Maria Tootell (Oprisko) Risques opérationnels et le système de contrôle interne : les limites d’un tel système Cyrille Reynard et Jean-Jaques Kohler (Oprisko) Cas pratiques issus de la gestion des risques, applicables aux secteurs public ou privé eGov Workshop – La plus-value du système de contrôle interne

1. Risques opérationnels et le système de
contrôle interne:
définitions et les limites d’un tel système
Maria Tootell
m.tootell@oprisko.ch
17 avril 2018

2. Présentation d’Intervenants
2
 Cyrille REYNARD
Président OPRSIKO, expérience de plus de 15 ans dans le domaine
des risques financiers et opérationnels bancaires (banque privée).
 Jean-Jaques KOHLER
Vice-président OPRISKO, expérience de plus de 10 ans dans le
domaine des risques opérationnels bancaires (banque privée).
 Maria TOOTELL
Membre active et auditrice OPRISKO, plus de 15 années
d'expérience internationale en qualité d’expert en finance dans les
domaines différents, notamment, les services financiers,
l'aérospatiale, les sciences de la vie, la technologie de l'information.

3. Présentation Oprisko
3
• Nous sommes une association non-lucrative
d’expert(e)s regroupant des « risk managers »
d’entreprises privées, publiques, des personnes
intéressées par la gestion des risques opérationnels,
ainsi que des chercheurs ou des étudiants.
• Nous menons des études de terrain d’intérêt public,
qui une fois terminées, font l’objet d’une publication
dans des journaux ou sont présentées lors d’une
conférence publique.
• Ces études sont menées par notre association en
collaboration permanente avec les secteurs public, privé
et universitaire.

4. Présentation du Groupe de
travail
4
• Le groupe d’étude est constitué de 8 à 10 personnes qui sont tous
des professionnels pluridisciplinaires motivés ou des étudiants.
• Le sujet d’étude annuel est choisi par les membres de
l’association.
• Les sujets d’études passées: cybercriminalité (2017), fraude interne
(2016), risque humain (2015).
• En 2018, nous avons choisi comme sujet « La gestion des risques
dans un contexte d’externalisation de service ».
 Nous menons cette étude dans le cadre d’une formation
universitaire post-grade en gestion des risques d’entreprise.
Nous explorons le thème au travers d’une enquête de terrain
anonyme. Dès lors que les propos auront été analysés, un
article de synthèse sera publié dans la presse et sur le site
Oprisko.

5. Définition générale du
risque
5
Les dispositions internationales en vigueur
définissent le risque comme «effet d’incertitude
par rapport à l'objectif» - ISO 31000 (2009)
TRADUCTION: Pas d’objectif = Pas de risque.
Par conséquent, le risque devrait toujours être
évalué en fonction de l'établissement et de la
réalisation des objectifs d’une organisation.

6. Risque Opérationnel
6
La définition du «risque opérationnel» la plus utilisée
est celle publiée par le Comité de Bâle sur le contrôle
bancaire (2004):
Le risque de pertes provenant de l’inadéquation ou
de la défaillance des procédures internes, de
personnes, de systèmes ou suite à des événements
externes.
TRADUCTION: C'est le risque inhérent pour
n’importe quelle organisation.

7. Caractéristiques du Risque
Opérationnel
7
• Les risques opérationnels sont endogènes, ils sont spécifiques
aux aspects et circonstances de chaque société.
• Les risques opérationnels sont dynamiques, ils évoluent avec
la stratégie commerciale, les processus, la technologie, la
concurrence, etc.
• Même s’ils ne sont pas d’origine financière, les risques
opérationnels ont cependant des conséquences financières.
• Les risques opérationnels ne supposent pas un rapport direct
entre le risque et le revenu.
IMPLICATION
• Si le risque n’a pas lieu, il n'est pas possible d'être certain de
l'impact qu’il aura.
• Les stratégies les plus efficaces pour diminuer les risques
opérationnels impliquent des changements dans les processus,
les technologies, l'organisation et le personnel.

8. Sources du Risque
Opérationnel
8
Personnes Soit: fraude; violation des lois sur l'emploi;
activité non autorisée; perte/manque de
personnel clé; formation inadéquate;
supervision inadéquate.
Procédures Soit: échecs de paiement ou de règlement;
documentation inadéquate; erreurs dans les
modèles et les processus d'évaluation et de prix;
échecs dans la gestion de projets; établissement
de rapports internes /externes.
Systèmes Soit: échecs dans le développement et la mise
en œuvre de systèmes techniques ainsi
qu’échecs du système lui-même; ressources
inadéquates.
Evénements
externes
Soit: crime; risque d’externalisation des services
(et de sous-traitance); catastrophes naturelles
ou pas; risque réglementaire; risque politique;
échecs des services publics; compétition.

