Jurisassociations Cette tribune fait partie d'un dossier spécial Maitrise des risques incluant 4 textes de KPMG 15 janvier n 491

Transcription

1 Jurisassociations Cette tribune fait partie d'un dossier spécial Maitrise des risques incluant 4 textes de KPMG 15 janvier n 491 Patrick Zeimett, Associé, économie sociale et solidaire, KPMG Sébastien Leinheiser, économie sociale et solidaire, KPMG Avec l aimable autorisation de Jurisassociations de Juris Éditions Éditions Dalloz :

2 Dossier Piloter la maîtrise des risques, cartographie en main Des mesures simples 1 peuvent garantir au dirigeant un premier niveau de maîtrise. Mais lorsque l activité se complexifie 2, les associations peuvent mettre en place un pilotage de la maîtrise des risques. Cette démarche doit s engager comme un véritable projet transversal à l association et se poursuivre une fois le premier cycle du projet finalisé. I l n y a pas de performance durable sans maîtrise des risques et la cartographie des risques en est un outil essentiel. Sous une formalisation explicite et visuelle, elle a vocation à réaliser un inventaire des risques majeurs, à les évaluer afin d identifier les principales menaces qui pèsent sur l entité et qui pourraient aller à l encontre de la réalisation de ses objectifs stratégiques et opérationnels. Préalables à une gestion en mode projet L élaboration d une cartographie des risques nécessite un fonctionnement en mode projet par la mise en place d un comité de pilotage (Copil). Ce dernier est idéalement constitué de trois à six membres. Dans les entités de taille réduite, le nombre d intervenants pourra être ramené à deux idéalement, un permanent et un administrateur : il peut s agir, par exemple, du directeur et 1. Valeurs partagées, séparation de fonctions et de tâches, assurances, etc. 2. Augmentation du nombre d intervenants, fortes pressions des contrôleurs externes et des donateurs, etc. du trésorier. Il est nécessaire qu au moins un des membres de la gouvernance prenne part au projet afin de crédibiliser et légitimer la démarche. L analyse de l organisation étant soumise à l examen de nombreux domaines, il est important de réfléchir à la construction du Copil afin de disposer des compétences pluridisciplinaires nécessaires. Au-delà de sa composition, il convient de veiller aux modalités de fonctionnement. Un nombre de réunions suffisant est à prévoir, avec un ordre du jour précis et respecté, et une communication interne spécifique sur le sujet est primordiale. Il est essentiel que cette action soit menée avec une grande pédagogie et une volonté de faire adhérer le plus grand nombre. Si cette communication n est pas effectuée ou si elle est faite de manière maladroite, cela peut nuire au bon déroulement du projet. Mettre en évidence l intérêt de la réflexion puis la nécessaire contribution de chacun constitue un préalable indispensable. Il convient toutefois de veiller aux règles de confidentialité dans toute la conduite du projet, aussi bien lors des entretiens que dans les remises de documents intermédiaires ou des versions abouties. La gouvernance doit conserver la maîtrise de l information. Le projet peut être mené en interne ou avec l appui d un auditeur extérieur. En tout état de cause, le responsable du projet, qu il soit interne ou externe, doit rester le plus factuel et le plus neutre possible tout au long de sa mission : il doit prendre du recul, éviter tout jugement de valeur et rester constructif. Les affirmations sur des points essentiels doivent être corroborées : les situations à risque doivent être détaillées en les confrontant à d autres opinions et en les recoupant avec des éléments factuels. Le rôle de l auditeur est assurément essentiel : plus qu un technicien ou un «sachant», il facilite l identification des risques. Il est là pour poser les bonnes questions, orienter les entretiens sur les problématiques qu il soulève et formuler des solutions et un plan d action en étroite concertation avec les acteurs. Mise en œuvre de la conduite du projet La méthodologie de travail consiste à : préparer les outils, documents de support et entretiens ; évaluer le niveau d exposition de l association au(x) risque(s) ; identifier les entités, activités et processus, catégories de postes ; identifier les interlocuteurs à rencontrer ; conduire des entretiens pour identifier et évaluer les risques ; valider les résultats avec les organes de direction ; formaliser une cartographie ; 22 jurisassociations janvier 2014

