Poste
Gestion des risques
Comment savez-vous que votre registre des risques décrit l'entreprise d'aujourd'hui ? Si vous l'avez mis à jour pour la dernière fois à la revue précédente du conseil, il décrit l'entreprise d'il y a un an.
Entretien préalable
Quatre questions par lesquelles nous commencerions
Comment savez-vous que le registre des risques est à jour ?
Si le seul moment de mise à jour est un atelier une fois par an, entre deux ateliers le registre est un document historique.
Quand se décide une action de réduction d'un risque ?
À une revue, ou une fois que le risque s'est déjà réalisé. Cette distinction décide si la fonction risques a du sens.
Que reste-t-il après un atelier risques une fois ses participants partis ?
Si c'est une liste sans motivation et sans actions affectées, l'atelier suivant repart de zéro.
Quel type d'événement revient le plus souvent ?
Les événements déjà survenus sont la source de savoir sur le risque la moins chère - à condition que quelqu'un les rassemble.
Nous prenons la tenue du registre, vous gardez l'appréciation du risque
Recueillir les signaux, tenir le registre, relancer les actions et préparer les rapports peuvent être retirés du bureau. Apprécier la probabilité et l'impact reste à une personne.
- Le registre se met à jour depuis des signaux, pas seulement depuis des ateliers. - Les événements, les réclamations, les pannes et les constats d'audit alimentent l'image du risque entre deux revues.
- Un risque a une action et un responsable affectés. - Une entrée sans action se voit comme une entrée sans action, pas comme une ligne de tableau.
- L'appréciation reste subjective, mais cesse d'être sans fondement. - Nous consignons ce sur quoi l'appréciation repose, pour qu'à la revue suivante elle puisse être contestée ou confirmée.
Périmètre
Ce qui peut être retiré de la gestion des risques
Dix-huit tâches à titre d'exemple. Chacune a un point de validation humaine. Ci-dessous une sélection ; le périmètre, nous l'ajustons à votre modèle de risque.
Identification des risques
- Recueil des signaux issus d'événements, d'audits et de réclamations
- Une nouvelle entrée proposée au registre (décision : le spécialiste)
- Liaison d'un risque à un processus et à un responsable
- Signalement des domaines sans risque identifié
Appréciation et priorités
- Un registre des appréciations avec leur motivation et leur date
- Comparaison d'une appréciation à l'historique des événements de ce domaine
- Un signal sur un risque apprécié il y a longtemps et jamais vérifié
- Les risques posés par priorité (décision : le spécialiste)
Actions d'atténuation
- Affectation d'une action à un risque avec une date et un responsable
- Signalement des risques sans action affectée
- Un rappel sur une action dont la date approche
- Appréciation du fait qu'une action a changé le niveau de risque (appréciation : le spécialiste)
Surveillance des signaux
- Des indicateurs d'alerte précoce par risque
- Un signal quand une valeur seuil est franchie
- Les événements pouvant indiquer une réalisation, posés
Le rapport pour le conseil
- Un projet de rapport issu du registre et des actions (validation : le spécialiste)
- Les changements du registre depuis la revue précédente
- Les risques appelant une décision du conseil, posés
Une journée de travail
Aujourd'hui
- Vous mettez à jour le registre avant une revue, en recueillant les données par courriel
- Les appréciations reposent sur un atelier d'il y a un an, sans motivation consignée
- Vous relancez les actions affectées aux risques par des rappels
- Vous ne savez pas quels risques n'ont aucune action
- Les événements de l'entreprise ne parviennent pas au registre
- Vous assemblez le rapport pour le conseil à la main pendant plusieurs jours
Avec l'assistance de l'IA
- Le registre est alimenté par des signaux issus d'événements et de constats
- Une appréciation a sa motivation et sa date consignées, donc elle peut être vérifiée
- Les actions ont un responsable, une date et un rappel
- Les risques sans action sont signalés
- Les événements de l'entreprise sont récapitulés par type
- Le rapport vient du registre, vous en apportez les conclusions
- Un registre à jour
le registre décrit l'entreprise d'aujourd'hui
des signaux l'alimentent entre deux revues
- Des risques liés à des actions
moins d'entrées sans aucune réponse
une action manquante se voit comme manquante
- Des signaux avant la réalisation
un risque qui se réalise peut se voir plus tôt
les indicateurs de seuil sont surveillés
- Une base pour les décisions du conseil
la revue porte sur les changements plutôt que sur la reconstitution de la liste
le rapport vient du registre au fil de l'eau
Nous commençons par lier les risques aux actions, parce que c'est ce qui montre le plus vite où le registre est mort.
- Étape 1
Un registre avec des responsables et des actions
Chaque risque avec un processus, un responsable et une action, ou avec l'absence d'action rendue explicite.
- Étape 2
Les signaux issus d'événements
Événements, réclamations, pannes et constats d'audit alimentant le registre.
- Étape 3
Indicateurs d'alerte précoce
Seuils et signaux pour les risques qui se mesurent.
- Étape 4
Le rapport pour le conseil
Les changements depuis la dernière revue et les risques appelant une décision. En dernier, parce que cela exige un registre vivant.
Questions fréquentes
Les questions qui reviennent à la première réunion
En quoi est-ce différent de l'audit interne et de la conformité ?
L'audit vérifie si ce qui a été convenu est fait. La conformité surveille le respect des obligations. Le risque traite de ce qui peut arriver bien que cela ne soit pas encore arrivé - c'est pourquoi c'est le seul des trois qui travaille sans preuve tangible.
Ce poste survivra-t-il si le registre se met à jour tout seul ?
Le registre se met à jour depuis des signaux, mais apprécier la probabilité et l'impact est un jugement - et ce jugement est ce poste. Nous prenons le recueil, les relances d'actions et l'assemblage du rapport pour une revue. Un spécialiste qui ne passe pas deux semaines à préparer de la matière travaille sur les risques que personne n'a encore nommés.
Cela relève-t-il du règlement sur l'IA ?
La gestion des risques n'est pas un usage à haut risque. Le seul point demandant de la prudence est que les signaux sur des événements ne s'additionnent pas en une évaluation des personnes responsables de domaines - nous tenons le registre par processus plutôt que par personne.
Une question qui ne figure pas ici ? Réservez un appel
Étape suivante
Combien d'entrées de votre registre des risques n'ont aucune action affectée ?
Nous vous montrerons à quoi ressemble la gestion des risques quand le registre est alimenté par des événements et qu'une appréciation a sa motivation consignée.