La recette du contrôle interne

Contrôle interne et gestion des risques : la recette ne vaut rien sans les bons ingrédients

Introduction — Le piège de la recette toute faite

Mettre en place un dispositif de contrôle interne ou de gestion des risques ne se résume pas à suivre un référentiel ligne à ligne, comme on suivrait une recette de cuisine à la lettre.

Il ne suffit pas d’avoir un COSO ou une norme ISO à portée de main pour obtenir un plat étoilé.

À l’image de la gastronomie, la qualité du résultat dépend de la justesse des ingrédients, du sens du timing, de la maîtrise du feu et surtout… de l’adaptation au contexte. Ce qui fonctionne dans une banque mature ne fonctionnera pas nécessairement dans une organisation publique. Et vice versa.

En accompagnant différentes organisations dans le renforcement et la mise en place du contrôle interne et de la gestion des risques, j’ai identifié trois piliers fondamentaux pour faire de l’implémentation du contrôle interne un succès durable :

1. S’adapter à l’organisation
2. Prioriser intelligemment
3. Convaincre durablement

🥇 1. S’adapter à l’organisation : une cuisine maison, pas une chaîne industrielle

« Vous ne trouverez pas de cuisine gastronomique dans la restauration rapide. Et vous ne trouverez pas de serviette en papier dans un restaurant étoilé. »

Chaque entreprise a sa culture, son rythme, ses ingrédients de base. Croire qu’on peut appliquer un référentiel comme une recette toute faite, c’est oublier la réalité du terrain.

Oui, les normes COSO ou ISO sont utiles. Mais elles ne doivent pas être appliquées comme un dogme. Ce sont des sources d’inspiration, pas des manuels d’exécution.

Une implémentation réussie du contrôle interne doit :

• Résonner avec l’ADN de l’entreprise : son appétit pour le risque, son niveau de maturité, ses contraintes humaines et technologiques.
• Impliquer les métiers dans la construction : ce sont eux qui tiennent les bons ustensiles.
• Ajuster en continu : comme un bon cuisinier, on goûte, on rectifie, on adapte.

👉 Le vrai risque ? Imposer un plat surgelé à une organisation qui a besoin de cuisine vivante.

Adaptez votre recette, ou vous resterez en travers de la gorge de vos parties prenantes.

🥈 2. Prioriser : cuisiner moins, mais mieux

« On ne propose pas une carte à rallonge dans un restaurant étoilé. Chaque ingrédient compte, chaque plat a un sens. »

Dans de nombreuses organisations, la gestion des risques échoue non pas par manque de volonté, mais par excès d’ambition mal canalisée : trop de risques identifiés, trop de contrôles définis… mais aucun fil conducteur.

Résultat : dilution des ressources, perte de sens, et au final… aucune mise en œuvre concrète.

Il faut donc prioriser avec discernement. Trois axes de sélection sont essentiels :

1. Les risques critiques : ceux qui peuvent brûler la maison.
2. Les causes racines transversales : ces défauts systémiques (manque de formation, mauvaise gouvernance…) qui alimentent plusieurs risques à la fois.
3. Les processus clés : ceux qui soutiennent la performance ou la conformité.

👉 Prioriser, c’est choisir de concentrer ses efforts là où ils comptent le plus, et servir un plat de qualité, plutôt que mille entrées mal dressées.

🥉 3. Convaincre : un plat qui se mange aussi avec les yeux

« Un bon plat doit donner envie. Il se déguste d’abord avec les yeux. »

La réussite d’un dispositif ne dépend pas uniquement de sa structure. Elle dépend de l’adhésion des acteurs clés, en particulier le management et les métiers.

Et pour convaincre durablement, deux ingrédients sont indispensables :

• Une stratégie marketing interne : on ne vend pas du contrôle, on vend de la valeur ajoutée. Il faut parler performance, fiabilité, prise de décision. Il faut raconter une histoire.
• Des outils dynamiques : la matrice statique ne suffit plus. Il faut démontrer que le risque évolue — et que vous le suivez. Les KRI (indicateurs de risque) et KCI (indicateurs de contrôle) permettent de quantifier l’évolution de l’exposition, d’illustrer l’efficacité des actions, et donc… de garder l’attention de vos parties prenantes.

👉 Un dispositif qui ne montre rien, qui ne raconte rien, sera oublié. Un bon contrôle interne, c’est aussi une mise en scène intelligente de l'information.

🎯 Conclusion : une approche sur-mesure, progressive, et appétissante

Le contrôle interne n’est pas un plat imposé. C’est une composition culinaire qui doit plaire au palais de l’organisation, à sa culture, à ses réalités.

Pour réussir :

• Adaptez la recette à l’ADN de l’entreprise
• Choisissez avec soin ce qui doit être cuisiné en premier
• Mettez en scène vos plats pour donner envie d’y goûter — et d’en redemander

👉 Et surtout, rappelez-vous : ce n’est pas la sophistication du menu qui compte, mais l’impact de chaque bouchée.