LES TROIS LIGNES DE MAÎTRISE POUR UNE GESTION DES …

1 Prise de position de l'IIA. LES TROIS LIGNES DE MA TRISE. POUR UNE GESTION DES RISQUES. ET UN CONTR LE EFFICACES. JANVIER 2013. TABLE DES MATI RES. Introduction .. 1. La surveillance du syst me de GESTION des risques et la d finition de la strat gie par les organes de gouvernance .. 2. La premi re ligne de ma trise : les managers .. 3. La deuxi me ligne de ma trise : les fonctions de GESTION des risques et de conformit .. 4. La troisi me ligne de ma trise : l' audit interne .. 5. Auditeurs externes, r gulateurs et autres organes externes .. 6. Coordination des TROIS LIGNES de ma trise .. 6. PRISE DE POSITION DE L'IIA : LES TROIS LIGNES DE MA TRISE. POUR UNE GESTION DES RISQUES. ET UN CONTR LE EFFICACES.

2 INTRODUCTION. Il est assez courant que diff rentes quipes d'auditeurs internes, d'experts en GESTION des risques, en conformit , en contr le interne , en contr le qualit et en investigation de fraude, ainsi que d'autres professionnels en mati re de risques et de contr le, coop rent pour aider leur organisation g rer ses risques. Chacun de ces sp cialistes a un point de vue particulier et poss de des comp tences sp cifiques qui peuvent tre une contribution pr cieuse pour l'organisation concern e. Toutefois, les t ches aff rentes la GESTION des risques et au contr le sont de plus en plus souvent r parties entre plusieurs d partements et divisions, et requi rent de ce fait une coordination rigoureuse afin de s'assurer que les processus de GESTION des risques et de contr le fonctionnent comme pr vu.

3 Il ne suffit pas que les diff rentes fonctions de GESTION des risques et de contr le existent. Encore faut-il leur assigner des r les pr cis et assurer une coordination effec- tive et efficiente entre ces groupes de fa on viter des redondances inutiles et des lacunes dans les contr les. Leurs responsabilit s doivent donc tre clairement d finies de telle sorte que chaque groupe puisse appr hender son p rim tre de responsabilit s et son positionnement dans le syst me global de GESTION des risques et de contr le de l'organisation. Les enjeux sont de taille. L'absence d'approche coh rente et coordonn e peut conduire une utilisation inefficace des ressources limit es affect es la GESTION des risques et au contr le, et une situation dans laquelle des risques significatifs ne sont pas identifi s ou sont mal g r s.

4 Il peut arriver, dans le pire des cas, que la communication entre les divers groupes charg s de la GESTION des risques et du contr le se limite . un d bat permanent sur leurs attributions respectives et leur r le vis- -vis d'une t che donn e. Ce probl me peut se poser dans n'importe quelle organisation, y compris dans celles qui utilisent un r f rentiel formalis de GESTION des risques. En effet, si ces r f rentiels permettent une identification efficace des types de risques ma triser, ils ne s'atta- chent gu re pr ciser les modalit s d'attribution et de coordination des t ches n ces- saires leur mise en uvre. PRISE DE POSITION DE L'IIA : LES TROIS LIGNES DE MA TRISE POUR UNE GESTION DES RISQUES ET UN CONTR LE EFFICACES / 1.

5 Heureusement, des bonnes pratiques mergent et peuvent aider les organisations . d l guer et coordonner les fonctions essentielles de GESTION des risques selon une approche syst matique. Le mod le des TROIS LIGNES de ma trise fournit un moyen simple et efficace d'am liorer la communication en mati re de GESTION des risques et de contr le en clarifiant les r les et les activit s essentiels. Ce mod le permet d'aborder les op rations sous un angle nouveau et contribue assurer le succ s per- manent des initiatives relatives la GESTION des risques ; en outre, il convient tout type d'organisation, quelle qu'en soit la taille ou la complexit . M me dans les orga- nisations qui ne disposent pas d'un r f rentiel ou d'un syst me formalis de GESTION des risques, le mod le des TROIS LIGNES de ma trise peut clarifier les enjeux des sys- t mes de GESTION des risques et contribuer leur efficacit.

