’affaire Enron ou encore suite à la récente crise des subprimes, provoquée par la prise de
risque insensée des banques qui, fortes de leur taille, bénéficient d’une quasi immunité grâce
aux paradigmes du « too big to fail », et de l’aléa moral. Dorénavant, les actionnaires (voire
les États et la société civile pour le cas des banques) veulent se donner les moyens de suivre
les risques pris par les dirigeants qu’ils ont mandatés. Ainsi, le besoin de surveillance du
Conseil d’administration et de transparence de la part des dirigeants se sont donc accrus.
Preuve en est la législation de la dernière décennie en termes de management des risques.
Progressivement, les préconisations du rapport Bouton de 2002 ont été suivies. Ainsi, la
création d’un Comité d’audit, émanant du Conseil d’administration et qui a la charge
d’examiner et de contrôler les risques est désormais une obligation légale. En effet, depuis
décembre 2008, date de la transposition française de la 8ème directive européenne de 2006,
l’existence d’un Comité d’audit est obligatoire au sein de chaque société cotée et la
surveillance du management des risques est une de ses principales prérogatives. Enfin, la loi
du 3 juillet 2008 étend l’objet du rapport annuel du président du Conseil d’administration
(PCA) aux procédures de gestion des risques. Il faut également rappeler la spécificité du
secteur bancaire, qui est soumis à une législation plus stricte en termes de suivi des risques et
qui oblige les banques à publier de l’information sur leurs risques spécifiques (Bâle II,

5
[Link], “2010 Business Risk Report: the Top Ten Risks for Global Business”, 2010

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 8

Solvabilité II, etc.). Il est intéressant de remarquer que la législation sur le contrôle interne est
intervenue bien avant celle de la maîtrise des risques. En effet, par exemple en France, la LSF
de 2003 (loi sur la sécurité financière) oblige le PCA à rédiger annuellement un rapport sur le
gouvernement d’entreprise et le contrôle interne. Dorénavant, le contrôle interne et le
management des risques sont envisagés de concert, ce qui est bien plus efficace, comme
l’affirme cet extrait d’un article de 2003, issu de Tone at the Top, le périodique de l’IIA
(Institute of Internal Auditors) 6 : (propre traduction)

« Cependant, les risques et les contrôles sont littéralement inséparables – comme deux
revers d’une médaille – cela signifie que les risques doivent d’abord être identifiés et
évalués ; puis traités et atténués par l’existence d’un solide système de contrôle
interne. »

Concernant la cartographie des risques, objet précis de ce mémoire, aucune loi ou

référentiel de management des risques ne la mentionne. Cet outil de gestion, pourtant à la base
du management des risques, est le grand absent de ces textes alors même qu’il constitue une
bonne pratique évidente. La cartographie est un outil de pilotage relativement simple,
explicite et visuel qui permet de situer les risques, de fixer des objectifs et de contrôler leur
évolution. De même, elle est un outil précieux qui n’est pas exclusivement limité à la
direction de la maîtrise des risques, mais également à tous ceux qui concourent d’une manière
ou d’une autre au processus de management des risques : le Comité d’audit, la Direction
Générale, les auditeurs et contrôleurs internes et bien sûr les responsables des risques (risk
owners), premiers concernés. Méthodologiquement, entreprendre la démarche d’une
cartographie des risques permet de parcourir une bonne partie du processus de management
des risques : identifier, évaluer, hiérarchiser, déterminer les objectifs de maîtrise des risques,
évaluer les dispositifs de traitement des risques et suivre les risques. Ainsi, à l’heure où les
entreprises prennent davantage de risques pour soutenir leur rentabilité : dans quelle mesure
établir une cartographie des risques majeurs d’une entreprise peut-elle l’aider à formaliser,
voire initialiser, son processus de management des risques ?

D’un point de vue théorique, élaborer une cartographie des risques est une impérieuse
nécessité. D’une part, c’est une aide précieuse à la prise de décision. D’autre part, c’est un
moyen efficace pour respecter les référentiels existants et mettre en place un processus de

6
The Institute of Internal Auditors, ”Managing Risks from the Mailroom to the Boardroom” in Tone at
the Top, June 2003

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 9

management des risques cohérent. Ce n’est donc pas un hasard, si cette pratique se généralise
dans les grandes organisations. Pour l’élaborer, il existe une méthodologie et plusieurs
approches qui permettent d’évaluer les risques sous différents angles et de manière très
complète.
Puis, concrètement, l’implantation de la cartographie passe par la rencontre avec les
principaux responsables. C’est ici une occasion, lors des entretiens, de constituer une véritable
base de données des risques de l’organisation qui pourra être exploitée ultérieurement. Enfin,
comme pour tout autre outil de pilotage et de contrôle, la cartographie doit amener l’entreprise
à prendre des mesures pour traiter ses risques. Elle doit, bien entendu, être actualisée
régulièrement afin de rester utile et valable pour l’organisation.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 10

I La cartographie des risques, une précieuse aide à la
décision

La cartographie des risques est un outil de bonne gestion qui prend tout son sens dans
un environnement de plus en plus risqué pour les entreprises. Pour autant, mettre en place une
telle démarche présuppose une réflexion en amont sur la méthode et l’approche à utiliser.

A/ La cartographie des risques, la boussole des dirigeants

Connaître ses risques pour mieux s’en protéger est indispensable. C’est la cartographie
des risques qui répond le mieux aux besoins d’identification, d’évaluation et de suivi des
risques, comme le réclament les différents référentiels.

1. De la nécessité de maîtriser ses activités

a) Le risque dans la théorie microéconomique

Ce sont les travaux de Daniel Bernoulli qui, dès le XVIIIème siècle, expliquent le
principe d’aversion au risque des investisseurs, de prime de risque et d’utilité du gain. Dans le
paradoxe de Saint-Pétersbourg7, il démontre que les investisseurs sont prêts à courir un risque
plus important en échange d’une prime de risque, soit un retour sur investissement plus
important. Ce paradoxe est considéré par beaucoup comme les bases de la finance moderne.
Dans les sciences économiques, le courant de l’économie comportementale, intégrant
à la fois psychologie humaine et rationalité économique, essaie de comprendre le phénomène
de l’aversion au risque : soit le fait de renoncer à un gain par peur de manifestation d’un
risque de perte. Le postulat de base suppose la rationalité parfaite des acteurs et leur volonté
permanente de s’enrichir. Toutefois, la notion d’utilité de l’argent modifie le « plaisir » de
s’enrichir. En effet, on estime que plus le gain est important et moins l’argent gagné nous
semble utile. Ainsi, pour justifier la prise de risque, les acteurs estiment que l’utilité du gain

7
« Bernoulli : le paradoxe de Saint-Pétersbourg (1738) et l'intuition de l'utilité marginale »
[Link]

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 11

est supérieure au risque encouru.8 Toutefois, cette courbe de l’utilité du gain n’est pas linéaire,
mais convexe, car plus le gain est important et moins on le juge utile. Autrement dit,
l’aversion au risque grandit avec le gain puisque le risque lui augmente de manière constante
alors que l’utilité de cet argent supplémentaire augmente moins rapidement.

Document n°1 : Courbe de l’utilité de l’argent9

Échantillon 1
A : 100% de chance de gagner 10 000 euros
B : 90 % de chance de gagner 15 000 euros

Dans ce premier exemple, la plupart des gens choisissent l’option A. En effet, ils
préfèrent assurer un gain certes très inférieur au second mais ne pas risquer de repartir
bredouille. Rationnellement, cela est discutable puisque l’espérance10 mathématique est
supérieure pour l’option B (13 500 euros contre 10 000 euros pour l’option A). Cela confirme
donc la théorie de l’utilité en démontrant que la plupart d’entre nous n’octroie pas la même
valeur aux 5 000 euros supplémentaires qu’aux 10 000 premiers. Toutefois, il est intéressant
de connaître les comportements extrêmes des acteurs face au risque. C’est le paradoxe mis en
exergue par Maurice Allais en 195311. Celui-ci remet en cause la fonction d’utilité de l’argent
en prenant l’exemple du lot suivant :

8
« L’aversion au risque », article sur [Link]
risque/
9
[Link]
10
En statistiques, il s’agit de la valeur moyenne d’une variable aléatoire, par exemple un gain dans un
jeu de hasard.
11
« L’aversion au risque », article sur [Link]
risque/

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 12

Échantillon 2
C : 10 % de chance de gagner 10 000 euros
D : 9 % de chance de gagner 15 000 euros.

À l’inverse du premier échantillon, la majorité des personnes préfèrent l’option D bien

que celle-ci soit plus risquée. Ici, la nature humaine favorise l’importance du gain car la
différence de probabilité semble négligeable. D’ailleurs, dans ce cas, le calcul de l’espérance
mathématique leur donne raison. Ce paradoxe, qui fut à la base de nombreux articles
d’économie comportementale, nous éclaire également sur le comportement général des
individus. Ainsi, on observe que dans un cas de gain quasi-certain, l’aversion au risque sera
forte. C’est cette acception là qu’il faut retenir pour le management des risques. Le cas des
entreprises qui investissent pour être sûres d’un gain. Inversement, en cas de probable perte,
on préfère maximiser la prime de risque quitte à diminuer ses chances de gains. Cela peut
éventuellement être le cas pour le choix des projets de recherche et développement. Dans le
secteur pharmaceutique, 90% d’entre eux se soldent par un échec. Le management préfère
alors sélectionner ceux qui offrent le plus de perspective de chiffre d’affaires. Toutefois, ce
dernier exemple relève de la gestion des opportunités et ne rentre pas dans le cadre du
management des risques.

La cartographie des risques a pour objectif de quantifier l’ensemble des risques que
l’entreprise prend pour assurer la rentabilité à ses propriétaires. La cartographie hiérarchise
différents scénarios qui peuvent perturber le fonctionnement normal des activités et qui vont
engendrer des pertes certaines pour l’entreprise. Officiellement, rien n’oblige une entreprise à
établir une cartographie des risques. Néanmoins, la maîtrise des risques est un sujet de plus en
plus préoccupant pour les organes de surveillance des entreprises. Dorénavant, les
problématiques de contrôle interne et de maîtrise des risques doivent être suivies par les
conseils d’administration et surtout par les comités d’audit. Les comités d’audit sont des
entités relativement récentes car rendues obligatoires pour toutes les sociétés cotées par la loi
Sarbanes Oxley Act de 2002 aux États-Unis et la 8ème directive de 2006 pour l’Union
Européenne. Toutefois, des études de 2010 sur les pratiques des comités d’audit montrent que
des progrès leur restent à faire en termes de gestion des risques. En effet, si la plupart des
entreprises françaises de l’échantillon se sont dotées d’un Comité des risques exécutif ainsi
que d’un Comité d’audit, ceux-ci devraient être plus impliqués dans la définition formelle de
l’approche des risques et également dans l’évaluation globale du dispositif de maîtrise des

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 13

risques. Or, ce sont pourtant là les principales missions des organes de gouvernance que de
fixer des objectifs en termes de management des risques et de vérifier leur réalisation.

Document n°2 : Pratique des comités d’audit en termes de maîtrise des risques12

Document n°3 : Maîtrise, management et gestion des risques : quels acteurs ?13

12
[Link], « Synthèse de l’enquête internationale sur les pratiques des
ème
comités d’audit en France et dans le monde », 5 édition, octobre 2010, p.4
13
[Link], « Maîtrise des risques : 40 réponses aux défis actuels des décideurs », 2010, p.8

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 14

 Des efforts sont donc à faire pour les comités d’audit dans le domaine de la maîtrise
des risques. C’est ce que relève une autre étude de KPMG en publiant une liste des dix actions
à faire pour les comités d’audit. Deux d’entre eux concernent les risques14: (propre traduction)

5. Repenser le rôle du Comité d’audit dans la supervision des risques : La récente

focalisation sur les risques est aujourd’hui une opportunité pour le Comité d’audit, le
Conseil d’administration ainsi que ses comités spécialisés pour reconsidérer leur rôle
dans la supervision des risques. Est-ce que le Comité d’audit possède l’expertise
suffisante pour apprécier les risques stratégiques, opérationnels ou d’autres types ?
L’expertise d’autres membres du Conseil d’administration est-elle bien utilisée ?

9. Aider à réduire le désalignement face aux risques pendant que l’entreprise subit le
changement : Le changement est créateur de risque. Pendant les périodes de crises, le
risque de désalignement de la stratégie, des objectifs, des risques et des contrôles peut
devenir exceptionnellement élevé. Conscient de son rôle de supervision des risques, du
contrôle interne et de conformité aux lois, le Comité d’audit est le mieux placé pour
aider à réduire le risque de désalignement et de détecter les impacts qui auraient un
changement significatif sur les états financiers.

La récente crise est donc une formidable opportunité pour les comités d’audit
d’affirmer leur fonction de surveillance. D’ailleurs, ce n’est pas un hasard si maintenant les
principales agences de notation mondiales (Standard & Poor’s, Moody et Fitch) évaluent la
gouvernance des entreprises par plusieurs critères pour déterminer leur solvabilité. Selon le
Vernimmen, la gouvernance d’entreprise se définit de la façon suivante :

« Dans une acception large, la gouvernance d'entreprise représente l'organisation du

contrôle et de la gestion de l'entreprise. De façon plus étroite, le terme de gouvernance
d'entreprise est utilisé pour désigner l'articulation entre l'actionnaire et la direction de
la société, et donc principalement le fonctionnement du Conseil d'administration ou du
Directoire et du Conseil de surveillance »15

Le fonctionnement du Conseil d’administration est donc regardé de près par les

agences de notation. Cependant, une attention très particulière est également apportée sur
l’existence, la taille, la fréquence des réunions, l’indépendance et les missions du Comité
d’audit. Chacun de ces critères est évalué par un système de notation propre aux agences 16.
Parmi les missions du Comité d’audit, la maîtrise des risques figure parmi les critères
d’évaluation. Si une bonne gouvernance n’est pas gage d’une meilleure solvabilité pour les
prêteurs, elle est au moins gage du sérieux des dirigeants et des administrateurs qui
14
[Link], “Ten to do for audit committees” , January 2010, p.1
15
[Link]
16
LOUIZI Amir & ROTH Fabrice, Évaluation du Gouvernement d’entreprise par les agences de rating :
Une analyse comparative des méthodes, IAE de Lyon, 2003, p.21

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 15

s’emploient à gérer de près les principaux aléas auxquels l’entreprise pourrait être soumise.
Dans cette situation, l’existence d’une cartographie des risques ne peut que confirmer cette
volonté de gestion des risques. Ce n’est donc pas par hasard si ce document est commun aux
fonctions « d’assurance » de l’entreprise (audit interne, contrôle interne et management des
risques).

b) Le document initial des fonctions de management des risques, d’audit et de

contrôle internes

Les fonctions d’audit interne, de management des risques et de contrôle interne sont
très proches, à tel point que les audités ont bien souvent des difficultés à différencier ces
activités. Pour rajouter à la confusion initiale, ces fonctions sont parfois réunies dans la même
direction pour des raisons de taille de l’entreprise. Quoiqu’il en soit, la cartographie des
risques a la particularité d’être un document commun à ces trois fonctions. En effet, s’il
appartient bien évidemment au management des risques d’élaborer cette cartographie, les
deux autres fonctions vont s’empresser de l’utiliser et même de contribuer à son évolution.

Document n°4 : Triangle des interactions des trois fonctions « d’assurance »17

17
Réunion mensuelle de l’IFACI du 15 février 2011 « La cartographie des risques en milieu
industriel », présentation de Véolia environnement.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 16

 Ce schéma met en évidence les interactions des trois fonctions « d’assurance » au sein
d’un grand groupe français. On se rend compte alors de l’entraide que ces fonctions
s’apportent mutuellement dans la réalisation de leurs missions respectives. La cartographie
des risques est une précieuse aide à l’audit interne pour préparer ses programmes d’audit, en
se focalisant sur les activités les plus critiques ou encore dans les processus où un risque
sévère s’est manifesté. D’ailleurs, il peut être intéressant d’associer la direction du
management des risques lors de l’élaboration des programmes d’audit. Le contrôle interne
quant à lui s’appuie sur la cartographie pour décliner la série de mesures appropriées pour
faire face à une prise de risque jugée « intolérable » par les dirigeants de l’entreprise. En
outre, la cartographie des risques constitue un excellent moyen d’évaluation de l’efficacité du
contrôle interne. Les historiques des évaluations permettant d’observer l’évolution des
principales menaces pour l’organisation. Mieux, la cartographie des risques, selon Claude
Viet, ex-président de l’IFACI, fait le lien direct entre audit et contrôle internes18 :

« Avec l’évolution du contrôle interne qui embrasse désormais tous les secteurs de
l’entreprise, l’audit interne doit impérativement utiliser la cartographie des risques
comme le fondement de son activité. »

Les interactions sont également réciproques, l’audit interne et le contrôle interne

contribuent, certes indirectement, à l’élaboration de la cartographie des risques. D’une part,
l’audit interne peut faire un retour sur la partie « risques » de ses travaux au management des
risques et d’autre part, il est tout à fait possible que l’audit interne, si mandaté pour, soit
amené à formuler une opinion sur la cartographie et à émettre des recommandations que le
management des risques devrait alors appliquer. Le contrôle interne peut aussi avoir ce même
rôle en signalant au management des risques un décalage, une non-conformité entre le niveau
de risque recensé sur la cartographie et le niveau de risque existant. En effet, c’est bien la
fonction de contrôle interne qui est la plus proche et la plus familière des risques et qui a la
charge de les prévenir alors que le management des risques a la charge de les identifier et de
les évaluer.

