RISQUES & MÉTHODES · RESSOURCE GRATUITE
Cartographier les risques
Passer d'une liste de dangers à des décisions documentées.
01 / 07 · Le bon point de départ
Commencer par l'objectif
Un risque prend son sens par rapport à un objectif. Avant de remplir une matrice, préciser le processus, la période, les parties concernées et le résultat attendu. Cette étape évite de réunir sous une même étiquette des événements qui appellent des réponses différentes.
Objectif : payer le bon fournisseur, au bon montant, à la bonne date. Scénario : un IBAN frauduleux détourne le règlement.
02 / 07 · Cause · événement · conséquence
Écrire un scénario exploitable
Décrire ce qui peut arriver, pourquoi cela peut arriver et ce que cela affecte. Une formulation concrète permet de relier chaque risque à des opérations et à des contrôles. Éviter les intitulés trop généraux et séparer les scénarios dont les causes diffèrent.
Une validation réalisée par le demandeur lui-même peut laisser passer une facture fictive et générer une perte financière.
03 / 07 · Comparer avec prudence
Définir une convention de cotation
Les échelles doivent préciser la période, les dimensions d'impact et les critères de chaque niveau. Utiliser les mêmes conventions dans le périmètre étudié. Conserver les informations qui justifient la note et signaler les données fragiles.
Une note d'impact 4 doit correspondre à un critère documenté, pas à une impression générale de gravité.
04 / 07 · Du dispositif à la preuve
Tester les contrôles
Examiner séparément la pertinence du contrôle et son fonctionnement. Un dispositif bien conçu peut être appliqué trop tard, sur un périmètre incomplet ou sans traitement des anomalies. Les preuves doivent permettre de reconstituer l'action et sa conclusion.
Pour un rapprochement bancaire, vérifier la date, le périmètre, les écarts repérés et leur résolution.
05 / 07 · Ce qui reste à décider
Lire le risque résiduel
Le résiduel dépend des contrôles réellement opérationnels. Il ne devient pas acceptable parce qu'une case est verte. La décision tient compte des objectifs, des obligations, de l'appétence au risque et de la capacité à supporter les conséquences.
Un événement peu probable mais susceptible d'arrêter toute l'activité mérite une analyse complémentaire.
06 / 07 · Responsable · échéance · résultat
Choisir un traitement vérifiable
Une action utile répond à une cause précise. La formuler avec un responsable, une date et un résultat observable. Une formation ou une nouvelle procédure ne suffit pas si le problème provient d'un accès informatique trop large ou d'une validation impossible à réaliser.
Action : séparer la création d'un fournisseur et l'autorisation de paiement. Preuve : tests de droits et contrôles sur opérations.
07 / 07 · Un support de décision
Faire vivre la cartographie
Réexaminer les scénarios après un incident, une transformation ou un nouveau signal. Suivre quelques indicateurs dont les données sont fiables. Conserver la trace des arbitrages et expliquer les changements de cotation, pour distinguer une baisse réelle du risque d'un simple changement de méthode.
Une baisse des incidents accompagnée d'une chute du taux de déclaration ne prouve pas une meilleure maîtrise.