ARCHIVÉ - Guide de gestion des Risques (Guide de revue) - le 1 novembre 1994

Cette page a été archivée.

INTRODUCTION

Contexte

En termes simples, la gestion des risques est un processus selon lequel les menaces éventuelles à un organisme, à son personnel ou à son matériel sont examinés et minimisés de façon rationnelle et clairement documentée. La gestion des risques s'est petit à petit imposée comme approche de réduction des coûts organisationnels pendant les années 1970. Depuis ses débuts, il y a eu de vigoureux arguments en faveur de l'approche de la gestion des risques dans les opérations de l'organisme. Cependant, ce n'est que depuis peu que les praticiens ont accès aux connaissances, aux outils et aux données nécessaires à la gestion des risques.

Les analyses, utilisées en gestion des risques, quantifient les événements possibles et leurs conséquences en dollars et en cents. Cela donne une norme commune qui permet de comparer les options, et donc un processus rationnel de sélection. Il importe aussi de noter que ces techniques d'analyse peuvent s'appliquer tout autant aux risques qu'aux occasions. Par conséquent, la gestion des risques, comme outil, peut servir à choisir entre divers risques ou diverses occasions et entre la réduction d'un risque et le choix d'une occasion.

Le Conseil du Trésor a une politique sur la gestion des risques depuis 1978. Cependant, la maturation croissante du domaine et le souci de plus en plus grand du gouvernement de réduire les coûts ont avivé l'intérêt pour cet aspect de la gestion. La gestion des risques est particulièrement utile pour ceux qui ont à se livrer à de difficiles arbitrages découlant de compressions budgétaires. Le processus permet aux gestionnaires d'évaluer et de comparer les coûts et les avantages éventuels de diverses options et de choisir la meilleure solution. En outre, étant clairement documenté, le processus réduit le temps que ceux qui examinent une décision doivent passer à comprendre les facteurs d'influence.

Objet

Ce guide est rédigé dans l'optique de la fonction d'examen. Sans être réservé à l'usage exclusif de ce groupe, le manuel vise à donner aux vérificateurs internes et aux agents d'examen la compréhension et les outils dont ils ont besoin pour vérifier la gestion des risques de leur organisme. Le guide vise à leur faire mieux comprendre les risques, à en expliquer l'importance pour les organismes gouvernementaux, à démontrer comment ils peuvent se gérer, et à donner certains des outils plus généraux dont les vérificateurs peuvent disposer pour la vérification de la gestion des risques.

Organisation du Guide

Le guide est organisé de la manière suivante : le chapitre 1 présente en termes simples une vue d'ensemble de la gestion des risques. Le chapitre 2 traite de la vérification de la gestion des risques et expose plus formellement les objectifs, les critères, les critères détaillés et les procédures de vérification à utiliser.

CHAPITRE 1 - VUE D'ENSEMBLE DE LA GESTION DES RISQUES

Introduction

L'approche gouvernementale de la gestion des risques s'appuie sur six politiques, dont la plus importante est la Politique sur la gestion des risques, qui fixe le cadre de la gestion des risques (voir la figure 1 à la fin du présent chapitre) en définissant les quatre types de fonction suivants :

(1) définition des risques;

(2) minimisation des risques;

(3) limitation des effets d'un péril (une fois survenu, afin d'en réduire les conséquences);

(4) dédommagement ou remise en état et rétablissement (après un sinistre).

Cela suppose aussi une fonction de gestion par l'existence d'une boucle «de rétroaction». Ce cadre général est aussi augmenté ou rempli par cinq politiques relativement précises : (5) indemnisation des fonctionnaires de l'État; (6) bénévoles; (7) réclamations et paiements à titre gracieux; (8) protection contre les incendies, enquêtes et rapports; et (9) prestation de services juridiques aux fonctionnaires de l'État. Chacune de ces politiques traite d'un sous-domaine relativement précis de la gestion des risques.