6 UN PR -REQUIS : LA SURVEILLANCE DU SYSTEME DE GESTION . DES RISQUES ET LA D FINITION DE LA STRAT GIE PAR LES. ORGANES DE GOUVERNANCE. Dans le cadre du mod le des TROIS LIGNES de ma trise : la premi re ligne de ma trise correspond aux contr les pilot s par le manage- ment, la deuxi me ligne de ma trise est celle des diff rentes fonctions institu es par le management pour assurer le suivi du contr le des risques et de la conformit , la troisi me ligne de ma trise est celle de l'assurance ind pendante fournie par l' audit interne . Chacune de ces TROIS LIGNES joue un r le distinct dans le cadre de la gouvernance de l'organisation. LE MOD LE DES TROIS LIGNES DE MA TRISE. Instance de gouvernance / Conseil d'administration / Comit d' audit Direction g n rale 1 re ligne de ma trise 2 me ligne de ma trise 3 me ligne de ma trise Contr le financier audit externe R gulateurs S curit.

7 Autres contr les Dispositifs GESTION des risques pilot s par de contr le audit interne le manage- interne Qualit . ment Inspection Conformit . Sch ma adapt partir des LIGNES directrices ECIIA/FERMA sur la 8e directive de l'UE relative au droit des soci t s, article 41. 2 / PRISE DE POSITION DE L'IIA : LES TROIS LIGNES DE MA TRISE POUR UNE GESTION DES RISQUES ET UN CONTR LE EFFICACES. Bien que les organes de gouvernance (Conseil / Comit d' audit et direction g n rale). se distinguent des TROIS LIGNES de ma trise, toute approche globale des syst mes de GESTION des risques implique, au pr alable, la prise en compte des responsabilit s de ces organes de gouvernance. Ce sont les principales parties prenantes auxquelles chacune des TROIS LIGNES de ma trise apportent un appui.

8 Ces organes de gouvernance sont les mieux plac s pour faire en sorte que le mod le des TROIS LIGNES de ma trise soit pris en compte dans les processus de GESTION des risques et de contr le de l'or- ganisation. Les organes de gouvernance ont collectivement la responsabilit et le devoir de rendre compte de : la d finition des objectifs de l'organisation, la d finition des strat gies adopter pour atteindre ces objectifs et, la mise en place de la gouvernance et des processus permettant d'optimiser la GESTION des risques associ e la r alisation de ces objectifs. Le mod le des TROIS LIGNES de ma trise sera d'autant plus efficace que les organes de gouvernance formuleront des directives soutenant activement son d ploiement.

9 LA PREMI RE LIGNE DE MA TRISE : LES MANAGERS. Le mod le fond sur les TROIS LIGNES de ma trise tablit une distinction entre TROIS groupes de fonctions impliqu es dans la GESTION efficace des risques : les fonctions qui endossent et g rent les risques. les fonctions qui assurent le suivi des risques. les fonctions qui fournissent une assurance ind pendante. En tant que premi re ligne de ma trise, les managers endossent et g rent les risques. Ils ont galement la responsabilit de la mise en uvre des mesures correctives per- mettant de rem dier aux d ficiences des processus et des contr les. Les managers sont responsables de la mise en place des dispositifs de contr le interne efficaces et de la mise en uvre au quotidien des proc dures de GESTION des risques et de contr le.

10 Ils identifient, valuent, contr lent et ma trisent les risques, pilotent l' laboration et la mise en uvre des r gles et proc dures internes et s'assurent que les activit s sont compatibles avec les objectifs fix s. Dans le cadre d'un syst me de responsabilit en cascade, le management interm diaire d finit et met en place des proc dures de contr le d taill es et supervisent l'application de ces proc dures par leurs collaborateurs. Les managers constituent la premi re ligne de ma trise parce que la conception des contr les et leur int gration dans les syst mes et les processus s'effectuent sous leur supervision. Des contr les manag riaux et de supervision ad quats devraient tre en place pour assurer la conformit ainsi que pour la mise en vidence des contr les d faillants, des processus inad quats et des v nements inattendus.