Meilleures pratiques pour mettre en place un cadre de contrôles internes et leur mise en œuvre pratique avec un logiciel spécialisé.
Le terme « contrôles« , utilisé à l’origine dans le domaine GRC (Gouvernance, Risque, Conformité) pour décrire des mécanismes de gestion des risques et de garantie de conformité, est désormais appliqué plus largement à la planification stratégique.
Dans cet article, nous partagerons les meilleures pratiques pour mettre en place des contrôles et leur utilisation pratique.
Introduction aux contrôles internes
Essentiellement, un « contrôle » est un mécanisme de réponse ou de prévention utilisé pour gérer le risque et garantir la conformité.
Exemple de contrôle : « Employé a quitté l’entreprise »
- Plan d’action : Rediriger les e-mails
- Plan d’action : Informer les clients
- Métrique d’efficacité : Connexions désactivées [Fondé sur des preuves]
- Métrique d’efficacité : % de clients informés
- Risque : Perturbation du flux de travail
Composants de contrôle
Les contrôles ont des composants spécifiques :
- Définition du contrôle.
- Mécanismes internes pour s’assurer que le contrôle fonctionne correctement (mesures, plans d’action, suivi).
- Les résultats de l’application d’un contrôle qui sont rapportés et fournissent des éléments pour une boucle d’apprentissage.
Du point de vue de l’automatisation, un contrôle peut être :
- Aussi simple qu’un plan d’action avec des mesures de progression alignées ou
- Aussi complexe qu’un ensemble hiérarchique de contrôles et de sous-contrôles, chacun avec son propre ensemble de mesures, estimations de risque, plans d’atténuation, dépendances contextuelles et responsables.
Les contrôles ont des domaines d’application spécifiques, définissant quand certains contrôles doivent être activés.
Explorons les outils que nous pouvons utiliser pour mettre en œuvre des contrôles dans la planification stratégique.
1. Définition du contrôle
À l’étape initiale, notre objectif est de cartographier correctement les expériences passées de l’équipe de direction en contrôles ou en mécanismes de réponse formels.
Propriétés générales
Les éléments de base pour identifier un contrôle incluent lui donner un nom significatif et expliquer son objectif dans la description. Définir :
- Les conditions qui déclenchent le contrôle,
- La portée du contrôle.
Dans BSC Designer :
- Utilisez le bouton Ajouter pour créer un nouvel élément.
- Identifiez le contrôle via les champs nom et description.
- Liez le contrôle avec des objectifs passés, des événements ou des exigences réglementaires pertinents.
Documentation de soutien
- Ajoutez des documents à un contrôle via la boîte de dialogue Description.
- Ajoutez des documents au plan d’action du contrôle via la boîte de dialogue Initiatives.
Propriétés Personnalisées
Dans BSC Designer :
- Définissez les propriétés requises des contrôles via des champs personnalisés.
- Les nouveaux champs seront disponibles pour les contrôles, les métriques et les initiatives.
Propriété
Par exemple, les contrôles de maintenabilité logicielle peuvent automatiser les mises à jour, mais un spécialiste informatique est nécessaire pour résoudre les conflits si une mise à jour échoue. Dans BSC Designer :
- Ajoutez des personnes responsables du contrôle en tant qu’utilisateurs; assignez la personne à une équipe.
- Assignez la personne ou l’équipe en tant que propriétaire du contrôle via le champ Propriétaire.
Les propriétaires recevront des notifications pertinentes au contrôle.
Certification / Approbation
Dans BSC Designer :
- Utilisez des champs personnalisés pour définir les propriétés du contrôle telles que « État de certification » et « Certifié par ».
- Lors de l’attestation des contrôles, l’équipe de gestion peut mettre à jour ces propriétés.
- Utilisez des filtres dans les rapports pour identifier les contrôles sans certification appropriée.
Pour désactiver un contrôle non certifié tout en le gardant dans le tableau de bord :
- Sélectionnez un contrôle.