Chacune des quatre fonctions susmentionnées comporte plusieurs activités. Les activités spécifiques dépendent des détails du péril considéré et de la relation de l'organisme avec ce péril ou de son intérêt pour ce péril.

L'analyse des risques n'est pas une science exacte. Par définition, chaque analyse de risques suppose des hypothèses et est, dans une certaine mesure, le produit des personnes qui l'effectuent. Par conséquent, l'analyse sera d'autant plus exacte que son auteur connaît très bien le domaine considéré. En outre, chaque situation est, dans un certain sens, particulière. C'est pourquoi on peut s'attendre que chaque solution de gestion des risques diffère à certains égards de toutes les autres. Autrement dit, il n'y a pas de solution type. Bien que l'on puisse appliquer les mêmes principes et la même approche de façon générale, chaque situation appelle une solution particulière et différents praticiens en arriveront vraisemblablement à des conclusions différentes plutôt qu'identiques. Cependant, la grande considération est que l'on adopte une approche proactive en matière de gestion des risques, en tâchant d'éviter d'exposer inutilement le gouvernement à des pertes éventuelles.

Rôles et responsabilités

Conseil du Trésor

Le Conseil du Trésor est responsable de trois aspects de la gestion des risques :

(1) la politique générale du gouvernement sur la gestion des risques;

(2) la communication de la politique;

(3) le contrôle et l'évolution de l'efficacité générale de la politique.

La politique générale du gouvernement sur la gestion des risques se trouve dans la Politique sur la gestion des risques (chapitre 21 du Manuel du Conseil du Trésor). Il s'agit d'une publication de la Section de la gestion des risques et du matériel de la Direction de la politique administrative du Secrétariat du Conseil du Trésor. Les lignes directrices pour la vérification de la Politique sur la gestion des risques ainsi que pour les politiques sur l'indemnisation des fonctionnaires de l'État, sur les bénévoles, sur les réclamations et les paiements à titre gracieux, sur la protection contre les incendies, les enquêtes et les rapports, et sur la prestation de services juridiques aux fonctionnaires de l'État se trouvent au chapitre 2 du présent guide.

Ministères

Il incombe à chaque ministère de rendre compte, par l'intermédiaire de son administrateur général, de la mise en oeuvre de la politique sur la gestion des risques du Conseil du Trésor. Le ministère devrait désigner un responsable de la gestion des risques ou, tout au moins, faire désigner divers points de convergence de la responsabilité fonctionnelle, et assurer la liaison entre eux. La participation d'autres membres du personnel est aussi importante, puisque tous les employés sont, dans une certaine mesure, responsables de la gestion efficace des risques. La gestion des risques devrait faire partie intégrante du processus de planification.

Personnel affecté à la gestion des risques

La gestion des risques est beaucoup plus qu'un appendice des opérations. Idéalement, la gestion des risques devrait servir, de concert avec la gestion des occasions, à maximiser les avantages que représente un ministère pour ses clients, ses employés et ses employeurs. Pour que la gestion des risques en arrive là, il faut que ses évaluations des risques soient exactes, qu'elles soient utiles aux décideurs, et que le personnel de niveau supérieur soit disposé à appliquer régulièrement ce genre d'analyse.

La gestion efficace des risques exige qu'un ministère ait recours à un processus d'évaluation du niveau des risques et détermine le niveau approprié de ressources à consacrer à la gestion de ces risques. Les ministères, en particulier, ont besoin d'utiliser l'approche de la gestion des risques en raison des restrictions omniprésentes des ressources disponibles et du caractère dynamique de la société moderne, des changements constants de personnel, de l'avènement de technologies nouvelles et de l'évolution de l'intérêt public. Chacune des conditions énumérées ici contribue à faire évoluer les risques d'un ministère avec le temps.

