ARCHIVÉ - Gestion intégrée du risque - Guide de mise en oeuvre

Cette page a été archivée.

Démarrage—Obtenir et maintenir l'appui de la haute direction

Il s'agit ici de développer la volonté et la capacité nécessaires au changement, de diriger l'initiative et de gérer le changement.

Gérer l'initiative—Principaux facteurs de réussite

La mise en oeuvre d'une approche intégrée de la gestion du risque exige un effort soutenu. La présente section traite des facteurs clés dont doivent tenir compte les champions de la gestion du risque des ministères et organismes, les cadres supérieurs et les autres intervenants pour planifier cette mise en oeuvre. Que le processus soit amorcé depuis un certain temps ou qu'il débute à peine, la manière d'aborder ces facteurs et la façon dont on établit et corrige le cap ont une incidence marquée sur la rapidité et le succès de la mise en oeuvre.

Il faut reconnaître dès le départ que l'organisation amorce un changement culturel important en passant d'une approche verticale à une autre plus horizontale. Le niveau de préparation, c'est-à-dire l'étape où l'organisation est rendue et sa capacité de changement, affecte la rapidité et la profondeur de ses progrès. Il faut emprunter et utiliser les leçons et les pratiques de la gestion du changement pour développer la volonté et la capacité nécessaires au changement.

Étudions, par exemple, les concepts et les stratégies énoncés dans Changer la culture de gestion : Modèles et stratégies pour la réalisation, publié par le SCT en mars 2003. Ce document met l'accent sur la modernisation de la fonction de contrôleur, mais son approche est générale et vaut pour tout effort de changement de la culture de gestion à l'appui de la modernisation et du regain d'excellence dans la fonction publique. En outre, le rapport du Conference Board du Canada de 2001, intitulé Integrating Risk Management Through a Change Management Process, montre comment les initiatives de changement franchissent une série d'étapes. Il décrit comment la gestion du changement peut nettement favoriser l'élaboration, la mise en oeuvre et le maintien d'un programme de gestion intégrée du risque adapté à l'organisation.

Il faut aussi reconnaître qu'il y aura des coûts d'amorce (temps, énergie, formation, systèmes et communications) jusqu'à ce que la pratique de cette approche fasse partie intégrante des processus administratifs et de planification du ministère.

Sensibiliser davantage la haute direction et discuter du niveau de préparation et des rôles de l'organisation

Amorcer le dialogue sur le risque

Au départ, la haute direction doit s'entendre sur ce qu'est la gestion intégrée du risque et sur ce qu'elle signifie précisément pour l'organisation. De nombreux ministères et organismes ont amorcé ou terminé l'évaluation des capacités de la fonction de contrôleur², et la mise en oeuvre de la gestion intégrée du risque fait sans doute partie intégrante de la réponse ou du plan d'action de l'organisation visant à promouvoir le programme de gestion moderne. Puisque la gestion intégrée du risque doit faire partie d'un processus décisionnel existant, il importe d'examiner dès le départ comment en assurer la concordance avec les autres initiatives et priorités de l'organisation. Les discussions initiales tiendront également compte de facteurs comme le niveau de préparation de l'organisation, la capacité de changement, le rôle de la haute direction, y compris celui du champion de la gestion intégrée du risque, ainsi que de l'emplacement, du soutien et des ressources de ce dernier.

Compréhension et appui de la haute direction

L'administrateur général et la haute direction donnent le ton. La participation des cadres supérieurs signale l'engagement de l'organisation, et leur appui soutenu est déterminant pour la mise en oeuvre. Ils doivent comprendre la gestion intégrée du risque et sa contribution potentielle à la réalisation des objectifs de l'organisation. Les cadres attentifs aux risques comprennent les principaux risques encourus par l'organisation et la façon dont ils sont gérés à l'échelle de cette dernière et de leur secteur de responsabilité. Ils comprennent en outre l'interdépendance et les liens entre les différents types de risque, la source et le niveau de contrôle du risque, de même que les occasions d'innover à l'intérieur des limites d'une prise de risque responsable.

Il serait bon que les cadres supérieurs connaissent la teneur du CGIR, de même que les rapports et les consignes sur la gestion du risque élaborés par le Bureau du Conseil privé et le Centre canadien de gestion (CCG). On peut également davantage les sensibiliser au risque au moyen de séances d'information, de colloques, de retraites et de cours formels comme ceux offerts par le CCG.

Pour obtenir des renseignements sur lesquels fonder les séances d'information des membres de la direction, les fonctionnaires du ministère voudront sans doute consulter le Centre d'expertise sur la gestion du risque du SCT à propos des concepts énoncés dans le CGIR, la philosophie de la gestion intégrée du risque et l'état d'avancement de sa mise en oeuvre à l'échelle du gouvernement. Il importe également de s'adresser à d'autres ministères et organismes ou de consulter des sources externes dont les intérêts ou le cadre opérationnel sont semblables.

