Gestion de risque Quelques conseils

Transcription

1 Gestion de risque Quelques conseils Avril 2014 Introduction Les risques sont liés à des problèmes potentiels ou situations qui, s ils se réalisent, pourraient nuire à l atteinte des objectifs et des résultats de l Organisation tels qu ils sont définis dans le Programme et Budget bisannuel. Une dose de risques conscients et raisonnés est cependant nécessaire pour tirer parti d opportunités émergentes. La gestion de risque est la collecte, l évaluation, l enregistrement et la diffusion systématisés d informations qui permettront d agir face à des risques identifiés. La gestion de risque est un outil de gestion interne utilisé aujourd hui par la grande majorité des organisations internationales. Elle est prévue dans le Règlement financier du CdE et, sur la base d exercices pilote qui ont donné des résultats positifs, il a été décidé en janvier 2014 d introduire la gestion de risque systématique dans toute l Organisation. La gestion de risque ne se fait pas une fois pour toutes, il s agit d un exercice mené en continu selon quatre grandes étapes : 1. l identification des risques, 2. l évaluation des risques (pour évaluer leur probabilité d occurrence et leur impact potentiel, ce qui permet ensuite de les classer par ordre de priorité), 3. le traitement des risques (pour atténuer l occurrence ou l impact d évènements indésirables et maximiser la probabilité que les objectifs seront atteints), et 4. le bilan et le rapport de situation concernant les risques (pour rendre compte de la situation et de l efficacité des contrôles ou actions destinées à les atténuer). Comment compiler un registre des risques Il est essentiel de tenir un tableau d enregistrement des risques, établi et suivi au niveau des MAE. Ce document résume les étapes à suivre pour établir le registre des risques grâce au modèle figurant au tableau 4 à la fin du document, qui présente quelques exemples en guise d illustration. A cette étape, le niveau d implication des agents à titre individuel devrait être adapté à la taille de la Direction/MAE. Dans le même temps, cet exercice permet de fédérer les membres d une équipe et d accroître la communication au sein des agents. Prévoyez plusieurs sessions et, si nécessaire, faites une pause entre deux sessions pour recueillir de nouvelles idées et réfléchir aux premiers éléments déjà recueillis. Si possible, invitez un modérateur extérieur pour vous aider à compiler et évaluer les risques ainsi qu à dégager les suites à donner. La DIO est prête à participer à ces sessions, avant, pendant et après, afin d apporter un appui méthodologique. Etape 1 : Rappeler l objectif stratégique Le point de départ est constitué par l objectif stratégique pertinent tel qu il ressort du 1

2 document du Programme et Budget. Indiquez-le dans la ligne «Objectif stratégique» du registre des risques selon le modèle du tableau 4 en fin de document. Etape 2 : Identifier les risques Il convient de répondre à la question : Qu est-ce qui peut mettre en danger l atteinte des objectifs stratégiques et autres? Les risques spécifiques, relevant chacun d une zone de risque définie, devraient être décrits dans le registre des risques (voir tableau 4 en fin de document). Pour lancer le processus, chaque agent (ou manager pour les MAE de plus grosse taille) devrait recenser les cinq risques les plus importants concernant son activité professionnelle. La personne contact pour l évaluation du risque, ou les chefs de service, devraient les reporter dans le projet de tableau de registre des risques. Il est important de préparer le tableau des risques en gardant à l esprit différents secteurs de risques et perspectives, mais il n est pas nécessaire de traiter tous les secteurs de risques indiqués plus loin. Le registre général des MAE ne devrait en principe pas contenir plus de 20 à 25 risques spécifiques si l on veut qu il reste opérationnel. Les risques de fraude devraient en revanche toujours être envisagés. Les risques identifiés devraient être dans une très large mesure pouvoir être traités par la MAE et ne pas dépendre uniquement d actions lancées au niveau de toute l Organisation et de ressources supplémentaires. Tableau 1 : Grands types de domaines de risques dans le contexte du CdE Secteurs de risque Exemples Communication et réputation Risques politiques Management Sûreté et sécurité Manque de visibilité, informations incorrectes, fuites d informations, performance médiocre, comportement des agents contraire à l éthique Action/décision politiquement incorrecte, non mise en œuvre par les Etats, manque de soutien politique, départ d Etats membres de l Organisation Déficience dans la prévision/la planification/le management, dysfonctionnements dans la résolution de conflits, processus inefficients etc. Problèmes de sécurité des agents sur le lieu de travail, accidents du travail, protection des biens, intrusions ou pénétrations non autorisées dans les locaux Ressources humaines Finances Manque de motivation, répartition déséquilibrée de la charge de travail, départ de personnel clé, durée et contraintes en matière de recrutement, contentieux, falsification de qualifications, demandes injustifiées d indemnités pour personne à charge ou autres, etc. Dépenses excessives, insuffisances de recettes, incapacité à dégager des économies potentielles, problèmes dans les achats, pertes financières, détournements de fonds, Risques juridiques Risque contractuel, risque de contentieux juridiques, obligations envers des tiers, etc. Risques informatiques ou techniques Pannes informatiques, pertes de données, pannes de matériel, etc. 2

