Politique de gestion intégrée du risque (GIR)

---

« L'équipe de la haute direction définit clairement le contexte ministériel et les pratiques de gestion proactive des risques organisationnels et stratégiques»
- Cadre de responsabilisation de gestion du SCT 2003

Juillet 2004

TABLE DES MATIÈRES

1.0 Date d'entrée en vigueur

2.0 Contexte au MPO

3.0 Objectifs

4.0 Définitions

5.0 Principes et pratiques

6.0 Rôles et responsabilités

7.0 Références

---

1.0 Date d'entrée en vigueur

La présente politique est entrée en vigueur le 1er mai 2004.

2.0 Contexte au MPO

Alors que le MPO continue de renouveler et d'intégrer ses politiques, ses programmes et ses structures de gestion, il doit composer avec les barrières culturelles internes et externes qui font obstacle aux changements important, afin d’atteindre ses objectifs fonctionnels et stratégiques selon des normes de responsabilisation élevées et un degré de contrôle acceptable.

Tenir compte des priorités tout en disposant de ressources limitées exige une planification concertée et une analyse des compromis. Gérer le risque de façon proactive, systématique et explicite en cherchant à atteindre nos objectifs stratégiques est une saine pratique de gestion.

3.0 Objectifs

• Reconnaître que la gestion du risque fait partie intégrante de l'atteinte des objectifs d'affaires et qu’elle est une pratique efficace de gouvernance;
   
• Faire en sorte que la gestion du risque devienne une force organisationnelle intégrée à d’autres pratiques de gestion et globale;
   
• Promouvoir la collaboration horizontale et la gestion proactive systématique de tous les risques importants (stratégiques, fonctionnels et associés aux projets) pour faciliter l’unification de l’organisation et l'atteinte des priorités ministérielles;
   
• Appliquer de manière constante et explicite la gestion du risque lors de la prise de décisions;
   
• Utiliser les approches existantes pour gérer le risque tout en renforçant la capacité de tenir compte des parties intéressées;
   
• Soutenir et fournir les ressources pour la formation et les plans d'apprentissage de la GIR.

4.0 Définitions

Risque

Le risque se rapporte à l'incertitude qui entoure des événements et des résultats futurs. Il exprime la probabilité et l'incidence d'un événement susceptible d'influencer l'atteinte d’un objectif important.

Gestion intégrée du risque (GIR)

La gestion intégrée du risque touche la culture, les structures et les processus d’une discipline systématique et proactive d’une organisation qui repère, évalue, gère et communique tous les risques qui peuvent avoir une incidence significative sur l’atteinte des objectifs importants. Se faisant, on tient compte des attentes en matière de responsabilisation de la gestion et de gouvernance, établies par le Secrétariat du Conseil du Trésor (SCT) dans le Cadre de responsabilisation de gestion.

Le Ministère gère des risques à chaque jour – la GIR s'inspire des pratiques existantes et fournit à l'organisation un outil supplémentaire pour améliorer la planification et les processus de prise de décision pour répondre aux objectifs d'affaires. À son étape mature, la GIR fait partie du processus quotidien de prise de décisions.

Vous retrouverez à l'Annexe A un modèle de gestion intégrée du risque qui illustre son infrastructure et ses composantes opérationnelles.

Approche préventive

Pour le Ministère, l'approche préventive est un élément important de la gestion du risque. Cette approche s'applique aux situations où il pourrait y avoir des dommages sérieux ou irréversibles, conjugués à une importante incertitude scientifique. Le processus de gestion du risque lors de la prise de décisions demande toujours de faire preuve d'un jugement sûr et rigoureux. L'approche préventive fournit des orientations permettant de poser ces jugements.

En vertu de la Loi sur les océans, le Ministère doit encourager l’usage de l’approche préventive à grande échelle lorsqu’il s’agit de prendre des décisions importantes quant à la conservation, la gestion et l'exploitation des ressources marines.

Gestion du risque juridique – MPO/Justice

La Gestion des risques juridiques (GRJ) est une façon spécifique de mettre en œuvre la gestion du risque. Le Conseil du Trésor (CT) exige que chaque ministère assume, de concert avec le ministère de la Justice, la responsabilité de sa propre gestion du risque juridique.

Le Comité de gestion du risque juridique du MPO défini selon ses critères, quels sont les enjeux ou les situations qui pourraient avoir une incidence élevée, puis fait des recommandations ou intervient comme il se doit afin de gérer ces questions. Les enjeux ou les cas ayant une incidence élevée sont ceux qui pourraient, entre autre, avoir un impact important sur les intérêts nationaux : la Charte ou la Constitution; les politiques, les lois, les règlements, les programmes ou les finances du MPO; les relations avec les Autochtones ou les Métis.

