Que sont les contrôles de gestion des risques ?
Les contrôles de gestion des risques sont l'ensemble des politiques, procédures et vérifications automatisées mises en place pour maintenir les risques identifiés dans les limites d'appétence de l'organisation. Ils constituent la réponse opérationnelle à l'évaluation des risques : une fois le risque connu et coté, c'est le contrôle qui en réduit effectivement la probabilité ou l'impact.
Les trois familles de contrôles
Les contrôles préventifs empêchent le risque de se matérialiser : seuils de validation, séparation des tâches, droits d'accès aux systèmes, pièces justificatives obligatoires. Ce sont les moins coûteux à exploiter, puisque rien n'est à corriger ensuite.
Les contrôles détectifs identifient ce qui est passé au travers : rapprochements, états d'exception, analyses d'écarts, surveillance continue des transactions. Les contrôles correctifs traitent les conséquences : procédures de recouvrement, retraitements, sanctions disciplinaires et évolutions de processus qui empêchent la récidive. Un dispositif mature combine les trois, avec une prépondérance du préventif.
Vérifier qu'un contrôle fonctionne réellement
Un contrôle qui existe sur le papier et un contrôle qui fonctionne sont deux choses différentes, et l'auditeur teste la seconde. L'efficacité de conception demande si le contrôle intercepterait le risque en fonctionnant comme décrit ; l'efficacité opérationnelle demande s'il a effectivement fonctionné, à chaque occurrence, sur toute la période.
C'est là que l'échantillonnage montre ses limites. Tester 25 transactions sur 400 000 apporte un confort statistique mais ne dit rien des exceptions précises dissimulées dans le reste. Tester les contrôles sur la population complète déplace la question : on ne demande plus quel est notre niveau de confiance, mais qu'est-ce qui a échoué exactement.
Contrôles de gestion des risques et Supervizor
La plateforme AI and Controls de Supervizor exécute les tests de contrôle en continu sur chaque transaction, remplaçant l'échantillon périodique par une couverture permanente. Les équipes l'utilisent pour :
- Tester les contrôles sur 100 % des transactions, en identifiant chaque exception au lieu d'estimer un taux d'erreur
- Surveiller la séparation des tâches et les chaînes d'approbation pendant qu'elles opèrent, pas plusieurs mois après la clôture
- Documenter l'efficacité des contrôles avec un historique complet et horodaté, exploitable par les auditeurs et les régulateurs