Désigner un champion de la gestion du risque

Leadership de la direction—Cerner les rôles clés. Un leadership solide est essentiel. L'administrateur général et le champion de la gestion du risque de la haute direction doivent obtenir l'appui de l'ensemble des cadres, qui légitimeront et sanctionneront la mise en oeuvre de la gestion intégrée du risque par leurs paroles et leurs gestes. Cela peut se faire de maintes façons à mesure de la mise en oeuvre de la gestion intégrée du risque de l'organisation.

Le champion choisi doit être un partisan enthousiaste et compétent de la gestion intégrée du risque. Il doit être en mesure de démontrer comment la gestion intégrée du risque aidera la direction à réaliser les objectifs de l'organisation à court terme et à mieux positionner l'organisation en prévision de l'avenir, et comment diffuser ces avantages à grande échelle. Il lui faut tenir compte du niveau actuel de sensibilisation de la direction et de son engagement à l'égard de la gestion intégrée du risque, ainsi que du rôle que les cadres supérieurs joueront pour la concrétiser en dirigeant, en appuyant et en faisant connaître les progrès.

L'option la plus efficace consiste sans doute à confier la mise en oeuvre de la gestion intégrée du risque à l'administrateur général, mais il est aussi fréquent de s'adresser à l'administrateur général adjoint du service de la planification stratégique ou opérationnelle, par exemple, ou de la direction des services ministériels. Le champion de la gestion du risque n'est pas une figure de proue. La mise en oeuvre de la gestion intégrée du risque signifie un changement important pour l'organisation et requiert du champion de faire preuve de leadership pour montrer la valeur du changement et susciter l'enthousiasme et l'engagement à l'égard d'une vision commune.

Il faut du temps et des efforts pour parvenir à un certain rythme, former les gestionnaires et les spécialistes et mettre au point des outils et des processus de qualité. On peut envisager, dans un premier temps, d'investir pour doter le champion de ressources appropriées comme l'accès à la direction, des ressources humaines et des fonds. Par exemple, on peut former un groupe de spécialistes pour fournir de l'expertise et promouvoir une approche systématique à la gestion intégrée du risque. Il peut s'agir d'un groupe d'experts (p. ex., le service des finances ou de la vérification interne) et migrer au besoin (p. ex., vers la planification stratégique). Le groupe peut orienter et coordonner l'intégration de la gestion du risque à la planification et l'établissement des priorités de l'organisation, en plus de fournir des consignes sur des processus communs visant à établir les priorités de secteurs nettement à risque, d'attribuer les ressources et d'évaluer le contexte opérationnel de l'organisation. Les organisations privées d'une source interne d'expertise sur la gestion intégrée du risque collaborent souvent avec un expert-conseil ou un praticien de l'extérieur.

Créer ou utiliser une tribune de haut niveau présidée par l'administrateur général

Une tribune de haut niveau, nouvelle ou existante, présidée par l'administrateur général, peut diriger et soutenir la gestion intégrée du risque en tenant compte des facteurs de risque, des approches et du rendement de l'ensemble de l'organisation. Pour ce faire, les organisations font de la gestion intégrée du risque un point permanent à l'ordre du jour du comité existant présidé par l'administrateur général ou en faisant du comité de direction un comité ministériel de gestion du risque. Les premiers échanges permettent de faire le point sur la culture et les connaissances de la haute direction en matière de risque, et donnent l'occasion au champion de la gestion du risque de cerner où des alliances peuvent être conclues et où il faut déployer des efforts supplémentaires pour s'entendre sur les modalités, les buts et les objectifs. À mesure que les pratiques de l'organisation viendront à maturité, les discussions porteront sur la stratégie de mise en oeuvre et son déroulement compte tenu des éléments nettement à risque de l'organisation. Le comité de vérification ministériel, de par son mandat primaire de surveillance, effectuerait également un examen des stratégies et pratiques ministérielles de gestion du risque.

Pour appuyer le processus décisionnel et le rôle consultatif de la haute direction, les grands ministères créent ou utilisent habituellement un groupe de travail ministériel (au niveau de directeur général, de directeur ou d'agent supérieur) pour fournir des propositions et des conseils sur les approches ministérielles, les plans de mise en oeuvre, les systèmes et les pratiques. C'est une occasion d'accroître le niveau de sensibilisation au sein de l'organisation et de communiquer l'importance de la pratique, tout en améliorant les liens horizontaux, en renforçant l'esprit d'équipe et en développant un sentiment collectif d'appartenance.

Évaluer le niveau de préparation et les rôles de l'organisation

Les approches utilisées pour la mise en oeuvre doivent reconnaître que le souci du risque imposera des exigences à un effectif qui oeuvre déjà dans un contexte caractérisé par le changement. Il est essentiel d'évaluer le niveau de préparation pour que la gestion intégrée du risque soit compatible avec les initiatives de gestion déjà en marche et prenne appui sur les systèmes et les processus en place. Cette étape contribuera également à une meilleure gestion de l'inconfort des gens face au changement et peut les aider à aller au-delà de la simple conformité et à adopter l'objetif sous-jacent (on trouvera d'autres consignes sur les rôles à l'annexe A). On trouvera ci-après quelques indicateurs utiles à l'évaluation du niveau de préparation.

