Macro-Cartographie des Risques par Audits Une méthode de diagnostic et de management global des risques d'entreprise

Les risques perçus dans une activité d'entreprise, depuis la base jusqu'au plus haut niveau de la gouvernance, peuvent être considérés comme une photo instantanée des risques globaux perçus de l'entreprise. Chacun de ces risques impacte un ou plusieurs des processus ou fonctions de l'entreprise regroupés selon la norme ISO 9001 en trois grandes catégories : management, soutien et réalisation. La méthode de macro-cartographie des risques par audit s'inscrit dans la norme ISO 31000, et est fondée sur un processus d'analyse invariant dont les données d'entrées sont : (i) la cartographie des processus d'entreprise et la pondération de leur importance vue par la gouvernance ; (ii) le plan d'audit, construit avec la gouvernance, qui répartit le recueil de données sur les processus et sous-processus, dans les différents établissements de l'entreprise ; (iii) la construction des référentiels d'acceptabilité des risques au niveau des activités de base et au niveau de la gouvernance et des matrices de transfert qui les lient ; (iv) le recueil des perceptions des risques par des audits au niveau des activités des sous-processus et fonctions de base. Le traitement de ces données par les algorithmes de la méthode permet d'établir les cartographies des risques initiaux et résiduels à tous les niveaux de l'entreprise. La photographie des risques fournie est à la fois bottom-up, utilisant un premier référentiel d'acceptabilité des risques au niveau des activités, et top-down utilisant un second référentiel d'acceptabilité au niveau de la gouvernance. Ce diagnostic permet d'identifier les risques majeurs pour la gouvernance, et d'identifier les fonctions ou processus critiques qui demanderont une analyse des risques plus fine, comme l‘AGR (Analyse Globale des Risques), pour la construction d'un plan de maîtrise des risques accompagné d'une analyse de son financement. Bien que nouvellement développée la macro-cartographie des risques par audit a par exemple été mise en œuvre au CNES (Centre National d'Etudes Spatiales) à la SHAM ou à l'EFS (Etablissement Français du Sang).