Rapports des Présidents : quels nouveaux enjeux pour le dispositif de gestion des risques ?

Découvrez ci-dessous "La question du dirigeant" publiée le 30 septembre 2009 sur le site internet http//lesechos.fr/pwc, rédigée par :
- Jean-Marc Truchi, Christophe Thénégal, Jean-Pierre Hottin, Associés Consulting, PwC/Landwell & Associés,
- Philippe Kubisa, Associé, PwC/Landwell & Associés Audit,
- Sylvie Le Damany, Associée, Landwell & Associés.

Rapports des Présidents : quels nouveaux enjeux pour le dispositif de gestion des risques ?

Sur fond de crise financière et économique, le législateur, après avoir prôné la mise en œuvre de bonnes pratiques, s'est orienté vers des lois plus contraignantes sur la gouvernance et la gestion des risques avec la loi du 3 juillet et l'ordonnance du 8 décembre 2008.

Aujourd'hui, l'enjeu n'est plus l'appropriation du cadre réglementaire, mais la mise en place effective d'un dispositif apportant un niveau de confiance suffisant à la Direction, au Comité d'audit et aux administrateurs sur l'efficacité du système de contrôle interne et de gestion des risques.

C'est pourquoi PwC/Landwell & Associés et Landwell ont publié :

• en juin 2009, en collaboration avec l'IFA et l'AMRAE, le guide pratique « Le rôle de l'administrateur dans la maîtrise des risques » ;
• septembre 2009, leur enquête annuelle relative aux Rapports des Présidents, qui s'est focalisée sur la manière dont les sociétés intègrent ces récentes évolutions.

Il en ressort un double enjeu majeur pour les entreprises :

• l'harmonisation et la mise en cohérence des dispositifs déjà développés en matière de gestion des risques, contrôle interne et audit interne. Il ne s'agit donc pas de créer mais de rationaliser l'existant,
• la pérennisation des dispositifs de gestion des risques. Cette dernière doit passer par une meilleure intégration avec les dispositifs de management tels que le pilotage de la performance.

• Quelle évolution reflétée dans les Rapports des Présidents en matière de gestion des risques ?

L'enquête annuelle de PwC/Landwell & Associés et Landwell a été réalisée sur la base des Rapports des Présidents du Conseil relatifs aux dispositifs de contrôle interne et de gestion des risques des sociétés du CAC 40 et de 30 autres sociétés significatives cotées à Paris.
Les conclusions de l'enquête "Rapport des présidents : quels nouveaux enjeux pour les dispositifs de contrôle interne et de gestion des risques ?" sont disponibles sur le site internet : http://www.landwell.fr/enquete-sur-les-rapports-des-presidents-sur-le-controle-interne-et-la-gestion-des-risques.html

Force est de constater que le niveau de maturité des entreprises en matière de contrôle interne a significativement progressé au cours des dernières années : leur grande majorité a adopté un référentiel, tel que le Coso Report ou le Cadre de référence de l'AMF et mis en place des outils (normes et procédures internes). Si l'appropriation du cadre réglementaire par les entreprises n'est plus à démontrer, leurs enjeux se situent désormais sur le déploiement et la mise en œuvre opérationnelle des dispositifs de contrôle interne et, pour un grand nombre d'entre elles, la mise en place d'un dispositif de gestion des risques leur permettant de répondre aux nouvelles obligations réglementaires notamment liées au suivi de l'efficacité des dispositifs en place. 

• Quels sont les risques couverts par le Rapport du Président ? Comment les entreprises identifient-elles leurs risques ?

Le Rapport du Président porte sur l'ensemble des objectifs de contrôle interne (finance, opérations, conformité) et couvre un nombre croissant de procédures de gestion des risques, dépassant largement le cadre de l'information financière. En effet, les risques opérationnels, juridiques, environnementaux, industriels, informatiques, financiers sont couverts dans plus de 75% des cas.

Pour identifier ces risques, l'utilisation d'une cartographie des risques est largement répandue : 73% des entreprises y ont recours. En effet, la cartographie permet aux dirigeants de disposer d'une vision synthétique et hiérarchisée de leurs risques majeurs.

Au-delà de l'existence même de la cartographie et des procédures associées (les procédures de délégations de pouvoirs, de séparation des tâches, de contrôle opérationnel, d'identification et de suivi des risques sont utilisées par plus de 80% des entreprises), il apparaît que l'enjeu est aujourd'hui dans la mise en place de dispositifs de maîtrise des risques permettant notamment de :
-  suivre l'évolution des risques déjà identifiés,
-  identifier les nouveaux risques afin de prévenir leur survenance,
-  permettre au management de décider des actions nécessaires pour limiter leur impact si ceux-ci surviennent et ceci à tous les niveaux de l'entreprise (entités, sous-groupes, groupe).

A ce titre, une bonne pratique consiste pour le management à intégrer la maîtrise des risques et les dispositifs de contrôle interne aux modes de fonctionnement de l'entreprise, afin d'assurer à la fois la pertinence des risques identifiés et la cohérence des dispositifs de maîtrise associés. L'objectif est d'harmoniser et de mettre en cohérence les dispositifs concourants à la maîtrise des risques tels que le contrôle interne et l'audit interne.