Évaluation des capacités pour l'Initiative de modernisation de la fonction de contrôleur. Cette évaluation des capacités fournit des résultats utiles couvrant une gamme d'initiatives de gestion complémentaires. On peut utiliser les résultats pour relier la gestion intégrée du risque aux initiatives de modernisation de la fonction de contrôleur déjà en cours. Les résultats de l'évaluation, combinés à d'autres rapports de gestion et données sur le rendement, devraient servir à identifier les priorités d'amélioration des ministères et à élaborer des plans d'action pour y donner suite. Les priorités dépendront des circonstances de chaque ministère, des secteurs d'activité, des besoins des clients et d'autres considérations.

L'effectif et la culture organisationnelle. Pour évaluer le niveau de préparation, plusieurs éléments peuvent servir de points de départ. Ces derniers sont examinés de façon plus poussée à mesure que la mise en oeuvre progresse. Ainsi, les organisations peuvent tenir compte de la culture organisationnelle existante et la façon dont cette culture doit changer. Il faut considérer la réaction des employés et la façon dont l'organisation les aidera à réussir malgré leur inconfort face au changement. Cet état de chose dépend notamment de la mesure où la gestion du risque fait déjà partie de la planification stratégique ou opérationnelle et des opérations, par exemple si les plans actuels précisent les sources de risque, ainsi que de la définition et de la connaissance des risques stratégiques, opérationnels et financiers importants. Il dépend aussi de la sensibilisation du personnel aux risques et de sa capacité de les gérer, de même que de l'existence de systèmes et de protocoles leur permettant de réagir aux menaces potentielles, aux possibilités ou aux événements à risque.

Connaissances et systèmes existants. Pour évaluer le niveau de préparation, il faut tenir compte de la possibilité d'utiliser les comités, les systèmes et les processus existants (comités de direction et opérationnels, et processus de planification et de rapports). Certaines organisations utilisent déjà, en totalité ou en partie, un vocabulaire et un cadre communs de gestion du risque. Si c'est le cas, il faut prendre appui sur leur compréhension du risque et de sa gestion. Il peut être utile de transférer cette connaissance et ces compétences. Faites passer le test à la culture et au système en place : les politiques et les conseils aux ministres tiennent-ils compte de la gestion du risque? Refuse-t-on d'approuver les plans s'ils n'abordent pas la gestion du risque?

Élaborer et communiquer un plan d'action

Il faut élaborer et communiquer un plan d'action pour mettre en oeuvre la gestion intégrée du risque. Le plan doit inclure le contexte opérationnel, l'approche, les priorités, les résultats souhaités, les mesures de rendement, les activités, les responsabilités et les échéanciers. La démarche de mise en oeuvre doit convenir à la culture de l'organisation et s'appuyer sur une évaluation du niveau de préparation et des rôles de l'organisation, à laquelle s'ajoutent les conseils de l'équipe de direction.

Le champion de la gestion du risque dirige la préparation du plan d'action du ministère ou de l'organisme. Puisque la mise en oeuvre se déroule par étapes dans un effort ciblé, chaque étape engendrant une quantité appréciable d'information et nécessitant d'importantes décisions, le plan doit être mis à jour et des détails ajoutés au fil des progrès réalisés.

En collaboration avec le Conseil de mise en oeuvre du CGIR, le SCT a établi le Modèle pour l'élaboration des plans d'action pour la mise en oeuvre du Cadre de gestion intégrée du risque par les ministères et organismes fédéraux. Ce modèle s'inspire du modèle de plan d'action pour l'Initiative de modernisation de la fonction de contrôleur, qui est disponible sur la page du site Web du SCT traitant de la gestion du risque. Il propose un plan d'action en six volets :

1. contexte et renseignements généraux
2. approche et priorités
3. liens avec le CGIR
4. responsabilisation pour la gestion intégrée du risque
5. défis
6. calendrier de mise en oeuvre du plan

Comme il est décrit dans les paragraphes suivants, le plan d'action doit fournir une orientation, tenir compte des défis courants de mise en oeuvre et cerner les domaines où il est le plus utile de concentrer les premiers efforts.

Consultation et communication. Le champion de la gestion du risque veille à la tenue de consultations au sujet du plan d'action, et à la communication à l'échelle de l'organisation du plan final approuvé par l'équipe de direction. Les activités de communication peuvent prendre maintes formes et doivent à tout le moins articuler la vision, les objectifs et les attentes à l'égard de la mise en oeuvre de la gestion intégrée du risque. Les consignes doivent être compatibles avec les structures et les processus décisionnels existants et communiquer les objectifs de mise en oeuvre (et les échéanciers, selon le cas). Il faut encourager les commentaires lors de l'élaboration des consignes, et employer un vocabulaire commun sur la gestion du risque et des messages uniformes dans toutes les communications.

Défis communs. Les principaux défis recensés à ce jour à la lumière de l'expérience des ministères et des organismes dirigeant la mise en oeuvre se divisent en trois grandes catégories.

Cibles initiales. Les organisations qui ont décidé de mettre en oeuvre la gestion intégrée du risque jugent des plus utiles de concentrer leurs premiers efforts dans trois domaines.