Please enable JavaScript.

Coggle requires JavaScript to display documents.

COSO: Le COSO est un référentiel de contrôle interne défini par le…

- - - - Le contrôle interne est un processus
      - Le contrôle interne doit procurer l’assurance raisonnable (mais non absolue) d’un management et d’une direction respectueuse des lois.
      - Le contrôle interne est adapté à la réalisation effective des objectifs.
    - - l'environnement de contrôle, qui correspond, pour l'essentiel, aux valeurs diffusées dans l'entreprise ;
        
        Intégrité
        
        Fonctionnement de l'entreprise
        
        Gestion des RH
      - l'évaluation des risques à l'aune de leur importance et fréquence ;
      - les activités de contrôle, définies comme les règles et procédures mises en œuvre pour traiter les risques, le COSO imposant la matérialisation factuelle des contrôles ;
      - l'information et la communication, qu'il s'agit d'optimiser ;
        
        La communication
        
        Interne
        
        Externe
        
        L'information
      - le pilotage, c'est-à-dire le « contrôle du contrôle » interne.
    - - Après les objectifs et composants, le COSO impose de distinguer les structures de l'entreprise (sociétés, entités, fonctions, …).
        La combinaison des trois objectifs, des cinq composants et des structures de l'entreprise, vus comme trois axes d'analyse distincts, constitue ce qui est appelé le cube COSO.
    - - l'efficacité et l'efficience des opérations,
      - la fiabilité des informations financières,
        
        On notera que ces objectifs correspondent en grande partie aux préoccupations des investisseurs.
      - la conformité aux lois et règlements.
- - - - Il apparaît que le COSO 2 inclut les éléments du COSO 1 au travers du troisième point et le complète sur le concept de gestion des risques. Le COSO 2 est basé sur une vision orientée risques de l’entreprise.
        
        Identifier les événements potentiels pouvant affecter l’organisation,
        
        maîtriser les risques afin qu’ils soient dans les limites du « Risk Appetite (appétence au risque)» (cf. ci-dessous) de l’organisation,
        
        fournir une assurance raisonnable quant à la réalisation des objectifs de l’organisation.
  - - - Le COSO 2 s’applique à l’ensemble de l’entreprise, aussi bien au niveau le plus haut (« entité ») qu’au niveau opérationnel (« business unit »). Mais pour appliquer le COSO 2 avec succès, il faut prendre en compte l’ensemble du périmètre des activités d’une organisation. Le COSO 2 considère les activités à différents niveaux de l’organisation
        
        Au niveau de l’organisation (« entity ») pour des activités telles que la planification stratégique ou l’allocation des ressources,
        
        Au niveau des unités de métier (« business unit ») pour des activités telles que le marketing, et les ressources humaines,
        
        Au niveau des processus métier (« business process ») pour des activités telles que la production, les achats,
        
        Et aussi aux niveaux des projets ou initiatives qui n’ont pas encore de place définie dans la structure de l’organisation.
    - - Il est demandé à l’organisation d’avoir une vision de ses risques sous forme d’un portefeuille. Ce portefeuille doit caractériser les risques à chaque niveau de l’organisation. La compilation du portefeuille permet donc d’avoir une vision globale des risques de l’organisation. Cette vision pourra alors être rapprochée de l’ « appétence au risque » définie pour l’organisation.
        De plus, la compilation du portefeuille de risques permet au management
        
        de mettre en évidence des risques qui peuvent être tolérés au niveau d’une unité mais qui en s’additionnant ne seraient plus dans les limites de l’ « appétence au risque » définie pour l’organisation.
        
        d’appréhender des événements potentiels (au niveau global) plutôt que des risques et donc de mieux comprendre comment les risques interagissent entre eux au niveau de l’organisation. Par exemple, une baisse des taux d’intérêt pourrait affecter positivement le coût du capital mais négativement les produits de taux.
    - - Un objectif stratégique est un objectif « high-level », qui soutient et concourt à la mission/vision de l’organisation. Les objectifs stratégiques reflètent les choix du management quant à la recherche de création de valeur par l’organisation pour ses actionnaires.
        Les trois autres types d’objectifs : opérationnel, reporting, et réglementaire, sont dépendants des objectifs stratégiques. Ils sont appelés les « related » objectifs. Par exemple, pour une organisation, il s’agira de définir
        