• Comment les entreprises pilotent-elles et suivent-elles « l'efficacité des systèmes de contrôle interne et de gestion des risques » ?

L'analyse des Rapports montre que le pilotage du contrôle interne et de la gestion des risques est aujourd'hui confié à la Direction Générale dans 54% des entreprises et au Comité d'Audit pour 42% d'entre-elles.

Au-delà des rôles confiés aux différents acteurs, les sociétés vont désormais devoir se prononcer sur l’utilité de prendre en compte leur analyse des risques lors des revues de performance conduites par les directions opérationnelles ou lors de l’élaboration de leur plan stratégique. Une bonne pratique en la matière consiste notamment à intégrer la maîtrise des risques et les dispositifs de contrôle interne aux modes de fonctionnement de l’entreprise afin d’assurer la pertinence des risques identifiés et la cohérence des dispositifs de maîtrise associés.

Enfin, si elle n'est pas requise par la loi, l'évaluation régulière de ces dispositifs, en couvrant à la fois les risques majeurs de l'entreprise et les principales composantes de son organisation, est utile afin de s'assurer de leur bon fonctionnement opérationnel et du correct dimensionnement des moyens dédiés à la maîtrise des risques.

• Quel est le rôle du Comité d'Audit dans les entreprises ?

A la lecture des Rapports, il apparait que les missions confiées au Comité d'Audit au titre du suivi de la gestion des risques sont les suivantes :
-  analyse de l'exposition aux risques : revue de la cartographie,
-  évaluation de l'efficacité des systèmes de contrôle interne et de gestion des risques,
-  revue des travaux de l'audit interne.

L'enjeu pour les administrateurs est de disposer de toute l'information suffisante pour suivre le bon fonctionnement du dispositif de gestion des risques, charge au management de mettre en place l'organisation nécessaire.

Il est observé à ce propos la structuration croissante des démarches de maîtrise des risques et une amélioration des capacités à avoir une vision transverse des risques. En effet, 70% des entreprises ont une structure dédiée en charge de la maîtrise des risques. (Pour plus d'information sur les obligations du comité d'audit, se référer à l'article : Comités d'audit et administrateurs : Quel renforcement en 2009 de leurs rôles et responsabilités ? http://www.pwc.fr/gouvernance_et_controle_interne.html)

• Quelles sont les principales évolutions récemment observées au titre de la maîtrise des risques ?

Deux tendances se dessinent par rapport aux enquêtes des années précédentes.  D’une part, les sociétés commencent à mettre en place des tableaux de bord leur permettant de faire un suivi régulier de l’évolution de leurs risques majeurs. Elles sont, en effet, 30 % à en faire mention dans le rapport du Président. D’autre part, certaines sociétés mettent en place un comité dédié au suivi des risques. Ce Comité rassemble tous les acteurs de la maîtrise des risques et favorise leur collaboration. La Direction Générale est ainsi assurée de l’exhaustivité du périmètre d’analyse et de la cohérence des risques majeurs qu’elle suit au regard des enjeux de la société. Elle évite une gestion des risques en silo et améliore la cohérence « risque et dispositif de maîtrise ».

Les sociétés ont également à rationaliser les dispositifs de contrôle interne et de maîtrise des risques. La mise en cohérence des dispositifs déjà développés en matière de gestion des risques, contrôle interne et audit interne, mais également avec des domaines comme la qualité, la conformité ou encore la prévention de la fraude ou de la corruption, représente l’un des enjeux essentiels pour les sociétés. Seules quelques unes d’entre elles ont aujourd’hui initié des démarches de rationalisation leur permettant notamment d’identifier les dispositifs surdimensionnés ou inefficaces, d’optimiser la manière dont elles gèrent leurs risques et de réduire les coûts des dispositifs de contrôle interne notamment.

En conclusion, et alors que les nouvelles obligations réglementaires s'imposent aujourd'hui aux sociétés, les principaux enjeux auxquels elles ont à faire face sont les suivants :

• Répondre aux exigences des parties prenantes, Direction Générale, administrateurs et Comité d'Audit,
• Rationaliser les dispositifs de contrôle interne et de maîtrise des risques, notamment en
  -  vérifiant la cohérence entre les risques identifiés et les dispositifs de contrôle mis en place,
  -  harmonisant et mettant en cohérence les dispositifs déjà développés,
  -  optimisant la capacité d'adaptation des dispositifs de contrôle interne et de maîtrise des risques face aux changements,
• Pérenniser les dispositifs de gestion des risques en les intégrant aux dispositifs de management tels que le pilotage de la performance,
• Assurer la mise en œuvre effective des démarches et des procédures de contrôle interne et de gestion des risques à tous les niveaux de l'entreprise.

Seules les procédures répondant à ces enjeux permettront d'apporter un niveau de confort suffisant au management et aux administrateurs sur l'efficacité du dispositif de contrôle interne et de gestion des risques. Une revue critique des principaux dispositifs organisés par la société et de leur cohérence est une première étape qui peut être menée rapidement et permettre de dégager des leviers d’efficacité à cour terme.