Toute organisation qui souhaite obtenir une assurance suffisante sur la maîtrise des risques associés à son fonctionnement et à la conduite de ses missions doit mettre en place trois lignes de défense :

• la première ligne de défense correspond aux contrôles et aux tâches de supervision réalisés en continu par les agents en charge des traitements et leur encadrement intermédiaire ;




• la seconde ligne de défense se confond avec le dispositif de contrôle interne, il s’agit d’un ensemble cohérent de sécurités (sous la forme de méthodes, de règles et de procédures) contribuant à l'identification et au traitement des principaux risques liés aux activités de l’organisation ;




• la troisième ligne de défense est le domaine de l’audit interne, soit un processus régulier d’évaluation de la robustesse et de l’efficience des mesures de maîtrise adossées aux risques les plus critiques de l’organisation.

Ces trois lignes sont mises en place simultanément et interagissent pour réunir les conditions d’une gestion pleinement sécurisée du capital organisationnel.

Elles permettent de donner à la gouvernance, ainsi qu’aux autorités de régulation et de surveillance habilitées une assurance raisonnable quant à la bonne utilisation des moyens alloués à l’organisation et sa capacité à atteindre les objectifs qu’elle s’est fixés.

On parle ainsi d’une démarche assurantielle globale construite et consolidée sur la durée.

Une cartographie des risques a deux fonctions :

• elle permet d’organiser les risques associés au fonctionnement d’une organisation et à la conduite de ses missions, sans possibilité de doublon ou d’angle mort ;




• elle permet d’évaluer la criticité de ces risques et leur niveau de maîtrise en utilisant une échelle commune.

La combinaison de ces éléments permet de mesurer la vulnérabilité d’une organisation dans son ensemble et de rechercher les mesures les mieux appropriées pour la réduire, selon les choix de la gouvernance.

Est-il possible de réaliser plusieurs cartographies des risques au sein d’une même organisation ?

Une organisation peut mettre en place simultanément plusieurs cartographies des risques sur des aspects particuliers de son activité (RH, services informatiques, domaine réglementaire, comptabilité et finances…).

Toutefois, ces différentes cartographies ne pourront contribuer à donner une vue globale et efficace sur la qualité de gestion et la capacité de l’organisation à atteindre ses objectifs stratégiques que dans la mesure où elles s’inscriront dans un même schéma d’ensemble et pourront être articulées en conséquence.

Les risques d’une organisation peuvent être classés de deux manières :

• en les rattachant à un processus métier existant, ceux-ci étant rattachés aux fonctions de gouvernance, aux fonctions support ou aux fonctions de réalisation ;




• en les associant à des objectifs spécifiques, qui peuvent être confondus avec le bon fonctionnement du processus métier auquel il sont rattachés (il s’agit de risques dits « endogènes ») ou être au contraire plus étendus (on parle alors de risques transverses).

Ce double rattachement permet de piloter les risques du point de vue de la stratégie globale de l’organisation tout en positionnant exactement les mesures de maîtrise afférentes.

Quatre types d’acteurs doivent être mobilisés au sein de l’organisation pour mener à bien la démarche et en recevoir tous les bénéfices attendus en termes de qualité de gestion et de performance de l’organisation :

• La gouvernance est en charge des orientations stratégiques en matière de pilotage des risques, il lui revient notamment de déterminer le niveau de maîtrise souhaité pour les risques les plus critiques, au regard de ses objectifs prioritaires et d’éventuelles contraintes externes particulières ;




• Le manager des risques est en charge du déploiement et de l’actualisation de la cartographie des risques de l’organisation, il s’assure également de la mise en place d’un dispositif de contrôle interne propre à traiter adéquatement les risques les plus critiques, soit en diminuant leur probabilité (mesures de maîtrise préventives) soit en limitant leur impact (mesures de maîtrise curatives) ;




• Les services métier propriétaires des risques ont la charge au quotidien de la mise en œuvre des mesures de maîtrise associées à leurs activités particulières, ils ont en outre la charge de mener à bien tout plan d’action visant à restaurer ou renforcer de l’efficacité mesures de maîtrise existantes ;




• L’auditeur interne vérifie régulièrement l’efficience du dispositif de maîtrise des risques existants, à cet effet il teste la robustesse des dispositifs de maîtrise adossés aux risques les plus critiques et le cas échéant propose un redéploiement des moyens de contrôle en vue de leur utilisation optimale.