Conceptuellement, les missions du management des risques peuvent être comparées

avec la roue de Deming et le fameux quadriptyque « Plan, Do, Check, Act ». Sans surprise la
cartographie des risques constitue le point de départ des travaux du mangement des risques.

18
ROFF Jean-Loup, « Pour une meilleure articulation entre audit et contrôle internes – entretien avec
Claude Viet», in Audit interne, n°190, juin 2008, p.8

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 17

 Document n°5 : Le management des risques dans le groupe Eurocopter19

Document n°6 : La roue du management des risques (traduction du document précédent)

Retrouver la
situation Analyser le
d’avant risque
risque

Gérer les
effets du
risque Réduire le
survenu risque

- La première mission d’analyse des risques consiste à identifier, évaluer et décider des
mesures de traitement à prendre pour les risques recensés. C’est lors de cette étape de

19
Réunion mensuelle de l’IFACI du 15 février 2011 « La cartographie des risques en milieu
industriel », présentation d’Eurocopter.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 18

 planification qu’il faut prévoir les scénarios de manifestation du risque en se
renseignant sur l’historique de ce risque au sein de l’entreprise, ses causes et ses
conséquences, chiffrées si possible. « Analyser » s’assimile facilement au « Planifier »
de la roue de Deming. C’est donc bien lors de cette phase initiale que la cartographie
des risques dévoile toute son utilité. La cartographie identifie les risques, les évalue, et
peut déterminer le niveau d’appétence au risque. De plus, élaborer une cartographie
amène logiquement à appliquer des stratégies pour réduire un risque et à nommer un
responsable pour traiter chaque risque au sein de l’organisation.
- C’est à partir de l’analyse des risques que les moyens de prévention et les dispositifs
de contrôle interne sont mis en place. C’est grâce à la cartographie des risques et aux
décisions managériales que l’on décide des priorités. Il s’agit d’être actif et vigilant
pour minimiser l’apparition d’un risque. « Prévenir » constitue le « Faire ».
- Chaque risque possède sa propre probabilité d’occurrence. Tôt ou tard, le risque peut
se manifester, et ce même avec la meilleure volonté, soit suite à une défaillance d’un
dispositif de contrôle interne ou soit suite à une mauvaise anticipation des risques.
Dans ce cas, il faut gérer le risque et les conséquences qu’il entraîne : les dégâts
humains, matériels, de réputation et financiers. Pour cela, il faut appliquer les réponses
prévues lors de l’analyse des risques et de la constitution des plans de management de
crise et de continuité d’activité. « Gérer » s’apparente à « Agir »
- Enfin, une fois le risque de nouveau maîtrisé, il faut s’assurer que l’entreprise s’est
effectivement remise de ce risque et a bien rétabli son activité normale. Suivant
l’impact subi, des plans de recouvrement peuvent s’avérer nécessaires. Bien
évidemment, il faut apprendre de cette expérience vécue et en tirer les conclusions en
analysant de nouveau le risque et en le réévaluant si besoin. À cette occasion, il est
souhaitable de rectifier entre autres la cartographie des risques et les différents plans.
« Rétablir » correspond donc au « Vérifier ». Une fois lancé, le mouvement de cette
roue doit être perpétuel. Il faut garder à l’esprit que la cartographie des risques est un
élément vivant et qui s’adapte au gré des péripéties de l’entreprise.

L’utilité de la cartographie des risques, que ce soit pour les trois fonctions
« d’assurance » ou pour le management général de l’entreprise n’est plus à démontrer. C’est
d’ailleurs sans surprise que cette bonne pratique s’est amplement diffusée à l’ensemble des
grands groupes et des entreprises à la taille conséquente, qui doivent s’assurer de la maîtrise
de leurs activités.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 19

 2. La cartographie des risques une pratique quasi-généralisée

a) Le syncrétisme des différents référentiels

Plusieurs référentiels du management des risques coexistent. Si leur approche peut

différer, notamment dans la décomposition en sous-processus du management des risques et
qu’il existe quelques nuances de vocabulaire, les quatre référentiels partagent globalement la
même méthode.

Le COSO 2, publié en 2004, est le référentiel le plus connu et le plus utilisé. Il fait
suite au COSO 1 de 1972, en le complétant par l’approche du management des risques. Le
COSO 2 parle d’événement dans la vie d’une entreprise qui devient un risque s’il l’impacte
négativement ou au contraire une opportunité si l’événement s’avère bénéfique. COSO 2 parle
également d’appétence au risque, soit le niveau de risque auquel l’entreprise est prête à faire
face. Cette appétence est englobée d’un seuil de tolérance, soit une variation acceptable du
niveau de risque par rapport à l’appétence, qui est l’objectif défini. Par rapport au référentiel
COSO 1, qui traite du contrôle interne, COSO 2 prend également en compte les objectifs
stratégiques en plus des objectifs opérationnels, de reporting et de conformité. De même, trois
éléments sont rajoutés par rapport au dispositif de contrôle interne : la fixation des objectifs
(afin d’identifier à partir de ces derniers quels événements pourraient nuire à leur atteinte),
l’identification des événements (à la fois risques et opportunités) et le traitement des risques
(ici les opportunités sont mises de côté, comme pour l’évaluation des risques). Enfin, COSO 2
donne une dimension d’analyse supplémentaire car les risques doivent être maîtrisés et
analysés dans toute l’entreprise, y compris ses divisions, ses business units et ses éventuelles
filiales.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 20

 Document n° 7 : Comparaison COSO 1 à COSO 2 : de la pyramide au cube20

20
BOURROUILH Olivier, SCHICK Pierre & VERA Jacques, Audit interne et référentiels de risques,
DUNOD, 2010, p.19

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 21

 Le cadre de référence de la gestion des risques de l’AMRAE, publié en 2002 inclut
directement la gestion des risques dans la mise en œuvre de la stratégie de toute organisation.
La gestion des risques est donc planifiée au plus haut niveau de l’entreprise et « a pour
objectif d’ajouter le maximum de valeur durable à chaque activité de l’organisation. »21
L’AMRAE parle de risques aux aléas positifs et aux aléas négatifs. Ainsi, l’analyse des
risques est également élargie aux opportunités : « On s’accorde de plus en plus à reconnaître
que la gestion du risque s’intéresse à celui-ci sous les deux aspects de l’aléa positif et de l’aléa
négatif »22. L’AMRAE conseille également une double classification des risques : par
typologie (stratégique, financier…) mais également par origine (interne ou externe), car le
traitement sera différent.

Document n° 8 : Exemple de classification des risques par l’AMRAE23

21
[Link], « Cadre de référence de la gestion des risques », 2002, p.3
22
[Link], « Cadre de référence de la gestion des risques », 2002, p.3
23
[Link], « Cadre de référence de la gestion des risques », 2002, p.4

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 22

 Le processus de gestion des risques de l’AMRAE, (voir ci-dessous), contient sept
sous-processus. Le cadre de référence se focalise surtout sur le second sous-processus qui est
central : l’appréciation du risque. À la différence du COSO 2, ce cadre de référence est
beaucoup plus pratique et donne beaucoup d’exemples d’outils : la fiche de description du
risque, plusieurs exemples d’échelles pour évaluer les risques et les opportunités. En outre, un
appendice liste toutes les techniques d’identification et d’évaluation des risques.
Curieusement, la cartographie des risques est absente alors que le cadre de référence donne les
principaux outils pour la construire. Par contre, ce référentiel insiste moins sur
l’environnement nécessaire au développement propice du management des risques même s’il
s’emploie à décrire les rôles et responsabilités de chacun dans l’administration et la
surveillance de la gestion du risque.

Document n° 9 : Le processus de gestion des risques de l’AMRAE24

La norme ISO 31000 sur le management des risques contient une approche par le
management de la qualité. Cette norme se veut accessible à toutes les organisations et n’est
donc pas l’apanage exclusif des grands groupes. Contrairement à d’autres normes ISO, celle-
ci n’est pas sujette à certification. Cette norme répond davantage à des problématiques
24
[Link], « Cadre de référence de la gestion des risques », 2002, p.5

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 23

industrielles afin notamment de garantir la sécurité des parties prenantes : ses employés, ses
clients, la société civile et l’environnement. La norme ISO propose dorénavant une nouvelle
définition du risque un peu moins mathématicienne que la précédente. Il a donc fallu modifier
le guide ISO 73 – vocabulaire. Maintenant, le risque n’est plus « un évènement probable ayant
des conséquences », mais « l’effet de l’incertitude sur l’atteinte des objectifs »25. Enfin, la
norme ISO 31000 ne vise pas à uniformiser les pratiques de management des risques mais se
contente de donner des lignes directrices sur ce sujet26.

Concrètement. La norme ISO met en place 11 principes de management des risques

qui doivent guider la conception d’un cadre organisationnel qui décrit les activités de
management des risques des différentes unités. Ce cadre organisationnel doit avoir une
perspective d’amélioration continue. C’est pourquoi il rentre dans une roue de Deming (Plan /
Do / Check / Act), cercle vertueux de l’auto-apprentissage. Une fois le cadre organisationnel
mis en place, chaque entité devra suivre un processus de management des risques plus
classique. Chaque risque doit être identifié, analysé, évalué puis traité tout en en garantissant
un environnement propice à la gestion des risques : établissement du contexte (fixation des
objectifs), communication / consultation et surveillance / revue.

Document n° 10 : Les onze principes de la norme ISO 3100027

1 Le management des risques crée de la valeur et la préserve

2 Le management des risques est intégré aux processus organisationnels
3 Le management des risques est intégré aux processus de prise de décision
4 Le management des risques traite explicitement de l'incertitude
5 Le management des risques est systématique, structuré et utilisé en temps utile
6 Le management des risques s'appuie sur la meilleure information disponible
7 Le management des risques est adapté
8 Le management des risques intègre les facteurs humains et culturels
9 Le management des risques est transparent et participatif
10 Le management des risques est dynamique, itératif et réactif au changement
11 Le management des risques facilite l'amélioration continue de l'organisation

25
MOTET Gilles, «ISO 31000 en 10 questions », Les cahiers de la sécurité industrielle, mai 2009, p.3
26
[Link]/iso/fr/catalogue_detail.htm?csnumber=43170
27
[Link]

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 24

 Document n° 11: Schéma de la norme ISO 3100028

Le cadre de référence de l’AMF, publié en 2007 et réactualisé en 2010, traite à la fois

du contrôle interne et de la gestion des risques. Ce cadre n’est pas obligatoire mais constitue
indéniablement une bonne pratique pour mettre en œuvre la loi du 3 juillet 2008. Cette loi
transpose en droit française la 4ème et la 7ème directive européenne qui obligent toutes les
sociétés cotées à fournir dans leur rapport de gestion une information sur ses principaux
dispositifs de contrôle interne et de gestion des risques. Il s’inspire notamment du COSO 2 et
de la norme ISO 31000. Le processus de management des risques qu’il décrit ressemble très
fortement à celui du COSO 2, à la différence qu’il traite exclusivement des risques et ne
mentionne pas les opportunités. L’apport de ce cadre de référence réside dans le fait qu’il
explicite clairement l’articulation entre le management des risques et le contrôle interne, en
expliquant les responsabilités des acteurs de l’entreprise dans chacun de ces domaines. Un
intéressant questionnaire d’auto-évaluation pour les sociétés sur leur maîtrise du processus de
management des risques est également donné en annexe. Là encore, la cartographie des

28
[Link]

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 25

risques n’est pas mentionnée. Seule consolation, le cadre de référence oriente au moins dans
ses annexes le lecteur vers des ouvrages relatant de la cartographie.

Pour conclure sur cette analyse des différents référentiels, ces derniers se distinguent
par leur approche : générale pour le COSO 2, pratique pour l’AMRAE, qualiticienne pour la
norme ISO et synthétique pour le cadre de référence de l’AMF. Néanmoins, les mêmes
notions sont systématiquement abordées. Une lacune commune est l’absence de mention
d’une cartographie des risques, document fondateur de la gestion des risques dans une
entreprise et qui est approuvé par un grand nombre d’organisations.

b) Un document phare dans un grand nombre d’organisations

« L’approche par les risques est essentielle aujourd’hui et la cartographie des risques
est l’outil central de l’anticipation indispensable de ces risques. »29. En 2002, date de ces
propos du président du groupe La Poste, l’intérêt de la cartographie des risques était reconnu
par la plupart des grands groupes. Une analyse récente, par sondage de 782 entreprises sur
leurs pratiques du management des risques, réalisée par l’AMRAE en 2010, vient confirmer
ces propos30 : (propre traduction)

Une tendance d’uniformisation des pratiques et des outils sur les risques se dégage à
travers un champ d’intervention plus large et une convergence des outils et des
pratiques sur les risques (la cartographie des risques est devenue une pratique
incontestable). Cependant, en dépit de cette tendance d’uniformisation, l’approche du
management des risques demeure dans la plupart des entreprises plus qualitative (un
atelier d’évaluation) que quantitative (puissants outils analytiques).

En ce qui concerne les référentiels utilisés par les entreprises européennes, le COSO 2
est le plus appliqué (30%), les référentiels européens et nationaux (AMRAE et AMF) sont mis
en œuvre par 23% des entreprises et la norme ISO 31000 a été adoptée par 13% des sociétés
interrogées. L’intérêt de ces chiffres réside dans le fait que près de 47% des entreprises ne se
référent pas explicitement à une des démarches citées. Toutefois, considérant le fort degré de
similarité de ces référentiels, il faut considérer ces chiffres dans leur globalité et constater que

29
BAILLY Jean-Paul, « Un impératif pour demain, articuler les fonctions d’audit et de contrôle avec les
réalités économiques des entreprises », in Audit interne, n°192, décembre 2008, p.17
30
[Link], FERMA, “Risk Management Benchmarking Survey : Key to Understanding the
th
Diversity of Risk Management Practises in Europe”, 5 edition, 2010, p.2

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 26

53% des entreprises étudiées ont intégré un référentiel de management des risques et suivent
donc des principes structurés et structurants.

Une pratique de management des risques faisant une forte unanimité parmi les
entreprises sondées est la cartographie des risques. L’étude révèle que 77% des entreprises
européennes interrogées ont établi une telle démarche. Pour les entreprises du CAC 40,
l’existence d’une cartographie des risques est mentionnée dans leurs documents de référence
(exemples 2010 de Total et de Renault, consultables sur Internet, rubrique « Facteurs de
risques ») ainsi que les principaux risques auxquels elles font face tout en décrivant les
mécanismes de maîtrise des risques déployés. Il est également intéressant de constater que
cette bonne pratique ne demeure pas l’apanage du secteur privé mais que toute organisation
peut mettre en place une cartographie. Ainsi, on remarque que de plus en plus d’institutions
publiques se rompent également à cet exercice. Un des secteurs où la cartographie des risques
relève toute son importance est le secteur hospitalier. Les établissements hospitaliers sont
incités à formaliser une cartographie des risques. Par exemple, l’hôpital Robert Debré de Paris
a mis, en plus d’une démarche qualité, une politique de gestion des risques rigoureuse31. Le
management des risques est ici un thème pris au sérieux, incluant une formation du personnel,
l’existence de plans de crise, un système informatique de remontées des évènements
indésirables, ainsi qu’un traitement et un suivi des risques. La cartographie des risques
contient des risques cliniques « internes » et non cliniques « externes », relatifs aux activités
support. Autre exemple, plus proche des entreprises : chaque année l’AMF se livre à cet
exercice dans sa « cartographie des risques et des tendances sur les marchés financiers »32.
Les principaux risques identifiés, sont les risques macroéconomiques, de mauvaise
valorisation des actifs, d’attractivité des actions, etc. Enfin, dans la même perspective, il n’est
pas une surprenant d’observer le développement de logiciels informatiques intuitifs qui
permettent de cartographier les risques.

De retour dans les entreprises privées, l’enquête de l’AMRAE dévoile également

l’appétence au risque des entreprises, concept que nous approfondirons plus loin. Une
tendance intéressante se dégage de cette étude qui constate que les entreprises prennent

31
[Link]
32
[Link], « Cartographie 2009 des risques et des tendances des marchés financiers et
pour l’épargne », juin 2009, p.8

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 27

davantage de risques en fonction de la typologie des risques plus que de leur évaluation
(propre traduction) :

L’appétence au risque des entreprises repose davantage sur la catégorie du risque que
sur l’évaluation du risque en elle-même. Par conséquent, les entreprises optent souvent
pour des stratégies de prise de risques pour les risques externes (concurrence, marché,
fusion et acquisition etc.) et tendent à se montrer totalement averses aux risques
concernant la règlementation ou la sécurité.

L’étude montre également que plus une entreprise est complexe, (critères tels que la
cotation, la taille, le nombre de pays d’implantation et le degré de réglementation) plus son
niveau de maturité dans le management des risques est important. Cette corrélation démontre
alors l’importance d’un tel processus au cœur duquel on retrouve la cartographie des risques,
outil de gestion indispensable.

