CONSEIL EXÉCUTIF Cent trente-troisième session Point 7.3 de l’ordre du jour provisoire
EB133/10 17 mai 2013
Registre des risques institutionnels Gestion des risques stratégiques à l’échelle de toute l’Organisation à l’OMS Rapport du Secrétariat
1. Le présent rapport est soumis en réponse à la demande du Conseil exécutif que lui soient présentés des rapports de situation réguliers sur la gestion des risques.
PORTÉE ET OBJECTIF L’OMS a besoin d’un cadre à l’échelle de toute l’Organisation et d’un registre des risques de haut niveau 2. La gestion des risques est un moyen de déterminer, d’évaluer, de hiérarchiser et de maîtriser les risques dans une organisation, en utilisant les ressources de façon coordonnée et efficace pour limiter autant que possible, surveiller et maîtriser la probabilité et/ou l’impact des événements indésirables ou pour tirer parti au maximum des possibilités. Si la gestion des risques n’est pas nouvelle à l’OMS, on ne cherche à la systématiser dans toute l’Organisation que depuis relativement peu de temps. Des progrès ont été accomplis depuis que différents bureaux et unités ont commencé à mettre en place des cadres de gestion des risques en 2009.1 Toutefois, il faut progresser encore vers l’élaboration d’un cadre commun, à l’échelle de toute l’Organisation, et vers l’harmonisation des pratiques de gestion des risques, et regrouper les registres des risques établis à ce jour par les groupes organiques ou les bureaux régionaux dans un registre des risques de haut niveau pour toute l’Organisation. Un avantprojet de cadre et de registre figure en annexe au présent rapport.
Une culture de la gestion des risques 3. La gestion des risques est une question culturelle et comportementale qui nécessite un investissement et des efforts non négligeables en matière de sensibilisation, de communication et de formation en cours d’emploi. Elle appelle des changements dans les attitudes et les pratiques des
1 Par exemple, en 2009, le Groupe Administration a entrepris l’élaboration d’un cadre de gestion des risques portant principalement sur l’administration ; l’Organisation panaméricaine de la Santé a également conçu un système de gestion des risques de bonne renommée.
EB133/10
responsables ; les changements effectifs dans la culture organisationnelle découlent des attitudes et des pratiques du personnel d’encadrement. La facilitation de ce processus constituera une partie importante des activités de la nouvelle unité chargée de la vérification de la conformité, de la gestion des risques et de l’éthique.1
ÉLÉMENTS D’UN CADRE DE GESTION DES RISQUES À L’ÉCHELLE DE TOUTE L’ORGANISATION 4. Les principaux éléments du cadre de gestion des risques proposé sont les suivants : A. B. C. D. E. Détermination et catégorisation des risques Évaluation et hiérarchisation des risques Atténuation Application de mesures d’atténuation des risques Suivi et réexamen des risques.
A.
Détermination et catégorisation des risques
Définition du risque 5. À l’OMS, on entend par « risque » la probabilité et l’impact d’un événement qui affecterait la capacité de l’Organisation de réaliser ses objectifs. S’il survient, l’événement peut avoir un impact positif (possibilité) ou négatif (menace) sur la réalisation des objectifs politiques, stratégiques et opérationnels de l’Organisation. Exemples récents 6. L’importance d’une gestion structurée des risques de l’Organisation peut être illustrée par des exemples récents : • Quoique l’OMS ait bien géré la pandémie de grippe A(H1N1), comme l’a conclu le Comité d’examen sur le fonctionnement du Règlement sanitaire international (2005), l’Organisation a sous-estimé les risques que les allégations de collusion avec l’industrie présentaient pour sa réputation et n’a pas réagi assez rapidement quand elles sont apparues pour la première fois sur les sites des médias sociaux. Cette tentative d’atteinte à la réputation de l’OMS a été une menace non seulement pour les unités concernées, mais aussi pour l’ensemble de l’Organisation. 1 Cette unité est actuellement mise en place au Bureau du Directeur général, et l’on est en train de recruter un directeur et un responsable de la vérification de la conformité et de la gestion des risques. Cette unité dirigera le processus visant à dresser un inventaire détaillé de toutes les pratiques existantes à l’OMS en matière de gestion des risques. Le cadre permanent s’inspirera des cadres de gestion des risques existants au sein de l’OMS et devra également indiquer les outils à utiliser pour enregistrer et hiérarchiser les risques de façon régulière et systématique, à l’échelle de toute l’Organisation et en partant de la base ; les mesures à prendre pour institutionnaliser la gestion des risques (en lien avec d’autres outils de gestion existants) ; et les autres impératifs tels que la formation du personnel.