9. Impact du Risque
Opérationnel
9
Biens propres
risques qui concernent les actifs physiques
appartenant à ou confiés à l'entreprise.
Personnel
risques encourus par tous ceux qui travaillent
pour et avec l'entreprise, y compris les clients, les
fournisseurs et autre tiers.
Finances
tous les risques menaçant l’activité économique
de l'entreprise, aussi bien internes qu’externes. Les
risques financières comprennent également la
propriété intellectuelle, la réputation et les brevets.

10. Contrôle Interne
10
Le Contrôle Interne est défini comme un processus
déterminé par le conseil d'administration, la direction et le
personnel, conçu pour fournir une assurance acceptable
quant aux objectifs dans les domaines suivants:
 Efficacité et efficience des opérations
 Fiabilité des rapports financiers
 Conformité aux lois et aux règlements
Le Contrôle Interne est l'un des principaux moyens de
gérer les risques:
 Anticiper et maîtriser les risques prévisibles
 Accompagner la prise de risque stratégique de manière
volontaire
 Réduire l’impact des risques incontrôlables

11. Cadre du Système de
Contrôle Interne
11
• Le cadre de contrôle le plus largement reconnu et mis
en œuvre est celui du “Committee Of Sponsoring
Organizations” (COSO).
• Alors que le modèle COSO a été créé en 1992, sa
renommée est née suite à la publication de la loi Sarbanes-
Oxley de 2002 (qui a confié aux administrateurs et aux
dirigeants de nouvelles responsabilités de supervision),
ceci après l'effondrement de plusieurs entreprises comme
Enron (géant américain de l'énergie) et WorldCom (la plus
grande entreprise de télécommunications aux États-Unis).
• En 2013, en réponse aux changements des modèles
d'affaires des entreprises et pour répondre aux attentes
accrues des organismes de réglementation et autres
intervenants en matière de gouvernance, de gestion des
risques et de prévention des fraudes, le COSO a publié une
mise à jour du cadre de contrôle.

12. Contrôle Interne – Cadre
Intégré du COSO
12
QUOI,
COMMENT?
PROCESSUS DE
CONTRÔLE
Que fait l'organisation
pour atteindre ses
objectifs et comment
elle procède
QUI?
L'ensemble de
l'organisation est
responsable de
l’entreprise et du
fonctionnement de
celui-ci
POURQUOI?
Dans l'intérêt de
la réalisation des
objectifs des
organisations
COSO Cube (2013 Édition)

13. Limites du Système de
Contrôle Interne
13
Il existe plusieurs restrictions inhérentes à tout système
qui réduisent le taux de contrôle. Ces limites sont les
suivantes:
• La collusion. Deux ou plusieurs personnes censées
contrôler et surveiller les unes les autres pourraient à la
place s'entendre pour contourner le système.
• L’erreur humaine. Une personne impliquée dans un
système de contrôle pourrait simplement faire une erreur,
par exemple en oubliant une étape de contrôle. Ou bien,
une personne qui ne comprend pas comment un système
informatique doit être utilisé ou ne comprend pas les
instructions du système.

14. Limites du Système de
Contrôle Interne (suite)
14
• Le passer outre de la direction. Quelqu'un dans la
direction qui a l'autorité de le faire, pourrait annuler
n'importe quelle étape d'un système de contrôle pour
son avantage personnel.
• Absence de séparation des tâches. Un système de
contrôle pourrait avoir été conçu avec une séparation
des tâches insuffisante, de sorte qu'une personne
pourrait intervenir dans son bon fonctionnement.

15. Conclusion
15
• Le cadre de contrôle est conçu pour fournir une
assurance raisonnable quant à la réalisation des
objectifs liés aux opérations, aux rapports et à la
conformité. Une assurance raisonnable équivaut à un
niveau de confiance satisfaisant compte tenu des
coûts et des bénéfices liés aux risques.
• Le management devrait prendre en considération
ces limites inhérentes lors de la sélection, du
développement et de la mise en place des contrôles.
• L'organisation doit évaluer le système de contrôle
interne sur la base des aspects formels ainsi
qu’informels tel que des relations personnelles, la
culture organisationnelle, etc..

