Retour vers Mes cours

IFAG-RSK-01 — Comprendre le risque et l'audit

Difficulté :

· Durée estimée :

2-3 h

Les attendus

À la fin de ce module, tu seras capable de :

Définir le risque comme un effet de l'incertitude sur l'atteinte des objectifs.
Distinguer les grandes familles de risques (stratégiques, financiers, opérationnels, conformité).
Définir l'audit et distinguer audit interne / externe et ses types.
Situer l'audit par rapport au contrôle interne et au contrôle de gestion.
Identifier le rôle des référentiels (ISO 31000, COSO).

Cours

1. Introduction — Le risque n'est pas l'ennemi

Dans le langage courant, « risque » évoque le danger, l'accident, ce qu'il faut fuir. En gestion, la notion est neutre : un risque est un effet possible de l'incertitude sur l'atteinte d'un objectif (définition ISO 31000). Cet effet peut être négatif (une menace) ou positif (une opportunité).

On ne pilote pas une entreprise en supprimant le risque — c'est impossible, et une organisation sans aucun risque est une organisation qui n'entreprend plus. On le pilote en le connaissant, en le hiérarchisant et en décidant consciemment lesquels on accepte, réduit ou évite.

Le risque est donc l'envers des objectifs : dès qu'on fixe un objectif (série OBJ), on crée mécaniquement de l'incertitude sur son atteinte. Analyser les risques, c'est éclairer cette incertitude pour décider en connaissance de cause.

2. Qu'est-ce qu'un risque ? Deux composantes

Un risque se caractérise toujours par deux dimensions — qui seront la base de la matrice de Farmer (RSK-02) :

La fréquence (ou probabilité) : quelle est la chance que l'événement survienne ?
La gravité (ou impact) : si l'événement survient, quelles conséquences (financières, humaines, juridiques, d'image) ?

Fréquence × Gravité

Exemple commenté (fil rouge) — Aux Vergers de Sophie, une rupture d'approvisionnement en fruits est assez fréquente (aléas météo) mais de gravité modérée (report sur d'autres fournisseurs). Une contamination microbiologique d'un lot est rare mais de gravité majeure (rappel produit, atteinte à la santé, image détruite). Deux risques très différents : on ne les traitera pas de la même façon.

3. Les grandes familles de risques

On classe les risques pour être sûr de n'oublier aucun angle. Quatre familles principales :

Risques stratégiques : mauvais choix de marché, de positionnement, de modèle économique, arrivée d'un concurrent, évolution des attentes clients.
Risques financiers : trésorerie, endettement, change, impayés, dépendance à un client.
Risques opérationnels : production, logistique, qualité, systèmes d'information, ressources humaines, sécurité.
Risques de conformité (compliance) : non-respect d'une réglementation, d'une norme, d'obligations contractuelles ou fiscales.

D'autres découpages existent (image/réputation, environnement, cyber…). L'essentiel n'est pas la liste parfaite mais la couverture : passer en revue chaque famille pour ne pas avoir d'angle mort.

4. L'audit : définition et rôle

L'audit est un examen méthodique et indépendant visant à vérifier qu'une situation est conforme à un référentiel (règles, objectifs, bonnes pratiques) et à formuler des recommandations. Ce n'est ni une inspection punitive, ni un simple contrôle : c'est une fonction d'assurance (donner un avis étayé) et de conseil (aider à s'améliorer).

Audit interne vs externe :

Interne : réalisé par l'organisation elle-même (service d'audit interne), au service de la direction. Récurrent, large (opérationnel, stratégique).
Externe : réalisé par un tiers indépendant (commissaire aux comptes, certificateur). Souvent légal ou contractuel, centré sur la fiabilité (comptes, certification ISO).

Types d'audit : financier (fiabilité des comptes), opérationnel (efficacité des processus), stratégique (pertinence des choix), de conformité (respect des règles).

