Externalisation d'une mission d’audit interne pour une banque de référence sur la place

Contexte et objectifs

Depuis 10 ans, la Banque déploie un dispositif de gestion des risques opérationnels dans l’ensemble de ses lignes d’activités et dans l’ensemble des structures de son réseau. A cette fin, elle a construit un référentiel de gestion des risques qui est supporté par un système d’information dédié.

Conformément aux bonnes pratiques en matière de risk management, la Banque a planifié une mission d’audit de son dispositif de gestion des risques opérationnels. Afin d’en garantir la totale indépendance, elle a décidé d’externaliser cette mission et l’a confiée à Tuillet Risk & Management. Nous sommes donc intervenus pour la Direction de l’Audit Interne de cette structure afin de procéder à cette évaluation indépendante.

Démarche

Cette intervention a été structurée en deux grandes phases :

- Une phase d’audit interne (conformément aux normes professionnelles de l’audit interne de l’IFACI),

- Une phase de benchmark des pratiques en la matière.

Concernant la première phase, celle-ci a été structurée autour de 4 axes de travail :

- La pertinence du référentiel mis en œuvre,

- L’efficacité du déploiement dans les fonctions centrales et dans le réseau,

- Le rôle de la fonction risques dans le dispositif,

- La qualité et l’utilisation des cartographies des risques produites.

Pour réaliser ces travaux, Tuillet Risk & Management s’est appuyé sur son propre modèle de système de gestion des risques qui intègre à la fois les volets techniques de cartographie et management des risques, mais également les dimensions organisationnelles et systèmes d’information.

Les investigations ont à la fois porté sur l’appropriation et la fiabilité de mise en œuvre des processus de gestion des risques ainsi que sur la qualité des informations délivrées par ces processus et leur utilisation par les différentes instances de gouvernance de l’établissement.

Concernant le benchmark, il a été réalisé au regard à la fois des pratiques d’autres banques centrales (européennes et américaine) et d’entreprises d’autres secteurs d’activité.

Cette mission, conduite suivant une méthodologie répondant aux exigences des normes professionnelles IFACI, a fait l’objet d’un rapport validé selon une procédure contradictoire et permettant la formulation de recommandations pour renforcer encore le dispositif de gestion des risques opérationnels.