2
EB133/10
• L’OMS a été fortement touchée par les fluctuations inattendues des taux de change qui se sont produites en 2011 lors de la crise financière et qui ont eu des répercussions financières, programmatiques et au niveau des effectifs. • Le décès soudain en 2006 du Directeur général d’alors, le Dr LEE Jong-wook, a pris l’Organisation de court et a provoqué une brève crise pendant la Cinquante-Neuvième Assemblée mondiale de la Santé avant qu’un Directeur général par intérim puisse être nommé. 7. L’objectif de la gestion des risques à l’échelle de toute l’Organisation est de permettre à l’OMS d’être mieux préparée à la concrétisation des risques, grâce à une analyse de leur impact et à la gestion de ces risques. Par exemple, la prise de conscience du risque auquel les allégations de collusion avec l’industrie peuvent exposer la réputation de l’OMS aurait pu aider à orienter la communication à l’avance. Une analyse des risques que présentent pour les bureaux de l’OMS les catastrophes naturelles, telles que les inondations ou les séismes, ainsi que les événements politiques permettrait de prendre des mesures pour gérer les plus probables de ces risques. Participation à la détermination des risques aux différents niveaux de l’Organisation 8. Un processus ascendant est nécessaire par lequel chaque niveau de l’Organisation détermine, évalue et hiérarchise les risques auxquels il est exposé, puis notifie les principaux risques à l’échelon immédiatement supérieur de l’Organisation. Les risques particuliers devront ainsi être identifiés pour chaque bureau et chaque unité de l’OMS, et les risques majeurs notifiés au prochain niveau de l’Organisation, par exemple au niveau du département, où ils feront l’objet d’une étude, complétée par le repérage et l’analyse des risques spécifiques à ce niveau. Les départements et les bureaux de pays hiérarchiseront les risques auxquels ils sont exposés et notifieront les principaux risques au groupe ou au bureau régional, respectivement. Le même processus se déroulera alors − examen critique des risques notifiés, hiérarchisation et prise en compte des risques spécifiques au groupe organique ou au bureau régional − et les principaux risques seront notifiés à l’échelle de toute l’Organisation. Ce processus ascendant doit comporter une analyse approfondie des risques qui pourraient ne pas être décelés à un niveau inférieur, mais qui sont souvent les plus graves pour l’ensemble de l’Organisation. Catégorisation des risques 9. À l’heure actuelle, les différentes composantes de l’OMS n’utilisent pas les mêmes catégories de risques. Un cadre de gestion des risques à l’échelle de toute l’Organisation obligera à adopter les mêmes catégories de risques. Il est proposé la catégorisation suivante, qui devrait couvrir les besoins des bureaux de pays, des bureaux régionaux, des groupes techniques, de la gestion et de l’administration, et permettre de rendre compte des principaux risques à l’échelle de toute l’Organisation : • risques techniques/pour la santé publique • risques financiers • risques pour les systèmes et les structures • risques politiques/liés à la gouvernance • risques d’atteinte à la réputation de l’Organisation.
3
EB133/10
10. Ces catégories ne s’excluent pas mutuellement. Par exemple, toute atteinte majeure à la réputation est susceptible de déboucher sur un risque financier à cause de la perte de confiance des donateurs ; une erreur technique due à une mauvaise appréciation d’un risque sanitaire mondial pourrait aussi avoir des conséquences dommageables pour la réputation de l’Organisation.