5. Ne pas confondre : audit, contrôle interne, contrôle de gestion

Trois fonctions proches mais distinctes — une confusion classique :

Fonction	Question posée	Nature
Contrôle interne	Les dispositifs qui maîtrisent l'activité au quotidien existent-ils et fonctionnent-ils ?	Dispositif permanent, intégré aux processus
Audit	Ce dispositif est-il efficace ? Peut-on s'y fier ?	Examen ponctuel et indépendant du dispositif
Contrôle de gestion	Les performances sont-elles au rendez-vous des objectifs ? (cf. CDG-01)	Pilotage économique continu

Image simple : le contrôle interne est le système de freins et de ceintures de la voiture ; l'audit est le contrôle technique qui vérifie que ces sécurités marchent ; le contrôle de gestion regarde la vitesse et la consommation pour atteindre la destination.

6. Les référentiels : ISO 31000 et COSO

Les référentiels sont des cadres de bonnes pratiques qui structurent la démarche et donnent un langage commun. Deux dominent :

ISO 31000 — Management du risque. Propose des principes (le management du risque crée de la valeur, est intégré, structuré, adapté…), un cadre organisationnel et un processus (établir le contexte → identifier → analyser → évaluer → traiter → surveiller). C'est la colonne vertébrale de la série RSK.
COSO — Contrôle interne et gestion des risques (ERM). Cadre de référence américain très répandu, centré sur le contrôle interne et le management des risques de l'entreprise (Enterprise Risk Management). Structure le lien entre risques, contrôles et objectifs.

contexte → identifier → analyser → évaluer → traiter → surveiller

On n'apprend pas ces référentiels « par cœur » : on retient qu'ils fournissent une méthode partagée et une crédibilité (parler le même langage qu'un auditeur externe, une direction, un certificateur).

7. La posture de l'auditeur

Trois principes fondent la valeur d'un audit :

Indépendance / objectivité : l'auditeur ne juge pas son propre travail ; il s'appuie sur des faits, pas des impressions.
Approche par les preuves : chaque constat s'appuie sur une preuve (document, observation, test) — pas sur une opinion.
Orientation amélioration : l'audit vise à corriger et prévenir, pas à sanctionner. Un audit perçu comme une chasse aux coupables perd toute utilité (les acteurs se protègent au lieu de coopérer).

8. Les pièges à éviter

9. Ce qu'il faut retenir

L'essentiel du module

Un risque est un effet de l'incertitude sur les objectifs : notion neutre, à deux composantes (fréquence × gravité).
On classe les risques en familles (stratégiques, financiers, opérationnels, conformité) pour éviter les angles morts.
L'audit est un examen méthodique et indépendant, interne ou externe, orienté assurance et conseil.
Il se distingue du contrôle interne (dispositif permanent) et du contrôle de gestion (pilotage économique).
ISO 31000 et COSO fournissent la méthode et le langage communs.

Approfondir

IFAG-RSK-02 — Cartographier et hiérarchiser les risques : la matrice de Farmer (fréquence × gravité).
IFAG-CDG-01 — Contrôle de gestion et centre de profit : distinguer les fonctions de contrôle.
IFAG-OBJ-01 — De la stratégie aux objectifs : le risque, envers de l'objectif.

Objectif de l'exercice

Vérifier que tu sais classer les risques par famille, distinguer fréquence et gravité, et différencier audit, contrôle interne et contrôle de gestion.

Contexte

Les Petits Pas, réseau de crèches privées (plusieurs établissements), secteur très réglementé (taux d'encadrement, sécurité, agréments).

Partie 1 — Classer les risques par famille

Classe chacun des risques suivants dans une famille (stratégique · financier · opérationnel · conformité) et justifie en une ligne. Si tu hésites entre deux, indique-le.

a. Un nouveau réseau concurrent ouvre trois crèches dans la même zone de chalandise.
b. Plusieurs familles accumulent des retards de paiement importants.
c. Le taux d'encadrement réglementaire (nombre d'adultes par enfant) n'est pas respecté un matin.
d. Des absences répétées de personnel désorganisent le service.
e. 70 % du financement dépend d'une seule subvention locale, remise en question chaque année.
f. Une éducatrice est recrutée sans vérification de son diplôme obligatoire.

Partie 2 — Fréquence et gravité

Pour les deux risques ci-dessous, indique s'ils sont plutôt fréquents ou rares, et de gravité faible ou majeure. Que t'apprend cette différence sur la façon de les traiter ?

g. Un petit bobo bénin (genou éraflé) lors d'une activité.
h. Un accident grave dû à un équipement de jeu non conforme.