- Passez à l’onglet Performance.
- Activez la case à cocher Indicateur de données brutes.
Alignement des contrôles
Dans BSC Designer :
- Copiez et collez des éléments entre les tableaux de bord.
- Lorsque vous y êtes invité, utilisez l’option de connexion par contexte pour lier deux éléments.
Catalogue des contrôles
Dans BSC Designer :
- Créez un tableau de bord dédié aux contrôles.
- Utilisez une structure hiérarchique pour organiser les contrôles.
- Si nécessaire, copiez le contrôle dans le tableau de bord actif.
2. Quantification des contrôles
Mesures d’efficacité
L’utilisation de mesures pour les contrôles rend le contrôle plus spécifique et évite différentes interprétations. Définir des mesures pour suivre :
- Le respect des normes
- L’efficacité du contrôle
- Le progrès des plans d’action
Par exemple, dans le rapport d’incident :
- La métrique de l’efficacité pourrait être le « % de personnel formé au rapport d’incident. »
- La métrique de l’effectivité pourrait être « % d’incidents mal communiqués. »
Dans BSC Designer :
- Utilisez le bouton Ajouter pour ajouter des mesures à l’intérieur de l’élément de contrôle.
Performance globale
Dans BSC Designer :
- Sélectionnez un indicateur
- Passez à l’onglet Performance
- Modifiez le poids de l’indicateur
La performance/progression du contrôle sera affichée dans la colonne correspondante.
Métriques d’efficacité
Selon le contexte, utilisez des métriques avancées. Contrairement aux métriques retardées, les métriques avancées ne contribueront pas directement à la performance globale du contrôle, mais elles fourniront des informations précieuses pour comprendre l’efficacité du contrôle.
Dans BSC Designer :
- Sélectionnez une métrique
- Passez à l’onglet Contexte
- Changez le type de la métrique en Avancée
Estimation des risques
Un contrôle peut inclure une définition de risque ou être aligné avec des risques d’un registre de risques.
L’estimation des risques peut être :
- Un déclencheur pour l’exécution du contrôle ou
- Une condition pour sélectionner un certain plan d’action.
Dans BSC Designer :
- Créez un nouvel indicateur
- Changez son type en ‘Risque’
- Mettez à jour les indicateurs de Probabilité et d’Impact du risque
Contrôle Binaire
Les états possibles des indicateurs binaires :
- Non attribué – la partie du contrôle n’a pas encore été exécutée
- Oui – pour indiquer que la partie du contrôle a été exécutée avec succès
- Non – pour indiquer que la partie du contrôle n’a pas été exécutée avec succès
Exemple : « Plan de continuité des activités mis à jour en tenant compte d’une menace nouvellement identifiée » peut être automatisé avec un indicateur binaire. Dans BSC Designer :
- Sélectionnez un indicateur
- Passez à l’onglet ‘Général’
- Changez ses unités de mesure en « Oui/Non »
Contrôle Qualitatif
Les indicateurs qualitatifs sont utilisés pour les contrôles lorsqu’une estimation quantitative plus précise n’est pas encore développée, ou qu’il n’est pas rentable d’en développer une.
Exemple : un contrôle Gestion et Communication des Politiques peut être évalué avec une métrique qualitative Efficacité de la Communication des Politiques de Conformité avec des états possibles :
- Très Efficace (100) : Les employés comprennent clairement les politiques de conformité.
- Modérément Efficace (60) : Certains employés comprennent les politiques.
- Inefficace (10) : Les employés sont généralement inconscients des politiques.
Dans BSC Designer :
- Sélectionnez un indicateur
- Cliquez sur le bouton Éditer à côté des unités de mesure pour ajouter des unités de mesure personnalisées
Contrôle quantitatif
Pour rendre les contrôles plus spécifiques, des indicateurs quantitatifs ou numériques sont utilisés. Pour les indicateurs quantitatifs, nous pouvons définir leur formule de performance, par exemple, comment l’état actuel d’un indicateur impacte la performance de sortie.
