Il existe un lien étroit entre la gestion des risques et la gestion des politiques. Les politiques et les meilleures pratiques de gestion qui leur sont associées ne peuvent réussir que si l'entreprise dispose d'un ensemble clair d'objectifs et a identifié les menaces ou les risques liés à la réalisation (ou à la non-réalisation) de ces objectifs.
Une fois qu'un risque a été défini et compris, les organisations n'ont en réalité que quatre façons fondamentales de le gérer :
- Éviter - Empêcher totalement le risque de se produire et mettre en place un plan pour s'assurer qu'il ne se produira jamais.
- Transfert - Transférer la responsabilité à quelqu'un d'autre, par exemple l'assurance.
- Atténuer - Concevoir des actions pour que le risque devienne moins problématique s'il se produit.
- Accepter - Décider activement de ne rien faire (peut-être que le coût des mesures d'atténuation l'emporte sur l'impact).
Les politiques (et les procédures) sont des contrôles ou des plans spécifiques mis en place pour atténuer les risques ou les éviter complètement. C'est de là que vient le lien entre la gestion des risques et la gestion des politiques. En fin de compte, les politiques et les procédures sont responsables de la définition de la culture du risque de l'organisation. Les politiques et les procédures fournissent le cadre de l'éthique, des valeurs et des actions que l'organisation attend de ses employés.
C'est en ne comprenant pas cette relation intrinsèque que beaucoup d'entreprises échouent, tant dans la gestion des risques, des politiques et des procédures que dans l'instauration d'une véritable culture de l'éthique et de la conformité qui imprègne l'ensemble de l'organisation, du sommet à la base.
Absence de définition des objectifs et des risques
Les organisations qui échouent dans ce domaine le font souvent parce que leurs objectifs ou les risques associés n'ont pas été définis. Il en résulte un effet d'entraînement dans la création de ce que l'on a appelé les "politiques ad hoc" ou les "politiques malhonnêtes". Les politiques créées de manière ad hoc, c'est-à-dire qui ne sont pas alignées sur les objectifs ou les risques définis, peuvent souvent entraver une organisation et l'exposer à des risques.
C'est un problème qui survient lorsque la gestion des risques, des politiques et des procédures n'est pas prise au sérieux, et c'est un piège dans lequel les organisations peuvent facilement se retrouver, souvent sans se rendre compte de l'augmentation de l'exposition.
Ces ad hoc Si elles ne sont pas contrôlées, les politiques de l'UE finiront inévitablement par compliquer à l'excès les activités et par exposer davantage l'organisation, parce qu'elles ne sont pas rédigées en fonction d'objectifs organisationnels clairs. Même si les ad hoc Les politiques peuvent être rédigées pour faire face à un risque spécifique, mais il n'est pas nécessaire d'en tenir compte dans l'élaboration des politiques. Il est pratiquement impossible d'évaluer leur efficacité sans comprendre quels sont les objectifs de l'organisation. L'un des principaux objectifs des pratiques de gestion des risques est d'établir les niveaux de tolérance au risque et l'appétit global de l'organisation pour le traitement des risques.
L'existence de pratiques solides de gestion des risques et des politiques signifie que ces niveaux de tolérance sont établis et que les attentes en matière de contrôles et de politiques sont comprises. Ce n'est qu'à ce moment-là que l'on peut mesurer avec précision l'efficacité des politiques. La mesure de l'efficacité des politiques devrait impliquer l'évaluation du processus de gestion des politiques dans son ensemble. Pour que les services d'audit interne puissent effectuer des évaluations correctes, ils doivent disposer d'une visibilité totale sur les processus mis en œuvre. Les processus sont eux-mêmes une autre forme de contrôle, et dans ce cas, il s'agit d'un contrôle de la gestion des contrôles.
Nouvelles lignes directrices pour la conformité des entreprises
La gestion du cycle de vie des politiques et des procédures fondée sur les meilleures pratiques complète un solide processus de gestion des risques et fonctionne de concert avec lui. Dans le cadre d'une évaluation de contrôle, lorsqu'elles prennent des mesures pour mesurer l'efficacité d'une politique, les organisations doivent régulièrement mesurer la compréhension des politiques par les employés.
L'établissement de ces mesures et la mise en œuvre de mécanismes qui servent d'indicateurs clés pour l'identification de lacunes potentielles ou d'écarts de comportement apportent deux choses à l'organisation :
- Elle fait passer l'organisation à un état proactif.
- Il renforce la légitimité du programme global de conformité de l'organisation.
C'est pourquoi la gestion des politiques et des procédures fondée sur les meilleures pratiques est si importante pour prouver la conformité et rester défendable. Elle montre que les risques sont pris au sérieux et que les contrôles et les politiques en place ont un objectif précis. Ils sont activement mesurés et font l'objet d'une évaluation continue dans le paysage changeant où opère l'entreprise.
Le ministère de la Justice a récemment mis à jour les lignes directrices qu'il utilise pour évaluer l'efficacité des programmes de conformité des entreprises. Il n'est pas surprenant de constater que de larges portions de ce guide sont spécifiquement liées à la gestion des risques et des politiques.
Gestion des politiques pour répondre à un nouvel ensemble de règles
La granularité des détails que les régulateurs recherchent dans ces domaines est quelque chose qui a peut-être été reconnu par divers experts du secteur, mais le DOJ met clairement un pied dans le sol et vous dit exactement les critères qu'ils utiliseront. Cette granularité est désormais la règle plutôt que l'exception, et les organisations doivent s'attendre à ces questions au minimum lorsqu'elles tentent de prouver que leurs programmes de conformité sont solides.
Pour que la gestion des risques et la gestion des politiques soient couronnées de succès, elles doivent toutes deux faire l'objet d'une évaluation et d'une gestion constantes, et il est important qu'elles soient abordées de manière holistique. La relation entre les deux, et l'alignement des processus pour les gérer, joueront un rôle crucial dans la façon dont une organisation restera défendable et s'acquittera constamment de ses obligations en matière de conformité.
Laissez la technologie vous aider en prenant en charge les complexités manuelles, afin que vous puissiez vraiment vous concentrer sur les personnes de votre organisation et sur la qualité de votre programme de conformité.