Partie 3 — Audit, contrôle interne ou contrôle de gestion ?

Pour chaque situation, indique s'il s'agit d'un contrôle interne, d'un audit (précise interne/externe et le type) ou d'un contrôle de gestion. Justifie.

i. Chaque soir, la directrice vérifie que les effectifs présents respectent le taux d'encadrement.
j. Un cabinet indépendant vient vérifier la fiabilité des comptes annuels du réseau.
k. Le siège analyse le taux de remplissage et le coût par berceau, comparés au budget.
l. Le service qualité du groupe évalue si les procédures de sécurité sont réellement appliquées dans une crèche donnée.

Auto-évaluation rapide

Ai-je justifié chaque famille par la nature de la cause ?
Ai-je bien séparé fréquence et gravité ?
Ai-je précisé interne/externe et le type d'audit quand c'était un audit ?

Corrigé détaillé : correction.md (essaie d'abord par toi-même).

Prochaine étape naturelle

Une fois le vocabulaire posé, IFAG-RSK-02 apprend à cartographier et hiérarchiser ces risques avec la matrice de Farmer (fréquence × gravité).

Objectif de la correction

Vérifier le classement des risques, la distinction fréquence/gravité et la différence audit / contrôle interne / contrôle de gestion.

Partie 1 — Classer les risques par famille

a. Concurrent qui ouvre dans la zone → Stratégique. Menace sur le positionnement et le marché.
b. Retards de paiement des familles → Financier. Risque de trésorerie / impayés.
c. Taux d'encadrement non respecté un matin → Conformité (et opérationnel dans sa cause). C'est d'abord une infraction à une norme réglementaire.
d. Absences répétées de personnel → Opérationnel. Désorganisation d'un processus.
e. Dépendance à une subvention unique → Financier (avec une dimension stratégique : modèle économique fragile). Hésitation légitime à signaler.
f. Recrutement sans vérifier le diplôme obligatoire → Conformité. Non-respect d'une obligation légale de qualification.

Remarque : plusieurs risques touchent deux familles (cause opérationnelle → conséquence de conformité). L'important est de justifier, pas de trouver la « seule bonne case ».

Partie 2 — Fréquence et gravité

g. Petit bobo bénin → fréquent, gravité faible.
h. Accident grave (équipement non conforme) → rare, gravité majeure.

Ce que cela apprend : ces deux risques n'appellent pas le même traitement. Le bobo bénin se gère par des routines simples (trousse de soins, protocole) : on accepte un résidu. L'accident grave, même rare, justifie un investissement fort de prévention (contrôle des équipements) et de protection (matériel amortissant, assurance) car sa gravité est inacceptable. C'est exactement ce que la matrice de Farmer (RSK-02) permettra de visualiser et de prioriser.

Partie 3 — Audit, contrôle interne ou contrôle de gestion ?

i. Vérification quotidienne du taux d'encadrement → Contrôle interne. Dispositif permanent, intégré au fonctionnement quotidien.
j. Cabinet indépendant vérifiant les comptes annuels → Audit externe financier. Tiers indépendant, fiabilité des comptes, cadre légal.
k. Analyse du taux de remplissage et du coût par berceau vs budget → Contrôle de gestion. Pilotage économique de la performance (logique CDG).
l. Service qualité évaluant l'application réelle des procédures de sécurité → Audit interne opérationnel. Examen ponctuel et indépendant de l'efficacité d'un dispositif.

Clé de lecture : permanent et intégré = contrôle interne ; ponctuel et indépendant = audit ; économique et continu = contrôle de gestion.

Points clés à retenir

Une famille de risque se détermine par la nature de la cause ; les frontières sont parfois poreuses, d'où l'importance de justifier.
Fréquence et gravité sont deux dimensions indépendantes : c'est leur croisement qui guide le traitement (base de la matrice de Farmer).
Contrôle interne (permanent) ≠ audit (ponctuel, indépendant) ≠ contrôle de gestion (pilotage économique).
Un audit se qualifie par son origine (interne/externe) et son type (financier, opérationnel, conformité, stratégique).

Erreurs fréquentes

Objectif de la fiche

Fixer le vocabulaire de la série : risque, familles, audit, référentiels.