La différence entre la GRJ et la GIR se situe au niveau de la nature et de la portée de l'analyse. Alors que la GRJ s’intéresse essentiellement aux risques juridiques, la GIR porte sur l'évaluation de tous les événements possibles, les circonstances ou les enjeux qui peuvent influencer l’atteinte des objectifs d'affaires du Ministère. Ces événements, ces circonstances ou ces enjeux peuvent être de nature juridique ou non.

Glossaire de la terminologie de la gestion du risque

Vous retrouverez à l'Annexe B un glossaire de la terminologie de la gestion du risque.

5.0 Principes et pratiques

1. Le Comité de gestion ministériel (CGM) définit explicitement le contexte organisationnel, les critères et les pratiques permettant de gérer les risques clés.
2. Les sous-ministres adjoints (SMA), les directeurs généraux régionaux (DGR), les directeurs et d’autres gestionnaires au sein de l'organisation, s’occupent des enjeux horizontaux et des risques stratégiques tel que nécessaire.
3. Chaque année, on fourni des rapports définissant, évaluant et communiquant au CGM les principaux secteurs de risque, les risques stratégiques et les stratégies d'atténuation, considérés tolérables ou acceptables.
4. La planification stratégique ministérielle traite les risques principaux et fourni une saine analyse des liens entre les objectifs stratégiques d'affaires et l’environnement. Ceci comprend l’identification des forces et des faiblesses organisationnelles, des occasions et des menaces, y compris les aspects financiers, opérationnels, concurrentiels, politiques, sociaux, culturels et légaux.
5. Le profil du risque est effectué chaque année pour soutenir l’élaboration de stratégies pour gérer les risques stratégiques, opérationnels et ceux associés au projet.
6. Les stratégies de gestion du risque établies grâce au profil du risque, sont intégrées à la planification stratégique financière annuelle et à long terme et à l'établissement des priorités, ainsi qu’à la prise de décisions opérationnelle quotidienne.
7. Les gestionnaires et les employés, du projet et de l'équipe, évaluent systématiquement les risques opérationnels et ceux associés au projet afin d'atteindre les résultats escomptés.
8. L’ensemble du personnel gère les risques afin se saisir les bonnes occasions et de diminuer les menaces aux employés et les résultats désirables.
9. Les intérêts et les perceptions des clients, du public et des autres détenteurs d’enjeux constituent des contreparties fondamentales de la gestion du risque.
10. La direction évalue l'état de préparation et la capacité de la GIR de favoriser des améliorations importantes.
11. La gestion soutient des stratégies continues d'apprentissage fondées sur les lignes directrices, les outils et les occasions d’apprentissage de la GIR, à l’échelle du Ministère.
12. Les lignes directrices de la GIR sont élaborées et communiquées pour fournir une orientation au personnel concerné et afin d’opérationnaliser les principes et les pratiques de la GIR.
13. Les rôles, les responsabilités et les pouvoirs en matière de gestion du risque sont confiés au personnel le mieux placé pour gérer les risques stratégiques, opérationnels et associés au projet.
14. Un processus de gestion du risque est documenté et complètement intégré à des processus stratégiques et opérationnels majeurs.
15. La sauvegarde et l’établissement de rapports sur le risque font partie des systèmes de contrôle du rendement existants qui garantissent que l'information importante sur les risques est disponible
16. Les gestionnaires et le personnel utilisent à la fois une analyse intuitive et systématique du risque fondée sur le contexte, l'urgence et l’importance du risque.
17. Les résultats de la GIR sont mesurés et contrôlés à des niveaux clés de l’organisation.
18. L'expérience et les pratiques exemplaires sont partagées à l'interne et dans l’ensemble du Ministère.
19. Les pratiques de bonne gestion du risque sont reconnues et partagées au sein du Ministère.

