Sommaire
D'où vient COSO
Le COSO (Committee of Sponsoring Organizations of the Treadway Commission) est une initiative d'organisations professionnelles américaines de l'audit, de la comptabilité et de la finance. Il a publié un premier cadre de contrôle interne en 1992, révisé en 2013, puis un premier cadre de gestion des risques de l'entreprise en 2004, entièrement refondu en 2017.
La définition
COSO définit la gestion des risques de l'entreprise comme l'ensemble de la culture, des capacités et des pratiques, intégrées à l'élaboration de la stratégie et à sa mise en œuvre, sur lesquelles une organisation s'appuie pour gérer le risque en créant, en préservant et en réalisant de la valeur.
Trois idées en découlent : le risque se gère au moment où la stratégie est choisie, pas seulement après ; la culture compte autant que les procédures ; et la finalité est la valeur, pas l'absence de risque.
Les 5 composantes et 20 principes
| Composante | Principes |
|---|---|
| Gouvernance et culture | 1. Le conseil exerce une supervision des risques · 2. L'organisation établit ses structures opérationnelles · 3. Elle définit la culture souhaitée · 4. Elle démontre son engagement envers ses valeurs fondamentales · 5. Elle attire, développe et fidélise des personnes compétentes |
| Stratégie et définition des objectifs | 6. Elle analyse le contexte de l'activité · 7. Elle définit son appétit pour le risque · 8. Elle évalue des stratégies alternatives · 9. Elle formule ses objectifs opérationnels |
| Performance | 10. Elle identifie les risques · 11. Elle évalue leur gravité · 12. Elle les hiérarchise · 13. Elle met en œuvre des réponses · 14. Elle développe une vue de portefeuille |
| Revue et révision | 15. Elle évalue les changements importants · 16. Elle revoit risques et performance · 17. Elle cherche à améliorer sa gestion des risques |
| Information, communication et reporting | 18. Elle tire parti de l'information et de la technologie · 19. Elle communique l'information sur les risques · 20. Elle rend compte des risques, de la culture et de la performance |
COSO ERM ou COSO contrôle interne ?
Les deux cadres sont complémentaires :
- Le COSO contrôle interne (2013) vise à donner une assurance raisonnable sur trois catégories d'objectifs : les opérations, le reporting et la conformité. Il repose sur cinq composantes : l'environnement de contrôle, l'évaluation des risques, les activités de contrôle, l'information et la communication, et le pilotage.
- Le COSO ERM (2017) est plus large : il intègre le risque à la stratégie et à la performance de l'ensemble de l'organisation.
Le contrôle interne est donc un élément du dispositif de gestion des risques, pas un synonyme.
Appliquer COSO à la conformité
En 2020, le COSO et la SCCE ont publié un guide qui applique chacun des 20 principes à la gestion du risque de conformité. Il montre qu'un programme de conformité et d'éthique efficace n'est pas une fonction à part : il s'inscrit dans la gouvernance, la stratégie et la mesure de la performance. Voir la culture de conformité.
Par où commencer dans une entreprise marocaine
- Partir de la stratégie : lister les trois à cinq objectifs majeurs de l'année.
- Identifier les risques qui menacent chacun d'eux, avec les opérationnels.
- Évaluer et hiérarchiser ces risques selon leur gravité et leur probabilité.
- Définir l'appétit pour le risque et le faire valider par la direction ou le conseil. Voir l'appétit au risque.
- Choisir les réponses (accepter, réduire, transférer, éviter) et nommer un responsable par risque.
- Rendre compte régulièrement au conseil, avec quelques indicateurs clés.
À lire aussi
- 4 min de lecture
- 4 min de lecture
- 3 min de lecture
Questions fréquentes
Combien de principes compte le COSO ERM ?
Le cadre COSO ERM de 2017 compte vingt principes, répartis en cinq composantes : gouvernance et culture, stratégie et définition des objectifs, performance, revue et révision, et information, communication et reporting.
Quelle est la différence entre COSO ERM et COSO contrôle interne ?
Le COSO contrôle interne (2013) vise une assurance raisonnable sur les opérations, le reporting et la conformité. Le COSO ERM (2017) est plus large et relie la gestion des risques à la stratégie et à la performance de toute l'organisation.
Le COSO est-il obligatoire au Maroc ?
Non, c'est un référentiel volontaire. Il est cependant largement utilisé par les auditeurs, les banques et les grandes entreprises, et il aide à répondre aux attentes des codes de gouvernance et des régulateurs sectoriels.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (2)
- COSO (2017). Enterprise Risk Management — Integrating with Strategy and Performance.
- COSO (2013). Internal Control — Integrated Framework.