Exemple : pour évaluer l’efficacité de la mise en œuvre d’un contrôle spécifique, nous effectuons un audit interne pour suivre le % de conformité à la politique. Dans ce cas, la formule de performance est une maximisation linéaire, avec un objectif de 100%. Un autre exemple peut être la métrique Temps moyen de détection, configurée comme une minimisation linéaire avec un objectif de 24 heures.
Dans BSC Designer :
- Passez à l’onglet ‘Performance’ pour définir la fonction de performance.
- Passez à l’onglet ‘Données’ pour définir l’état actuel de l’indicateur, la référence et l’objectif.
Contrôle basé sur les preuves
Les indicateurs de preuve changeront d’état en fonction du nombre de documents/preuves téléchargés.
Par exemple, le contrôle de test de sauvegarde et de récupération pourrait nécessiter le téléchargement des résultats de test ou des journaux comme preuve de l’exécution réussie du contrôle.
Dans BSC Designer :
- Sélectionnez un indicateur
- Changez ses unités de mesure en Preuve
- Téléchargez un document sur l’indicateur pour changer son état
3. Initiatives pour les contrôles
Plans d’action
Dans BSC Designer :
- Utilisez l’outil Initiative pour ajouter des plans d’action aux contrôles.
- Alignez les risques et les métriques d’efficacité avec l’initiative.
- Assignez un responsable à l’initiative ; la personne recevra des notifications lorsque le statut change.
Suivi du plan d’action
Dans BSC Designer :
- Ajoutez une nouvelle initiative au contrôle.
- Ouvrez la boîte de dialogue de l’initiative.
- Sélectionnez l’indicateur de progrès dans le champ ‘Indicateur aligné’.
4. Suivi des contrôles dans le temps
Contrôles Périodiques
Exemple de révision de la mécanique du contrôle :
- Révision des Listes de Vérification de Conformité – révision annuelle
- Rétention des Connaissances, % – révision trimestrielle
Exemples d’application périodique du contrôle :
- Analyse des Vulnérabilités – révision/mise à jour mensuelle
Exemples de contrôle initié une fois :
- Évaluation Initiale des Risques – à mettre à jour une fois
Dans BSC Designer :
- Utilisez le paramètre Intervalle de Mise à Jour de l’indicateur pour planifier des révisions régulières.
Mise à jour de l’état du contrôle
Dans BSC Designer :
- Sélectionnez une métrique de contrôle
- Sélectionnez une date dans le calendrier interne
- Passez à l’onglet ‘Données’
- Saisissez le nouvel état dans le champ ‘Valeur’
Héritage de l’état des contrôles
Certains indicateurs utilisés pour les contrôles hériteront de leur état précédemment connu, tandis que d’autres utiliseront uniquement les mises à jour spécifiquement saisies.
Par exemple :
- % d’employés formés – est probablement un indicateur inhérent, car nous pouvons supposer que le pourcentage d’employés formés en mai restera le même ou augmentera en juin.
- Revenu des ventes mensuelles – est probablement un indicateur non inhérent, car nous souhaitons suivre les données réelles des ventes au fil des mois.
Dans BSC Designer :
- Sélectionnez un indicateur
- Cliquez sur le bouton Éditeur de valeurs
- Changez le type d’héritage de l’indicateur
5. Contrôles de rapport
Contrôles sur les tableaux de bord
Dans BSC Designer :
- Accédez à l’onglet Tableau de bord.
- Ajoutez des graphiques pertinents, y compris des diagrammes de Gantt pour les initiatives, des diagrammes de risques et des diagrammes listant les contrôles et leurs états.
Contrôles pour l’estimation des risques
Dans BSC Designer :
- Connectez la partie retard du contrôle avec les indicateurs d’Impact du Risque ou d’Estimation du Risque dans le registre des risques par des données.