Pour être efficace, la gestion des risques exige que la structure organisationnelle permette et, idéalement, favorise le dialogue entre ceux qui ont des connaissances spécialisées de la gestion des risques et ceux qui s'y connaissent le plus dans un domaine donné. La responsabilité de la gestion des risques devrait incomber à ceux qui s'y connaissent le plus dans le domaine examiné. La meilleure façon dont ceux qui ont une connaissance spécialisée des techniques d'évaluation des risques ou des pratiques de gestion des risques peuvent se rendre utiles, c'est d'aider ceux qui ont une connaissance poussée d'un domaine donné à transformer leurs connaissances en probabilités de risque et en montants à utiliser dans l'analyse des risques. Cette relation fait voir comment il faudrait structurer la gestion des risques dans une organisme et quels sont les rôles qui reviennent aux différents intervenants.

Les connaissances spécialisées de la gestion des risques devraient servir à appuyer les cadres hiérarchiques qui se sont vu confier la responsabilité d'acquérir et de maintenir une expertise du domaine précis en question. L'expertise requise par le personnel de gestion des risques, c'est d'être en mesure d'aider le personnel de l'organisme à comprendre la nature de l'analyse des risques et de la gestion des risques et de participer à l'élaboration systématique d'évaluations des risques et de plans d'urgence. En outre, le personnel de gestion des risques doit pouvoir et vouloir informer rapidement la haute direction de l'organisme de toute menace importante qui, selon lui, n'est pas traitée comme il se doit.

Les étapes de la gestion des risques

CHAPITRE 2 - EXÉCUTION DE LA VÉRIFICATION

Introduction

Ce chapitre propose certains critères et certaines procédures pour l'exécution d'une vérification de la gestion des risques. En général, l'analyse des risques exige des connaissances spécialisées que l'on ne saurait s'attendre de trouver chez le vérificateur. Celles-ci connaissances se retrouvent habituellement au sein de l'organisme ou chez des spécialistes de l'extérieur. Par conséquent, on ne s'attend pas que le vérificateur examine et commente l'analyse des risques elle-même. Le rôle premier du vérificateur est plutôt d'établir si les méthodes et les procédures utilisées étaient ou non appropriées et conformes aux politiques et aux directives qui définissent l'approche gouvernementale de la gestion des risques. Le rôle secondaire du vérificateur est de voir à ce que toutes les lacunes relevées soient corrigées et à ce qu'il y ait un suivi.

Il faudrait soulever les questions en s'attendant que les problèmes apparents puissent être réglés et les occasions exploitées à fond. Le rôle du vérificateur consiste moins à signaler les lacunes de la gestion des risques qu'à voir à ce que les lacunes repérées soient corrigées. Les vérificateurs devraient également veiller à ce que les bonnes pratiques soient partagées au sein de l'organisme et avec les autres organismes gouvernementaux.

Dans bien des cas, le vérificateur fera ressortir des problèmes apparents quand il établit si les diverses procédures ont été bien appliquées. Il importe de reconnaître qu'il peut être ni rentable ni efficient que le personnel suive à la lettre une procédure donnée. Il faut laisser le personnel user de discrétion et peser les coûts et les avantages que représente l'application d'une procédure donnée et, sur la foi de cette analyse, prendre une décision sur la mesure dans laquelle une procédure est respectée.

Organisation de la section sur la procédure de vérification

La section sur la procédure de vérification est répartie en neuf sections. Les quatre premières traitent du chapitre 21 de la Politique sur la gestion des risques du gouvernement. C'est ce que nous appelons ici le «cadre général de la gestion des risques». Elle consiste en quatre volets, avec exigence de rétroaction à chaque phase, tel qu'il ressort de la figure 1. Ce sont :

(1) définition des risques

(2) minimisation des risques

(3) limitation des effets

(4) dédommagement ou remise en état et rétablissement.

Ces sections exposent la procédure à suivre en général lors de l'exécution d'une vérification de la gestion des risques. Ces quatre sections sont suivies d'une série de cinq sections qui traitent de la vérification des politiques plus spécifiques qui, avec la Politique sur la gestion des risques énoncée au chapitre 21, constituent l'approche gouvernementale de la gestion des risques. Les cinq autres sections traitent de la vérification des politiques sur :

(5) l'indemnisation des agents;

(6) les bénévoles;

(7) les réclamations et les paiements à titre gracieux;

(8) la protection contre les incendies

(9) la prestation de services juridiques aux fonctionnaires de l'État.

