Évaluation des Risques: Probabilité et Impact

Introduction

Dans la leçon précédente, nous avons conclu notre étude sur le management des risques en apprenant à élaborer un risk register. Vous avez vu que cet outil est essentiel pour documenter de manière centralisée les risques de l'entreprise, leur évaluation (inherent et residual), et les plans de traitement. Le risk register est le reflet de la vision du risque au niveau de l'organisation.

Aujourd'hui, nous passons de la perspective du management à celle de l'auditeur interne. Comment un auditeur utilise-t-il cette approche par les risques pour planifier son travail ? La toute première étape consiste à zoomer sur un processus métier spécifique et à y mener sa propre analyse.

L'objectif de cette leçon est donc de vous apprendre à identifier et évaluer les risques d'un processus métier en utilisant une échelle de probabilité et d'impact. Cette compétence est la pierre angulaire de l'audit interne moderne, car elle permet de concentrer les efforts d'audit là où ils comptent le plus.

1. Le point de départ : Les objectifs du processus

Avant de pouvoir identifier ce qui pourrait mal tourner, il faut d'abord savoir ce qui devrait bien se passer. L'identification des risques commence toujours par une compréhension claire des objectifs du processus que vous vous apprêtez à auditer. Un risque, par définition, est un événement qui pourrait empêcher l'atteinte de ces objectifs.

Par exemple, pour le processus Purchase-to-Pay (P2P), que vous avez pu côtoyer lors de vos stages, des objectifs clés sont :

• S'assurer que les achats sont autorisés et justifiés.
• Payer le bon fournisseur, pour le bon montant et à temps.
• Recevoir des biens et services conformes à la commande.

Pour chaque objectif, l'auditeur se pose la question : "Qu'est-ce qui pourrait empêcher l'atteinte de cet objectif ?". La réponse à cette question est un risque.

Le document suivant du Ministère de l'Économie français formalise cette démarche dans le cadre d'une mission d'audit.

2. Identifier les événements de risque

Une fois les objectifs clarifiés, l'étape suivante est l'identification systématique des événements potentiels qui menacent ces objectifs. Il existe plusieurs techniques pour cela : brainstorming avec les équipes, analyse de la documentation, étude des incidents passés, etc.

Dans un premier temps, il s'agit de lister tout ce qui pourrait mal se passer, sans filtre.

Pour rendre cela plus concret, analysons des exemples de risques identifiés pour des processus comptables et financiers que vous connaissez bien.

Comme vous l'avez vu, les risques sont très spécifiques. Par exemple :

• "Une même facture fournisseur pourrait être comptabilisée deux fois."
• "Des modifications inappropriées [...] pourraient être apportées aux données de base fournisseurs."
• "Des factures fournisseurs [...] pourraient être payées pour un prix supérieur au prix de commande."

Ces exemples, issus de votre domaine de compétence en comptabilité et finance, illustrent parfaitement le niveau de détail attendu lors de l'identification des risques.

3. Évaluer les risques : Probabilité et Impact

Identifier une longue liste de risques est une chose, mais savoir lesquels sont les plus importants en est une autre. C'est là qu'intervient l'évaluation. Comme nous l'avons vu dans la leçon sur le risk register, chaque risque est évalué selon deux axes :

1. La Probabilité (ou fréquence) : la vraisemblance que l'événement se produise.
2. L'Impact (ou gravité) : l'ampleur des conséquences si l'événement se produit.

Les échelles d'évaluation

Pour que cette évaluation soit cohérente, l'organisation (ou le département d'audit) doit définir des échelles claires.

Voici un exemple d'échelle pour la probabilité :

L'impact, quant à lui, peut être mesuré sur différentes dimensions : financier, réputationnel, opérationnel, conformité, etc. Une échelle d'impact pourrait ressembler à ceci (sur 4 niveaux) :

• 4 - Critique : Conséquences très graves, menaçant la survie de l'entité ou entraînant des pertes financières majeures.
• 3 - Majeur : Conséquences significatives, avec un impact financier important ou un préjudice notable pour la réputation.
• 2 - Modéré : Conséquences notables mais gérables, avec un impact financier limité.
• 1 - Mineur : Conséquences faibles, facilement absorbables dans les opérations courantes.

La criticité

Le niveau de risque global, ou criticité, est généralement obtenu en multipliant la note de probabilité par la note d'impact.

Ce score permet de hiérarchiser les risques. Visuellement, cette hiérarchisation est représentée par une matrice de risques, souvent appelée heat map.

Le document suivant explique comment utiliser ces échelles pour hiérarchiser les risques identifiés.

4. Mise en pratique : Évaluation d'un risque

Mettons tout cela en pratique. Reprenons l'un des risques que nous avons identifiés : "Risque de double paiement d'une facture fournisseur".

Nous allons l'évaluer sur des échelles de 1 à 4.

1. Identification du risque : Risque de payer deux fois (ou plus) la même facture fournisseur.

2. Analyse de l'Impact :

   • Impact financier : Perte directe de trésorerie. Selon les montants des factures, cela peut aller de modéré à majeur.
   • Impact opérationnel : Temps passé par les équipes comptables pour identifier l'erreur, la corriger et récupérer les fonds.
   • Impact sur la relation fournisseur : Peut être perçu comme un manque de professionnalisme.
   • Notre évaluation de l'Impact : Considérons que l'impact est Majeur (3).

3. Analyse de la Probabilité :

   • La probabilité dépend fortement des contrôles en place. Si le système SAP ou Sage n'a pas de contrôle de doublons automatique sur la référence et le montant de la facture, le risque est plus élevé. Si les contrôles sont purement manuels, la probabilité d'erreur humaine existe.
   • Notre évaluation de la Probabilité (avant audit) : Supposons qu'il n'y ait pas de contrôle automatique robuste. Le risque est Possible (3).

4. Calcul de la Criticité :

   • Criticité = Impact (3) × Probabilité (3) = 9.
   • Sur une échelle de 1 à 16, un score de 9 place ce risque dans la catégorie "Élevé" (orange ou rouge clair sur la heat map). C'est un risque qui mérite sans aucun doute l'attention de l'auditeur.

Ce simple exercice est au cœur du travail de l'auditeur en phase de planification. En le répétant pour tous les risques identifiés sur un processus, il peut déterminer les zones qui seront prioritaires lors de sa mission.

Conclusion

Félicitations ! Vous avez franchi une étape cruciale dans la planification d'audit. Vous savez maintenant comment aborder un processus métier, en décomposer les risques et les évaluer de manière structurée.

Points clés à retenir :

• L'identification des risques découle de la compréhension des objectifs d'un processus.
• La démarche consiste à se demander : "Qu'est-ce qui pourrait empêcher d'atteindre ces objectifs ?".
• L'évaluation des risques se fait sur deux axes : l'impact (gravité) et la probabilité (fréquence), en utilisant des échelles prédéfinies.
• Le score de criticité (Impact × Probabilité) permet de hiérarchiser les risques et de déterminer où concentrer les efforts d'audit.
• Cette analyse est la base fondamentale pour construire un programme d'audit pertinent et efficace.

Aperçu de la prochaine leçon :

Maintenant que nous savons identifier et évaluer les risques individuellement, comment pouvons-nous présenter cette analyse de manière synthétique et visuelle au management et au comité d'audit ? Dans la prochaine leçon, nous apprendrons à construire une matrice des risques (heat map) pour prioriser les risques identifiés. Nous prendrons les résultats de l'évaluation d'aujourd'hui et les placerons sur cette carte pour créer un puissant outil d'aide à la décision.