3 Cartographie des risques les Écueils à éviter Les écueils à éviter dans la mise en place d une cartographie des risques sont les suivants. Confusion entre «situations à risque» et «risques» : une situation relève de faits constatés alors que le risque a vocation à être un enseignement général. Débats non participatifs : le rôle des auditeurs lors des ateliers si possible animés en binôme pour garantir la qualité de l animation et la prise de notes est de s assurer que les débats soient participatifs. Ainsi, un intervenant ne doit pas monopoliser la parole ni imposer systématiquement son point de vue. Intrusion de l auditeur : celui-ci n a pas à influencer les personnes interrogées en les orientant vers des conclusions préétablies. Il anime les échanges dans le respect de neutralité. Mauvaise identification des risques : qu elle se traduise par une formulation floue ou par la confusion de deux risques, cette mauvaise identification conduit à l impossibilité de traiter les risques. Le plan d action qui en découle ne sera pas cohérent face aux risques réels et la situation à risque demeurera. Manque de clarté : les libellés et les contenus de la cartographie doivent être clairs et lisibles pour tous. Penser que la cartographie est immuable alors que les réévaluations sont nécessaires tous les deux à quatre ans. mettre en place des plans d action. Cette méthodologie peut se traduire en trois phases : tout d abord, la définition des processus et sous-processus, puis l identification et la cotation des risques et, enfin, l élaboration des plans d action 3. Définition des processus et sous-processus L objectif est d obtenir, sous forme de matrice, une vision des activités, missions et organisation de l entité. En principe, une seule page suffit. Cette phase est structurante pour la suite de la mission : c est à partir de celle-ci que seront planifiés les ateliers d expression et de cotation des risques. La définition du périmètre de la cartographie des risques est primordiale et se fait en concertation très étroite avec la gouvernance. Trois angles de définition peuvent être donnés au terme «processus». Il peut ainsi s agir de : l ensemble de tâches, opérations et activités combinées pour concourir à un résultat donné (produit, service) destiné à un client interne ou externe ; l ensemble d activités corrélées ou interactives qui transforme des éléments d entrée en éléments de sortie ; la succession de tâches réalisées à l aide de moyens tels que le personnel, le matériel, les informations, les procédures. Le résultat final escompté est un produit. Il présuppose des entrées mesurables, une valeur ajoutée, des sorties mesurables et la possibilité de réitération. Généralement, trois types de macroprocessus peuvent être identifiés : processus de pilotage (processus exécutifs) : il s agit des processus qui sont liés aux activités traditionnellement dévolues aux 3. L étude de cette troisième phase fait l objet d un article à part entière au sein de ce dossier : voir en p. 27. organes de gouvernance et au management (ou direction générale) ; processus opérationnels (processus de réalisation ou cœur de métier) : il s agit des processus qui contribuent directement à la réalisation d un produit depuis la détection du besoin usager jusqu à sa satisfaction ; processus supports (processus de soutien ou processus de ressources) : il s agit des processus qui contribuent au bon fonctionnement des autres processus en leur apportant les ressources nécessaires. Identification et cotation des risques Selon la norme ISO 31000, la nouvelle définition du risque abandonne la vision de l ingénieur «le risque est la combinaison de probabilité d événement et de sa conséquence» pour coupler les risques aux objectifs de l organisation. Ainsi, «le risque est l effet de l incertitude sur les objectifs». Le risque est défini comme étant une situation non souhaitée, ayant des conséquences négatives, résultant de la survenue d un ou de plusieurs événements dont l occurrence est incertaine. L identification et la cotation des risques s effectuent sous forme d ateliers de cotation des risques. Ce sont des réunions participatives, au cours desquelles sont conviés tous les principaux acteurs d un même processus : ils seront invités à s exprimer sur la terminologie à adopter s agissant de la définition des sousprocessus et de leurs objectifs, puis à exprimer les risques induits. Ainsi, à partir des situations pouvant survenir et entraver la réalisation desdits objectifs, les risques seront listés. L identification des risques s effectue sous forme de grilles. Il convient de réaliser autant de grilles que de processus et d ate- liers de cotation des risques. Pour une situation donnée, il peut y avoir une multitude de risques ; à l inverse, un risque peut correspondre à différentes situations. Enfin, la cartographie des risques ne restitue pas les risques potentiels dans leur exhaustivité : en effet, il est impossible d analyser, de 15 janvier jurisassociations