16. Merci pour votre attention
Questions?
16

17. Cas pratiques issus de la gestion des risques,
applicables au secteur public ou privé.
Cyrille Reynard, Jean-Jaques Kohler
17 avril 2018

18. Cadre de gestion des risques
Environnement Risques opérationnels
Gouvernance
Scénarios et modélisation
Reporting
Indicateurs
Plans d’actions
Identifier
les
indicateurs
-clé de
risques et
contrôles
Spécifier
l’appétit du
risque
Evaluation Risques et Contrôles
Plans d’actions
Identifier les
risques et les
responsables
Evaluer la
probabilité et
l’impact
Identifier les
contrôles et les
responsables
Evaluer le
design et la
performance
Evénements
Plans d’actions
Identifier
les
événement
s internes
et externes
Analyser
les causes
18

19. Qu’est-ce que le risque ?
• Selon ISO 31000:2018
o Risque = effet de l’incertitude sur les objectifs
o Un risque est généralement exprimé en termes de sources de risque,
événements potentiels avec leurs conséquences et leur vraisemblance
Sources / Eléments
• Stratégie
• Environnement
Risques
• Se traduisent en
incidents si se
réalisent
Impacts
• Financiers, non
financiers,
réputation
Contrôles Gestion des incidents
19

20. Définition du risque opérationnel
• Selon le Comité de Bâle
o Risque de pertes directes ou indirectes dues à une inadéquation ou à une
défaillance des procédures, du personnel, des systèmes internes ou à des
événements extérieurs.
o Les risques juridiques sont inclus dans cette définition
20

21. Risque inhérent et Risque résiduel
• Risque inhérent (ou brut)
Risque brut = Probabilité x Impact
• Définition selon Gilbert de Mareschal :
o «on appelle risque inhérent le risque «brut» considéré sans les éventuels
moyens deprotection oude contrôle mis enplace par l’organisation. Le risque
résiduel est celui qui résulte du risque brut entenant compte desprotections
etdescontrôles mis en place».
21

22. Cas pratique : Département Police
• Rappel des objectifs :
Créer les conditions favorables pour garantir la sécurité des
personnes et des biens.
o Assurer un taux de criminalité bas
o Assurer l’ordre et la tranquilité publiques
o Prévenir les infractions
o Assurer le respect des lois
o …
22

23. Départment Police : Appétit du risque
• “Assurer un taux de criminalité bas”
• Définition : “Le taux de criminalité est le rapport entre le
nombre de crimes et délits constatés par les services de
police et de gendarmerie et la population considérée.”
source : INSEE
• Fixation des seuils
o Vert : Réduction de X% du nombre d’infractions par rapport à l’année passée
o Orange : Si aucune amelioration ou faible dégradation constatée par rapport à
l’année passée
o Rouge : Si dégradation de la situation par rapport à l’année passé
• Dans notre commune/canton, l’objectif est de rester à
“Vert”
23

24. Suivi des risques
• Identifier les potentielles sources d’augmentation du
taux de criminalité.
o Environnement ? Les personnes se baladant dans la rue avec des couteaux,
changement dans l’éducation des enfants, etc.
o Interne ? Baisse du nombre de policiers par habitant, etc.
• Implémenter des indicateurs-clé permettant de suivre ou
d’anticiper les risques
24

25. Baisse du nombre de policiers par habitant
• Principales causes :
o Recrutement difficile
o Absentéisme
o Maladie / burn-out
o Budget alloué par les autorités
o Difficultés de planification des ressources
o Récupération des heures supplémentaires
o Etc.
o Vous constatez une augmentation de l’absentéisme,
maladie, burn-out. Que faire ?
25

26. Surveillance du risque
• Baisse du nombre de policiers, prendre en considération
le facteur humain dans la mise en place du dispositif.
• Elaborer une palette d’indicateurs qui anticipent les
problèmes avant qu’ils ne surviennent.
26

