L'audit interne, partenaire clé face aux risques émergents

On qualifie d’émergent un risque évoluant de manière incertaine dans des domaines où l’ensemble des connaissances disponibles est limité. Ces risques se caractérisent par : 

• Un niveau élevé d’incertitude quant à son impact
• Une faible prévisibilité
• Une difficulté à en attribuer la responsabilité en interne

Nous présentons ci-dessous quelques exemples de risques émergents qu’ils soient externes ou internes à l’organisation :  

• Risques externes : évolutions géopolitiques, réglementaires, technologiques, sociétales, environnementales, tensions sur les ressources. 
• Risques internes : changements stratégiques, impacts imprévus du modèle d’affaires, désalignements organisationnels, transformation IT. 

Bien qu’ils ne figurent pas toujours dans les cartographies des risques, ni dans le processus de suivi de ceux-ci, ils revêtent souvent une importance vitale pour l’entreprise et devraient prendre une place croissante à l’avenir. À mesure que s’accélèrent les transformations technologiques, sociétales et économiques, ces risques évoluent plus vite que vos cycles de gestion habituels.  

Dans ce paysage en constante évolution, la capacité à détecter, comprendre et anticiper ces risques devient un impératif stratégique pour préserver la résilience, la réputation et la performance des entreprises quelque soient leurs tailles ou domaines d’activités.  

La vraie question n’est plus « nous concerne-t‑il ? » mais : sommes-nous capables de les détecter et d’y répondre à temps ? 

Les outils traditionnels, notamment la cartographie des risques, montrent rapidement leurs limites face l’identification des risques émergents : 

Pourquoi la cartographie des risques ne suffit plus ? 

Plusieurs facteurs expliquent ce décalage : 

• Ces risques étant souvent apparus récemment et susceptibles de disparaître rapidement, ils échappent aux outils classiques de la gestion des risques (qui sont souvent sur un cycle annuel ou multi annuel) et ne sont donc pas perçus comme prioritaires. Par ailleurs, les représentations habituelles, comme les « heat maps », tendent à sous-évaluer les risques peu probables, les reléguant hors des priorités de suivi.  
• La méthode de construction de la cartographie des risques, essentiellement basée sur des interviews, présente des biais dans la définition, l’estimation et la qualification des risques. Cela s’explique souvent par un manque de maturité dans la compréhension du risque, d’un éloignement des réalités opérationnelles et/ou d’un manque de contradiction dans l’évaluation de la part des interlocuteurs interviewés. 
• Enfin, les risques exogènes sont souvent peu représentés dans les cartographies des risques car ils sont perçus comme étant hors du champs d’action de l’entreprises (ce qui est vrai dans un certain nombre de cas, mais pas tous). 

Les missions d’audit : un terrain riche… à mieux exploiter 

En théorie, les signaux faibles peuvent être relevés lors des missions d’audit, lorsque des dysfonctionnements et anomalies issus de causes communes sont identifiés. Néanmoins, en pratique, l’identification des risques émergents lors de ces interventions reste assez faible dans la mesure où :  

• Les audits se focalisent sur des domaines précis, ne favorisant pas toujours la prise de recul et les échanges susceptibles d’identifier ou de détourer ces risques. 
• L’identification de signaux faibles communs à l’organisation nécessite une prise de recul sur un temps long, pouvant être incompatible avec l’évolution des risques émergents. 

Vers des dispositifs de veille et de décision plus agiles 

La mise en place de cellules de veille (réglementaire, métier, marché) regroupant plusieurs fonctions intéressées par les risques et suivant un processus d’escalade défini peut également permettre de qualifier efficacement les risques émergents.  

Une fois identifiés, les risques émergents doivent être gérés avec une agilité que les dispositifs classiques de gouvernance ne permettent pas toujours. En effet, le Comité des Risques, souvent désigné comme l’instance de traitement de ces sujets, fonctionne selon une périodicité fixe —trimestrielle, semestrielle, voire annuelle — qui peut s’avérer inadaptée pour des risques à évolution rapide. Cette temporalité crée un décalage entre la détection du risque et sa prise en compte effective dans les décisions.  

Dans ce cadre, l’enjeu pour les organisations est clair : faire évoluer les pratiques pour que la gestion des risques ne soit plus seulement réactive, mais véritablement proactive. 

Si l’Audit Interne n’a pas toujours un rôle institutionnel dans l’identification des risques émergents, il doit en revanche jouer un rôle central dans leur qualification, leur suivi et leur régulation.  

Pour renforcer cette posture, plusieurs leviers concrets peuvent être activés : 

• Flexibilité du plan d’audit : prévoir des révisions pluriannuelles et intégrer des missions « ad hoc » ou « flash » pour réagir rapidement à l’émergence de nouveaux risques. 
• Mobilisation de ressources dédiées : disposer d’un budget non affecté, activable à la demande, et recourir ponctuellement à des expertises externes pour traiter des sujets complexes ou sensibles. 
• Renforcement du mandat : obtenir un soutien explicite de la Direction Générale et du Comité d’Audit pour légitimer l’intervention sur des thématiques émergentes, parfois perçues comme hors périmètre. 
• Veille élargie et collaboration interfonctionnelle : élargir les dispositifs de veille aux dimensions technologiques, sociétales ou métiers, et renforcer les synergies avec les fonctions conformité, juridique, contrôle interne et gestion des risques. 

Quelques audits réussis sur des risques émergents suffisent souvent à créer un véritable engouement des sponsors internes et à ancrer durablement cette dynamique dans le mandat et le pratiques de l’audit interne. 

Les risques émergents ne sont plus un « angle mort » que l’on surveille de loin. Leur profondeur, leur rapidité d’évolution et leur potentiel d’impact sur votre stratégie imposent de faire évoluer vos pratiques. 

En tant que fonction indépendante, transverse et proche des réalités opérationnelles, l’audit interne est idéalement placé pour accompagner ce mouvement. En rendant votre plan d’audit plus agile, en mobilisant les bonnes expertises au bon moment, en clarifiant votre mandat et en renforçant la collaboration avec les autres fonctions, vous pouvez : 

• Mieux détecter et qualifier les risques émergents
• Aider votre organisation à décider plus rapidement et plus sereinement 
• Contribuer directement à la résilience et à la performance durable de votre entreprise