Chacune de ces politiques particulières traite d'un aspect de la gestion des risques. Elles se combinent avec la Politique sur la gestion des risques pour élargir le cadre de gestion des risques. Selon la portée de la vérification, les vérificateurs peuvent n'avoir qu'à appliquer certains des critères et des critères détaillés qui sont exposés aux sections 5 à 9 pour l'exécution d'une vérification de la gestion des risques.

S'ils éprouvent une difficulté ou s'ils ont besoin d'aide supplémentaire pour interpréter la Politique sur la gestion des risques, les vérificateurs devraient communiquer avec le Groupe de la gestion des risques et du matériel pour l'interprétation de la politique et avec le Groupe de l'évaluation, de la vérification et de l'examen de la Direction de la politique administrative du Conseil du Trésor pour les questions de vérification.

(1) DÉFINITION DES RISQUES

Objectif

1.0 S'assurer que l'organisme a défini les principaux périls, facteurs et genres de risques auxquels sont exposés ses biens, ses activités de programme, ses clients et ses intérêts et pour lesquels l'organisme assume une certaine responsabilité.

Critères

1.1 Les gestionnaires comprennent le concept de définition des risques et ont défini les principaux risques auxquels leur organisme fait face.

Critères détaillés/procédures de vérification

1.1.1 Vérifier que tous les gestionnaires connaissent les principaux périls auxquels leur groupe fait face, conformément à la Politique du Conseil du Trésor sur la gestion des risques.

1.1.2 Vérifier jusqu'à quel point le gestionnaire comprend le processus de définition des risques, à la lumière de sa sensibilisation à cet égard.

1.1.3 Vérifier que les gestionnaires ont évalué les principaux risques que représentent pour l'organisme les divers périls définis.

1.1.4 Évaluer l'exhaustivité et l'exactitude de l'évaluation des risques par le gestionnaire.

(2) MINIMISATION DES RISQUES

Objectif

2.0 S'assurer que l'organisme a analysé et évalué les risques définis et choisi des options économiques de contrôle des risques.

Critères

2.1 Les gestionnaires des programmes ont effectué des évaluations de risques valides.

Critères détaillés/procédures de vérification

2.1.1 Vérifier que les gestionnaires des programmes ont documenté les évaluations de risques pour chacun des risques importants qui ont été définis.

Critères

2.2 Les gestionnaires ont choisi et mis en oeuvre des mesures économiques de contrôle des risques. (Voir figure 2, Matrice de décision pour la gestion des risques, à la fin de la section 2.)

Critères détaillés/procédures de vérification

2.2.1 Vérifier que les gestionnaires ont élaboré une série d'options économiques de minimisation des risques.

2.2.2 Vérifier que les gestionnaires, une fois informés des principaux risques, ont conçu et mis en oeuvre des mesures de contrôle économiques.

Critères

2.3 Par suite de la mise en oeuvre des mesures de contrôle, les risques globaux pour l'organisme ont diminué.

Critères détaillés/procédures de vérification

2.3.1 Évaluer si les mesures de contrôle qui ont été instituées ont permis de gérer la menace découlant du péril.

Critères

2.4 Les mesures de contrôle qui ont été instituées ont été rentables.

Critères détaillés/procédures de vérification

2.4.1 Évaluer si les mesures de contrôle instituées ont été économiques. Il y aurait lieu de songer aux autres utilisations possibles des ressources dépensées et, en particulier, aux occasions avantageuses qui ont pu exister pendant la même période.