3 Organisez une réunion ou une retraite, compilez tous les risques dans un seul tableau pour la MAE et cherchez à dégager un consensus sur l évaluation des risques. L identification de risques particulièrement sensible ou confidentiels est une part importante du processus de gestion de risques. Si vous le jugez souhaitable, ce type de risques peut être porté exclusivement à l attention du Secrétaire Général, qui examinera tous les risques clés du Registre des risques du CdE. Etape 3 : Analyse de la probabilité d occurrence et de l impact Pour cette analyse, afin de déterminer la probabilité d occurrence et l impact, on utilise les définitions ci-dessous. Les catégories sont de nature qualitative et pour en définir le périmètre, la discussion en groupe est idéale. Les résultats de l évaluation sont là aussi inscrits dans les colonnes relatives à l évaluation des risques dans le registre des risques (tableau 4 en fin de document). Tableau 2 : Catégories de probabilité d occurrence et d impact des risques Probabilité Elevée Moyenne Faible Impact Elevé Moyen Faible Définition Le risque a de fortes probabilités de se produire et les contrôles ne sont pas efficaces. Le risque est probable et les contrôles l atténuent quelque peu. Le risque n est pas probable et les contrôles sont efficaces. Définition Très graves effets négatifs attendus sur les opérations, les actifs de l Organisation ou pour les personnes. Graves effets négatifs attendus sur les opérations, les actifs de l Organisation ou pour les personnes. Effets négatifs limités attendus sur les opérations, les actifs de l Organisation ou pour les personnes. 3

4 Etape 4 : Déterminer l exposition au risque Une fois les risques analysés en fonction de la probabilité de leur occurrence et de leur impact, ils peuvent être catégorisés, comme par exemple dans le diagramme ci-dessous. Les risques caractérisés par la combinaison d un impact élevé et d une probabilité élevée sont les risques les plus élevés, qui requièrent un effort considérable de gestion pour les traiter (ils apparaissent en rouge dans le diagramme), ceux qui se caractérisent par un impact moyen et une probabilité d occurrence moyenne requièrent aussi de rester vigilant (ils sont matérialisés en orange dans le diagramme), et ceux dont l impact est faible, tout comme la probabilité d occurrence (en vert) peuvent être acceptés. Les résultats sont reportés dans la colonne «exposition» dans le registre des risques (tableau 4 en fin de document). 4