Document n° 12 : Lien entre la maturité du management des risques

et de la complexité de l’entreprise33

Cependant, des progrès restent à obtenir sur les bonnes pratiques et les outils du
management des risques. Effectivement, l’enquête considère que seulement 43% des
entreprises pouvaient se considérer comme « avancées » dans le domaine du management des
risques. De plus, 64 % des entreprises avouent ne pas inclure d’analyse des risques dans leur

33
[Link], FERMA, “Risk Management Benchmarking Survey: Key to Understanding the
th
Diversity of Risk Management Practises in Europe”, 5 edition, 2010, p.5

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 28

processus de prise de décisions stratégiques. Enfin, l’utilisation d’outils quantitatifs (logiciels
informatiques) pour le management des risques demeure une exception : seulement 5% des
participants au sondage. Si élaborer une cartographie des risques est un très bon début en
termes de management des risques, elle ne demeure pas moins un outil statique qui ne peut
remplacer la volonté des dirigeants de mettre en place des dispositifs de maîtrise des risques.

Après avoir démontré l’utilité d’une cartographie des risques pour une organisation, il
est temps de présenter les notions méthodologiques à connaître avant d’amorcer cette
démarche au sein de l’entreprise.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 29

B/ Méthodologie générale de la cartographie des risques

Avant de commencer une cartographie des risques, il faut tout d’abord déterminer son
périmètre dans l’organisation et retenir une de deux approches pour planifier les différentes
étapes de la démarche. Puis, lors des entretiens il faudra évaluer le risque de multiples façons :
en le décomposant et en mesurant l’effet des dispositifs de maîtrise des risques.

1. Les choix préalables à l’élaboration d’une cartographie des risques

a) Quel niveau de conception pour la cartographie ?

À quel niveau doit être effectué la cartographie des risques ? Tout dépend bien
évidemment de la taille de l’organisation, de ses diverses implantations et de son portefeuille
d’activité. Il ne s’agit pas de multiplier les cartographies sans cohérence avec les besoins de
maîtrise des risques de l’entreprise. Même si la cartographie des risques est un outil simple,
visuel et très explicite, il ne faut pas sous-estimer le temps nécessaire pour aboutir au résultat
final. Il faut donc raisonner en termes d’utilité et de coûts / avantages pour décider de mettre
en place une telle démarche. Précisons d’emblée que nous parlons ici d’une cartographie dite
« globale » et qui a pour but de recenser l’ensemble des risques majeurs de l’entreprise qui
peuvent être de nature très variée, contrairement à une cartographie dite « thématique »,
focalisée sur un seul process, un seul secteur de l’entreprise.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 30

 Document n° 13 : L’organisation du management des risques dans un groupe34
Outils et bonnes pratiques

Reporting des risques majeurs

Consolidation
des risques

Consolidation
des risques

Ci-dessus, voici l’exemple d’un groupe français qui établit une cartographie des
risques par division en faisant remonter l’information de ses business units. Une cartographie
des risques est également effectuée au niveau groupe. Pour un groupe, une cartographie des
risques par filiale peut s’avérer nécessaire si la taille de la filiale est significative. A fortiori,
cela est d’autant plus indispensable pour un groupe international. En effet, tous les risques
d’origines externes peuvent avoir un contexte radicalement différent comme la culture
d’entreprise, la législation, la fiscalité. Dans le cas d’un groupe dont le portefeuille d’activités
serait diversifié, on peut également recommander de mettre en place une cartographie
commune aux entités partageant le même cœur de métier, en se focalisant notamment sur les
risques d’origine interne. Le partage de bonnes pratiques, le benchmarking interne sur la
maîtrise des risques n’en sera que facilité.

Une des difficultés à surmonter lors de l’élaboration de la cartographie des risques de

niveau groupe est la consolidation des risques. En effet, il s’agit de hiérarchiser les risques qui
peuvent avoir un impact pour le groupe dans son ensemble. Il existe quelques risques qui
concernent l’ensemble du groupe. Par exemple, pour un groupe implanté majoritairement en
Union Européenne, il est tout à fait possible qu’une directive ou un règlement européen
34
Réunion mensuelle de l’IFACI du 15 février 2011 « La cartographie des risques en milieu
industriel », présentation de Véolia environnement (propre reconstitution de leur schéma)

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 31

 viennent impacter l’ensemble de ses filiales dans les mêmes proportions, ou encore de prévoir
la fin de vie d’un produit ou d’un service dans l’ensemble de ses filiales internationales, certes
à des différents stades d’avancement. Ici, une évaluation classique de ces risques peut être
effectuée. Hormis ces cas assez exceptionnels, il faudra pondérer les risques évalués dans les
filiales, et de la maison mère (si c’est une entité significative) pour déterminer si ce même
risque est significatif au niveau du groupe.
Ainsi, pour consolider les risques au niveau groupe, une façon de procéder peut être la
suivante. Il s’agit d’une part de recenser les risques qui apparaissent dans plusieurs filiales ou
dans celles significatives (lors de mon stage, sur les huit filiales possédées par le groupe, deux
d’entre elles représentent 80% du chiffre d’affaires). Une fois les risques regroupés par type,
une moyenne pondérée par la part de chiffres d’affaires de chaque filiale dans le groupe peut
être effectuée. Cette pondération doit se faire à la fois sur la gravité et sur l’occurrence.
Ensuite, il ne reste plus qu’à placer les risques sur la cartographie. Ainsi, la direction du
groupe a une vision claire sur les risques qui nécessitent une réponse au niveau groupe et qui
peut être similaire dans les filiales concernées. Cette façon de sélectionner les risques met
néanmoins de côté les risques les plus critiques qui peuvent apparaître dans une entité de
petite taille. Pour ces risques graves, à traiter de manière urgente, une procédure qui vise à
alerter les dirigeants du groupe peut être mise en place de façon à les tenir informer et à
éventuellement émettre des instructions particulières quant au traitement du risque.

Document n°14 : Tableau de pondération des risques au niveau groupe35

Tableau de consolidation de l’impact et de l’occurrence des risques remontés par les filiales
Filiale Filiale Filiale Filiale Somme Impact Proba
Type de
Description du risque A B C D CA% moyen moyenne
risque
(55%) (25%) (15%) (5%) /4 /4
Stratégique Concurrence / Compétitivité 3/3 1/3 3/4 85% 2,33 3,33
Opérationnel Qualité du produit insuffisante 3/1 4/2 3/2 45% 3,33 1,66
Opérationnel Retards de livraison 2/3 2/4 20 % 2 3,5
Fiscalité Augmentation de l'imposition 1/1 1/2 3/2 1/1 100% 1,25 1,5
Compétences Démission de salariés 2/3 3/3 40% 2,5 3
Informatique Piratage des données 2/4 55% 2 4

D’autres cartographies des risques peuvent par la suite être mises en place de façon
plus spécifique. On parle alors de cartographie thématique, qui n’a, de manière générale, pas

35
Proposition d’un tableau de consolidation

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 32

vocation à sortir de la direction concernée. Par exemple, l’AFAI (Association française de
l’audit informatique) recommande d’établir une cartographie des risques informatiques d’une
entreprise36. Pour, la gestion des risques informatiques, c’est le COBIT (Control Objectives
for Information and related Technology), publié en 1994, qui fait référence. Il est vrai
qu’aujourd’hui, les SI (systèmes d’information) constituent la moëlle épinière d’une
organisation. Pour ces problématiques, qui certes intéressent les acteurs classiques du
management des risques, il est plus judicieux de recourir à des experts pour évaluer ces
risques. La démarche de cartographie thématique peut également être effectuée dans des
services de taille modeste. Par exemple, dans l’entreprise où j’effectuais mon stage, le
responsable de la sécurité et de la santé du personnel, qui a la charge de rédiger et d’actualiser
chaque année le document unique d’évaluation des risques, utilise une cartographie. Le
document unique, qui est une obligation légale, doit être approuvé par le CHSCT (Comité
d’Hygiène, de Sécurité et des Conditions de Travail) de l’entreprise. Ce document recense
l’ensemble des risques auxquels sont soumis les salariés (analyse par type de métier). Pour
illustrer les résultats de manière pragmatique, une cartographie des risques s’impose.

Pour être efficace et percutant, un bon tableau de bord doit être synthétique et
comporter au maximum une vingtaine d’indicateurs qui doivent se suffire pour avoir une
vision globale de l’organisation. La cartographie des risques, outil de prise à la décision, ne
déroge pas à la règle. Le nombre de risques identifiés doit être même idéalement compris
entre dix et quinze maximum. Ce nombre, relativement modeste, s’explique par le fait que les
risques doivent être hiérarchisés et significatifs. Il est inutile de construire une « usine à gaz »
en remontant une pléthore de risques mineurs. La cartographie des risques étant destinée à
être présentée aux dirigeants, seuls ceux qui nécessitent leur attention doivent être présents.
Sur ce point, le management des risques rejoint le mode de fonctionnement de l’audit interne :
se focaliser essentiellement sur les risques non maîtrisés. Il faut se concentrer sur les
urgences. Toutefois, cela ne signifie pas qu’il faut cesser de surveiller les activités qui
semblent maîtrisées. Une fois le périmètre de la cartographie décidé, il convient de choisir
l’approche méthodologique qui semble la mieux adaptée à l’organisation et aux souhaits des
dirigeants.

36
Réunion de l’AFAI du 8 avril 2010, « Cartographie des risques informatiques : exemples, méthodes
et outils »

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 33

 b) Top down ou bottom-up : quelle approche retenir ?

En stratégie des organisations, deux grandes approches s’opposent pour faire circuler
l’information de l’entreprise. Ainsi, soit l’information suit un circuit top down et part des
hautes instances de l’organisation pour être diffusée entre les différents services, soit
l’information suit un circuit bottom up où l’information est progressivement remontée des
plateformes opérationnelles jusqu’à la Direction Générale. Ces deux approches sont
également transposées dans la démarche de la cartographie des risques

L’approche bottom up est la plus utilisée pour mettre en place la cartographie des
risques. Le risk manager analyse chaque processus de l’entreprise pour faire ressortir
méthodologiquement les risques majeurs. Dans une démarche de cartographie globale, cette
approche est pertinente puisqu’il s’agit de rencontrer les personnes qui sont les plus proches
des opérations et qui sont donc le plus à même d’être confrontées quotidiennement aux
risques. Puis, le risk manager porte à la connaissance des personnes en charge les risques de
terrain identifiés par les opérationnels. Selon Gilbert de Mareschal : « L’identification des
risques se fait de manière relativement libre et ouverte. »37 Elle se fait donc par entretiens ou
lors d’ateliers avec les opérationnels, des membres des fonctions support (marketing,
ressources humaines, systèmes d’information) en utilisant une grille des risques potentiels
(préparée à l’avance) afin de s’assurer que tous les risques ont bien été évoqués. Puis, une
synthèse des risques majeurs est présentée aux dirigeants qui les valident et les hiérarchisent.
Ils assignent également un responsable en charge de chaque risque majeur. Ces derniers
devront préconiser un plan d’actions.

À l’inverse, avec l’approche top down, l’identification des risques majeurs est
préalablement faite par une analyse du risk manager qui doit envisager les principaux risques
de l’entreprise pour chaque parties prenantes38, qui sont au nombre de six (actionnaires,
fournisseurs, employés, clients, entreprises partenaires, société civile). Ensuite, le risk
manager doit alors resituer ces risques, les rattacher au sein des processus de l’entreprise.
Cette méthode d’identification des risques est dans ce cas « plus fermée »39dans le cas d’une
cartographie globale. Elle est plus souvent utilisée dans une cartographie thématique, où le

37
De MARESCHAL Gilbe4rt, La cartographie des risques, AFNOR, 2003, p.15
38
Groupe professionnel Industrie et Commerce, Étude du processus de management et de
cartographie des risques, Les cahiers de recherche de l’IFACI, 2003, p.32
39
De MARESCHAL Gilber5t, La cartographie des risques, AFNOR, 2003, p.16

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 34

risk manager limite ses recherches à un domaine, un métier, ou une géographie particulière.
Dans ce cas, l’évaluation et la validation des risques se fait lors des entretiens avec les
principaux dirigeants. Si toute l’information n’est pas obtenue lors de ces entretiens, cela
oblige à aller chercher davantage d’information auprès des acteurs plus proches de ces risques
spécifiques. Le succès de cette approche repose donc sur la capacité initiale du risk manager à
cerner les risques majeurs lors de son travail de recherche.

Document n° 15 : Synthèse des étapes des approches top down et bottom up40

1. Approche bottom up
1 Modélisation des processus de l’entreprise (avec les opérationnels)
2 Identification des risques inhérents (avec les opérationnels)
3 Évaluation des risques résiduels et identification des risques majeurs (opérationnels)
4 Identification des risques liés à la stratégie (avec le directeur de la stratégie)
5 Mixage des risques majeurs et des risques stratégiques (DG et principaux dirigeants)
6 Gestion du portefeuille des risques et des opportunités
7 Pilotage et communication

2. Approche top down

1 Déterminer les risques majeurs par partie prenante
2 Pondérer les risques majeurs pour ne garder que les plus importants

3 Rattachement des processus clés de l’entreprise aux risques opérationnels et aux

risques majeurs
4 Hiérarchiser les risques
5 Établir une cartographie des risques (entretiens avec les principaux dirigeants)
6 Valider les risques (par les principaux dirigeants)
7 Alimenter le plan d’audit

Toutefois, ce cloisonnement des approches demeure relativement conceptuel. Ces

deux approches sont chacune un idéal type au sens wébérien du terme41. Il est illusoire de
croire qu’une de deux méthodes doit être à terme entièrement privilégiée. En effet, si une doit
prévaloir lors de l’élaboration de la cartographie des risques, une fois mise en place le
40
Groupe professionnel Industrie et Commerce, Étude du processus de management et de
cartographie des risques, Les cahiers de recherche de l’IFACI, 2003, p.27 à 35
41
Caricature volontaire, trait exagéré, d’un caractère distinctif dans un but pédagogique

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 35

processus de la maîtrise des risques est heureusement un mélange de ces deux approches. Le
management des risques doit être interactif entre les hauts dirigeants et les risk owners. Ces
derniers surveillent les risques existants, signalent les risques potentiels et établissent le
reporting qui est présenté aux dirigeants (bottom up). Quant aux dirigeants, ils fixent les
objectifs de gestion des risques et s’assurent du déploiement du système de gestion des
risques (top down). Cet apprentissage et cet échange réciproque ne peuvent être que
bénéfiques pour la maîtrise des activités de l’entreprise et les acteurs qui y participent.

2. Les évaluations du risque : de multiples dissections

La première limite de l’évaluation des risques est bien entendu sa subjectivité, étant
donné qu’une échelle et le placement d’un risque fait appel au jugement humain. Sa
perception varie donc d’un dirigeant à un autre et ce sans aucune mauvaise foi. En effet, le
degré de maîtrise d’une opération peut varier selon le caractère optimiste ou pessimiste du
dirigeant. De même, à force d’être confronté à un risque, le dirigeant peut avoir tendance à la
minimiser alors que ses conséquences peuvent être graves pour l’entreprise. Enfin, il faut bien
sûr anticiper les possibles conflits d’intérêts pour un dirigeant qui évalue un risque dont il est
manifestement le responsable.
Dans l’éventualité où un auditeur interne (cas des entreprises où la direction des
risques n’existe pas) est en charge de l’élaboration de la cartographie des risques, il doit
seulement se contenter de : « faciliter l’identification et l’évaluation des risques »42. Son rôle
doit se limiter à celui d’un conseiller qui accompagne l’élaboration de la cartographie des
risques en apportant ses connaissances méthodologiques. Il ne doit en aucun cas prendre la
décision d’évaluer un risque à la place des responsables.

a) La décomposition du risque

Le risque est défini par deux éléments : l’impact et la probabilité d’occurrence. Ainsi,
la cartographie des risques contient deux axes, celui représentant le niveau de l’impact (ou de
la gravité) et celui de la probabilité. En multipliant le niveau de gravité par la probabilité on
obtient le niveau de criticité d’un risque. Ces trois notions sont chacune évaluée selon une
échelle qui leur est propre. Pour chaque échelle, il est préférable de choisir un nombre

42
[Link], “The Role of Internal Auditing in Enterprise Wide Risk Management”, January 2009,
p.4

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 36

d’intervalles compris entre trois et cinq. Empiriquement, il est recommandé d’utiliser une
échelle à quatre intervalles puisque inconsciemment, la plupart des acteurs tendent à évaluer
les risques dans leur valeur moyenne. Choisir une échelle à chiffre pair permet d’éviter cet
écueil. Cela incite donc à prendre position, quitte à légèrement sous-estimer ou surestimer un
risque. Durant mon stage, l’échelle suivante a été retenue : « rare, possible, probable, quasi-
certain » pour la probabilité, « faible, modérée, élevée, critique » pour l’impact et « mineur,
moyenne, majeure, critique » pour la criticité d’un risque. Pour chacune des échelles, la
fixation des différents intervalles doit être approuvée par les dirigeants puisque ces
hypothèses de départ vont fortement influencer les résultats de la cartographie des risques.

