Ce qu'il faut savoir sur le cadre COSO ERM

Les entreprises qui s'adaptent à l'évolution constante du paysage de la gestion des risques sont celles qui ont le plus de chances de réussir. 

L'étude 2022 Global Risk Survey de PWC révèle que les organisations qui considèrent la gestion des risques comme une capacité organisationnelle stratégique sont deux fois plus susceptibles de s'attendre à une croissance de leur chiffre d'affaires de 11 % ou plus au cours de l'année suivante.

De solides capacités de gestion des risques aident à protéger une organisation contre les risques négatifs, ce qui lui permet de se tourner vers l'avenir et de prendre des risques appropriés pour poursuivre sa croissance. Tout le monde y gagne.

Pour que la gestion des risques soit à la fois efficace et efficiente, elle doit être structurée. 

C'est là que le cadre COSO ERM entre en jeu.

Qu'est-ce que le cadre COSO ERM ?

COSO est l'acronyme de Committee of Sponsoring Organizations of the Treadway Commission (Comité des organisations de parrainage de la Commission Treadway). 

ERM signifie Enterprise Risk Management (gestion des risques de l'entreprise).

Le cadre COSO ERM est l'une des deux normes les plus utilisées par les entreprises pour gérer les risques commerciaux. 

L'autre est la norme ISO 31000.

Bref historique du cadre COSO ERM

Le cadre a une longue histoire qui remonte aux années 1980.

À la suite de faillites spectaculaires d'entreprises dans les années 1970 et 1980, dont le défaut de paiement de 2,25 milliards de dollars d'obligations municipales du Washington Public Power Supply System, la Commission nationale sur l'information financière frauduleuse a été créée au cours de l'été 1985. 

La commission porterait le nom de son président, l'ancien commissaire de la SEC James C. Treadway, Jr.

La Commission nationale sur l'information financière frauduleuse, communément appelée Commission Treadway, a été parrainée et financée par cinq grandes associations professionnelles ayant leur siège aux États-Unis, dont l'American Institute of Certified Public Accountants (AICPA). 

Un nom approprié allait bientôt être inventé : Le Committee of Sponsoring Organizations of the Treadway Commission (COSO).

L'objectif initial de la Commission Treadway était d'étudier les causes de l'information financière frauduleuse et de formuler des recommandations. Elle a publié sa première norme en 1992. Cette norme s'intitulait Internal Control-Integrated Framework (contrôle interne - cadre intégré).

Toutefois, la demande d'une meilleure gouvernance d'entreprise et de normes de gestion des risques, en particulier après Enron et d'autres scandales financiers, a incité le COSO à créer son cadre intégré de gestion des risques de l'entreprise (Enterprise Risk Management-Integrated Framework) en 2004.

Le COSO a publié en 2013 et en 2017 une version actualisée de la norme ERM Framework, qui met l'accent sur l'intégration de la gestion des risques lors de la conception ou de la mise en œuvre de stratégies organisationnelles. 

Comment le cadre COSO ERM est-il utilisé ?

L'utilisation du cadre COSO ERM exige des organisations qu'elles intègrent la gestion des risques dans chaque processus, chaque département et chaque fibre des opérations de l'entreprise. 

Elle commence au sommet de l'organisation avec les cadres supérieurs et se poursuit jusqu'aux employés débutants. Tous les employés doivent être formés et informés de leur responsabilité en matière de contrôle des risques. Le contrôle des risques n'est pas l'apanage du département de contrôle des risques. Chacun a un rôle à jouer.

De nombreuses entreprises publiques préfèrent le cadre COSO ERM à d'autres, comme ISO 31000, parce que le cadre COSO ERM est plus complet.

Parce qu'il est considéré comme l'étalon-or de la gestion des risques, les entreprises privées peuvent également tirer profit de l'utilisation du cadre COSO ERM pour établir des contrôles financiers internes, y compris la mise en place de services d'audit interne.

Quels sont les cinq éléments du cadre COSO ERM ?

Le cadre COSO ERM divise ses principaux piliers en cinq composantes. 

Bien que ces composantes aient un impact différent sur la gestion des risques, elles sont toutes liées entre elles. Cela signifie que le cadre COSO ERM sera aussi fort que son maillon le plus faible.

Volet 1 : Gouvernance et culture

La gouvernance donne "le ton au sommet" et la culture est liée aux valeurs éthiques de l'entreprise, aux comportements souhaités et à la compréhension du risque. 