6.0 Rôles et responsabilités

Le Comité de gestion ministériel (CGM) assume la responsabilité de :

• effectuer une surveillance pour la mise en œuvre de la responsabilisation de la gestion au Ministère [1] et les attentes en matière de gouvernance en rapport avec la gestion du risque, y compris le respect de la politique ministérielle de la GIR et des politiques reliées au risque [2] et les exigences en matière de réglementation;
   
• réviser et discuter des enjeux importants en matière de risque et s'assurer de la collaboration horizontale lors de la préparation de stratégies d'atténuation et d'établissement de priorités organisationnelles pour l'affectation des ressources;
   
• communiquer une vision de la GIR et faire la promotion d'une philosophie organisationnelle et culturelle qui épouse la gestion du risque comme partie intégrante de toutes les activités;
   
• fournir une orientation claire sur les échelons de critères organisationnels pour l'évaluation des niveaux de risque et l'orientation des seuils tolérables ou acceptables de risque et des actions attendues de la direction associées à certains niveaux spécifiques de risque. Un tableau du risque ministériel et un modèle de la tolérance au risque peuvent aider à s’acquitter de cette responsabilité – voir Annexes D et E.

L’ensemble des cadres supérieurs assume la responsabilité de :

• assigner les rôles et les responsabilités en matière de gestion du risque;
   
• la gestion des risques stratégiques pendant les évaluations périodiques du risque ou lorsque de nouveaux projets sont entrepris;
   
• l’intégration de la GIR aux pratiques existantes, en particulier les pratiques de planification de rapports et de production du rapport annuel sur la gestion de risques stratégiques,
   
• créer un environnement favorable qui encourage la gestion efficace du risque.

L’ensemble des gestionnaires assume la responsabilité de :

• la gestion des risques stratégiques, en faire la gestion et en faire rapport; entreprendre les risque opérationnels ou associés aux projets par le biais d'évaluation périodique ou comme nouvelles initiatives ou nouveaux enjeux;
   
• organiser des canaux directs pour les communications à risque avec leurs gestionnaires et le personnel;
   
• la surveillance et l’établissement de rapports sur les risques de façon régulière;
   
• assurer le soutien continu approprié pour l'exploitation de la GIR.

L’ensemble du personnel assume la responsabilité d’ :

• évaluer et consigner de manière proactive les risques significatifs dans chaque décision d'affaires importante;
   
• inviter à l'action pour gérer et communiquer les risques en conformité avec l'orientation de la gestion sur des risques tolérables ou acceptables.

Le Comité ministériel de vérification et d’évaluation assume la responsabilité d’approuver :

• les orientations qui concernent les stratégies de communication des exigences de changements de la GIR à travers l'organisation;
   
• la gestion de la mise en oeuvre de la politique de la GIR, des lignes directrices et des plans d'action;
   
• les conseils prodigués au responsable en chef du risque, présentement nommé directeur général de la Direction générale de la vérification et de l'évaluation;
   
• les conseils prodigués sur la mise à la disposition d’outils, l’éducation et la commandite servant à transmettre le savoir en matière de gestion du risque et à peaufiner les connaissances en gestion du risque de tout le personnel occupant une fonction de conseil;
   
• les conseils prodigués en matière de préparation de rapports sur les risques, leur sauvegarde et leur structure;
   
• les rapports sur le rendement de la GIR;
   
• les plans de vérification et d'évaluation qui sont axés sur les risques et qui comprennent des vérifications et des évaluations d’applications de la Politique sur la gestion intégrée du risque.

Le responsable en chef du risque assume la responsabilité de :

• coordonner et de faciliter, les activités de profilage de risque, y compris les ateliers d'évaluation de risque stratégique;
   
• résumer les résultats de l'évaluation du risque stratégique;
   
• coordonner un recensement des capacités de la GIR, du résumé et de la communication des résultats;
   
• prêter assistance aux gestionnaires en leur facilitant les séances systématiques d'évaluation du risque;
   
• se tenir informé des derniers développements de la GIR et des capacités ministérielles;
   
• coordonner la préparation des outils de consignation et d’établissement de rapports sur les exigences en matière d’établissement de rapports sur la GIR.

La Direction générale de la vérification et de l'évaluation assume la responsabilité de :

• donner l’assurance sur tous les aspects et les pratiques de la stratégie de gestion du risque au Ministère;
   
• garantir les recommandations dans les rapports de vérification et d'évaluation, d’étudier les conséquences de mettre en œuvre ou non une recommandation;
   
• faire en sorte que les plans d'action de la gestion élaborés par les gestionnaires du programme en réponse aux recommandations de la vérification et de l'évaluation répondent adéquatement aux risques relevés dans les rapports.

La Direction des communications

Au cours du processus de gestion du risque, nous ferons appel aux Communications pour :

• nous conseiller dans l'élaboration d'une stratégie et de méthodes de communications sur les risques à l'intérieur du ministère;
   
• inclure des évaluations de communications sur les risques et proposer une approche dans les plans et les stratégies, selon les circonstances (en se fondant sur les critères de profil et les connaissances des communications en regard des besoins et des désirs des détenteurs d'enjeux);
   
• agir comme catalyseur pendant les rencontres de client et de gestionnaire pour conseiller sur les communications de risques pendant les discussions des enjeux;
   
• mettre en oeuvre un plan ministériel de communications de crises quand l'enjeu est désigné comme étant une crise par le sous-ministre.