L’échelle de la probabilité est la plus simple. En général, pour déterminer les

intervalles on choisit une échelle entre 0 et 100%. Cependant pour certains risques, on peut
choisir une échelle périodique, du type : se manifeste 1 fois tous les mois, ans, dix ans, etc.
Pour une activité industrielle, les défauts de fabrication ou les risques de panne peuvent être
évalués par série : 1 tous les mille, dix mille objets, etc.

Document n° 16 : Exemple d’échelles de probabilité43

Échelle de probabilité Rare Possible Probable Quasi-certain

Score 1 2 3 4
Intervalle de probabilité moins de 5 % entre 5 et 20 % entre 20 et 80 % plus de 80 %
Occurrence par série 1 tous les millions 1 tous les mille 1 tous les cinquante 1 tous les cinq
Occurrence par période 1 fois par siècle 1 fois par an 1 fois par mois 1 fois par jour

L’échelle de la gravité de l’impact est plus subtile à évaluer dans le sens où elle doit
être spécifique à chaque type de risque. La plupart des risques que l’entreprise encourt peut
être monétairement quantifiée. C’est le cas d’un litige juridique, de charges induites par une
réglementation ou une fiscalité défavorable, de la perte d’un client, des dégâts matériels suite
à une catastrophe naturelle, d’un arrêt de la production. Dans le cas d’une cartographie
groupe, il est plus judicieux de transposer les montants des dommages de chaque filiale en
termes relatifs, par exemple en pourcentage du chiffre d’affaires, ou d’un autre indicateur plus
approprié. Cela permet de faciliter la comparaison d’un risque et de son impact réel auprès
d’une filiale par rapport aux autres entités du groupe. Pour les risques dont il est difficile

43
Modification d’un document utilisé en entreprise

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 37

d’évaluer monétairement l’impact, il faut alors déterminer des critères qualitatifs pour fixer
les intervalles. Ainsi, pour un risque d’image et éventuellement pour un risque
environnemental, il faut évaluer la répercussion médiatique de ce risque. Pour un risque de
sécurité humaine, il faut fixer différents degrés d’incapacité d’un employé. Le risque de
climat social, difficile à cerner, peut être appréhendé par différent indicateurs : sondage en
interne, taux d’absentéisme, de turn over, etc.

Document n° 17 : Exemple d’échelles de gravité44

Échelle de gravité Faible Modérée Élevée Critique

Score 1 2 3 4
X euros ou X X euros ou X %
Dépenses X euros ou X % X euros ou X % de
% de CA, de de CA, de
supplémentaires ou de CA, de CA, de charges ou
charges ou de charges ou de
pertes de recettes charges ou de RN de RN
RN RN
Poursuites judiciaires / Entente à Saisine du Condamnation Condamnation au
contentieux l’amiable tribunal au civil pénal
Impact chez un
Limité à Impact dans les
Détérioration de l'image ou plusieurs Impact dans la
quelques médias nationaux /
du Groupe clients / presse locale
personnes internationaux
fournisseurs
Invalidité Décès d'un
Alerte sans Blessure avec
Impact physique permanente d'un employé ou d'un
arrêt de travail arrêt de travail
employé tiers
Impact efficacité / qualité, Altération Interruption Interruption
Altération visible
impact sur la qualité des légère de la momentanée du prolongée du
de la qualité
données dans le SI qualité service service

L’échelle de criticité est le résultat de la cotation du risque sur les deux échelles
précédentes. Elle est visuellement représentée par quatre couleurs dont les nuances tournent
autour du vert, jaune et rouge sur la cartographie des risques. Pour chaque couleur, on peut
attribuer une liste d’actions à prendre par défaut.

44
Modification d’un document utilisé en entreprise

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 38

 Document n° 18 : Exemple d’échelle de criticité45

Échelle de criticité Couleur Description de la criticité

Risque mineur Verte Le risque est insignifiant et se situe très en dessous du seuil
d’appétence.
Risque modéré Jaune Le risque a des conséquences qui demeurent tolérables, il faut
néanmoins le surveiller.
Risque moyen Orange Le risque est mal ressenti par l'entreprise, les conséquences
sont graves. Le risque doit absolument et rapidement être traité.
Risque majeur Rouge Le risque peut mettre jusqu'à la pérennité de l'entreprise en jeu.
Dans tous les cas, l'entreprise est affectée durablement.

Maintenant que le risque est en mesure d’être évalué méthodologiquement, il convient

de le mesurer de plusieurs manières, de façon à apprécier l’efficacité du dispositif de gestion
des risques.

b) Chronophotographie du risque

La chronophotographie est un ensemble de photographies rapprochées qui permet de

voir la décomposition d’un mouvement et de constater l’évolution d’un geste de manière très
précise. C’est dans cet état d’esprit que nous allons procéder à plusieurs évaluations du risque
en introduisant les concepts de risque brut (ou inhérent) et de risque net (ou résiduel).
Le risque brut est le niveau de risque naturel que l’entreprise prend en exerçant une
activité. À l’inverse, le risque net est le niveau de risque qui reste après avoir traité le risque
par une décision du management. Ainsi, une cartographie des risques peut représenter le
risque avant son traitement, pendant son traitement (évaluation de l’efficacité du traitement) et
après son traitement. Quatre scénarios peuvent résulter d’un traitement des risques :
- Diminution de la probabilité. La probabilité d’occurrence est réduite en empêchant
une panne d’électricité par la mise en action automatique d’un groupe électrogène. La
gravité du risque est identique : un arrêt temporaire de la production, mais la
probabilité est diminuée.
- Diminution de la gravité. Inversement, le management décide de baisser la gravité du
risque de variation de taux d’intérêt en optant pour l’achat d’instruments de couverture
de taux d’intérêt La probabilité d’occurrence de ce risque est inchangée mais l’impact,
lui, sera moindre.

45
Modification d’un document utilisé en entreprise

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 39

 - Idéalement, le management décide de diminuer la criticité du risque (exemple de chute
en hauteur) en jouant à la fois sur la probabilité (formation régulière du personnel,
habilitations professionnelles) et la gravité (équipement de protection individuels et
intervention en binôme ce qui permet au partenaire de réagir en cas de problème).
- Cependant, une stratégie de diminution d’un risque peut avoir des « impacts
contradictoires »46 sur la gestion d’un risque. Par exemple, une société décide pour
diminuer le risque de vol de matériel de centraliser son stock dans un entrepôt unique.
Certes, cela diminue la probabilité de vol car auparavant il y avait plusieurs entrepôts.
Cependant, en cas d’intrusion dans l’entrepôt unique, la gravité du vol est beaucoup
plus importante. Au final, le risque a été déplacé dans la cartographie des risques mais
son niveau de criticité demeure identique.

Visuellement, il est possible de représenter le risque brut et le risque net sur la

cartographie des risques (voir ci-dessous). Ce type de cartographie est très intéressant
puisqu’il permet d’évaluer l’efficacité du management des risques. En effet, l’inclinaison de
la flèche entre le risque brut et le risque net renseigne à la fois sur la variation de la gravité et
de la probabilité d’un risque. On peut également imaginer une cartographie des objectifs du
management des risques qui contiendrait les risques résiduels majeurs et les niveaux de risque
cible décidés par les dirigeants.

46
De MARESCHAL Gilbert, La cartographie des risques, AFNOR, 2003, p.49

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 40

 Document n° 19 : Le passage du risque brut au risque net47

Pour décider des actions à prendre sur les risques résiduels, se référer à l’échelle de criticité
peut suffire. Ainsi, le management peut estimer que tout risque dont la criticité est moyenne
demeure intolérable et il faut alors décider des actions supplémentaires pour la diminuer. Une
autre analyse, qui nécessite de resituer les risques et celle proposée dans une des présentations
de l’AFAI. Cette bonne pratique permet de répartir les contrôles effectués pour réduire les
risques en quatre groupes :
- Pour les risques inhérents forts, dont le risque résiduel est toujours fort, les contrôles
ne sont pas assez efficaces, il faut les renforcer.
- Pour les risques inhérents forts dont le risque résiduel est faible, les contrôles sont
satisfaisants et bien adaptés. Toutefois, étant donné le risque inhérent encouru, il faut
s’assurer de l’application systématique du contrôle.
- Pour les risques inhérents faibles dont le risque résiduel est fort, ils ne sont a priori pas
menaçants. Cependant, leur répétition et leur manque de surveillance peut à terme
peser sur les activités de l’entreprise. Il faut donc surveiller le nombre de
manifestation du risque.

47
[Link], « Outil 7 : Exemple de cartographie des risques », KPMG

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 41

 - Enfin les contrôles qui surveillent les risques inhérents faibles et dont le risque
résiduel est faible sont peu être trop nombreux. Il est peut être judicieux d’alléger les
contrôles sur ces risques pour réallouer des moyens humains et matériels sur d’autres
risques moins bien maîtrisés.

Document n° 20 : Actions à prendre lors de l’analyse du risque résiduel48

Maintenant que les hauts dirigeants de l’entreprise, et nécessairement la Direction

Générale, sont fortement convaincus de l’intérêt de la cartographie des risques par l’ensemble
des arguments exposés dans cette première partie (assurance supplémentaire de parvenir à la
maîtrise de ses activités, outil de pilotage des objectifs dans un environnement risqué, bonne
pratique adoptée par la plupart des entreprises dont les grands groupes, démarche conforme
avec l’ensemble des référentiels de management des risques). Il est donc grand temps, pour le
risk manager, après avoir soigneusement choisi son approche et préparé ses entretiens, de
rencontrer les dirigeants pour élaborer concrètement la cartographie des risques.

48
Réunion de l’AFAI du 8 avril 2010, « Cartographie des risques informatiques : exemples, méthodes
et outils »

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 42

II Les bonnes pratiques d’implantation de la cartographie
des risques

La genèse d’une cartographie nécessite un travail de fond ainsi que la rencontre de

nombreux interlocuteurs et cela jusqu’au plus haut niveau de l’entreprise. Une fois élaborée, il
faut garder à l’esprit que la cartographie est une photographie des risques à un instant donné,
un outil statique. Il convient donc de rendre cet outil vivant, en lui donnant une utilité
concrète dans l’entreprise et en le réactualisant régulièrement.

A/ La genèse de la cartographie : les rencontres avec les risk owners

La cartographie des risques s’appuie sur des données concrètes et chiffrées qu’il faut
aller récupérer auprès des différents responsables de l’entreprise. Ce n’est qu’une fois les
informations et les perceptions des dirigeants prises en compte que les risques pourront
apparaître dans la cartographie.

1. Le recensement des risques lors des entretiens avec les responsables

Traiter un risque nécessite deux étapes. D’une part, identifier et évaluer les risques qui
menacent les activités de l’entreprise. D’autre part, déterminer l’appétence au risque de
l’entreprise. La différence entre le niveau de risque et l’appétence pour un risque constitue
alors l’objectif de traitement du risque.

a) Faire identifier et évaluer les risques par les principaux managers

L’élaboration d’une cartographie des risques requiert la participation des dirigeants de

l’entreprise car ce sont eux qui endossent la responsabilité de la gestion des risques. Il s’agit
donc de les sensibiliser à la maîtrise de ces risques et à les faire pleinement collaborer pour le
projet de cartographie. À ce sujet, si la plupart des managers font, parfois sans le savoir, du
management des risques au quotidien, tous ne sont pas spontanément enclins à participer à
une telle démarche. Quelques-uns font l’amalgame, fréquent, entre donner des informations
sur les risques inhérents à leur activité et faire un aveu de faiblesse, voire d’incompétence

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 43

professionnelle. La réaction première, souvent tournée sur le ton de l’humour, est
l’affirmation suivante : « Nous ? On n’a pas de risques. » Cela est très révélateur sur la
perception négative du risque. Pourtant le risque d’une activité témoigne de sa rentabilité
potentielle. En continuant le raisonnement, affirmer ainsi ne pas avoir de risque revient donc à
soutenir tacitement que l’activité n’est pas profitable. La nuance suivante a donc son
importance : c’est bien la maîtrise des activités risquées qui témoigne des qualités et du talent
des hauts managers et non la recherche de l’éradication des risques.

Dans l’entreprise, certaines fonctions sont très sensibilisées sur la maîtrise des risques.
Ainsi, les membres d’une direction juridique, qui interviennent souvent quand le risque est sur
le point de se manifester, sont souvent plus diserts sur les risques. À l’inverse, mais sans
tomber dans la généralisation, les porteurs de projets peuvent avoir tendance à minimiser les
risques ou toute autre entrave à la bonne réalisation de leurs projets. Surtout, la participation à
la démarche de la maîtrise des risques dépend aussi de la culture de contrôle dans l’entreprise.
Si l’utilité du contrôle interne et du management des risques, fonctions maintenant bien
établies dans les grandes entreprises, doivent être connues par les managers, cela est moins
vrai pour les entreprises de taille plus modeste. En effet, limitées par la taille de leurs effectifs,
les fonctions d’audit interne, de management des risques et de contrôle interne – qui peuvent
être effectuées par la même direction - ont fort à faire pour diffuser cette notion de culture de
contrôle.

Concrètement, lors des entretiens d’identification des risques, il convient donc d’être
pédagogue et convaincant sur l’intérêt de la cartographie qui constitue une aide précieuse à la
décision. Les interlocuteurs naturels de la cartographie des risques d’une entreprise sont en
autres les membres du comité de direction ou de son équivalent (dans une approche top
down). Les entretiens doivent principalement se faire autour de cette instance pour deux
raisons. D’une part, c’est la seule qui dispose d’une vision globale de l’entreprise et étant
donné la diversité des risques qu’une cartographie peut contenir, il faut que le panel des
interviewés soit en mesure de tous les couvrir. D’autre part, c’est au niveau du comité de
direction où la stratégie est discutée. Or, le management des risques est, et doit être, un
élément à part entière de la stratégie puisque cette fonction donne une assurance raisonnable
sur l’atteinte des objectifs de l’organisation.
Préalablement à la rencontre des dirigeants, le risk manager doit avoir mené une
réflexion sur quels peuvent être les risques de l’entreprise. L’idéal est qu’il ait auparavant

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 44

préparé une grille des risques possibles dont il se sert lors des entretiens individuels afin de
s’assurer que l’ensemble des risques ont été évoqués. Grâce à ce travail en amont, lors des
rencontres individuelles avec les dirigeants, le risk manager pourra demander la vision de
chacun des managers sur les risques auxquels l’entreprise est exposée. Chaque risque identifié
doit être systématiquement estimé par le dirigeant. D’ailleurs, d’autres entretiens à un niveau
hiérarchique inférieur, à titre d’information, peuvent être menés avec différents responsables
de services pour préciser les caractéristiques et l’historique d’un risque. Une fois que le risk
manager a effectué l’ensemble des entretiens, il essaie d’en établir la synthèse en repérant les
risques patents. Ce travail effectué, il peut alors animer une réunion du comité de direction où
l’objet sera de déterminer les dix ou quinze risques majeurs de l’entreprise, d’évaluer le risque
brut et net de chacun d’entre eux et de déterminer les objectifs en matière de management des
risques.

Dans cette réunion, le principal écueil qui guette le risk manager est celui de
« l’évitement cordial » où chaque membre du comité évite tacitement de mettre en avant les
risques d’un collègue en espérant qu’ainsi, les siens ne lui soient pas rappelés. Cela aboutirait
à une cartographie consensuelle, « politiquement correcte » qui n’aurait pas grand intérêt.
C’est également lors de cette réunion qu’il faut décider de l’échelle des risques à adopter.
C’est en effet au top management de décider des seuils qui vont permettre de qualifier la
probabilité et la gravité d’un risque. Une fois les risques évalués, il faut désigner un
responsable : le propriétaire du risque (risk owner). Au niveau du comité de direction,
l’attribution des responsabilités des risques se fait assez naturellement tant que chaque risque
est associé à une direction (risques de compétences pour les ressources humaines). Pour les
projets ou les risques d’ordre réglementaire, un responsable peut être nommé sur ses
compétences ou sur ses relations (actions de lobbying pour la prévision d’une réglementation
défavorable). Ainsi, chaque propriétaire du risque est en charge de mettre en place sa vision
de la maîtrise des risques tout en se conformant aux instructions de la Direction Générale.

