Les questionnaires de Contrôle Interne et la cartographie des risques

Les questionnaires de Contrôle Interne sont des outils d’évaluation de la

vulnérabilité de l’organisation. Ils ont été élaborés par l’équipe projet lors de
la phase d’analyse de l’existant et sont enrichis par la matière issue des
séances de créativité. Ils sont également un « prétexte à réflexion » destiné à
identifier les principales mesures de sécurité, réellement efficaces et déjà
mises en œuvre. Pour chaque activité métier recensée dans les unités
étudiées, un questionnaire est donc élaboré. Celui-ci se décline en trois parties
: une partie consacrée à la fonction en général, une partie concernant des
questions spécifiques à l’activité (classées selon les grandes étapes puis les
tâches de l’activité) et une partie audit. En outre, il existe également pour
chaque unité étudiée un questionnaire transversal dit « de management »,
ainsi que d’autres questionnaires qui font appel à des connaissances plus
techniques, pas forcément répandues dans les unités étudiées. Par exemples,
le contrôle d’accès physique, les risques IARD… Le but est de coter et
d’expliquer la vulnérabilité (en utilisant une partie commentaire destinée à
traduire le mode de maîtrise du risque par l’entité) pour chaque question posée
sur un risque connu, à l’aide d’une échelle à 5 niveaux : 4 : Quand la réponse
indique que l’on a conscience du risque, et que celui-ci est inadmissible ou
inacceptable (éventuellement pour une question de principe). Y remédier est
vraiment une action prioritaire. n à faire d’urgence. 3 : Quand la réponse
indique que l’on a conscience du risque et que celui-ci est grave, des actions
correctives sont à mettre en place à moyen terme. n à faire / insuffisant. 2 :
Quand la réponse indique que l’on a conscience du risque et que des
protections suffisantes existent déjà. Les actions à mettre en œuvre ne sont
pas prioritaires. Elles peuvent être envisagées à plus long terme. n fait / non
formalisé / non systématique / satisfaisant. L’analyse des risques

Les actions déjà existantes permettent de maîtriser les risques identifiés. Les
dispositifs en place doivent être suivis et entretenus. n fait / formalisé /
systématique / très satisfaisant. 0 : Quand la réponse indique que les risques
sont bien gérés, par des contrôles exhaustifs, pertinents et récurrents. n non
concerné. La cotation de la vulnérabilité résiduelle pour chaque risque connu
va permettre, non seulement d’élaborer la cartographie des risques de
l’organisation étudiée en identifiant les zones de faiblesse, mais également de
lister les actions à mettre en place pour renforcer le niveau de maîtrise du
Contrôle Interne.