7.0 Références

• Secrétariat du Conseil du Trésor du Canada
  • Gestion intégrée du risque - Guide de mise en oeuvre 2004
  • Cadre de gestion et de responsabilisation axé sur les résultats 2003
  • Guide du Cadre de vérification axé sur les risques, 2003
  • Politique des communications, 2002
  • Gestion intégrée du risque - Guide de mise en oeuvre, 2001
  • Politique sur la vérification interne, 2001
  • Politique sur l'évaluation des programmes, 2001
  • Politique sur la surveillance active, 2001
  • Politique sur les paiements de transfert, 2000
  • Cadre amélioré de gestion, 1996
• Autres
  • Risk Management Vocabulary, International Standard Organization, Guide 73, 2002
  • Gestion du risque : Lignes directrices à l’intention des décideurs, Association canadienne de normalisation CAN/CSA-Q850-97

Annexe A

[ cliquer sur le graphique pour l'agrandir ]

Annexe B Glossaire des termes de la gestion du risque

Acceptation du risque :

Décision d'accepter un risque.

Atténuation :

Restriction imposée aux répercussions indésirables d'un événement particulier.

Communication sur les risques :

Transfert ou échange d'information concernant un risque entre différentes parties intéressées.

Critère de risque :

Paramètres de normes par rapport auxquels les risques sont évalués.

Détenteurs d'enjeux :

Tout individu, groupe ou toute organisation qui peut affecter un risque, en être affecté ou pouvant se percevoir comme affecté par le risque.

Éléments générateurs de risques :

Facteurs généraux qui génèrent le besoin de gérer des risques. Les éléments générateurs de risques peuvent souvent comprendre le rythme de changement, le besoin de diligence raisonnable, les attentes des détenteurs d'enjeux en matière de bonne gouvernance, etc.

Eacute;valuation des risques :

Processus général d'identification, de mesure de l'impact et de la probabilité d'un risque et d'évaluation du risque.

OU

Le risque implique la notion d'incertitude qui entoure des événements ou des résultats futurs. C'est l'expression d'une probabilité et de ses répercussions avec la possibilité d'influencer l'atteinte d'objectifs. - Source: Secrétariat du Conseil du Trésor

Événement :

Une occurrence, une circonstance ou une situation réelle.

Évitement des risques :

Décision de ne pas être impliqué dans une situation à risque.

Feuille d'évaluation des risques :

Outil utilisé pour cartographier et illustrer la probabilité et l'impact d'un risque donné ou d'un secteur de risque.

Gestion des risques :

Application générale des politiques, des processus et des pratiques de traitement des risques.

REMARQUE 1 :

La gestion des risques peut inclure l'identification, l'évaluation, les mesures de réponse, la surveillance, l'examen et la communication.

Identification des risques :

Processus visant à établir une liste et une description des sources de risque et de leurs conséquences.

Incidence :

Conséquence d'un événement.

Matrice de risques :

Outil qui définit les critères de l'évaluation de l'impact et de la probabilité des risques. La matrice de risques assure à toutes les parties impliquées dans l'évaluation du niveau de risque qu'elles utilisent des critères communs.

Mise en oeuvre d'un risque :

Les événements reliés au risque qui peuvent survenir à la suite de la mise en oeuvre de l'approche choisie.

Modèle de source de risque :

Outil décrivant le contexte, les événements spécifiques, les circonstances ou les activités qui facilitent l'identification des risques ou des secteurs de risque.

Perception des risques :

Inquiétude et valorisation par rapport à un risque particulier perçu par les détenteurs d'enjeux.

REMARQUE 1 : Cette perception est dérivée des besoins exprimés par les détenteurs d'enjeux, de leurs connaissances, de leurs inquiétudes et leur tolérance à l'incertitude.

REMARQUE 2 : La perception des risques peut différer des données objectives

Principaux secteurs de risques :

Les sources principales internes et externes inhérentes au risque, émanant de la loi, du mandat, de la conception du programme et du cadre d'exploitation, et qui comportent un impact potentiel important sur le rendement. Par exemple, les organisations qui demandent à son personnel de voyager vers des destinations éloignées ou à l’étranger seront probablement classées Santé et Sécurité comme principal secteur de risque. Un risque spécifique à l'intérieur d’un principal secteur de risque pourrait être Déplacements en automobile.