Contrôles dans les rapports
Dans BSC Designer :
- Utilisez le menu ‘Rapport’ pour générer divers rapports
- Utilisez le bouton ‘Planifier’ dans le menu ‘Rapport’ pour envoyer automatiquement les rapports aux parties prenantes
Responsabilité
Dans BSC Designer :
- Toutes les activités liées à la conception et à l’exécution des contrôles sont enregistrées dans le journal d’audit.
- L’administrateur du compte peut accéder aux journaux d’audit via Menu > Utilisateurs > Piste d’audit.
Exemple Pratique d’Utilisation d’un Contrôle
Discutons d’un exemple pratique. Considérons le contrôle activé lorsqu’un employé quitte l’entreprise.
Structure de l’exemple :
Bibliothèque des Contrôles GRC. Bibliothèque de contrôles
Dans la bibliothèque de contrôles, j’ai une section RH où l’un des contrôles est « Employé a quitté l’entreprise. »
Ce contrôle a trois plans d’action :
- Rediriger les e-mails.
- Contacter les clients.
- Plan de transfert de connaissances.
Il a également deux indicateurs :
- Connexions désactivées (basé sur des preuves).
- Pourcentage de clients informés.
Un autre indicateur est utilisé pour la révision périodique des contrôles :
- Rétention des connaissances (%)
Un risque est défini pour le contrôle comme suit :
- Risque : Disruption du flux de travail
- Plan de mitigation : Documenter les fonctions critiques
Tableau de bord des événements
J’ai un tableau de bord nommé « Événements RH » où les événements RH pertinents sont enregistrés. Le tableau de bord est organisé par type d’événement.
Application du contrôle
Voici les étapes à suivre lorsqu’un employé quitte l’entreprise :
- Créer un nouvel événement dans le tableau de bord des événements, par exemple, “Alex a quitté l’entreprise.”
- Copier et coller le contrôle approprié de la bibliothèque de contrôles dans le tableau de bord des événements.
- La personne responsable du contrôle sera automatiquement informée des nouveaux plans d’action créés.
- Télécharger les preuves (captures d’écran) que les connexions ont été désactivées.
- Notifier les clients et mettre à jour l’indicateur “% de clients notifiés”.
- Mettre à jour le statut des plans d’action à “En révision.”
Session : 'BSC Designer for Automation of GRC Controls' est disponible dans le cadre du programme d'apprentissage continu de BSC Designer, proposé à la fois en atelier en ligne et sur site. En savoir plus....
Plus d’exemples
Vous pouvez trouver plus d’exemples d’utilisation des contrôles dans les articles sur :
- Gouvernance d’entreprise
- Tableaux de bord de conformité
- Continuité des activités
- Gouvernance de l’IA
Utiliser le modèle Bibliothèque des contrôles GRC
BSC Designer aide les organisations à mettre en œuvre leurs stratégies complexes :
- Inscrivez-vous pour un plan gratuit sur la plateforme.
- Utilisez le modèle
Bibliothèque des contrôles GRC comme point de départ. Vous le trouverez dans Nouveau > Nouveau tableau de bord > Plus de modèles. - Suivez notre Système de mise en œuvre stratégique pour aligner les parties prenantes et les ambitions stratégiques dans une stratégie globale.
Commencez dès aujourd'hui et voyez comment BSC Designer peut simplifier la mise en œuvre de votre stratégie !
Alexis est un consultant en stratégie senior et PDG de BSC Designer, avec plus de 20 ans d’expérience en planification stratégique. Avec une formation en mathématiques appliquées et en technologies de l’information, il apporte une perspective analytique et orientée systèmes à la gestion de la stratégie et de la performance. Alexis a développé le « Système de mise en œuvre de la stratégie en 5 étapes » qui aide les entreprises à mettre en œuvre leurs stratégies de manière pratique. Il est un conférencier régulier lors de conférences industrielles et a écrit plus de 100 articles sur la stratégie et la gestion de la performance, ainsi que le livre « Système KPI en 10 étapes ». Son travail est fréquemment cité dans la recherche académique.