L'essentiel en 3 idées

Un risque = effet de l'incertitude sur les objectifs (notion neutre), à deux composantes : fréquence × gravité.
On classe les risques en familles pour éviter les angles morts : stratégiques, financiers, opérationnels, conformité.
Audit ≠ contrôle interne ≠ contrôle de gestion : trois fonctions distinctes.

Repères fondamentaux

Composantes du risque

Fréquence (probabilité) × Gravité (impact)

Familles de risques

Stratégiques : marché, positionnement, modèle.
Financiers : trésorerie, endettement, impayés, dépendance.
Opérationnels : production, logistique, qualité, RH, SI.
Conformité : réglementation, normes, obligations.

Trois fonctions à ne pas confondre

Fonction	Nature	Question
Contrôle interne	Permanent, intégré	Les dispositifs de maîtrise fonctionnent-ils ?
Audit	Ponctuel, indépendant	Ce dispositif est-il fiable / efficace ?
Contrôle de gestion	Pilotage économique	La performance est-elle au rendez-vous ?

Audit : interne / externe · types : financier, opérationnel, stratégique, conformité.

Référentiels : ISO 31000 (management du risque) · COSO (contrôle interne / ERM).

identifier → analyser → évaluer → traiter → surveiller

Checklist — Ce qu'il faut vérifier

Ai-je regardé toutes les familles (pas seulement le financier) ?
Ai-je séparé fréquence et gravité ?
Sais-je dire si une situation relève de l'audit, du CI ou du CDG ?

Pièges à éviter

Piège	Réflexe correct
Réduire le risque au danger	Notion neutre (menace ou opportunité)
Tout mettre en « opérationnel »	Remonter à la nature de la cause
Appeler « audit » toute vérification	Tester « ponctuel » + « indépendant »
Prendre ISO/COSO pour une fin	Ce sont des outils, pas des cases

Exemple flash

Rupture d'appro (fréquente, gravité modérée) ≠ contamination d'un lot (rare, gravité majeure) : même entreprise, traitements opposés. Vérifier les comptes = audit externe financier ; vérifier chaque soir le taux d'encadrement = contrôle interne.

Tu maîtrises ce module si…

Tu définis le risque et ses deux composantes.
Tu classes un risque dans la bonne famille.
Tu distingues audit, contrôle interne et contrôle de gestion.

Approfondir

IFAG-RSK-02 — Cartographier et hiérarchiser : matrice de Farmer.
IFAG-CDG-01 — Contrôle de gestion et centre de profit : les fonctions de contrôle.

Idée clé à garder

On ne supprime pas le risque, on le connaît pour décider : l'audit et les référentiels ne sont là que pour rendre cette décision éclairée et crédible.

Retour vers Mes cours

IFAG-RSK-01 — Comprendre le risque et l'audit

Les attendus

Cours

1. Introduction — Le risque n'est pas l'ennemi

2. Qu'est-ce qu'un risque ? Deux composantes

3. Les grandes familles de risques

4. L'audit : définition et rôle

5. Ne pas confondre : audit, contrôle interne, contrôle de gestion

6. Les référentiels : ISO 31000 et COSO

7. La posture de l'auditeur

8. Les pièges à éviter

9. Ce qu'il faut retenir

Approfondir

Objectif de l'exercice

Contexte

Partie 1 — Classer les risques par famille

Partie 2 — Fréquence et gravité

Partie 3 — Audit, contrôle interne ou contrôle de gestion ?

Auto-évaluation rapide

Prochaine étape naturelle

Objectif de la correction

Partie 1 — Classer les risques par famille

Partie 2 — Fréquence et gravité

Partie 3 — Audit, contrôle interne ou contrôle de gestion ?

Points clés à retenir

Erreurs fréquentes

Objectif de la fiche

L'essentiel en 3 idées

Repères fondamentaux

Checklist — Ce qu'il faut vérifier

Pièges à éviter

Exemple flash

Tu maîtrises ce module si…

Approfondir

Former mieux. Exiger plus.

Catalogue

Établissements

Ressources

Vous représentez un établissement?

Paiement sécurisé

Contenu exigeant

Modules autosuffisants

Structure indépendante