Un dispositif GRC devient pilotable lorsqu’un risque est relié à un contrôle, à un test, à une preuve, à un écart, à une action et à une réévaluation. Sans cette chaîne, il reste difficile de savoir quels risques sont réellement couverts, quels contrôles fonctionnent, et quelles actions réduisent l’exposition résiduelle.
Un contrôle interne est une mesure organisée et documentée visant à réduire un risque ou à vérifier qu’une exigence est correctement appliquée. Sa valeur ne vient pas du libellé du contrôle, mais de sa capacité à être exécuté, testé, prouvé et revu dans le temps.
Un plan d’action utile n’est pas une liste de tâches isolées. C’est la conséquence d’un écart identifié sur un contrôle, avec un responsable, une échéance, une preuve de réalisation et une réévaluation du risque résiduel une fois l’action exécutée.
Pourquoi relier ces objets ?
Relier ces objets évite trois angles morts fréquents : des risques sans contrôle, des contrôles jamais testés et des plans d’actions qui ne réduisent pas réellement l’exposition. La liaison rend aussi le reporting plus crédible en comité.
Du risque brut au dispositif de maîtrise
Le risque brut décrit une exposition avant prise en compte de la maîtrise existante. Le dispositif de maîtrise décrit ce qui est déjà en place : contrôles préventifs, détectifs, revues, validations, séparations de tâches ou journaux de preuve.
Qu’est-ce qu’un contrôle ?
Un contrôle est une activité définie, attribuée et répétable qui vise soit à réduire un risque, soit à vérifier qu’une exigence est correctement appliquée. Il doit être relié à un objectif, un propriétaire, une fréquence et un mode de preuve.
Comment documenter l’exécution d’un contrôle ?
Documenter l’exécution consiste à préciser qui exécute, quand, sur quel périmètre, avec quel résultat et avec quelle preuve. Sans ces éléments, le contrôle existe sur le papier mais reste difficile à démontrer.
À quoi sert la preuve ?
La preuve sert à démontrer qu’un contrôle a bien été exécuté ou revu. Elle peut être documentaire, applicative, organisationnelle ou technique. Une preuve sans lien avec le contrôle ou la période de revue perd rapidement sa valeur.
Que faire lorsqu’un contrôle est insuffisant ?
Lorsqu’un contrôle échoue, n’est pas exécuté ou ne couvre pas le risque attendu, il faut documenter l’écart : nature du défaut, impact potentiel, responsable, décision de traitement et besoin d’action corrective.
Transformer l’écart en plan d’action
Le plan d’action doit être relié à l’écart d’origine. Il précise le responsable, la date cible, le livrable attendu et la preuve de clôture. Cette traçabilité évite les actions génériques qui ne répondent pas au problème observé.
Réévaluer le risque résiduel
Après action, le risque doit être réévalué. Sinon, il est impossible de savoir si la remédiation a réellement réduit l’exposition, ou si le dispositif de maîtrise doit être encore renforcé.
Quels indicateurs suivre ?
- Risques critiques sans contrôle.
- Contrôles non testés.
- Preuves manquantes ou expirées.
- Écarts ouverts.
- Actions en retard.
- Évolution du risque résiduel.
Comment MAPSI matérialise cette chaîne ?
Les contenus publics de MAPSI présentent une logique où risques, contrôles, audits, preuves, écarts et plans d’actions sont reliés dans un même cadre de pilotage. Voir la page Logiciel GRC, la gestion des risques, le contrôle interne et l’audit interne.
FAQ
Un risque peut-il exister sans contrôle ?
Oui. C’est même un signal de priorité élevé si le risque est critique. L’intérêt du dispositif est justement de rendre ces absences visibles.
Une preuve suffit-elle à démontrer l’efficacité d’un contrôle ?
Non. Une preuve montre l’exécution ou la revue. L’efficacité suppose aussi une analyse du résultat obtenu et, si besoin, une action corrective.
Vous souhaitez relier risques, contrôles et plans d’actions dans MAPSI ?
Découvrir MAPSI pour la GRC ou parler à un expert.