B.
Évaluation et hiérarchisation des risques
11. Il s’agit d’établir une classification détaillée et d’effectuer une analyse approfondie de l’impact possible et de la probabilité d’un risque. Il faudra adopter une structure commune pour comparer et fusionner les différents registres des risques utilisés à l’OMS. 12. Sur la base des structures actuellement utilisées pour les registres des risques, la structure suivante est proposée : Détermination du risque Unité Catégorie de risque Dénomination du risque Description Évaluation du risque Propriétaire Score du risque d’impact Score de probabilité Atténuation Niveau
13.
Il est proposé d’évaluer l’impact et la probabilité comme suit : Score 5 4 3 2 1 Impact Critique Grave Modéré Mineur Négligeable Probabilité Prévisible >90 % Hautement probable <90 % Probable <60 % Peu probable <30 % Faible <10 %
14. Le premier inventaire des risques à l’échelle de l’Organisation fournira des indications sur les critères à utiliser pour la hiérarchisation, par exemple la pondération combinée des risques par le score d’impact et le score de probabilité. Un registre des risques à l’échelle de toute l’Organisation 15. Un registre des risques à l’échelle de toute l’Organisation regrouperait les étapes ascendantes prévues pour les registres des risques aux différents niveaux. On trouvera en annexe au présent document un registre préliminaire des risques de haut niveau, qui devra être examiné sur la base des recommandations formulées par le Comité consultatif indépendant d’experts de la Surveillance et par le Conseil exécutif, et à la suite du premier processus ascendant d’évaluation des risques. Ce processus sera décrit en détail par la nouvelle unité chargée de la vérification de la conformité, de la gestion des risques et de l’éthique, sur la base des grands principes suivants : • les risques à l’échelle de toute l’Organisation seront validés par le Groupe de la Politique mondiale et notifiés aux organes directeurs ;
4
EB133/10
• le registre sera établi en partant de la base, mais nécessitera à chaque niveau une analyse des risques spécifiques au niveau en question (approche descendante) ; • le registre des risques à l’échelle de toute l’Organisation sera continuellement contrôlé et administré, et il sera révisé chaque année ; • le processus sera élaboré à partir d’éléments existants, comme le mandat des propriétaires des risques. Des conseils seront donnés pour faire la distinction entre un risque important déclenché par un événement, qu’il convient d’enregistrer, et les incertitudes souvent inhérentes à la gestion quotidienne, qu’il n’est pas nécessaire d’enregistrer ; • la gestion des risques sera intégrée aux processus de gestion existants, tels que la planification, la budgétisation et la gestion des compétences et l’évaluation ; • le registre des risques sera établi et administré comme sont gérés les événements, c’est-à-dire selon un processus ascendant qui part du niveau de l’équipe/du bureau de pays/de l’unité, remonte au niveau du département/centre budgétaire, puis à celui du groupe organique/bureau régional, pour atteindre le niveau de l’ensemble de l’Organisation, comme le montre le diagramme suivant :
Risques prioritaires de haut niveau à l’échelle de toute l’Organisation Notifiés à l’échelle de l’Organisation Risques prioritaires au niveau des bureaux régionaux/groupes organiques Notifiés aux bureaux régionaux/groupes organiques Risques prioritaires au niveau des départements Notifiés aux départements Risques prioritaires au niveau des unités Risques au niveau des unités
