Voici un récapitulatif essentiel du COSO et de son évolution jusqu’au COSO 2 :
Historique et contexte
• COSO (1992) : Créé par le Committee of Sponsoring Organizations of the
Treadway Commission, ce référentiel définit des standards pour le contrôle
interne.
• Loi Sarbanes-Oxley (2002) : En réponse aux scandales financiers, cette loi
impose aux entreprises cotées d’évaluer et publier leur contrôle interne,
encourageant l’adoption du cadre COSO.
• Loi de Sécurité Financière (France, 2003) : Facilite l’adoption du COSO
en France.
COSO 1 – Internal Control – Integrated Framework
• Principes :
• Le contrôle interne est un processus continu impliquant tous les niveaux.
• Il doit procurer une assurance raisonnable, mais non absolue.
• Il contribue à l’atteinte des objectifs de l’organisation.
• Le Cube COSO :
• Objectifs : Efficacité des opérations, fiabilité des informations financières,
conformité aux lois.
• Cinq composants : Environnement de contrôle, évaluation des risques,
activités de contrôle, information et communication, supervision.
• Structure du cube : Représente la combinaison des objectifs, des
composants et des niveaux de l’organisation.
COSO 2 – Enterprise Risk Management Framework
• Positionnement : COSO 2 élargit le COSO 1 en intégrant la gestion des
risques au niveau stratégique, avec un accent sur les risques d’entreprise.
• Nouveautés clés :
• Risk Appetite : Niveau de risque acceptable pour l’organisation, aligné
avec sa stratégie.
• Objectif stratégique ajouté aux objectifs opérationnels, de reporting, et de
conformité.
• Modifications du Cube COSO :
• Niveaux de l’organisation : Plus stricts, englobant l’ensemble de
l’organisation, des entités aux unités de métier et aux processus.
• Objectifs : Ajout de l’objectif stratégique, élargissement du reporting
(financier et non-financier, externe et interne).
• Éléments de gestion des risques : Cinq éléments supplémentaires
(définition d’objectifs, identification des événements, évaluation des risques,
réponse aux risques, activités de contrôle).
Rôles et responsabilités
• Board of Directors : Supervise la gestion des risques et revoit le
portefeuille de risques en fonction du Risk Appetite.
• Risk Officer : Facilite la mise en œuvre du COSO 2, en aidant les managers
à élaborer et mettre en place leur gestion des risques.
• Auditeurs internes : Évaluent le système de gestion des risques.
• Auditeurs externes : Émettent des avis sur les états financiers, basés sur
l’évaluation du contrôle interne.
En somme, le passage du COSO 1 au COSO 2 reflète une approche plus complète,
intégrant une vision des risques au niveau de l’entreprise et nécessitant
l’implication active de tous les acteurs pour adapter le cadre aux exigences
modernes de gestion et de reporting des risques.