La gouvernance et la culture sont souvent considérées comme les plus importantes des cinq composantes du cadre COSO ERM. 

Cette composante se concentre sur les valeurs éthiques de l'organisation, la structure organisationnelle et le recrutement et le maintien de membres d'équipe compétents et honnêtes.

S'il est une leçon que nous avons tirée des échecs spectaculaires d'Enron et de WorldCom, c'est que l'éthique et l'intégrité doivent définir la direction des entreprises.

Volet 2 : Définition de stratégies et d'objectifs

Ce volet met l'accent sur l'alignement de la stratégie globale de l'entreprise sur sa mission, sa vision et ses valeurs fondamentales, ainsi que sur la définition d'objectifs de performance et de gestion des risques. 

Il s'agit de comprendre les processus d'identification, d'évaluation et de réponse aux risques, de définir l'appétit pour le risque et de planifier des objectifs commerciaux alignés sur la stratégie globale.

Volet 3 : Performance

Il s'agit de mettre en œuvre la stratégie et les objectifs du volet 2, y compris l'identification et la hiérarchisation des risques, la mise en œuvre des réponses aux risques et l'établissement de rapports sur les performances. 

La mesure des performances, l'identification des risques et l'établissement de priorités sont des aspects essentiels de ce volet.

Volet 4 : Examen et révision

Ce volet concerne l'adaptation et l'amélioration des pratiques de gestion des risques au fil du temps. 

Il s'agit d'évaluer les changements substantiels et d'examiner les capacités de gestion des risques pour s'assurer qu'elles sont alignées sur les objectifs de l'organisation et qu'elles fonctionnent efficacement.

Volet 5 : information, communication et rapports

Cette composante se concentre sur le flux continu d'informations qui soutient la gestion des risques dans l'ensemble de l'organisation. 

Il comprend les technologies de l'information, la communication d'informations sur les risques et les rapports sur les risques, la culture et les performances.

Quels sont les avantages et les limites du cadre COSO ERM ?

Si le cadre COSO ERM présente de nombreux avantages, il a aussi ses limites. Voici un résumé des deux extrémités du spectre.

L'importance de la gestion des risques

S'il est facile de négliger l'importance de la gestion des risques, un seul risque non maîtrisé peut faire des ravages. 

Regardez la chute de Blockbuster Video. Son incapacité à s'adapter aux nouvelles technologies (par exemple, Netflix et le streaming) et à reconnaître l'évolution des préférences des consommateurs a conduit à la domination du secteur par ses concurrents et à la faillite inévitable de Blockbuster.

La gestion des risques doit être un pilier central de toute entreprise prospère. Outre l'identification et l'atténuation des risques, la gestion des risques.. :

• Améliore la prise de décision en clarifiant les risques associés aux différentes options
• Protège contre les pertes financières résultant d'événements inattendus tels que les catastrophes naturelles ou les actions en justice.
• Promouvoir la conformité réglementaire, ce qui peut également renforcer la réputation de l'entreprise en tant qu'organisation digne de confiance qui attire et retient les meilleurs talents.
• Offre un avantage concurrentiel par rapport aux concurrents moins bien préparés à l'inattendu, ce qui se traduit par des opportunités de croissance stratégique.

L'avenir du cadre COSO ERM

À l'ère de la rapidité et de la perturbation, le cadre COSO ERM doit évoluer et s'adapter en permanence pour rester utile. 

Les domaines sur lesquels le cadre GRE devra se concentrer à l'avenir sont les suivants :

• L'intégration avec les nouvelles technologies, y compris la façon dont l'IA, la blockchain et l'analyse des données auront un impact sur la gestion des risques.
• L'accent est mis sur la cybersécurité et la confidentialité des données afin d'atténuer les risques et d'établir des réponses en cas de violation.
• Mettre l'accent sur le développement durable et le changement climatique pour gérer les risques environnementaux et les processus d'entreprise durables
• Permettre la personnalisation et la flexibilité pour mieux servir d'autres types et tailles d'entreprises
• Alignement sur d'autres cadres ERM internationaux (comme ISO 31000) afin d'offrir une approche unifiée des risques dans toutes les juridictions.

Le cadre COSO ERM est plus qu'un simple ensemble de lignes directrices et de règles. Il s'agit d'une nécessité stratégique pour rester compétitif, saisir les opportunités et éviter les risques.