Critères

2.5 L'analyse des risques a tenu compte des incidences politiques et diplomatiques.

Critères détaillés/procédures de vérification

2.5.1 Vérifier que l'analyse a tenu compte des incidences politiques ou diplomatiques possibles.

2.5.2 Là où il y avait des incidences politiques ou diplomatiques, évaluer si elles ont été suffisamment prises en compte.

Critères

2.6 Le cas échéant, l'analyse de souscription était rigoureuse et complète.

Critères détaillés/procédures de vérification

2.6.1 Établir s'il y avait lieu ou pas de procéder à l'analyse de souscription. Dans l'affirmative, faire ce qui suit :

a) établir que l'analyse de souscription a eu lieu;

b) évaluer si l'analyse de souscription était suffisamment rigoureuse et complète.

(3) LIMITATION DES EFFETS

Objectif

3.0 S'assurer que l'organisme ou le programme a élaboré et mis en service les organismes de secours ainsi que les systèmes et les plans d'urgence et appliqué les mesures appropriées de rétablissement.

Critères

3.1 Les divers plans d'urgence sont appropriés.

Critères détaillés/procédures de vérification

3.1.1 Établir si ces sinistres ont des répercussions possibles dont les plans d'urgence ne tiennent pas compte, et évaluer la probabilité que ces répercussions se manifestent.

3.1.2 Établir si les objectifs des plans d'urgence seraient les réactions les plus appropriées à un sinistre.

3.1.3 Établir s'il y a des répercussions possibles pour lesquelles il n'y a pas de plans d'urgence, et pourquoi.

3.1.4 Établir si les plans d'urgence sont réalisables et évaluer s'ils atteindraient les objectifs qui ont été énoncés.

Critères

3.2 Les divers plans d'urgence sont réalisables.

Critères détaillés/procédures de vérification

3.2.1 Vérifier que le personnel désigné pour la mise en oeuvre des plans d'urgence les comprend et prévoit être en mesure de les mettre en application.

3.2.2 Là où il y a eu des répétitions, établir si les évaluations des répétitions ont fait ressortir des problèmes dans les plans d'urgence et voir si ces problèmes ont été efficacement réglés.

3.2.3 Vérifier que les expériences passées ont été documentées et ont servi de base pour des améliorations.

Critères

3.3 L'organisme s'est donné la capacité des organismes de secours ainsi que les systèmes d'urgence requis pour répondre aux urgences prévues par les plans d'urgence et l'a fait d'une manière rentable.

Critères détaillés/procédures de vérification

3.3.1 Préciser les organismes de secours et les systèmes d'urgence que l'organisme compte mettre en service en cas d'urgence.

3.3.2 Établir les rôles à jouer par les divers organismes et systèmes en cas d'urgence et la formation dont le personnel aurait besoin pour s'acquitter de ces rôles, et voir si les systèmes sont en place et si le personnel a été suffisamment formé.

3.3.3 Établir si l'organisme a la capacité de prévenir et de mettre en service les organismes de secours et les systèmes d'urgence pendant une véritable urgence; p. ex., en cas de pannes de courant et d'endommagement des lignes de communication.

3.3.4 Établir s'il y a d'autres moyens (autres plans d'urgence, organismes et systèmes, etc.) qui seraient plus rentables.

Critères

3.4 Les mesures de rétablissement après un sinistre sont appropriées.

Critères détaillés/procédures de vérification

3.4.1 Établir si la documentation décrivant les mesures de rétablissement est complète et périodiquement mise à jour.

3.4.2 Évaluer si le personnel qui serait chargé du rétablissement après un sinistre comprend les mesures de rétablissement .

3.4.3 Établir que le personnel qui serait chargé du rétablissement après un sinistre a été formé conformément aux mesures de rétablissement .

3.4.4 Évaluer si les mesures pourraient être mises en oeuvre en cas de sinistre. Là où il y a eu des répétitions, établir si les évaluations des répétitions ont fait ressortir des problèmes et, le cas échéant, s'ils ont été corrigés.

3.4.5 Évaluer la rentabilité des mesures de rétablissement par rapport aux autres solutions possibles.