Probabilité :

La possibilité qu'un événement se produise.

Réponse aux risques :

Processus de sélection et de mise en oeuvre d'options de gestion des risques, incluant la présence de contrôles.

Risque :

Combinaison de la probabilité d'un événement et de son impact - Source : International Standard (ISO)

Risque inhérent :

Impact d'un événement ou d'une circonstance qui existait avant l'utilisation de moyens d'atténuation des risques.

Risque résiduel :

Le risque restant après une réponse (mesure existante et stratégies incrémentielles)

Source de risque :

Événement, circonstance ou activité ayant des conséquences potentielles.

Transfert des risques :

Transfert des risques à d'autres parties qui les acceptent et peuvent éventuellement bénéficier des avantages.

Annexe C - Cadre de responsabilisation de gestion du SCT – Attentes en matière de gestion du risque

Gestion du risque une attente importante face à la gestion du Cadre de responsabilisation de gestion
Attentes	Indicateurs	Mesures
Le CGM approuve les pratiques et le contexte ministériels de gestion organisationnelle et stratégique des risques de manière proactive.	Les risques importants sont identifiés et gérés Preuve que le risque est pris en compte lors de la prise de décision Capacité de gérer les risques et de les communiquer à l’interne et aux parties intéressées	Examen régulier du profil de risque ministériel Outils, formation, soutien au personnel Preuve de la prise en compte des risques lors de la planification stratégique Contribution d’intervenants extérieurs à l’évaluation des risques

* Le Cadre de responsabilisation de gestion du SCT est disponible à l'adresse www.tbs-sct.gc.ca/maf-crg/maf-crg_e.asp

Annexe D - Matrice du risque ministériel du MPO
Mesures qualitatives de l’impact

Niveau	Incidence	Dommage et responsabilité	Répercussion sur les activités	Atteinte à la réputation
3	Grave	Décès ou invalidité permanente Erreur fiduciaire ou omission > 1 M$ Perte d’information essentielle sur un patient (p. ex. réception) ou divulgation d’information à haute sensibilité ou classifiée Perte d’actif(s) important(s) > 1 M$ Violation sérieuse de la loi (p. ex. Code du travail) Dommages environnementaux permanents	Interruption de programmes/ services essentiels > 7 jours pour de nombreux clients importants Manifestations ayant une incidence sérieuse sur le public ou les activités du MPO Ne pas atteindre la plupart des objectifs du service Annulation/ retards importants sur des projets majeurs Perte de connaissance du savoir collectif irremplaçable	Perte importante de la confiance d’un groupe de clients Controverse publique provoquée par le départ du ministre ou d’un haut fonctionnaire du Ministère Levée de boucliers dans les médias à la suite de la rétrogradation d’un ministre ou d’un haut fonctionnaire Sérieuses critiques provenant d’organisme de révision (p. ex. BVG, CPCP, etc.)
2	Modérée	Blessure sérieuse/maladie Erreur fiduciaire ou omission de 100 K$ à 1 M$ Dommage environnemental Perte d’actif(s) 100 K$ à- 1 M$ Violation de la loi (p. ex. Code du travail, Code criminel, etc.) Divulgation d’information confidentielle	Interruption de programmes/ services essentiels < 7 jours pour certains clients Manifestations ayant une certaine incidence sur les activités du MPO Ne pas atteindre certains objectifs du service Certains retards d’horaire dans des projets majeurs Une certaine perte du savoir collectif	Une certaine perte de la confiance d’un groupe de clients Critique négative de la part des médias Critique par des groupes de révision (p. ex. BVG, CPCP, etc.)
1	Mineure	Traitement de premiers soins Erreur fiduciaire ou omission de 100 K$ Perte d’actif < 100 K$ Divulgation d’information confidentielle	Interruption de services essentiels pour certains clients Sous-performance d’objectifs du service Retards à l’horaire pour des projets mineurs	Échec lors d’une tentative de gagner la confiance d’un groupe de clients Une certaine couverture média défavorable Certaines remarques défavorables par les groupes de révision (p. ex. BVG, CPCP, etc.)

Mesures qualitatives de la probabilité

Niveau	Probabilité	Description
3	Élevée	On s’attend à ce que l’événement se produise dans la plupart des cas (> 70%)
2	>Moyenne	L’événement devrait survenir à quelques occasions (21% à 70%)
1	Faible	Faible possibilité que l’événement se produire (< 20%)

Annexe E

[ Cliquer sur le graphique pour l'agrandir ]