4 Dossier répertorier et de traiter tous les risques de l organisation. Pour s assurer que tous les risques sont bien identifiés, il est important de valider et de compléter l analyse avec les organes de direction et les opérationnels PHASE Et sa traduction sous forme de cartographie à double échelle ciblés. Il est préférable que les grilles de cotation des risques soient prises en notes afin de présenter une traçabilité des éléments justifiant les notations, notamment pour les facteurs de maîtrise. PHASE 2. Exemple de grille de cotation des risques... Processus Sous- Niveau Probabilité Degré de Risques potentiels Identifiant processus d impact d occurrence non-maîtrise Risque de perte d homme clé, débauchage de collaborateurs Sous ou sureffectif, problème de polyvalence Supports Source : KPMG Gérer les ressources humaines Communiquer Risque élevé Risque moyen Risque faible Traçabilité défaillante (non mise à jour régulière du registre des entrées et sorties du personnel) Non mise à jour des bases de données des paramètres du logiciel de paie (actualisation des taux de charges, etc.) Rémunérations indues octroyées Libre accès aux données sensibles, confidentielles. Vol d informations personnelles concernant les salariés Absence de communication en interne aboutissant à un fonctionnement individuel sans concertation avec risque de doublon dans les tâches réalisées ou de travaux mal réalisés Risque d erreur de communication marketing (décalage entre le contenu d un message et sa compréhension) Politique de communication sur l identité de la structure inadéquate Défaut d application de la loi informatique et libertés Niveau d impact Cartographie des risques - processus supports Probabilité d occurrence 1 6 Cotation des risques sous forme de matrice Il s agit ici de positionner les risques majeurs selon différents axes, tels que l impact potentiel, la probabilité de survenance et le niveau actuel de maîtrise des risques. La cotation du risque correspondra donc à la fusion de ces trois critères. Chacun de ces risques est évalué selon une échelle qui lui est propre. De manière pragmatique, il est proposé d utiliser une échelle allant de un à quatre : «faible, modéré, élevé, critique» pour l impact ; «rare, possible, probable, quasi certaine» pour la probabilité ; «faible, moyen, élevé, critique» pour le degré de non-maîtrise des risques. Comment évaluer la gravité d un risque et sur quels critères pour que cartographie et traitements soient en cohérence? Cette gravité diffère grandement d une entité à l autre, notamment en fonction de l activité, des compétences, des ressources. Les critères de risques permettent de comparer les risques répertoriés au regard des critères retenus, avec un score du risque correspondant à sa gravité. Il convient d être prudent sur le fait que l impact ne se mesure pas uniquement au regard de critères financiers mais également au regard de critères humains et managériaux, juridiques, fiscaux, patrimoniaux, ou encore liés à l image de l association. Cotation des risques sous forme de diagramme Une seconde cartographie des risques peut être réalisée afin d identifier la typologie des risques. La typologie recommandée pour segmenter la nature des zones de risques est la suivante : Risque élevé Risque moyen Risque faible 24 jurisassociations janvier 2014

5 risques financiers : finances et comptes annuels (survenance d erreur ou de fraude, de perte ou économies non détectées, etc.) ; risques juridiques : défense des intérêts de l entité, mise en cause des responsabilités, requalification de contrats, veille réglementaire, conformité aux statuts et règlement intérieur, conformité aux lois et règlements ; risques sociaux : relations sociales, climat social, motivation et conscience professionnelle, compétences, formations. Le risque de contrôle et de redressement Urssaf se rapporte également à cette catégorie ; risques fiscaux : cadre réglementaire fiscal (TVA, impôts sur les sociétés, etc.) et risques de contrôle et de redressement ; risques patrimoniaux : risques de détournement, destruction, dommages sur des éléments relevant du patrimoine, y compris les données informatiques dites «sensibles» (perte et destruction de données, intrusion, protection et sauvegarde, archivage) ; risques organisationnels et opérationnels : problèmes touchant l organisation de l entité, y compris technique, informatique (performance des outils, efficience, réponse et adaptation aux besoins) et humaine, de même que ceux touchant à la capacité à mener à bien les missions ; risques d image : tout problème potentiel qui entacherait l image de l entité auprès du public et des parties prenantes en général (financeurs, partenaires, corps de contrôle, tutelles) ; risques de gouvernance et de stratégie : pilotage de l entité, tenue et prise de décisions des instances, stratégie, vision prospective, anticipation. n AUTEURP TItre patrick Zeimett KPMG, économie sociale et solidaire, Reims PHASE 2. Exemple de grille de cotation des risques par typologie du processus support... Risques potentiels Risque de perte d homme clé, débauchage de collaborateurs PHASE Et sa traduction sous forme de diagramme (en radar) GOUVERNANCE IMAGE ORGANISATIONNEL Financier Juridique FINANCIER 30,0 % 25,0 % 20,0 % 15,0 % 10,0 % 5,0 % 0,0% Social Typologie des risques identifiés PATRIMONIAL AUTEURS TItre Fiscal Patrimonial Organisationnel JURIDIQUE FISCAL Image SOCIAL Gouvernance Total 33 % 33 % 33 % 100 % Sous ou sureffectif, problème de polyvalence Traçabilité défaillante (non mise à jour régulière du registre des entrées et sorties de personnel) Non mise à jour des bases de données des paramètres du logiciel de paie (actualisation des taux de charge, etc.) 33 % 33 % 33 % 100 % 50 % 25 % 25 % 100 % Rémunérations indues octroyées 80 % 10 % 10 % 100 % Libre accès aux données sensibles, confidentielles. Vol d informations personnelles concernant les salariés Absence de communication en interne aboutissant à un fonctionnement individuel sans concertation avec risque de doublon dans les tâches réalisées ou de travaux mal réalisés Risque d erreur de communication marketing (décalage entre le contenu d un message et sa compréhension) Politique de communication sur l identité de la structure inadéquate Défaut d application de la loi informatique et libertés 25 % 50 % 25 % 100 % Source : KPMG sébastien Leinheiser KPMG, économie sociale et solidaire, Reims 15 janvier jurisassociations