Un dispositif de maîtrise fonctionne quand ses objets se répondent : un risque justifie un contrôle, le contrôle est testé, l’audit révèle un écart, l’écart ouvre une action, l’action produit une preuve et l’efficacité est réévaluée. Sans ce cycle, le pilotage reste déclaratif.
Sommaire
Définitions utiles
- Risque : événement ou situation pouvant affecter un objectif.
- Contrôle : mesure destinée à prévenir, détecter ou réduire le risque.
- Audit : vérification structurée de conception, d’application ou d’efficacité.
- Action : mesure décidée pour corriger un écart, réduire un risque ou améliorer le dispositif.
Cycle intégré : risque → contrôle → audit → action → efficacité
| Étape | Question | Livrable |
|---|---|---|
| Risque | Que veut-on maîtriser ? | Risque coté, propriétaire, traitement. |
| Contrôle | Quelle mesure couvre ce risque ? | Contrôle, fréquence, preuve attendue. |
| Audit | Le contrôle fonctionne-t-il ? | Test, constat, écart éventuel. |
| Action | Que faut-il corriger ? | Action, responsable, échéance, statut. |
| Efficacité | Le risque est-il mieux maîtrisé ? | Preuve, indicateur, réévaluation. |
Matrice de responsabilités
| Objet | Responsable | Contributeur | Validation |
|---|---|---|---|
| Risque | Owner métier | Risk manager | Direction |
| Contrôle | Owner contrôle | Contrôle interne | Manager |
| Audit | Auditeur interne | Équipe auditée | Responsable audit |
| Action | Porteur action | Métier concerné | Owner risque ou contrôle |
Checklist
- Chaque risque majeur a au moins un contrôle rattaché.
- Chaque contrôle important a une preuve attendue.
- Chaque audit précise périmètre, test, résultat et écart.
- Chaque écart ouvre une décision : accepter, corriger, surveiller ou escalader.
- Chaque action a un responsable, une échéance et une preuve de clôture.
- Les indicateurs distinguent avancement et efficacité.
Exemple fictif
Risque : accès non autorisé à une application sensible → contrôle : revue mensuelle des habilitations → audit : test sur un échantillon → écart : deux comptes inactifs → action : suppression et mise à jour du processus d’arrivée/départ → preuve : export de revue signé → indicateur : comptes inactifs détectés par période.
Échelles d’usage
Une PME peut commencer par un registre de risques et quelques contrôles critiques. Une ETI ou une organisation multi-sites aura besoin de consolider responsables, campagnes de contrôle, audits et plans d’actions sur plusieurs périmètres.
MAPSI et la continuité de preuve
MAPSI relie risques, contrôles, audits, preuves, écarts et actions dans un cadre commun. Voir le contrôle interne, l’audit interne, la gestion des risques, le système de management et le plan de traitement des risques.
Support téléchargeable
Décision : oui, une matrice risques / contrôles / audits / actions serait utile. Elle sera priorisée après observation GSC si le guide prend des impressions.
Vous voulez relier contrôle interne, audit et actions ?
Voir MAPSI pour le contrôle interne ou demander une démo.