Priorisation des risques : Construire une matrice des risques

Introduction

Dans notre leçon précédente, nous avons appris à identifier les risques d'un processus métier et à les évaluer individuellement. Vous avez vu comment attribuer une note de probabilité et une note d'impact à chaque risque pour calculer un score de criticité ($Criticit\acute{e}=Probabilit\acute{e}\times Impact$). Cette évaluation individuelle est la première étape analytique fondamentale.

Aujourd'hui, nous allons apprendre à synthétiser et à visualiser l'ensemble de ces évaluations. L'objectif est de construire une matrice des risques, ou heat map, pour prioriser les risques identifiés. Cet outil est indispensable pour l'auditeur interne car il transforme une liste de risques en une carte visuelle qui oriente la prise de décision et la planification. C'est un des livrables les plus importants de la phase de planification.

1. Qu'est-ce qu'une matrice des risques (Heat Map) ?

Une matrice des risques, ou heat map (carte de chaleur), est une représentation graphique qui positionne les risques sur une grille à deux dimensions : l'impact et la probabilité. Son but est de fournir une vue d'ensemble immédiate du profil de risque d'une entité ou d'un processus, permettant de distinguer rapidement les risques critiques de ceux qui sont moins importants.

Pour bien comprendre ce concept, je vous invite à lire la section suivante d'un guide de l'Organisation Mondiale des Douanes qui, bien qu'axé sur la corruption, explique parfaitement les principes généraux de la cartographie des risques.

Comme vous l'avez lu, la matrice utilise un code couleur pour indiquer visuellement le niveau de criticité. Typiquement :

• Rouge : Risques élevés ou extrêmes. Ils nécessitent une attention immédiate et prioritaire.
• Jaune / Orange : Risques modérés. Ils doivent être gérés et surveillés.
• Vert : Risques faibles. Ils sont généralement acceptés et ne nécessitent qu'une surveillance de routine.

Voici un exemple simple et clair de heat map.

2. Les étapes de construction de la matrice

Construire une heat map est un processus méthodique qui s'appuie sur l'évaluation des risques que nous avons réalisée précédemment.

Étape 1 : Définir les échelles et les zones de risque

Comme nous l'avons vu dans la leçon précédente, la première étape consiste à disposer d'échelles d'évaluation claires et standardisées pour l'impact et la probabilité. Le document suivant fournit des exemples détaillés de descriptions qualitatives pour chaque niveau, ce qui aide à rendre l'évaluation plus cohérente.

La grille de l'Annexe VI est essentielle : elle formalise la manière dont les scores de probabilité et d'impact se traduisent en un niveau de risque global (la couleur de la case).

Étape 2 : Positionner les risques sur la matrice

Une fois les échelles et les zones définies, vous prenez chaque risque que vous avez identifié et évalué, et vous le placez sur la matrice en fonction de ses coordonnées (Probabilité, Impact).

L'image ci-dessous, tirée d'un reporting sur Excel, montre le résultat final. Le chiffre dans chaque case indique le nombre de risques qui ont été évalués à ce niveau de fréquence et d'impact.

Étape 3 : Distinguer le risque inhérent et le risque résiduel

C'est un point crucial pour l'auditeur. La première heat map que l'on construit représente généralement le inherent risk (risque brut ou risque absolu). C'est le niveau de risque avant de prendre en compte les contrôles internes mis en place par le management.

Ensuite, l'auditeur évalue l'efficacité de ces contrôles pour déterminer le residual risk (risque résiduel). C'est le niveau de risque qui subsiste après l'application des contrôles.

La comparaison entre la heat map du risque inhérent et celle du risque résiduel est très parlante :

• Un risque qui passe de la zone rouge (inhérent) à la zone verte (résiduel) indique que les contrôles en place sont probablement très efficaces.
• Un risque qui reste dans la zone rouge même après considération des contrôles signale une faiblesse potentiellement majeure dans le dispositif de contrôle interne, ce qui en fait une priorité d'audit absolue.

Le guide de l'OMD illustre bien cette distinction dans son annexe III, en montrant des points pour le "Risque absolu" et le "Risque résiduel".

3. Analyse d'un exemple concret

Mettons maintenant ces concepts en pratique en analysant une véritable cartographie des risques. Le document suivant, produit par une université, détaille la cartographie des risques comptables et financiers pour plusieurs processus. C'est un excellent exemple, très pertinent pour votre profil en comptabilité et audit.

En analysant ce tableau, vous avez pu observer des points concrets :

• Risque REC02 : "Perte de connaissances [...] dûs à la politique RH" a une Criticité Brute de 6 (Élevé) et une Criticité Nette de 3 (Élevé), car le dispositif de maîtrise est jugé "Partiel".
• Risque REC07 : "Des recettes ne sont ni titrées, ni facturées et ni encaissées" a également une Criticité Brute de 6 (Élevé) et une Criticité Nette de 3 (Élevé).
• Risque REC09 : "Des titres de recettes ou factures sont émis hors-délai" suit la même logique.

Ces trois risques, qui restent à un niveau de criticité élevé même après prise en compte des contrôles, seraient des candidats évidents pour une mission d'audit. La heat map permet de les faire ressortir immédiatement pour que le management et l'audit puissent concentrer leurs efforts.

Conclusion

Félicitations ! Vous maîtrisez désormais l'un des outils de visualisation les plus puissants de l'arsenal de l'auditeur interne. La heat map n'est pas juste un joli graphique ; c'est un instrument stratégique pour la priorisation et la communication.

Points clés à retenir :

• La matrice des risques (heat map) est une grille qui positionne les risques en fonction de leur probabilité et de leur impact.
• Elle utilise un code couleur (rouge, jaune, vert) pour visualiser rapidement les niveaux de criticité et aider à la priorisation.
• L'analyse doit distinguer le inherent risk (avant contrôles) du residual risk (après contrôles). L'écart entre les deux mesure l'efficacité du dispositif de contrôle.
• L'objectif final est de concentrer les ressources d'audit limitées sur les risques résiduels les plus élevés, là où l'organisation est la plus exposée.

Aperçu de la prochaine leçon :
Maintenant que nous avons une vision claire des risques prioritaires grâce à notre heat map, comment transformer cette analyse en un plan d'action concret pour le département d'audit ? La prochaine leçon portera sur l'élaboration d'un plan d'audit annuel, en sélectionnant les missions à mener en fonction de la cartographie des risques et des ressources disponibles. Nous passerons de la cartographie à la planification.