C’est là une autre phase du management des risques que de décider des stratégies à
mettre en œuvre pour traiter chaque risque (évitement, acceptation, transfert, diminution). Il
s’agit pour cela de prendre en compte le niveau d’appétence au risque de l’entreprise.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 45

 b) L’appétence au risque et la détermination du risque cible

L’appétence au risque est une notion éminemment stratégique. L’appétence est le

niveau de risque que l’entreprise est prête à accepter ou à ne pas accepter. L’appétence n’est
autre que le degré d’acceptation du risque. L’appétence maximale précède la stratégie dans le
sens où elle dépend de la capacité initiale de l’entreprise à résister à un risque,
indépendamment de toute stratégie. L’appétence est également un élément endogène, au cœur
de la stratégie puisqu’elle est essentielle pour déterminer les objectifs de l’entreprise. Par
exemple c’est accepter que 60 % des projets de recherche ou d’innovation n’aboutissent pas.
Au-delà, on estime que la situation devient défavorable pour l’entreprise et que le risque de
non retour sur investissement devient trop important, intolérable pour l’entreprise.
L’appétence est donc une notion qui requiert une bonne connaissance préalable des risques
majeurs auxquels l’entreprise est confrontée. Le niveau d’appétence, défini par la Direction
Générale est en soi un objectif de management des risques, on parle alors de risque cible.
C’est à partir de lui que l’on peut décider de la stratégie adéquate à retenir pour traiter un
risque.
L’appétence au risque est fonction de quatre variables49. En effet, au-delà de toute
sensibilité personnelle au goût du risque, il existe des moyens objectifs pour mesurer
l’appétence :
- Tout d’abord, l’appétence dépend du profil de risque initial de l’entreprise. Ici, il s’agit de
déterminer quels sont les différents niveaux de risques auxquels l’entreprise fait face.
C’est ici que l’évaluation des risques est utile. En effet, l’appétence pour un niveau de
risque supplémentaire dépend du niveau initial de risque.
- Ensuite, la capacité au risque soit le niveau de risque maximum que l’entreprise peut
potentiellement supporter en restant solvable et en ne menaçant pas son activité. La
capacité de résistance au risque peut se mesurer de manière très neutre en comparant
l’impact financier d’un risque manifesté par rapport aux différents ratios de solvabilité, de
liquidité ou de capacité d’emprunt. Évidemment, il est préférable que l’appétence au
risque du management soit inférieure à cette capacité de résistance.
- Le troisième facteur déterminant le niveau d’appétence est la tolérance au risque. La
tolérance est un intervalle plus ou moins large qui s’établit autour des objectifs à atteindre.
Cela détermine donc une variation de l’objectif qui est acceptable.

49
[Link], ”Strengthening Enterprise Risk Management for Strategic Advantage”, 2009, p.9

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 46

- Enfin, l’appétence au risque est bien sûr le niveau désiré de risque, élément le plus
subjectif de l’appétence. Toutefois, comme expliqué ci-dessus, le niveau désiré de risque,
pour ne pas être inconsidéré, ne peut s’affranchir des autres variables. L’appétence au
risque doit être normalement bornée, délimitée. Le niveau désiré de risque est parfois
volatile et dépend de l’actualité de l’entreprise ou du contexte macro-économique. Par
exemple, France Télécom récemment pris dans la tourmente médiatique à cause de la
vague de suicides de ses salariés ne peut se permettre la moindre prise de risque social
sans retomber sous les feux de l’actualité dès le moindre problème avéré. Dans ces cas, le
management est presque totalement averse au risque. Parfois, l’appétence au risque est
donc très fortement dictée par la société civile et les médias, surtout pour les sujets d’ordre
éthique. Aujourd’hui pour une entreprise, il est difficile de négliger les risques humains ou
environnementaux sous peine de voir apparaître le risque de réputation, auquel les
entreprises sont fortement plus sensibles.

Document n° 21 : Les composantes de l’appétence au risque50

Si déterminer l’appétence relève du domaine réservé de la Direction Générale, il n’en

demeure pas moins que les actionnaires ont un droit de regard sur le niveau de risque pris. En
effet, comme l’appétence va déterminer le niveau de risque, les actionnaires ont tout intérêt à
50
[Link], “Strengthening Enterprise Risk Management for Strategic Advantage”, 2009, p.9

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 47

comparer le risque pris par rapport à la rentabilité théorique que va leur apporter les décisions
de la Direction Générale. Finalement, l’appétence est également fonction de la réponse à la
question suivante : Quel niveau de risque les actionnaires sont-ils prêts à prendre ?
C’est pourquoi la cartographie des risques doit être un document qui remonte jusqu’au
Conseil d’administration et au Comité d’audit. En fonction de sa propre appétence, le Conseil
pourra influencer le management des risques afin qu’il se rapproche de sa vision. Dans tous
les cas, une appétence trop grande pour le risque doit être normalement signalée au Conseil
d’administration. C’est normalement au responsable de l’audit interne d’alerter le Conseil en
cas de prise de risque jugée trop audacieuse. En effet, selon la norme professionnelle
internationale 2600 intitulée « Acceptation des risques par la Direction Générale »51 :

Lorsque le responsable de l'audit interne estime que la Direction Générale a

accepté un niveau de risque résiduel qui pourrait s'avérer inacceptable pour
l'organisation, il doit examiner la question avec elle. Si aucune décision
concernant le risque résiduel n’est prise, le responsable de l’audit interne doit
soumettre la question au Conseil aux fins de résolution.

C’est donc à partir du niveau d’appétence au risque que l’on va déterminer le risque
cible. Évaluer l’appétence revient en fait à déterminer le risque cible. En effet, comme le
niveau d’appétence est déterminé par la hiérarchie du risk owner, celui-ci devra mettre en
place des dispositifs de contrôle interne pour atteindre le risque cible. Le risque cible est
évalué selon les mêmes critères que le risque brut et le risque net. Un risque net inférieur ou
égal au risque cible témoigne de l’adéquation entre l’appétence au risque des dirigeants et le
niveau réel de risque auquel elle fait face. À l’inverse, un risque net plus élevé que le risque
cible est la conséquence de l’insuffisance ou de l’inefficacité des contrôles internes par
rapport aux orientations fixées par la Direction Générale. Ce peut être aussi le constat d’une
prise de risque volontairement trop grande de l’entreprise qui n’est pas en phase avec ces
objectifs de maîtrise de ses activités. Dans ce cas, il convient alors de réévaluer le risque cible.

51
[Link], « Normes internationales pour la pratique professionnelle de l’audit interne de l’IIA »,
janvier 2011

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 48

 2. Les outils de formalisation de la cartographie des risques

Grâce aux différents entretiens réalisés avec les managers, l’information ainsi collectée
va constituer la base de données du management des risques. Pour la mettre en valeur, la
rendre pratique et utilisable, deux outils viennent se compléter. La fiche de risque constitue la
carte d’identité du risque et la cartographie qui s’en inspire permet de visualiser les risques
majeurs de l’entreprise.

a) Les fiches de risques : la base de données des risques

Chaque risque peut se manifester à cause d’évènements différents voire d’une

combinaison de plusieurs facteurs. Les conséquences sont elles aussi multiples et les plans
d’actions potentiellement nombreux. La fiche de risque doit permettre de synthétiser tout cela.

Afin d’éviter la multiplication désordonnée des risques identifiés, il convient de

décider d’une typologie des risques. En fonction des risques auxquels l’entreprise fait face, il
est intéressant que l’entreprise se dote de sa propre typologie des grands risques. Chaque
entreprise devrait se contenter au maximum de dix à quinze familles de risque. Cette
typologie doit prendre en compte la spécificité de l’activité de l’entreprise et de la
prééminence des certains risques. Par exemple, pour une banque le risque financier est un
terme bien trop générique et imprécis. Une banque à tout intérêt à davantage ce thème en
plusieurs familles : le risque de crédit et le risque de change si elle y est particulièrement
exposée. À l’inverse, une entreprise industrielle préférera certainement réunir les risques
financiers mais spécifier deux familles sur les risques liés au personnel : une focalisée sur les
risques humains pour envisager les différents accidents probables et élaborer une famille
« compétences » pour gérer au mieux son taux de turn-over ou ses besoins de ressources
humaines. À titre d’information, les catégories de risques les plus fréquentes sont les
suivantes : stratégique, réglementaire, financier, humain, juridique, environnemental,
énergétique, informatique, fournisseurs, clients, social, fiscal, etc. Toutefois, cette
terminologie est seulement utile pour catégoriser les différents risques. Pour remplir une fiche
de risque, il faut davantage de précisions, pour mieux définir ce qui menace l’activité de
l’entreprise. Pour constituer ces fiches, nous nous sommes inspirés d’un modèle issu d’une
formation de l’IFACI. Le plan de chaque fiche de risque est donc le suivant :

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 49

 Document n° 22 : Exemple d’une fiche de risque vierge, élaborée en stage52

Fiche de risque n° :
Responsable :

Présentation du risque

Définition
Contexte
Historique
Scénarios

Evaluation du risque

Risque brut Risque net Risque cible

Impact Probabilité Impact Probabilité Impact Probabilité

Analyse du risque

Causes -
Conséquences -
Mesures de contrôle -
Commentaires sur les contrôles :

Plan d’actions

Priorité Action Responsable Délai

1. Présentation du risque

- La présentation du risque se décompose en quatre étapes. Tout d’abord sa présentation avec

une définition simple. À ce sujet, la formulation d’un risque doit volontairement effrayer et
« faire mal ». La manifestation d’un risque n’est plaisante pour personne et il convient
d’insister sur les défaillances et non pas de les atténuer. D’ailleurs, si le risk manager est
amené à présenter ou à diffuser (avec parcimonie !) les fiches de risque, il convient de
prévenir par avance du caractère négatif d’une fiche de risque. Ce sont des évènements
brutaux qui y sont recensés, qui de surcroît peuvent ne s’être parfois jamais manifestés dans
l’entreprise. Enfin, il faut rappeler que les fiches de risque ne jugent personne, si ce n’est
l’ampleur d’un phénomène.

52
Modification d’un document utilisé en entreprise

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 50

- La seconde information est une brève description qui rappelle le contexte général de
l’entreprise et qui met en évidence pourquoi il est probable que ce risque se manifeste.
Parfois, le contexte n’est pas indispensable dans la mesure où aucun évènement ne vient
apporter d’inquiétude particulière à ce moment, mais qu’il s’agit d’un risque récurrent. Dans
le cas d’une cartographie groupe, il peut être important d’y préciser la filiale ou le pays en
particulier. Cela permet de prendre en compte les différences contextuelles.
- L’historique est quant à lui primordial mais facultatif dans le cas où il ne s’est pas produit
auparavant. Il est la justification même de la nécessité des fiches de risque. Pour cette
information, il est important d’être synthétique et percutant. Deux à trois exemples bien
choisis suffisent.
- Enfin les scénarios décrivent plusieurs situations possibles qui conduiraient à la survenance
de ce risque. Le scénario est d’autant mieux choisi que la situation en question se reproduit
souvent.

2. Évaluation du risque

Le risque est évalué le de trois manières : le risque brut (ou inhérent), le risque net (ou
résiduel) et le risque cible. Pour chacun des risques, on distinguera la probabilité de la gravité.
Ces deux aspects sont évalués selon l’échelle qui leur est propre.

3. Analyse du risque

Cette partie rassemble les causes identifiées du risque. Dans certains cas, on peut imaginer
que les causes ne sont pas connues mais que les conséquences, elles, le sont. Les mesures de
contrôle déjà existantes sont également listées. Cela permet de connaître la position de
l’entreprise vis-à-vis de ce risque et c’est une première approche pour évaluer les dispositifs
de contrôle de ce risque.

4. Plan d’actions (traitement du risque)

Cette dernière partie présente les actions correctives qui ont été décidées pour faire face à ce
risque. Ces actions retenues sont issues soit des recommandations formulées lors de la
conclusion d’un audit ou soit des propositions directement émises par le risk owner.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 51

 Au final, le plan d’une fiche de risque ressemble de très près à celui d’une FAR (Fiche
d’Audit et de Recommandations). La partie présentation pose le problème. L’évaluation est
un constat que l’entreprise pourrait être amenée à faire en cas de manifestation du risque. Les
causes et conséquences sont réunies dans la partie analyse du risque et les solutions figurent
dans le plan d’actions possible.

Document n° 23 : Similarité avec la fiche d’audit et de recommandations53

Fiche d’audit et de recommandations

FAR n°
Papier de travail :

Problème :

Constats :

Causes :

Conséquences :

Solution proposée :

Établi par : Approuvé par : Validé avec :

Le Le Le

Bien évidemment, il est utile d’alimenter ces fiches de risques en permanence. En

effet, lors des différents entretiens avec les opérationnels, le risk manager mais également
l’auditeur interne sont amenés à prendre connaissance d’une manifestation d’un risque. Il est
alors intéressant en quelques questions de cerner les causes, les conséquences et les actions
menées suite à ce risque sans oublier de compléter la fiche de risque afférente. Si le
management des risques n’est pas réuni dans la même direction, il est nécessaire de le leur
communiquer. En effet, les fiches de risques doivent s’étoffer de tous les exemples possibles
53
BOURROUILH Olivier, SCHICK Pierre & VERA Jacques, Audit interne et référentiels de risques,
DUNOD, 2010, p.125

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 52

afin de prouver leur utilité et de démontrer qu’un risque n’est pas seulement possible ou
probable, mais qu’il se produit bel et bien. De plus, cela permet de capitaliser sur l’expérience
acquise dans la gestion des risques, de partager les bonnes pratiques et de réagir plus vite et au
mieux pour traiter un risque. Pour cela, la base de données des risques doit être alimentée en
permanence afin de suivre de près l’évolution de l’entreprise. Ce constat est aussi valable pour
la cartographie des risques, représentation à un instant donné, des principaux risques d’une
organisation.

b) Les différentes représentations des risques dans une cartographie

Il existe principalement trois types de cartographie, chacun cherchant à mettre en

évidence des informations différentes.
- La cartographie la plus courante est celle à double échelle (par exemple celle conçue par
KPMG, document n°19 p.41). Ce type de cartographie, en représentant à la fois le risque
brut et le risque net, met en exergue l’efficacité du management des risques et les résultats
des différents plans d’actions élaborés pour diminuer ces risques.
- La cartographie en radar, quant à elle, est plus appropriée pour faire apparaître le niveau de
risque cible et le niveau actuel de risque. Dans ce cas précis, l’échelle est unique et
représente la criticité d’un risque. Là aussi, le résultat est très visuel puisque tout risque net
au-dessus du risque cible signifie que le niveau d’appétence au risque, autrement dit
l’objectif de maîtrise du risque, n’a pas été atteint et que le plan d’actions n’a pas été assez
efficace.
- Enfin, dans le cadre d’une cartographie thématique, où les recherches sur les risques sont
plus précises, on peut quantifier le risque à chaque occurrence. En listant en colonne les
risques et en listant en ligne les actifs, les sites ou des activités, et en pointant
systématiquement leurs occurrences, il est très facile de remarquer si un risque se manifeste
souvent et si un actif, un site ou une activité est particulièrement exposé à un type de risque.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 53

 Document n°24 : Différentes représentations des risques dans une organisation54

Risque net

Risque cible
Marché en fin de vie
5
Inadéquation du SI 4 Risque de nouveaux entrants

3
2
Gestion des compétences Risque de refus d'un crédit
1
0

Atteinte à l'environnement Inflation des matières premières

Qualité de production Défaillances fournisseurs

Risque de réduction des coûts

Une présentation également pragmatique de chaque risque est issue de schéma ci-
dessous. Pour chaque risque, il faut déterminer le ou les éléments déclencheurs ainsi que les
moyens de contrôle existant. Ces deux éléments vont soit permettre soit empêcher la

54
Réunion de l’AFAI du 8 avril 2010, « Cartographie des risques informatiques : exemples, méthodes
et outils »p. 24 et 25 (reconstitution)

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 54

manifestation du risque. Si le risque s’avère, il faut lister ses conséquences mais également
tous les moyens mis en œuvre qui diminuent les conséquences. Pour compléter ce schéma et
faire le lien entre certains risques, il peut-être utile de mettre en évidence l’enchaînement
potentiel des risques. Ainsi dans les événements déclencheurs, il est judicieux de nommer les
risques qui peuvent provoquer un autre risque. De même, dans les conséquences du risque, il
faut lister les risques qui pourraient apparaître suite à la manifestation du premier risque.
Grâce à cette liaison des risques, il est possible de détecter des risques indirects. Par exemple,
un changement de fournisseur entraîne une baisse de la qualité du produit ou du service rendu,
ce qui peut, à terme, faire perdre des parts de marché à l’entreprise.

Document n°25 : Schématisation du déroulement d’un risque (propre traduction)55

Elément Moyen de
déclencheur contrôle

Surchauffe Système de
d’un appareil lutte contre
électrique les incendies

Incendie de
Risque la salle des Réducteur
serveurs ?
Assurance
contre les
incendies

Perte
financière

Conséquence

La cartographie des risques, une fois éditée, éclaire les dirigeants sur l’état de la
maîtrise des risques au sein de l’entreprise. La cartographie va leur permettre de prendre des
décisions pour gérer ces risques.
55
NEIL Martin, “Using Risk Map to Visually Model and Communicate Risk”, [Link]

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 55

B/ La cartographie des risques, élément moteur du management des risques

La cartographie des risques est un outil certes précieux pour les dirigeants, mais qui
demeure statique. Il faut donc lui donner une dimension dynamique en prenant des mesures et
des actions concrètes afin de prouver l’efficacité et la valeur ajoutée du management des
risques.

1. Un outil vivant qui reflète les orientations de l’entreprise

a) La cartographie: un outil de décision

Lors de la réunion de validation de la cartographie qui se tient avec le directeur général

et ses principaux collaborateurs, les responsabilités sur les risques majeurs ont été réparties
entre leurs différents propriétaires et chacun d’entre eux a pour objectif d’atteindre le niveau
de risque cible qui a été déterminé. Lors de cette réunion, des actions ont pu être décidées.
L’idéal est d’arriver rapidement au tableau de bord suivant :

Document n°26 : Tableau des plans d’actions de management des risques56

Risque N° Description Cause Proba. Impact Actions Responsable Objectifs Délai

Stratégie
1
2
Finance
3
4
Opérations
5
6
7
Réglementation
8
9
Compétences
10
Informatique
11

56
Modification d’un document utilisé en entreprise

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 56

 Ce tableau liste les risques majeurs en les répartissant par thème. Chaque risque est
brièvement décrit pour en comprendre les enjeux et des éléments de contexte sont donnés
dans la rédaction des causes. Puis, le risque est évalué suivant sa probabilité et son impact.
Enfin, chaque propriétaire de risque qui est nommé dans tableau est responsable de
l’élaboration, (avec la validation éventuelle par sa hiérarchie) et de l’exécution de son plan
d’actions dans un délai requis. Lors des prochaines réunions, une flèche de tendance indiquera
l’évolution de ce risque.

