En matière de gestion des risques et de la conformité, la plupart des organisations fonctionnent selon le modèle des 3 lignes de défense (3LOD) où la gestion opérationnelle, la conformité et l'audit interne travaillent conjointement pour évaluer et atténuer les risques ainsi que gérer les contrôles et la conformité.

Si, en théorie, ce modèle peut être efficace, les fonctions de gestion des risques et de la conformité s'étant complexifiées, il ne fonctionne pas toujours aussi bien qu'on pourrait l'espérer. Compte tenu de la sophistication croissante des menaces de cybersécurité et des incidents de fraude, ainsi que de l'augmentation des exigences de conformité imposées aux organisations de toutes tailles, il peut être difficile de prendre le pouls des menaces et des violations de la conformité à l'échelle de l'organisation au fur et à mesure qu'elles se présentent.

Le problème : les trois branches ne collaborent pas toujours efficacement, ce qui peut mettre l'audit interne hors circuit et incapable d'apporter beaucoup de valeur ajoutée à l'organisation. Les auditeurs peuvent ne pas avoir accès aux données nécessaires pour générer des recommandations efficaces. L'équipe d'audit interne peut se contenter de cocher des cases et d'assurer la conformité, au lieu de fournir des informations stratégiques qui aideront votre organisation à comprendre et à prendre des mesures pour atténuer les nouvelles menaces.

Pour que votre équipe d'audit interne fasse bouger les choses dans votre organisation, vous devez vous faire entendre des dirigeants qui peuvent défendre votre travail. En vous associant à la direction, vous serez en mesure de mener de nouvelles initiatives et d'obtenir un accès essentiel aux données qui aideront votre organisation à économiser de l'argent et à réduire les risques, prouvant ainsi la valeur de votre équipe.

Voici quatre stratégies pour y parvenir efficacement :

• Identifiez les personnes clés aptes à vous soutenir et définissez un plan pour nouer des relations avec celles-ci
  Votre équipe d'audit sera naturellement en contact avec les responsables qui peuvent fournir les informations clés nécessaires à la réalisation de vos audits, mais en vous concentrant uniquement sur ces contacts, vous passez à côté de l'établissement de relations avec les dirigeants qui pourront vous aider à obtenir un rôle plus visible dans l'organisation. Dressez un plan pour sensibiliser périodiquement les cadres supérieurs de votre organisation, tels que votre directeur des risques ou votre directeur technique. Vous pouvez solliciter leur avis sur les questions ouvertes qu'ils souhaitent que votre équipe examine dans le cadre de vos audits ou leur fournir des notes de synthèse de haut niveau présentant le travail que vous avez effectué et les questions qu'ils souhaitent approfondir. Faites en sorte qu'ils sachent que vous et votre équipe êtes disponibles pour les soutenir et que vous êtes ouverts pour écouter leurs commentaires.
• Abordez de manière proactive les tendances à l'échelle de l'organisation
  Plutôt que de vous concentrer uniquement sur les problèmes identifiés dans les audits individuels, commencez à examiner les résultats de vos audits dans leur ensemble pour identifier les tendances. Un seul service ou bureau a-t-il des difficultés à résoudre un problème de conformité spécifique ? Ou bien s'agit-il d'une tendance générale qui devrait être partagée avec votre équipe de direction ? Examinez souvent vos données pour comprendre les risques qui doivent être atténués et élaborez des plans d'action étape par étape sur la manière dont ils doivent être traités, en précisant qui est responsable et quels sont les critères de réussite.
• Prêtez une attention particulière aux risques liés aux tiers
  De nombreuses équipes d'audit adoptent une vision insulaire de la gestion des risques, ne découvrant pas les risques externes induits par les fournisseurs et les partenaires technologiques. Assurez-vous d'avoir mis en place des politiques permettant d'examiner soigneusement et d'automatiser la conformité de vos fournisseurs tiers, en tirant des données externes qui vous alerteront de tout problème financier ou juridique auquel ils pourraient être confrontés. Surveillez régulièrement tous vos partenaires en matière de solutions et de technologies pour détecter les signaux d'alerte, et assurez-vous que vous disposez d'une stratégie pour les atténuer. Vous pouvez présenter vos résultats lors de sessions avec des cadres et d'autres partenaires de l'entreprise, ainsi que collaborer pour élaborer un plan pour n'importe lequel de vos scénarios. Gardez à l'esprit que les risques liés aux grands fournisseurs tels qu'Amazon ou Facebook peuvent également avoir un impact sur un grand nombre de vos clients ou partenaires. Veillez donc à répertorier toutes les variables susceptibles d'avoir un impact sur le modèle économique de votre entreprise.
• Utilisez la meilleure technologie GRC pour automatiser la conformité et analyser les données
  Afin de fournir les informations les plus utiles à votre équipe de direction, il est important d'intégrer l'ensemble de votre fonction de gestion des risques sur une plateforme GRC facile à utiliser. Votre plateforme GRC doit être fournie avec un contenu préétabli qui vous aidera à automatiser votre cadre de contrôle, quel que soit votre secteur d'activité. Ce cadre doit faciliter le suivi de l'état de conformité et des niveaux de risque dans l'ensemble de l'organisation à tout moment, avec des déclencheurs incitant à l'action lorsque les niveaux de contrôle ne sont pas respectés. Vous devez être en mesure d'explorer facilement vos données et de générer des tableaux de bord exécutifs afin de pouvoir partager des informations pour justifier des recommandations et aider votre équipe de direction à prendre des décisions professionnelles mieux informées.

En élaborant une stratégie cohérente d'intégration de 3LOD, soutenue par des analyses de données approfondies, des flux de données en temps réel et l'automatisation des flux de travail, votre équipe d'audit sera en mesure de générer des informations permettant d'identifier de nouveaux risques et de développer de nouvelles stratégies d'atténuation des risques dans l'ensemble de l'organisation. Cela vous aidera à devenir non seulement un partenaire très visible et influent mais aussi un partenaire de confiance pour l'entreprise.

Pour en savoir plus sur la façon dont l'audit interne peut acquérir un rôle plus important au sein de l'organisation, nous nous sommes entretenus avec un certain nombre d'auditeurs internes lors de la table ronde de l'Institut des auditeurs internes (IIA) pendant laquelle ils ont partagé leurs meilleures pratiques. Découvrez ce qu'ils avaient à partager dans notre nouvel ebook, "Audit : nous arrivons à un tournant".