        Quelle est sa mission/vision,
        
        Quels sont les objectifs stratégiques soutenant cette mission/vision,
        
        Quelle est la stratégie à mettre en œuvre pour atteindre ces objectifs stratégiques,
        
        Et en déduire les « related » objectifs qui soutiennent la stratégie mise en œuvre.
    - - L’axe « éléments de contrôles», qui devient « éléments de gestion des risques », a été légèrement modifié et surtout enrichi : L’élément environnement de contrôle est complété de la notion d’ « appétence au risque »
        
        L’élément évaluation des risques est éclaté en quatre éléments dont les notions existaient déjà dans le COSO 1 mais sous forme moins détaillée : définition d’objectifs, Identification des événements, Évaluation des risques, Réponse aux risques,
        
        L’élément activités de contrôle reste inchangé,
        
        L’élément Information et Communication est complété des notions de temps et de granularité de l’information,
        
        L’élément pilotage reste inchangé.
    - - L’élément environnement interne reprend les notions de l’élément environnement de contrôle du COSO 1 : importance des individus (compétence, éthique), du style de management, de la délégation des responsabilités,…
    - - Définition d’objectifs
        
        Identification des événements
        
        Évaluation des risques
        
        Réponses aux risques
        
        Activités de contrôle
    - - a nécessité de considérer que les informations sont issues des événements passés, présents et futurs. Cette vision doit notamment permettre :
        
        une comparaison des performances de l’organisation (passées, et potentielles futures) et l’identification des évolutions et tendances de l’activité de l’organisation,
        
        l’aide à la détection des potentiels événements futurs qui affectent le profil de risques actuel de l’organisation, ce profil de risques devant donc être rapproché de l’ « appétence au risque ».
        
        la nécessité de s’assurer que la granularité des informations (niveau de détail et périodicité), est suffisante pour identifier, analyser, et répondre aux risques et ainsi rester dans les limites de son « appétence au risque ».
        
        De plus, COSO 2 insiste sur le concept de présentation de l’information pour communiquer, i.e. l’information doit être communiquée sous une forme adaptée en fonction de l’interlocuteur destinataire.
  - - - Le COSO 2 souligne l’importance de la prise de responsabilité dans une entreprise et détaille ce qu’elle recouvre pour chacun des acteurs.
        
        Un nouveau rôle apparaît: le « Risk officer »
        
        Le rôle du board of directors est plus étendu que dans le COSO1.
      - Niveau 1: Opérationnelles
        
        Niveau 2: Fonction filière risque
        
        Niveau 3: Audit-inspection
        
        Niveau 4: Organe délibérant / Organe exécutif
      - Le Board of directors supervise avec attention la gestion des risques
        
        Il connaît le périmètre de couverture efficace de gestion des risques mis en place par le management de l’organisation,
        
        Il connaît et est en accord avec le « Risk appetite » de l’organisation,
        
        Il revoit le portefeuille de risques et effectue son rapprochement avec le « Risk Appetite »
        
        Il est informé des risques les plus significatifs et de la pertinence de la prise en charge de ces risques.
    - - Le Risk Officer (RO) travaille avec les autres responsables afin de les aider à mettre en place une gestion efficace des risques pour leur périmètre de responsabilité. Sans être exhaustif, ses attributions pourraient être
        
        l’élaboration de procédures de gestion des risques (incluant les rôles, responsabilités),
        
        l’élaboration d’un langage commun de gestion des risques (uniformisation des mesures de probabilité et d’impact, des catégories de risques..),
        
        l’accompagnement des managers dans l’élaboration de leur réponse aux risques (aide directe, formation…),
        
        la supervision des managers pour l’élaboration des tolérances de risques,
        
        l’accompagnement des managers pour l’établissement des activités de contrôles,
        
        la supervision du processus de reporting de gestion des risques,
    - - De la même manière que dans COSO 1, ceux-ci n’ont pas la responsabilité première de la mise en œuvre de COSO 2. Par contre, ils ont un rôle prépondérant dans l’évaluation du système de gestion des risques.
    - - Ceux-ci travaillent au niveau « entité ». Ils donnent une opinion sur la constitution des états financiers. L'approche moderne pour se prononcer sur les états, consiste en l'évaluation du système de contrôle interne suivant les normes de travail de l'audit.