Pour traiter un risque, le propriétaire du risque dispose de quatre stratégies de maîtrise

des risques de base, qu’il peut combiner s’il le souhaite. Chaque stratégie est concrètement
mise en œuvre par des dispositifs de contrôle. C’est à ce moment-là que s’opère la liaison
entre le management des risques et le contrôle interne. Le contrôle interne est donc
pleinement intégré au processus de management des risques. Les stratégies de traitement des
risques sont les suivantes :

- La diminution du risque. Pour diminuer le risque, le responsable dispose de toute une

panoplie de contrôles qu’il met en œuvre grâce à des ressources internes. Ci-dessous, voici
les principales typologies de contrôle interne57 :

1. Selon leur niveau :

 premier niveau : autocontrôle par la personne exécutant la tâche et le
supérieur hiérarchique du service ;
 deuxième niveau : contrôle après l’opération par des personnes distinctes
de celles ayant effectué l’opération initiale ;
 troisième niveau : contrôle réalisé lors des missions d’audit ou d’inspection
générale.
2. Selon leur positionnement temporel par rapport au risque :
 préventif (en amont) : empêcher la survenance d’un risque, par exemple en
vérifiant la validité des EPI (équipements de protection individuelle) ;
 détectif : mettre en lumière un risque qui se manifeste (ex : une fraude) ;
 correctif (en aval) : empêcher le renouvellement d’un risque survenu (ex :
changement des mots de passe après une intrusion dans le SI).
57
BERTIN Élisabeth, « Audit interne et gouvernance d’entreprise », cours dispensé à l’IAE de
Bordeaux, 2010

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 57

 3. Selon les objectifs de contrôle :
 exhaustivité des traitements (ex : rapprochement comptabilité-gestion) ;
 réalité d’une opération ou d’un bien (ex : facture justificative d’un acte) ;
 exactitude d’un montant ou d’un calcul (ex : calcul de l’imposition) ;
 cohérence d’informations (ex : validation des hypothèses).

- Le transfert (ou le partage) d’un risque : c’est le choix de s’assurer contre un risque en
l’externalisant. Deux possibilités s’offrent à l’entreprise : l’assurance contre les risques
classiques (incendies, vols, catastrophes naturelles, etc.) ou la sous-traitance pour des
activités jugées trop risquées ou trop peu rentables à développer en interne. Cependant,
même si une activité est externalisée, l’entreprise doit s’assurer de l’efficience du
dispositif de contrôle chez son sous-traitant. Il faut noter que, suivant l’activité
externalisée, cela peut augmenter le risque de dépendance envers un fournisseur
stratégique.

- L’évitement d’un risque : c’est un choix de capitulation face au risque. En effet, dans le
cas d’une activité trop risquée, même après le traitement du risque, il est rationnel de
stopper cette activité. Cette option est également envisageable dans le cas d’un traitement
du risque trop onéreux par rapport aux bénéfices de cette activité.

- L’acceptation d’un risque : ce choix est judicieux lorsque le niveau de risque est inférieur
à l’appétence de l’entreprise. Le risque est jugé maîtrisé par les instances de direction et il
serait inutile et surtout coûteux de vouloir le diminuer davantage.

Pour chaque risque à traiter, plusieurs solutions peuvent être envisagées. Afin de
pouvoir les comparer, il faut déterminer le coût de ces solutions et la diminution du risque
qu’elles apportent à la fois en termes de réductions de probabilité et d’impact. Dans ce cadre,
le rôle du risk manager est d’aider le propriétaire du risque à formuler sa réponse face au
risque et surtout d’évaluer l’efficacité de ses choix sur la criticité d’un risque.

- Premier exemple, pour diminuer le risque de fraude interne, une entreprise a soit le choix
de diminuer ce risque en mettant en place un logiciel spécialisé d’une valeur de cinq cents
mille euros soit d’accepter le niveau actuel de risque en continuant de mandater des audits

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 58

 ponctuels lors de sérieux doutes de fraude. Historiquement, les missions d’audit sur la
fraude n’ont permis de détecter que rarement des montants frauduleux non significatifs. Si
l’entreprise estime que le coût d’acquisition et de maintenance du logiciel est supérieur
aux montants frauduleux qu’elle espère récupérer, alors il est préférable d’accepter ce
niveau de risque.

- Autre exemple, un constructeur d’automobiles a externalisé une activité stratégique pour

satisfaire une logique financière. Ce constructeur fait face à un risque de défaillance
fournisseur récurrent qui se traduit par de nombreux problèmes de qualité, de
coordination, ce qui rallonge d’autant le délai de production et augmente le
mécontentement des clients. Ce risque comporte intrinsèquement un autre risque qui est
peut être plus vital aux yeux de l’entreprise, celui de perdre des parts de marchés. Deux
solutions s’offrent alors au constructeur : soit il décide d’éviter ce risque en réintégrant
cette activité stratégique, soit il décide de diminuer ce risque en dépêchant sur place des
équipes chargées d’améliorer la maîtrise de cette activité.

Le traitement d’un risque n’est pas immédiat. C’est un processus généralement long,
qui peut s’étendre sur plusieurs mois lorsqu’il s’agit de vérifier plusieurs centaines de sites par
des équipes spécialisées ou d’effectuer des actions de lobbying auprès des législateurs ou des
institutions régulatrices. C’est pour cela que les risques doivent être suivis afin de constater
leur évolution et de connaître l’avancement des plans d’actions décidés.

b) Le suivi des risques et de leurs évolutions

« La cartographie est une photographie périmée58 ». Cette affirmation est à bien des
égards déplaisante pour le risk manager qui doit pourtant composer avec. Ainsi, les risques
doivent être suivis, car ils évoluent avec l’entreprise. Passer en revue l’ensemble des risques
majeurs une fois par trimestre lors des réunions du Comité d’audit (ou du Comité des risques,
s’il existe) est une bonne pratique. Une présentation trimestrielle devrait également avoir lieu
devant un comité exécutif afin de constater l’évolution ou l’apparition de risques majeurs et
de s’assurer que le plan d’actions est appliqué et porte ses fruits. C’est ce que nous avons fait

58
De MARESCHAL Gilbert, La cartographie des risques, AFNOR, 2003, p.45

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 59

lors de mon stage, où nous avons mis en place un tableau de reporting des risques que chaque
filiale devait présenter chaque trimestre devant le comité de direction groupe.
En ce qui concerne les nouveaux risques, la plupart d’entre eux peuvent être détectés
par une veille efficace ou une remontée d’information par enquête. En effet, pour la plupart
des risques réglementaires (social, environnemental, hygiène et sécurité) et de fiscalité
(surtout en période électorale) une simple veille suffit puisque ce sont des risques externes à
l’entreprise. Pour les risques internes, certains peuvent être surveillés par des enquêtes
(satisfaction client, climat social) et d’autres par remontée d’information des opérationnels et
par des indicateurs de détection de risques (taux de panne, variation d’un cours de change, de
matières premières, etc.). Sur ces sujets, il est intéressant pour le risk manager de bénéficier
de l’expérience des contrôleurs de gestion59. Ces derniers ont une vision globale entre la
stratégie et les objectifs de l’entreprise. Ils ont déjà mis en place des indicateurs clés qui
permettent de suivre la performance de l’entreprise et qui peuvent être réutilisés dans le
processus de management des risques.

Comme tout processus de l’entreprise, celui de management des risques doit être
évalué. À ce sujet, un questionnaire d’auto-évaluation élaboré par le risk manager peut être
rempli chaque année par les risk owners et les principaux managers sur la maîtrise des risques
dont ils sont responsables. Ce questionnaire doit faire ressortir la perception des managers sur
leurs risques et leurs éventuelles visions sur les risques émergents au sein de leur activité ou
une réémergence de risques anciennement traités. Le risk manager fait alors la synthèse de
ces questionnaires pour connaître l’évolution des principaux risques. En fonction des résultats,
il faudra alors réactualiser la cartographie des risques en cas de changements importants.
L’AMF propose également un « questionnaire relatif à la gestion des risques »60. Celui-ci
peut très bien servir de guide pour le risk manager afin d’auto-évaluer le processus dont il a la
charge. Il peut alors se situer le processus sur l’échelle de maturité suivante.

59
Groupe professionnel Industrie et Commerce, Étude du processus de management et de
cartographie des risques, Les cahiers de recherche de l’IFACI, 2003, p.16
60
[Link], « Les dispositifs de gestion des risques et de contrôle interne – cadre de
référence », juillet 2010, p.14 et 15

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 60

 Document n°27 : Échelle de maturité du management des risques61 (propre traduction)

Échelle de maturité du processus de management des risques

1 Informel Le processus de management des risques n’est pas documenté. Il repose surtout
sur des initiatives individuelles.
2 Ébauché Le risque est défini de plusieurs façons et sa gestion est fragmentée entre
plusieurs responsables. Il n’y a pas de vision globale. Le processus n'est pas
rigoureux.
3 Défini Un cadre commun entre l’évaluation et le traitement des risques est en place.
Les hauts dirigeants ont une vue sur l’ensemble des risques qui concernent
l’entreprise. Des plans d’actions sont mis en place pour traiter les risques les
plus dangereux.
4 Intégré Les activités de management des risques sont coordonnées dans l’ensemble des
business units de l’entreprise. Des outils communs de management des risques
et des procédures sont appliqués quand ils sont nécessaires grâce à une veille,
une évaluation et un reporting des risques à travers toute l’entreprise.
5 Optimisé L’analyse des risques est intégrée dans la stratégie, l’allocation des ressources et
dans d’autres processus de prise de décision quotidienne. Il existe un système de
détection des risques qui lorsque des seuils sont franchis, alerte suffisamment
tôt les dirigeants ou le Conseil d’administration.

Les missions d’audit interne sont bien entendu une des possibles sources d’évaluation
et d’amélioration du processus de management des risques. La définition de l’audit interne,
élaborée par l’IIA, inclut d’ailleurs le processus de management des risques dans le champ
d’action de cette fonction:
« L’audit interne […] aide une organisation à atteindre ses objectifs en évaluant, par
une approche systématique et méthodique ses processus de management des risques,
de contrôle et de gouvernement d’entreprise et en faisant des propositions pour
renforcer leur efficacité ». 62

Les normes professionnelles de l’audit interne expliquent d’ailleurs dans la norme

2120 et ses déclinaisons le rôle de l’audit interne dans l’évaluation du management des
risques. Dans l’interprétation de la norme 2120, les auditeurs doivent notamment « s’assurer
que :
- Les risques significatifs sont identifiés et évalués.
- Les modalités de traitement des risques retenues sont appropriées et en adéquation
avec l’appétence pour le risque de l’organisation.

61
MARKS Norman, “Measuring the Maturity of Risk Management”, [Link]/blogs/marks, march
th
29 2011
62
[Link], « Normes internationales pour la pratique professionnelle de l’audit interne de l’IIA »,
janvier 2011, p.3

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 61

 - Les informations relatives aux risques sont recensées et communiquées en temps
opportun au sein de l’organisation […] »63

Enfin, la norme 2120.C3 rappelle que pour conserver leur indépendance et objectivité,
les auditeurs internes, lorsqu’ils sont associés à la conception et à l’amélioration du processus
de management des risques, ne doivent en aucun cas prendre des décisions à caractère
exécutif. Cette norme demeure pragmatique puisqu’elle autorise les auditeurs internes des
entreprises dont la taille ne permet pas d’avoir une direction de management des risques
distincte de celle de l’audit de pouvoir faire bénéficier leur savoir faire à l’entreprise, sous
réserve de se limiter strictement au rôle de conseil. Cette norme est clarifiée par une prise de
position de l’IIA, “The Role of Internal Auditing in Enterprise Wide Risk Management”. En
respectant cette norme, l’auditeur n’aura pas de conflits d’intérêts et d’arrière-pensées pour
mettre à jour les faiblesses du management des risques et de la cartographie.

2. Les limites de la cartographie des risques

Avant de conclure, nous mettrons en exergue le caractère complexe de l’évaluation de

quelques risques spécifiques. Puis, nous résumerons les principales difficultés auxquelles
peuvent être confrontées les responsables de la mise en place de la cartographie des risques.

a) La délicate évaluation de certains risques

Il existe principalement deux risques qui, de par leur nature, rendent leur évaluation
difficile : le risque d’image et le risque de fraude. Cela s’explique en partie par la faculté
« d’omniprésence » de ces deux risques qui peuvent potentiellement survenir partout dans
l’entreprise. Généralement ces risques se rajoutent à la survenance d’un autre risque.

Le risque d’image survient systématiquement après la manifestation d’un autre risque.

Le risque initial porte généralement sur un thème auquel le grand public est sensible. Ce
risque, relayé et amplifié par les médias, a pour conséquence de dégrader fortement la
réputation de l’entreprise aux yeux de l’opinion publique et aux yeux de potentiels clients. Ce
risque est d’ailleurs une préoccupation majeure des dirigeants puisque la réputation,
constituée par la marque de l’entreprise, est un actif immatériel de grande valeur dans le

63
[Link], « Normes internationales pour la pratique professionnelle de l’audit interne de l’IIA »,
janvier 2011, p.16

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 62

patrimoine de l’entreprise car justement créateur de valeur. Avec Internet, ce risque a pris une
nouvelle dimension, on parle d’e-réputation. Le risque en ressort agrandi à cause de la rapidité
de diffusion de l’information et de la longueur de vie des sujets sur Internet, qui dépassent le
temps médiatique habituel, beaucoup plus court. L’ampleur de l’impact de ce risque d’image
frappe par l’existence de cas spectaculaires. On peut penser à l’atteinte massive contre
l’environnement suite à l’explosion d’une plateforme pétrolière off shore dont le major
pétrolier BP était le propriétaire. L’année dernière, France Télécom a été l’objet d’une
campagne médiatique désastreuse suite à la survenance du risque social où plusieurs de ses
employés se sont suicidés pour dénoncer des conditions de travail dégradées. Lorsque Toyota
a dû rappeler plusieurs milliers de véhicules pour un risque de malfaçon, l’image de marque
de l’entreprise a été atteinte. D’autant plus que Toyota est connu pour avoir développé le
toyotisme, forme d’organisation du travail dont l’un des objectifs annoncés est le « zéro
défaut ». Il est à noter que pour chacun des exemples précédents, le risque initial qui a
déclenché une dégradation de l’image de l’entreprise est d’origine différente mais les
conséquences furent similaires et la survenance du risque d’image fait office de double peine
pour l’entreprise.

Évaluer et prévoir ce risque est complexe d’autant plus qu’il dépend également du bon
vouloir des médias, du contexte d’actualité. En fonction de ces critères, le risque d’image n’a
pas le même impact. Même une fois le risque survenu, les traces sont bien souvent indélébiles
et plusieurs années sont nécessaires pour les estomper. Selon Warren Buffet : « Il faut vingt
ans pour construire son image et cinq minutes suffisent pour la détruire ».64 Il est ainsi
indéniable que, pour la Société Générale, l’affaire Kerviel demeurera longtemps un sérieux
handicap. D’une part, c’est le triste record de la perte la plus importante (4,9 milliards
d’euros) sur des prises de positions douteuses. D’autre part, cela restera un cas d’école en
termes de contournement et de défaillances du contrôle interne. Ainsi, plutôt que d’en faire un
risque à part entière, il est plus judicieux de prévoir cet impact supplémentaire de réputation
comme une dimension à part entière du risque et de le spécifier dans les fiches de risques, là
où le risque d’image peut apparaître. Il faudra bien évidemment tenir compte de cet impact
supplémentaire dans l’évaluation de la gravité d’un risque.