27. Exemple : Recenser les problèmes par employé
• indicateur 1 : Qui de mes employés sur le 6 derniers mois, a effectué plus de 300h supplémentaires
?
• indicateur 2 : Qui de mes employés n'a pas pris 15 jours de vacances consécutives sur l’année
écoulée ?
• indicateur 3 : Qui sont les employés qui ont eu un accident sur l’année écoulée.(ceci peut démontrer
une fatigue) ?
• indicateur 4 : Qui de mes employés n’est pas tombé malade sur l’année écoulée. (trop de stress =
donc pas d’absence) ?
• indicateur 5 : Qui de mes employés est tombé malade 20j consécutivement ou 30j de manière
perlée sur l’année ?
• indicateur 6 : Nous avons une case à cocher dans les évaluations de fin d’année « ma charge de
travail est trop élevée » : qui de mes employés à coché cette case dans son formulaire d’évaluation ?
• indicateur 7 : Qui de mes employés est en charge d’un projet majeur pour
l’entreprise/département/service, qui l’occupe plus de 30% de son temps de travail en plus de sa
charge habituelle. (exemple : absence d’un collègue pour burn-out = souvent projet majeur pour
l’équipe qui reste) ?
Exemple : Si je prends l’employé Cyrille REYNARD combien d’indicateurs
s’allument parmi la liste qui précède ? 1, 2, 3, 4, 5, 6, 7
27

28. Exemple : Analyser les données par employé
• indicateur 1 : Qui de mes employés sur le 6 derniers mois, a effectué plus de 300h supplémentaires ? OUI
• Indicateur 2 : Qui de mes employés n'a pas pris 15 jours de vacances consécutives sur l’année écoulée ?
OUI
• indicateur 3 : Qui sont les employés qui ont eu un accident sur l’année écoulée.(ceci peut démontrer une
fatigue) ? NON
• indicateur 4 : Qui de mes employés n’est pas tombé malade sur l’année écoulée. (trop de stress = donc pas
d’absence) ? OUI
• Indicateur 5 : Qui de mes employés est tombé malade 20j consécutivement ou 30j de manière perlée sur
l’année ? NON
• Indicateur 6 : Nous avons une case à cocher dans les évaluations de fin d’année « ma charge de travail est
trop élevée » : qui de mes employés à coché cette case dans son formulaire d’évaluation ? OUI
• Indicateur 7 : Qui de mes employés est en charge d’un projet majeur pour
l’entreprise/département/service, qui l’occupe plus de 30% de son temps de travail en plus de sa charge
habituelle. (exemple : absence d’un collègue pour burn-out = souvent projet majeur pour l’équipe qui
reste) ? OUI
1, 2, 3, 4, 5, 6, 7
Exemple : Cyrille REYNARD = 5 indicateurs positifs. Cet
employé est presque dans le rouge.
28

29. Exemple : Traitement du risque
• Cette étape consiste à prévoir directement un plan d’action pour les
personnes dans le rouge.
Analyser les charges par départements / entités également pour
éviter les absences en cascade.
Exemple :
• - forcer l’éloignement et la prise de vacances si applicable.
- décharger la personne de certaines activités.
- traiter l’équipe si le problème est plus générale dans l’équipe.
Objectif : Eviter la réduction d’effectif de policier pour garantir un
service à la population adéquat et un taux de criminalité en ligne avec
l’objectif de l’état.
29

30. Récapitulatif – Conclusion 1/2
Qu’est que le contrôle interne ?
Dans le contexte d’une organisation qui dispose d’objectifs (stratégique, opérationnel, etc.), le contrôle
interne est un dispositif au sein de l’organisation qui vise à maitriser au mieux l'ensemble des
processus mis en œuvre par l'entreprise pour réaliser ses objectifs.
Plus value du système de contrôle interne pour l’organisation ?
• Anticiper et maîtriser les risques prévisibles - > maîtriser mieux les budgets.
• Accompagner la prise de risque stratégique - > Réduire la probabilité et l’impact du risque de
manière efficace.
• Réduire l’impact des risques incontrôlables -> Prévenir, entraîner la l’organisation et ses
dirigeants par la mise en place de scénario, stress test, etc.
• Un système de contrôle de risque efficace permet d’améliorer le service public au
citoyen. Attirer de nouveaux contribuables et éviter des problèmes de réputation.
30

31. Conclusions 2/2
• Risque management dynamique (processus continu de
gestion des risques).
• Qu’importe le dispositif en place pour gérer les risques la
responsabilité de la maîtrise des risques incompe aux
dirigeants.
31

32. Merci pour votre attention
• Poser la première pierre … par où commencer ?
• N’hésitez pas à nous solliciter, nos experts se tiennent à votre disposition.
http://www.oprisko.ch
m.tootell@oprisko.ch – mob.: (41) 79 705 21 87
jj.kohler@oprisko.ch – mob.: (41) 79 486 72 76
c.reynard@oprisko.ch – mob.: (41) 79 203 60 89
32