En partant de la forte tendance actuelle constatée, il convient, en préalable, de préciser que la Gestion de Risques et le Contrôle Interne doivent s’entendre non plus uniquement comme des réponses à des contraintes réglementaires (SOX, LSF, etc.) mais comme des outils d’aide au pilotage de la performance des entreprises.
En matière d’internationalisation, la toute première question à se poser en Gestion de Risques et en Contrôle Interne est donc de savoir s’il est possible que l’activité de l’entreprise dans un pays donné, quel que soit le processus, puisse être managée, avec le niveau de performance attendu, par des ressources locales ou a contrario s’il est nécessaire qu’elle le soit par du personnel expatrié.
De cette analyse dépendra la décision de l’expatriation de collaborateurs avec en corollaire la garantie d’un niveau de maitrise suffisant des risques auxquels l’expatrié pourrait être soumis dans le pays de destination.
Il est donc nécessaire en préalable d’effectuer une analyse de risques pays sur deux axes principaux de typologie de risques :
- Risques opérationnels pouvant impacter la performance de l’activité : niveau de maturité en matière de Gestion de Risques et de Contrôle Interne des opérations,
- Risques pouvant impacter le niveau de protection des expatriés.
Concernant les risques opérationnels pouvant impacter la performance de l’entreprise, pour les pays tout à fait matures en matière de Gestion de Risques et de Contrôle Interne, l’expatriation ne se pose pas en tant que telle comme réponse à un besoin de contrôle des activités mais plutôt comme opportunité de carrière à offrir à un collaborateur. Effectivement, pour ces pays, déjà fortement contraints par leur environnement réglementaire mais aussi par une approche éthique des affaires fruit d’un long cheminement en matière de déontologie, l’activité est conduite selon des mécanismes de Gestion de Risques et de Contrôle Interne des activités bien cadrés… même si, l’exception confirmant la règle, l’histoire montre quelquefois le contraire. Ces exceptions traduisent bien, s’il le fallait encore, que la tâche en matière de Gestion de Risques et de Contrôle interne reste toujours ardue et constamment à remettre à l’ouvrage.
Dans ce contexte, il convient toutefois de rester très vigilant sur les impacts d’une expatriation sur les objectifs de Gestion de Risques et de Contrôle Interne, car on constate qu’une expatriation a plutôt tendance à affaiblir les dispositifs de Gestion de Risques et de Contrôle Interne en les cantonnant à leur strict aspect réglementaire. Effectivement, focalisé sur son ambition de carrière, l’expatrié, qui est souvent un cadre à haut potentiel, est concentré sur la performance à atteindre dans un délai à court ou moyen terme (2 à 3 ans). Il en devient de facto moins sensible aux aspects Gestion de Risques et Contrôle Interne qu’il considèrera plus comme des entraves à la performance et moins comme des outils de maitrise et d’amélioration de la performance.
Pour un certain nombre d’autres pays, dont quelques-uns économiquement stratégiques, le niveau de maturité en Gestion de Risques et en Contrôle Interne, pour assurer la maitrise des risques opérationnels pouvant impacter la performance de l’entreprise, peut être tout à fait insuffisant. Dans ces pays, souvent caractérisés entre autres par une forte corruption et un taux de criminalité non négligeable, la notion de performance collective de l’entreprise est diversement partagée par les collaborateurs locaux. Sachant dans ce contexte qu’il est difficile d’envisager une délégation locale complète des activités de performance et de contrôle des opérations et pour néanmoins garantir un minimum de maitrise et de contrôle des activités, il est alors souvent nécessaire d’assurer une présence managériale plus ou moins forte d’expatriés… avec tout ce que cela peut entrainer de frustration et de susceptibilité locales.
Toutefois, pour une partie des activités et des processus, avec la capacité aujourd’hui offerte de mise en œuvre de contrôles automatiques récurrents dans les ERP, on peut maintenant envisager de pouvoir mettre en œuvre des dispositifs de Gestion de Risques et de Contrôle Interne performants qui ne nécessitent pas de recourir localement à une forte présence d’expatriés.
Dans ce contexte, le choix de l’entreprise pour assurer la maitrise de sa performance peut se traduire par 3 options possibles :
- Mettre en œuvre un système d’information performant en matière de Gestion de Risques et de Contrôle Interne,
- Recourir à une présence conséquence d’expatriés pour assurer cette tâche managériale,
- Opter pour la solution médiane (bien souvent celle retenue) qui se traduit systématiquement par une dégradation de la performance, mais performance dont le niveau reste toutefois tout à fait acceptable pour l’entreprise.
Concernant les risques pouvant impacter le niveau de protection des expatriés, si beaucoup de pays présentent toutes les garanties en matière de maitrise des risques, certains, et non des moindres en termes de potentiel ou de ressources économiques, recèlent des typologies et des niveaux de risques qui doivent conduire à une analyse du risque assez poussée pour aider à la prise de décision concernant une éventuelle expatriation et les conditions de cette expatriation.
Les risques peuvent être évidemment de nature différente et de niveau de criticité plus ou moins élevé en fonction des pays. Par exemple, un pays peut effectivement avoir un niveau de criticité des risques sanitaires assez élevé et a contrario un niveau de criticité faible pour le risque terroriste et élevé pour le risque de corruption.
En fonction de ces différents éléments, il devra donc être défini un dispositif de maîtrise des risques qui permettra d’assurer un niveau de contrôle suffisant pour garantir la protection de l’expatrié.
L’analyse de risques pays doit donc être capable de fournir une typologie détaillée des risques pays et une évaluation du niveau de criticité de ces risques. En fonction de ces éléments, l’entreprise prendra alors la décision de l’expatriation et définira les conditions de cette expatriation.
Aujourd’hui, en matière de risque sécuritaire, hors Irak, Afghanistan et Somalie, 12 pays sont actuellement au niveau d’insécurité le plus élevé et plus de 100 pays ont fait l’objet de mises en garde récentes. De plus, concernant la sécurité aérienne, la liste des pays à risques de l’Unité de Coordination de la Lutte Antiterroriste comporte aujourd’hui une trentaine de pays. Il est important de noter que certains de ces pays sont économiquement déterminants pour nombre d’entreprises.
Malgré ce contexte, force est de constater que la logique économique l’emporte quasiment toujours, et ce quel que soit le niveau de risque du pays considéré. Charge alors aux fonctions concernées de l’entreprise (Risk Mangement, Sécurité/Sureté) de définir et de mettre en œuvre les moyens suffisants pour assurer la maîtrise des différents risques identifiés et garantir la protection de l’expatrié. Mais l’expérience montre malheureusement trop souvent, et encore aujourd’hui, que le niveau de performance des dispositifs de maîtrise mis en place par les entreprises reste insuffisant, car souvent, là encore, la logique économique l’a emporté.
En résumé, en matière de Gestion de Risques et de Contrôle Interne, deux questions essentielles se posent à l’entreprise en fonction du contexte pays :
- Dans les pays matures, comment maintenir le niveau de vigilance des expatriés sur ces domaines et leur permettre d’intégrer le fait qu’il peut s’agir avant tout d’outils d’aide au pilotage de la performance avant d’être des outils contraignants de respect de conformité réglementaire,
- Dans les pays immatures, comment, avec quoi et qui assurer le niveau nécessaire de contrôle de la performance tout en minimisant le coût et la prise de risque en matière d’expatriation.
Contact : Damien Palacci