64
NEUER Laurence, “Préserver son e-réputation”, in Les Échos, 19 mai 2011

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 63

 Le risque de fraude est aussi de cette même nature. Il est difficile à localiser puisque
potentiellement omniprésent. À cela s’ajoute le caractère protéiforme de la fraude : soit
physique, par la subtilisation de matériel, soit financière, en détournant des flux monétaires,
soit immatériel, en dérobant de l’information sensible pour en tirer profit. Ce risque est donc
difficile à situer sur une cartographie. En effet, la fraude se manifeste suite à une faiblesse du
contrôle interne et peut se produire dans l’ensemble des processus financiers (principalement
les achats, les ventes, la gestion des stocks, et la paie) ou lors d’une sécurisation insuffisante
des actifs physiques de l’entreprise ou encore d’une protection des données informatiques
défaillante. Dans ce cas là, évaluer la fraude de manière globale serait méthodologiquement
faux. La fraude est un sujet trop vaste et trop complexe qui doit être absolument traitée par un
dispositif de contrôle interne rigoureux. Cette problématique doit être intrinsèque et gardée à
l’esprit lors de la conception de tout dispositif de contrôle interne. Ainsi, il est préférable de
ne pas faire figurer la fraude sur une cartographie des risques. Toutefois, elle peut ressortir
indirectement, en tant que conséquence possible d’autres risques : protection des sites de
l’entreprise, vulnérabilité d’un système d’information, etc. Cependant, pour une direction du
contrôle interne, une cartographie thématique sur les risques de fraude semble être un bon
document initial. La même démarche peut être appliquée en se constituant une base de
données des fraudes dans la société, avec une hiérarchisation par vulnérabilité des différents
processus de l’entreprise.

b) Les risques qui pèsent sur l’élaboration de la cartographie

Plusieurs facteurs peuvent menacer l’intérêt et l’utilité d’une cartographie des risques.
Le premier, qui concerne l’élaboration de la cartographie mais également le processus de
management des risques dans son ensemble, est le désintérêt des principaux dirigeants, dont le
premier d’entre eux, le directeur général. Sans son soutien, la cartographie reste lettre morte.
Rien n’oblige les sociétés non cotées à déployer un processus de management des risques. Il
est vrai que l’aspect essentiellement négatif du management des risques peut en agacer
certains et être vu comme un frein systématique à tout projet ou initiative. Le risk manager
doit faire preuve de pédagogie pour démonter que ce pessimisme apparent n’est qu’une
prudence rationnelle afin de s’assurer que les risques qui menacent les activités sont maîtrisés.
Cela nous amène au deuxième risque : une culture du risque inexistante. La culture du
risque est la capacité d’intégrer le raisonnement suivant dans la prise de décisions
stratégiques : Quels risques menacent mon activité ? Quelle est leur criticité ? Comment puis-

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 64

je les diminuer ? Cette culture de risque n’est en général pas encore bien imprégnée dans les
entreprises puisque dans l’étude de l’AMRAE sur les pratiques de management des risques65,
64% des entreprises sondées avouaient ne pas inclure une démarche d’analyse des risques
dans leur processus de décision stratégique.
Le troisième risque lors de la démarche de la cartographie est de se retrouver face à
des personnes démotivées et à tendance fataliste face aux risques, qui affirment que « de toute
manière ça arrivera ». On peut surtout retrouver ce genre de remarques sur les risques
externes à l’entreprise (réglementaire, fiscalité). Il est vrai qu’une majeure partie de ces
risques ne dépend pas des actions de l’entreprise. Cependant, l’entreprise peut mener des
actions de lobbying, faire valoir ses intérêts auprès de personnes influentes, se regrouper dans
un groupement inter-entreprise (GIE) si la législation sectorielle devient défavorable, avoir
recours à des consultants spécialisés, etc. À l’inverse, faire face à des personnes pour qui le
« risque n’arrive jamais », n’est pas positif non plus. Ce genre de comportement peut
s’expliquer par la routine des contrôles (efficaces) et de la (relative) monotonie d’une activité
qui est maîtrisée et où le risque se manifeste rarement mais qui peut être dévastateur. Tous ces
facteurs participent à une érosion de la vigilance des acteurs. Il faut alors leur faire prendre
conscience des risques qui se sont déjà avérés dans l’entreprise ou dans d’autres entreprises
du secteur et leur démontrer que le risque n’est pas seulement un scénario issu de
l’imagination du risk manager. Idéalement, le risk owner doit avoir cette faculté de douter et
de remettre en cause ce qui a été auparavant acquis. Les risques de l’entreprise évoluent et les
stratégies face à ces risques doivent elles aussi s’adapter.
C’est ce même optimisme ou pessimisme des acteurs qui peut mettre en défaut une
évaluation des risques qui doit tendre vers le plus d’objectivité possible. Il y a des risques qui
sont beaucoup plus subjectifs que d’autres. Cette subjectivité peut être d’autant plus
dérangeante lorsqu’un propriétaire de risque évalue les risques dont il a la charge.
Normalement, l’évaluation d’un risque par un montant, surtout s’il s’est déjà avéré, doit
limiter cette subjectivité et comme le risk manager fait d’autres entretiens, il peut très
certainement vérifier cette information.
Une fois la cartographie terminée et validée, elle doit permettre de donner une
impulsion au management des risques et elle doit se concrétiser par une responsabilisation des
dirigeants face à un risque pour aboutir à des plans d’actions concrets. Le dernier risque est de

65
[Link], FERMA, “Risk Management Benchmarking Survey: Key to Understanding the
th
Diversity of Risk Management Practises in Europe”, 5 edition, 2010, p.4

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 65

s’arrêter en chemin, de ne pas donner de suite à la cartographie qui est dans ce cas un outil
statique, une photographie des risques de l’entreprise déjà périmée.

Une dernière remarque sur la cartographie des risques, et probablement une piste
d’amélioration, est le lien à faire avec les opportunités. Dans le référentiel COSO 2, les
opportunités sont seulement évoquées dans la troisième étape du processus de management
des risques : « Identifier les événements ». Lors de cette étape, le risk manager doit séparer
les risques des opportunités. Seuls les risques l’intéressent et les opportunités doivent
normalement être réintroduites au début du processus d’élaboration de la stratégie et des
objectifs – domaine réservé du top management - afin de maximiser les chances de saisir ces
opportunités. Toutefois, le COSO 2 fait aussi référence à une catégorie hybride : « les
événements aux impacts positifs peuvent engendrer des impacts négatifs ou représenter des
66
opportunités » (propre traduction). Dans ce cas, on comprend que certaines opportunités
peuvent comporter des risques implicites. C’est notamment le cas d’un projet de recherche et
développement qui certes, constitue en puissance une formidable opportunité, mais qui a
également de fortes chances de na pas aboutir et donc de représenter une charge nette pour
l’entreprise.
Dans ce cas, il apparait difficile de dédoubler le management d’un projet avec d’un
côté les opportunités et de l’autre les risques. Ces analyses doivent être conjointes d’autant
plus que pour certains cas, la frontière entre risque et opportunité est parfois tenue. Par
exemple, prenons le cas courant d’une entreprise technologique. Celle-ci est soumise à une
course aux nouvelles technologies impitoyable. Manquer la prochaine vague de technologies,
manquer une telle opportunité, s’avère bien souvent critique, voire fatal. Ainsi, le plus gros
risque d’un tel projet, c’est bel et bien de manquer cette opportunité. Quand une opportunité
devient à ce point impérative et risquée pour l’entreprise, comment faut-il qualifier cet
événement : de risque ou d’opportunité ? Le management n’a-t-il pas intérêt à profiter de la
méthodologie de la maîtrise des risques et d’une cartographie des risques thématiques sur le
projet ?

66
[Link], “Enterprise Risk Management – Integrated Framework”, September 2004, p.2

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 66

 Et quid d’une « cartographie des opportunités » ? Seul le cadre de référence de
l’AMRAE donne des indices vers une telle démarche puisqu’il fournit une échelle des
conséquences des risques et des opportunités ainsi qu’une échelle pour évaluer la probabilité
d’occurrence d’une opportunité. Si cette démarche sort évidemment du cadre du management
des risques, elle pourrait néanmoins emprunter la même démarche.

Document n°28 : Échelles d’impact et de probabilité d’une opportunité de l’AMRAE67

67
[Link], « Cadre de référence de la gestion des risques », 2002, p. 8 et 9

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 67

Conclusion

Pour formaliser ou initialiser un processus de management des risques au sein d’une

entreprise, la mise en place d’une cartographie des risques devient un outil fondamental,
incontournable. Cette démarche permet en effet de suivre quasiment l’ensemble des huit sous
processus du COSO 2. La rencontre avec les dirigeants est l’occasion pour le risk manager de
les sensibiliser aux risques et permet l’émergence d’un environnement de contrôle (1). Par la
suite, la cartographie identifie les principaux risques, même ceux qui découlent d’une
opportunité, les évaluent et les traitent (3, 4 et 5). La cartographie des risque participe
également à mettre en place des activités de contrôle (6) puisque ce document est utile aux
contrôleurs internes pour leur permettre de savoir où renforcer leurs points de contrôle.
Élaborer une cartographie nécessite de mettre en place un reporting et de communiquer
l’information (7) sur les risques. Enfin la cartographie est un outil décisionnel qui doit aider
au pilotage (8) de la gestion des risques et même, dans une certaine mesure, de la stratégie de
l’entreprise.

Méthodologiquement, élaborer une cartographie des risques globale comporte

plusieurs avantages. Dans une démarche bottom up, cela permet de rencontrer les personnes
qui sont au plus proches des risques et qui doivent les gérer en cas de manifestation. Ces
entretiens sont très enrichissants et permettent au risk manager d’obtenir une vision
d’ensemble de l’organisation. En outre, la cartographie demeure un outil simple, visuel et très
explicite. Elle ne demande pas de connaissances particulières et sa logique s’explique très
facilement aux personnes qui participent à cette démarche.

Ainsi, ce n’est pas un hasard si parmi les entreprises qui se sont déjà dotées d’un
processus de management des risques, la cartographie constitue la pièce maîtresse de ce
dispositif. En effet, la cartographie des risques possède les avantages suivants :
- C’est une pratique qui est conforme aux principaux référentiels de gestion des risques
(COSO 2, AMRAE, AMF et ISO 31000). Elle s’impose comme une bonne pratique
évidente, même si elle n’est jamais directement citée par ces référentiels.
- C’est un outil qui, s’il est exploité et actualisé régulièrement, sert à fixer un niveau
d’appétence et à décider des plans d’actions, à élaborer des nouveaux contrôles afin de
réduire suffisamment les risques.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 68

- Cet outil évalue également les performances réalisées sur la maîtrise des risques. La
cartographie mesure en quelque sorte la valeur ajoutée du management des risques, qui évite
et limite la perte d’actifs matériels, immatériels et financiers de l’organisation.
- C’est un document confidentiel et stratégique, un outil de pilotage qui permet aux
principaux dirigeants et surtout au directeur général de prendre du recul sur la gestion des
risques. Cela leur permet de mieux appréhender leur responsabilité finale sur l’ensemble des
risques qu’ils doivent assumer.
- Enfin, la cartographie des risques est également une démarche qui, de par sa présence,
atteste du sérieux et de la maturité de la gouvernance d’entreprise, qui s’emploie à maîtriser
ses risques et à les anticiper au mieux, afin de maximiser sa rentabilité. Pour le Conseil
d’administration, c’est un outil particulièrement adapté pour surveiller les actions d’un
directeur général.

Grâce à tous ces arguments, la pratique de cartographier les risques majeurs devient de
plus en plus « incontournable » au sein des entreprises. Les différentes études citées
auparavant montrent que c’est une démarche qui tend à se généraliser surtout dans des
environnements particulièrement incertains et risqués. Plus les activités et les organisations
des entreprises sont complexes à gérer et plus il y a de chances qu’une cartographie ait été
mise en place.

Cependant, le principal frein à son élaboration et à son utilisation systématique réside

dans l’absence ou la faiblesse d’une culture de risque. Assimilé sans pour autant me rendre
compte de l’importance de ce concept lors de ma formation universitaire, « l’environnement
de contrôle » prend toute sa dimension en entreprise. Effectivement, suivant les directions et
les personnalités des managers, l’adhésion au management des risques n’est pas spontanée et
ce processus peut être même perçu d’un mauvais œil. Cela est d’autant plus vrai dans le cas
des entreprises non cotées qui n’ont pas d’obligation de déployer un processus de
management des risques. Cette culture de risque ne doit donc pas être sous-estimée, surtout
dans les entreprises qui souhaitent initialiser le processus de management des risques et où la
plupart des individus devront être sensibilisés pour la première fois à ces problématiques.
Toutefois, comme tout processus nouveau, les réticences tomberont à force d’insistance. Ce
sont les premiers succès du management des risques et les preuves de sa valeur ajoutée dans
une entreprise qui imposeront sa légitimité et sa crédibilité.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 69

Bibliographie

Sources francophones

Livres

- BOURROUILH Olivier, SCHICK Pierre & VERA Jacques, Audit interne et référentiels
de risques, DUNOD, 2010
- De MARESCHAL Gilbert, La cartographie des risques, AFNOR, 2003
- Groupe professionnel Industrie et Commerce, Étude du processus de management et de
cartographie des risques, Les cahiers de recherche de l’IFACI, 2003

Mémoires et cours universitaires

- ANASTASIOU Lise, De l’identification à la cartographie des risques :

conceptualisation, élaboration et modélisation dans la grande distributuion, IAE d’Aix-
en-Provence, 2007
- BERTIN Élisabeth, « Audit interne et gouvernance d’entreprise », cours dispensé à l’IAE
de Bordeaux, 2010
- LOUIZI Amir & ROTH Fabrice, Évaluation du Gouvernement d’entreprise par les
agences de rating : une analyse comparative des méthodes, IAE de Lyon, 2003
- PIANET Émilie, La mise en place d’une cartographie des risques dans les entreprises
commerciales et industrielles, IAE d’Aix-en-Provence, 2001

Articles spécialisés

- BAILLY Jean-Paul, « Un impératif pour demain, articuler les fonctions d’audit et de

contrôle avec les réalités économiques des entreprises », in Audit interne, n°192,
décembre 2008
- MOTET Gilles, « La norme ISO 31000 en 10 questions », in Les cahiers de la sécurité
industrielle, mai 2009
- NEUER Laurence, “Préserver son e-réputation”, in Les Échos, 19 mai 2011
- ROFF Jean-Loup, « Pour une meilleure articulation entre audit et contrôle internes –
entretien avec Claude Viet», in Audit interne, n°190, juin 2008

Publications des sites institutionnels

- [Link], « Cartographie 2009 des risques et des tendances des marchés

financiers et pour l’épargne », juin 2009
- [Link], « Les dispositifs de gestion des risques et de contrôle interne –
cadre de référence», juillet 2010
- [Link], « Synthèse de l’enquête internationale sur les pratiques
des comités d’audit en France et dans le monde », 5ème édition, octobre 2010
- [Link], « Cadre de référence de la gestion des risques », 2002
- [Link], « Normes internationales pour la pratique professionnelle de l’audit
interne de l’IIA », janvier 2011
- [Link], « Guide ISO 73 : Management du risque – vocabulaire », 2009
- [Link], « Maîtrise des risques : 40 réponses aux défis actuels des décideurs », 2010

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 70

Réunion d’associations professionnelles

- Réunion mensuelle de l’IFACI du 15 février 2011 « La cartographie des risques en milieu

industriel », présentations d’Eurocopter et de Véolia environnement.
- Réunion de l’AFAI du 8 avril 2010, « Cartographie des risques informatiques : exemples,
méthodes et outils »

Liens Internet

- Présentation succincte de la norme ISO 31000

[Link]/iso/fr/catalogue_detail.htm?csnumber=43170
- Principes de la norme IS0 31000
[Link]
31000___management_du_risque.htm
- Présentation des travaux de Daniel Bernoulli
[Link]/economics/paradoxe_st_petersbourg.htm
- Politique de gestion des risques de l’hôpital Robert Debré (Paris)
[Link]
e=qualite
- L’aversion au risque
[Link]
- Définition de la gouvernance d’entreprise
[Link]

Sources anglo-saxonnes

Articles spécialisés

- The Institute of Internal Auditors, “Managing Risks from the Mailroom to the
Boardroom” in Tone at the Top, June 2003
- MARKS Norman, “Measuring the Maturity of Risk Management”,
[Link]/blogs/marks, March 29th 2011
- NEIL Martin, “Using Risk Map to Visually Model and Communicate Risk”,
[Link]

Publications des sites institutionnels

- [Link], “Ten to Do for Audit Committees”, January 2010

- [Link], “Enterprise Risk Management – Integrated Framework”, September 2004
- [Link], “Strengthening Enterprise Risk Management for Strategic Advantage”,
2009
- [Link], FERMA, “Risk Management Benchmarking Survey : Key to
Understanding the Diversity of Risk Management Practises in Europe”, 5th edition, 2010
- [Link], “2010 Business Risk Report: the Top Ten Risks for Global Business”, 2010
- [Link], “The Role of Internal Auditing in Enterprise Wide Risk Management”,
January 2009

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 71

Glossaire

Audit interne : Activité qui consiste à aider une organisation à atteindre ses objectifs en
évaluant et proposant des améliorations sur ses processus de management des risques, de
contrôle interne et de gouvernance d’entreprise.

Appétence : C’est le niveau de risque que l’entreprise est prête à accepter. Il est déterminé par
la Direction Générale et constitue un objectif de gestion des risques.

Contrôle interne : Contrôle mis en place par l’entreprise pour s’assurer de la maîtrise de ses
activités. Un contrôle interne est une réponse logique à la volonté de diminuer un risque.

Criticité : la criticité d’un risque est fonction de la probabilité d’occurrence et de la gravité de

l’impact d’un risque.

Événement : Aléa qui a un impact sur les activités de l’entreprise.

Gouvernance d’entreprise : Surveillance de la Direction Générale exercée par le Conseil

d’administration et ses comités pour le compte des actionnaires. Le Conseil d’administration
doit notamment s’assurer que le management des risques de l’entreprise est efficace.

Management des risques : Processus destiné à gérer les risques de l’entreprise (identification,
évaluation, traitement) et à lui donner une assurance raisonnable sur l’atteinte des ses
objectifs.

Opportunité : Événement qui a un impact positif sur les activités de l’entreprise et favorise
l’atteinte de ses objectifs.