5 Tableau 3 : Tableau des points chauds en matière de risque IMPACT ACTIONS SOUHAITABLES POUR GERER LE RISQUE Elevé Gestion requise ORANGE Doivent être gérés et suivis activement ROUGE Des efforts de gestion considérables sont essentiels ROUGE Moyen Il peut être valable d accepter les risques avec une supervision VERT Gestion requise ORANGE Doivent être gérés et suivis activement ROUGE Faible Accepter les risques VERT Accepter les risques, mais avec une supervision VERT Gestion requise ORANGE Faible Moyenne Elevée PROBABILITE D OCCURRENCE Etape 5 : Préparer les mesures d atténuation des risques L étape suivante consiste à définir des mesures pour traiter les divers risques, en commençant par les plus urgents, en rouge, et à les indiquer dans le tableau 4 en fin de document. Les catégories de mesures possibles les plus fréquentes sont les suivantes : Prévention : empêcher le risque de se matérialiser ou l empêcher d avoir un impact sur les objectifs ; Réduction : réduire la probabilité d occurrence du risque, ou limiter son impact s il se matérialise ; Transfert : transférer l impact du risque à un tiers (par exemple grâce à une police d assurance) ; Plan d urgence : préparer des mesures à mettre en œuvre en cas d occurrence du risque ; Acceptation : accepter la possibilité que le risque puisse survenir et poursuivre sans prendre de mesures particulières pour le traiter. 5

6 Pour préparer les mesures à prendre, il est essentiel d établir un échéancier de mise en œuvre des mesures palliatives et de désigner le Gestionnaire du risque et le Responsable du risque. Un seul Responsable du risque est affecté à chaque risque, afin que la chaîne de responsabilité soit clairement établie. Les Responsables du risque sont en général les Ordonnateurs (Commitment officers), qui sont chargés de la mise en œuvre des différents points pour action et en rendront compte au Secrétaire général. Le Gestionnaire du risque met en œuvre les mesures d atténuation et en rend compte au Preneur de risque. Etape 6 : Remplir le registre des risques et le transmettre à la DIO/assurer le suivi La dernière étape consiste à remplir le registre des risques (tableau 4 en fin de document) et à le transmettre à la DIO pour la date fixée. La DIO compilera tous les registres de risques reçus au sein d un Registre de risques englobant toute l Organisation, pour soumission au Secrétaire Général et discussion par le Senior Management Group. Le Registre central ainsi que les registres de risque spécifiques doivent être revus au moins une fois par an pour rester à jour et faire en sorte que les responsabilités soient prises concernant les actions identifiées. La DPFL, la DIO et le Comité consultatif d Audit et d Evaluation (anciennement le Comité d audit) utiliseront également le Registre des risques du CdE. Merci pour votre coopération. Etabli par la Direction de l Audit interne et de l Evaluation. 6

7 Tableau 4 : Registre des risques d une MAE (exemple de la DIO) Objectif stratégique : la direction de l Audit Interne et de l Evaluation est une entité indépendante qui aide le Secrétaire Général à s acquitter de ses responsabilités en matière de gestion des ressources de l Organisation en procédant à des audits internes, des évaluations et des investigations. Risque n Secteur de risque selon le tableau 1 Risques spécifiques au sein du secteur de risque Evaluation du risque Impact 1 Probabilité 1 Exposition 2 Contrôles interne actuellement en place Mesures supplémentaires prévues pour atténuer les risques identifiés Compilé par : les agents de la DIO Echéance pour la mise en œuvre des actions prévues Revu par : A Eussner Date de révision : janvier 2014 Gestionnaire du risque et Responsable du risque 1 Ressources humaines Perte de personnel clé Contraintes de recrutement Financement insuffisant pour les missions de consultance M E ROUGE M M ORANGE M M ORANGE Tableau des postes de la Direction ainsi qu au regard du Budget et Programme Politique du personnel Contrôles du budget Développer le personnel (formation, certification) Offrir un emploi stable Motiver Reconnaître les efforts Planification du personnel proactive et prévisionnelle, Description de poste claire et spécifique dans les avis de vacance Clarifier les critères de répartition des ressources financières entre les divisions S entendre sur la répartition avant de démarrer les programmes Permanent Permanent I/2014 Chef de division X Directeur du Service Y Chef de division X Directeur du Service Y Chef de division X Directeur du Service Y 1 Elevé(e), Moyen(ne) ou Faible 2 Rouge, Orange ou Vert 7