Évaluation des risques

Évaluer les risques potentiels est une tâche fondamentale pour sélectionner les enjeux de surveillance les plus importants à auditer. Les auditeurs peuvent examiner les renseignements qu’ils ont collectés précédemment pendant l’audit (la structure de gouvernance et les procès-verbaux des réunions du conseil d’administration ou du comité, etc.) pour trouver des signes indiquant des risques en matière de surveillance dans des domaines précis de l’organisme, du conseil, de la commission ou de l’autorité.

Le tableau 6 contient une liste de signes courants indiquant des risques éventuels en matière de surveillance. Ces signes peuvent aider à cibler les travaux d’examen suivants, mais les auditeurs ne doivent pas les accepter aveuglément comme preuve que des lacunes existent en matière de surveillance. Ils doivent toujours collecter des éléments probants suffisants et appropriés pour confirmer le lien de causalité avant de conclure que la présence d’un signe suggère celle d’une lacune réelle.

Tableau 6 – Signes indiquant des risques éventuels en matière de surveillance

Le conseil d’administration a connu un changement complet de ses membres; le taux de roulement des administrateurs est très élevé; il n’existe aucun roulement des administrateurs ou les mandats sont excessivement longs; le renouvellement des administrateurs n’est pas échelonné dans le temps. Les relations entre les administrateurs et le chef de la direction sont excessivement tendues; le chef de la direction ne fait pas preuve de transparence à l’égard du conseil d’administration; les relations entre les administrateurs et le chef de la direction sont trop étroites; il n’arrive jamais (ou alors rarement) que le conseil d’administration interroge le chef de la direction ou lui demande de s’expliquer. Le président du conseil d’administration ou le chef de la direction se montre excessivement dominant aux réunions du conseil d’administration, ou la direction est réticente à s’exprimer à ces réunions. Les conflits d’intérêts sont fréquents parmi les membres de l’organe de surveillance, ou les mesures prises pour gérer les conflits d’intérêts connus ne sont pas documentées. Il n’existe aucune communication à propos du code de conduite, celui-ci est inexistant ou les administrateurs ne se conforment pas à ses dispositions. L’organisme de réglementation entretient des relations trop étroites avec l’entité réglementée, ce qui compromet son indépendance. Le président du conseil d’administration intervient dans la gestion quotidienne de l’entité, ou il n’existe aucune séparation des tâches entre le conseil d’administration et la direction. Le conseil d’administration ou ses comités se réunissent rarement, ou les réunions sont brèves, convenues et superficielles. Le conseil d’administration ne possède pas de charte, pas de manuel de gouvernance ou aucun des deux. Les administrateurs ne comprennent pas leurs rôles, ne connaissent pas l’étendue de leurs responsabilités de surveillance et pensent que de nombreux aspects de la surveillance incombent à la direction. La structure de gouvernance de l’entité ne prévoit pas de comité d’audit. Les recommandations d’audit interne ne sont jamais ou rarement mis en œuvre, ou l’audit interne est supprimé ou sous-traité. Le conseil d’administration n’examine pas périodiquement les règlements d’application qui le concernent. Le conseil d’administration se montre trop passif dans l’établissement des renseignements dont il a besoin, il ne parvient pas à assurer le suivi de ses demandes de renseignements, ou les deux. Les procédures et politiques de gestion des risques n’existent pas ou ne sont pas appliquées. Il existe des problèmes organisationnels importants : mauvaise performance par rapport aux cibles opérationnelles ou stratégiques; retards et dépassements de coûts excessifs; nombre élevé de plaintes, de pénalités et d’amendes; ou aggravation des risques. L’entité a des antécédents de défaillances répétées pour des types précis de projets ou d’initiatives. Les activités de l’entité ne coïncident pas avec son mandat. La documentation des activités et des décisions en matière de surveillance est inadéquate. Les renseignements sur la performance sont inexistants ou trompeurs. Le suivi et la prise de mesures correctives sont défaillants quand des problèmes importants sont portés à l’attention du conseil d’administration ou de ses comités.