Risk manager : son métier consiste à conseiller les propriétaires d’un risque dans l’élaboration
de leur traitement du risque. Il conçoit, harmonise et diffuse les méthodes, pratiques et outils
(dont la cartographie) relatifs au management des risques.

Risk owner (propriétaire du risque) : Responsable d’un risque qui a la charge de faire
correspondre le niveau de risque actuel à celui fixé par la Direction Générale. Il choisit les
contrôles appropriés à mettre en place pour réduire le risque.

Risque : Événement qui a un impact négatif sur les activités de l’entreprise et nuit à l’atteinte
de ses objectifs.

Risque brut ou inhérent : Niveau de criticité naturel d’un risque qui n’a pas encore été traité.

Risque cible : (synonyme d’appétence) C’est l’objectif à atteindre pour un risk manager.

Risque net ou résiduel : Niveau de criticité d’un risque après application des mesures de
gestion des risques (traitement du risque).

Tolérance : Variation du niveau de risque par rapport à l’appétence qui est acceptée par le
management. Au-delà, le risque est jugé trop élevé.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 72

Table des documents

Documents de la première partie

Document 1 : Courbe de l’utilité de l’argent………………………………………………....12

Document 2 : Pratique des comités d’audit en termes de maîtrise des risques………………14

Document 3 : Maîtrise, management et gestion des risques : quels acteurs ?..........................14

Document 4 : Triangle des interactions des trois fonctions « d’assurance »…………………16

Document 5 : Le management des risques dans le groupe Eurocopter………………………18

Document 6 : La roue du management des risques…………………………………………..18

Document 7 : Comparaison COSO 1 à COSO 2 : de la pyramide au cube…………………..21

Document 8 : Exemple de classification des risques par l’AMRAE…………………………22

Document 9 : Le processus de gestion des risques de l’AMRAE……………………...…….23

Document 10 : Les onze principes de la norme ISO 31000…………………………...……..24

Document 11 : Schéma de la norme IS0 31000……………………………………………....25

Document 12 : Lien entre la maturité du management des risques et de la complexité de

l’entreprise……………………………………………………………………………………28

Document 13 : L’organisation du management des risques dans un groupe………………...31

Document 14 : Tableau de pondération des risques au niveau groupe……..………………..32

Document 15 : Synthèse des étapes des approches top down et bottom up………………….35

Document 16 : Exemple d’échelles de probabilité…………………………………………...37

Document 17 : Exemple d’échelles de gravité……………………………………………….38

Document 18 : Exemple d’échelle de criticité………………………………………………..39

Document 19 : Le passage du risque brut au risque net……………………………………...41

Document 20 : Actions à prendre lors de l’analyse du risque résiduel……………………….42

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 73

Documents de la seconde partie

Document 21 : Les composantes de l’appétence au risque…………………………………...47

Document 22 : Exemple d’une fiche de risque vierge, élaborée en stage…………………….50

Document 23 : Similarité avec la fiche d’audit et de recommandations……………………...52

Document 24 : Différentes représentations des risques dans une organisation………………54

Document 25 : Schématisation du déroulement d’un risque…………………………………55

Document 26 : Tableau des plans d’actions de management des risques…………………….56

Document 27 : Échelle de maturité du management des risques……………………………..61

Document 28 : Échelles d’impact et de probabilité d’une opportunité de l’AMRAE………..67

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 74

Table des annexes

Annexe 1: « Le management par les risques : enjeux et perspectives »……………………...76

MAITRIER Xavier, « Le management par les risques : enjeux et perspectives », in Les Échos,
8 décembre 2005,

Annexe 2 : Questionnaire de l’AMF relatif à la gestion des risques………………………...78

[Link], « Les dispositifs de gestion des risques et de contrôle interne – cadre de
référence», juillet 2010, p.14 et 15

Annexe 3 : Les normes professionnelles 2120 de l’IIA………………………………………80

[Link], « Normes internationales pour la pratique professionnelle de l’audit interne
de l’IIA », janvier 2011, p.16 et 17

Annexe 4 : Risques les plus cités par secteur d’activité………………………………………81

[Link], “2009 Business Risk Report: the Top Ten Risks for Global Business”, 2009, p.
8-9

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 75

 Annexe 1: « Le management par les risques : enjeux et perspectives » (1/2)

Pourquoi la maîtrise des risques est-elle aujourd'hui une préoccupation des dirigeants ?

La pression accrue de la concurrence, l'impact grandissant des nouvelles technologies, la

fluctuation des cours, le renchérissement des matières premières et la complexification des
environnements juridiques sont parmi les principaux risques cités par les dirigeants
d'entreprise. Cet environnement général pèse fortement sur l'atteinte des objectifs des
entreprises, en particulier sur l'exigence de « création de valeur » et nécessite une accélération
de la mise en œuvre des stratégies. En outre, de nouvelles réglementations instaurées en
réponse à la crise des marchés financiers (loi de sécurité financière, Sarbanes-Oxley Act)
incitent les dirigeants à améliorer le gouvernement d'entreprise et à s'assurer de la maîtrise de
leurs risques. Ainsi l'atteinte des objectifs de l'entreprise nécessite de la part des dirigeants une
prise de risques croissante ; comment concilier amélioration de la performance et maîtrise des
risques ?

Les enjeux sont de trois ordres :

- opérationnel : maîtriser les activités et piloter leur développement ;

- juridique : gérer les responsabilités dans l'entreprise en sensibilisant le management sur les
enjeux et les risques associés à leur fonction et en mettant en œuvre un système de
délégation approprié ;
- communication : être en mesure de communiquer sur la gestion des risques de l'entreprise,
pour rassurer les investisseurs.

De la maîtrise des risques au management des activités par les risques

[…] En synthèse, les enseignements tirés de ces expériences (COSO 1) démontrent la

nécessité de pouvoir placer le dispositif de contrôle interne dans un cadre plus large de gestion
globale des risques intégrés dans l'ensemble des composantes de l'entreprise.

C'est pourquoi, au tout début des années 2000, le COSO a demandé à PWC, déjà coauteur du
COSO Report de développer un référentiel méthodologique pour la gestion globale des
risques de l'entreprise. Ce référentiel a été publié en septembre 2004 sous le titre « Entreprise
Risk Management ». II s'appuie sur les concepts et la structure du COSO Report, qu'il
complète et enrichit, fournissant ainsi un véritable cadre de réflexion pour le management de
l'entreprise par les risques. Parmi les apports du COSO II :

- la prise en compte systématique des risques dans l'étude des options et des scénarios
stratégiques en s'appuyant sur des nouveaux concepts tels que l'appétence aux risques
(niveau de risque accepté, qui est déterminé par les dirigeants et validé par le conseil
d'administration), la tolérance aux risques (écarts acceptés par rapport aux objectifs et qui
s'exprime selon les mêmes indicateurs)...;
- une démarche d'anticipation par identification des événements susceptibles d'affecter la
réalisation des objectifs de l'entreprise, positivement sous la forme d'opportunités,
négativement sous la forme de risques;
- la prise en compte de la maîtrise des risques dans la définition des objectifs des dirigeants et
du management facilitant ainsi l'intégration de la gestion des risques dans le fonctionnement
courant des entreprises.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 76

 Annexe 1: « Le management par les risques : enjeux et perspectives » (2/2)

Comment mettre en œuvre une approche de management par les risques ?

Le point de départ est la cartographie des risques. Il s'agit d'établir une synthèse des
enjeux et des risques déclinés par grande fonction de l'entreprise. La cartographie des risques
est un véritable outil de travail pour les dirigeants et le management. Pour les dirigeants, elle
permet de partager une vision commune des risques de l'entreprise et d'identifier le cas
échéant des actions prioritaires d'approfondissement des diagnostics ou de remédiation. C'est
aussi l'occasion pour l'équipe de direction de s'assurer que les processus et mécanismes qui
supportent les choix stratégiques et les grandes décisions de gestion intègrent bien une gestion
structurée et effective des risques.

Pour les responsables des grandes fonctions de l'entreprise, l'apport de la cartographie des
risques varie selon le niveau de maturité du dispositif de contrôle interne existant sur les
processus opérationnels. De façon très schématique, si le dispositif de contrôle interne est
structuré et convenablement mis en œuvre _ c'est-à-dire que l'entreprise a déjà mené une
démarche systématique d'analyse de ses principaux processus opérationnels et mis en
évidence les risques et les points de contrôle clefs, la cartographie des risques permet alors de
vérifier la pertinence des risques couverts par le dispositif de contrôle en place et le cas
échéant, de l'ajuster en fonction des enjeux, évitant ainsi les situations de sur-contrôle ou
d'insuffisance de contrôle.

A l'inverse, si le dispositif de contrôle interne est incomplet, peu ou pas structuré, la

cartographie apporte le cadre d'analyse et de conception du dispositif de contrôle et permet de
lancer une démarche d'évaluation des processus, structurée selon les enjeux. Quelle que soit la
situation de l'entreprise au regard du contrôle interne, la cartographie des risques favorise
l'appropriation par le management de la gestion des risques ainsi que son intégration dans les
modes de fonctionnement de l'entreprise. A l'issue de cette phase, l'entreprise dispose de son
propre référentiel de gestion des risques adapté à ses activités. La phase suivante consiste
alors à intégrer pleinement ce référentiel dans les modes de fonctionnement de l'entreprise. Il
s'agit alors de diffuser la gestion des risques dans le dispositif de management de l'entreprise :
les définitions de fonctions, les définitions d'objectifs et les évaluations des collaborateurs, les
normes et les procédures, les tableaux de bord et les reportings...

Quels apports pour l'entreprise ?

Les dirigeants sont amenés à prendre de plus en plus de risques pour atteindre leurs objectifs
en conjuguant croissance et rentabilité. Peut-on continuellement améliorer la performance
sans renforcer la maîtrise des risques ? Aujourd'hui, beaucoup d'entreprises pilotent leurs
activités essentiellement à partir d'indicateurs de performance. Il pourrait être utile de les
compléter par des indicateurs de maîtrise des risques contribuant ainsi à développer une
véritable culture de management de l'entreprise par les risques.

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 77

 Annexe 2 : Questionnaire de l’AMF relatif à la gestion des risques (1/2)

Il est précisé que, lorsque le Conseil s’est doté d’un Comité d’audit, le rôle attribué au
Conseil dans les questions suivantes peut, tout aussi bien, être exercé par le Comité
d’audit.

Cadre organisationnel de la gestion des risques

- La société a-t-elle défini des objectifs en matière de gestion des risques ?

- Les responsabilités en matière de gestion des risques sont-elles définies et
communiquées aux personnes concernées ?
- Le responsable de la gestion des risques dispose-t-il des qualifications suffisantes, de
l’appui et de la confiance des dirigeants pour exercer ses missions auprès des
responsables opérationnels et fonctionnels ?
- Une politique et des procédures de gestion des principaux risques ont-elles été
définies, validées par la Direction et mises en place dans la société ?
- Des limites de risques acceptables (tolérance au risque) par la société ont elles été, le
cas échéant, définies par la direction générale, et partagées ?
- La société dispose-t-elle d’un « langage commun » en matière de risques (typologie
homogène, critères de recensement, d’analyse et de suivi, …) ?
- La société a-t-elle identifié les obligations légales et réglementaires applicables en
matière de communication sur les risques ?
- La société communique-t-elle en interne aux personnes intéressées :
o Sur ses facteurs de risques ?
o Sur les dispositifs de gestion des risques ?
o Sur les actions en cours et les personnes qui en ont la charge ?

Identification des risques

- Existe-t-il un processus d’identification des risques menaçant les objectifs de la

société? Une organisation adéquate a-t-elle été mise en place à cet effet ?
- Les opportunités potentiellement manquées sont-elles également prises en compte ?
- Des dispositifs sont-ils mis en place pour identifier les principaux risques pouvant
affecter le processus d’établissement des comptes ?
- La corrélation des risques pouvant se réaliser en cascade est-elle prise en compte ?

Analyse des risques

- Pour les principaux risques identifiés, la société réalise-t-elle une analyse des
conséquences possibles (chiffrées ou non, financière ou non financière), de
l’occurrence et du degré de maîtrise estimé ?
- Les expériences passées de la société (ou d’acteurs comparables) en matière de risques
sont-elles prises en considération ?
- Plusieurs fonctions de la société sont-elles parties prenantes dans l’analyse des
conséquences et de l’occurrence possibles ?
- L’analyse des risques est-elle partagée par la direction générale et le management de la
société avec les personnes intéressées ?
- L’analyse des risques tient-elle compte des évolutions internes ou externes à la société
?

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 78

 Annexe 2 : Questionnaire de l’AMF relatif à la gestion des risques (2/2)

Traitement des principaux risques

- Les risques dépassant les limites acceptables définies par la société, s’il en est, sont-ils
traités en priorité ? Un niveau de risque résiduel est-il défini ?
- Les risques majeurs donnent- ils lieu à des actions spécifiques ? La responsabilité de
ces actions est-elle définie ? Le cas échéant, la mise en œuvre de ces actions est-elle
suivie ?
- La société a-t-elle mis en place un plan de gestion de crise ?

Surveillance et revue de la gestion des risques

- La direction reçoit-elle une information sur les caractéristiques essentielles des actions
engagées pour gérer les principaux risques de la société (nature des actions engagées
ou des couvertures en place, assurances, exclusions, montants des garanties, …) ?
- Des moyens spécifiques sont-ils consacrés à la mise en œuvre et à la surveillance des
procédures de gestion des risques ?
- Existe-t-il un mécanisme permettant, si nécessaire, d’adapter les procédures de gestion
des risques à une évolution des risques, de l’environnement externe, des objectifs ou
de l’activité de la société ?
- Existe-t-il un dispositif permettant d’identifier les principales faiblesses du dispositif
de gestion des risques mis en place par la société, et de les corriger ?
- Le Conseil d’administration ou le Conseil de surveillance, selon le cas, a-t-il été
informé des grandes lignes de la politique de gestion des risques ? Est-il régulièrement
informé des principaux risques identifiés, des caractéristiques essentielles du dispositif
de gestion des risques, notamment des moyens mis en œuvre et des actions
d’amélioration en cours ?

Communication financière et comptable

- Existe-t-il un échéancier récapitulant les obligations périodiques du groupe en matière

de communication comptable et financière au marché ? Cet échéancier précise-t-il :
o la nature et l’échéance de chaque obligation périodique,
o les personnes responsables de leur établissement.
- Existe-t-il des responsables et des procédures aux fins d’identifier et de traiter les
obligations d’information du marché ?
- Existe-t-il une procédure prévoyant le contrôle des informations avant leur diffusion ?

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 79

 Annexe 3 : Les normes professionnelles 2120 de l’IIA

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 80

 Annexe 4 : Risques les plus cités par secteur d’activité (1/2)

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 81

 Annexe 4 : Risques les plus cités par secteur d’activité (2/2)

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 82

Table des matières

Remerciements………………………………………………………………………………..3

Résumé & Mots-clés………………………………………………………………………….4

Sommaire…………………………………………………………………………………......5

Introduction…………………………………………………………………………………..6

I La cartographie des risques, une précieuse aide à la décision………………………….11

A/ La cartographie des risques, la boussole des dirigeants………………………………11

1. De la nécessité de maîtriser ses activités……………………………………...…11

a) Le risque dans la théorie microéconomique………………………………11

b) Le document initial des fonctions de management des risques, d’audit et de

contrôle internes……………………………………………………………...16

2. La cartographie des risques : une pratique quasi-généralisée…………………….20

a) Le syncrétisme des différents référentiels ………………………………...20

b) Un document phare dans un grand nombre d’organisations……………...26

B/ Méthodologie générale de la cartographie des risques………………………………...30

1. Les choix préalables à l’élaboration d’une cartographie des risques……………..30

a) Quel niveau de conception pour la cartographie ?......................................30

b) Top down ou bottom-up : quelle approche retenir ?....……………………34

2. Les évaluations du risque : de multiples dissections……………………………...36

a) Décomposition du risque…………………………………………………...36

b) Chronophotographie du risque…………………………………………….39

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 83

II Les bonnes pratiques d’implantation de la cartographie des risques…………………43

A/ La genèse de la cartographie : les rencontres avec les risk owners …………………...43

1. Le recensement des risques lors des entretiens avec les responsables……………43

a) Faire identifier et évaluer les risques par les principaux managers……....43

b) L’appétence au risque et la détermination du risque cible………………...46

2. Les outils de formalisation de la cartographie des risques………………………..49

a) Les fiches de risques : la base de données des risques…………………….49

b) Les différentes représentations des risques dans une cartographie.............53

B/ La cartographie des risques, élément moteur du management des risques………….56

1. Un outil vivant qui reflète les orientations de l’entreprise………………………..56

a) La cartographie: un outil de décision……………………………………...56

b) Le suivi des risques et de leurs évolutions…………………………………59

2. Les limites de la cartographie des risques………………………………………...62

a) La délicate évaluation de certains risques………………………………....62

b) Les risques qui pèsent sur l’élaboration de la cartographie ……………...64

Conclusion…………………………………………………………………………………....68

Bibliographie………………………………………………………………………………...70

Glossaire……………………………………………………………………………………...72

Table des documents………………………………………………………………………...73

Table des annexes……………………………………………………………………………75

Mathieu Girème – Mémoire de professionnalisation – Septembre 2011 Page 84