C. 16.
Atténuation Il faudrait envisager pour chaque risque les options d’atténuation décrites ci-après : • Tolérer : accepter le risque en maintenant les activités inchangées. Cette option peut être appliquée quand l’exposition au risque est tolérable, quand la maîtrise du risque est impossible ou que le coût qu’elle entraîne est démesuré par rapport aux avantages potentiels. Elle peut être complétée par l’élaboration d’un plan d’urgence pour faire face aux conséquences éventuelles. Déterminer si un risque particulier peut être toléré est une décision de gestion stratégique. • Remédier : ajuster les activités concernées (ajouter des activités ou revoir les activités existantes). 5
EB133/10
• Transférer : partager le risque en impliquant les partenaires. Le transfert de risque est particulièrement efficace pour les risques financiers ou mettant en péril les actifs, et consiste notamment à prendre une assurance classique ou à payer une tierce partie pour qu’elle assume le risque. Cette option n’est pas possible en ce qui concerne les risques d’atteinte à la réputation de l’Organisation. La relation avec la tierce partie doit être gérée avec soin. • Abroger : éviter ou annuler les activités à l’origine du risque, en particulier quand l’efficacité sur le plan des coûts est compromise.
D.
Application de mesures d’atténuation des risques
17. Les stratégies d’atténuation des risques seraient déclinées en activités assorties de délais. S’agissant des domaines et des questions pour lesquels le propriétaire du risque préconise l’option « remédier », c’est-à-dire atténuer le risque, des mesures seraient prises pour réduire la probabilité du risque ou limiter l’impact de ce dernier. Les mesures d’atténuation des risques seraient également liées à l’usage optimal des ressources. Pour compléter encore le système, il faudrait déterminer d’où ces ressources doivent provenir. La gestion des risques institutionnels devrait être financée par l’Organisation.
E.
Suivi et réexamen des risques
18. Une fois établi un registre initial détaillé des risques, il faudra suivre régulièrement chaque risque, ce qui consistera entre autres à noter : • tout changement dans l’évaluation du risque ; • toute modification proposée dans la stratégie d’atténuation du risque ; • les progrès accomplis en ce qui concerne le plan d’action détaillé.
MESURES À PRENDRE PAR LE CONSEIL EXÉCUTIF 19. Le Conseil exécutif est invité à fournir des orientations supplémentaires.
6
EB133/10
ANNEXE REGISTRE PRÉLIMINAIRE DES RISQUES DE HAUT NIVEAU À L’ÉCHELLE DE TOUTE L’ORGANISATION
Cette liste initiale de risques à l’échelle de toute l’Organisation ne comporte que les risques de haut niveau. Des versions ultérieures du présent registre comporteront les risques de haut niveau d’une pyramide des risques beaucoup plus large. Risques techniques/pour la santé publique • Évaluation erronée d’un risque sanitaire mondial • Réaction excessive ou insuffisante dans une situation d’urgence • Interruption des activités en cas de pandémie grave • Manque de confiance dans la capacité de l’OMS de faire face à un grave problème sanitaire mondial • Diffusion de recommandations ou d’autres informations techniques qui ne reposent pas sur des données factuelles ou qui sont inexactes sur le plan scientifique et/ou technique Risques financiers • Retrait des principaux donateurs ou manquement à leurs engagements • Risques de change et risques liés au financement des dépenses de personnel • Risques liés aux passifs à long terme • Incapacité à appliquer le nouveau modèle de financement Risques pour le personnel, les systèmes et les structures • Perte d’infrastructures essentielles (Centre mondial de services, Centre stratégique d’opérations sanitaires, technologies de l’information, effondrement d’un bâtiment, attaque terroriste) • Perte de productivité du personnel • Piratage ou modification des données de l’OMS Risques politiques/liés à la gouvernance • Blocage au sein d’un organe directeur ou vote aboutissant à une scission • Incapacité à mettre en œuvre la réforme de la gouvernance de l’OMS
7
EB133/10
Annexe
• Crise politique ou économique sur le lieu d’implantation d’un bureau • Manque de cohérence au niveau de l’Organisation Risques d’atteinte à la réputation de l’Organisation • Influence extérieure indue sur les priorités et les activités de l’OMS • Fraude ou corruption au sein de l’Organisation • Incapacité à obtenir les résultats escomptés
8
Annexe
Ce registre préliminaire des risques constituera la base sur laquelle les propriétaires des risques s’appuieront pour effectuer une description plus détaillée et dresser un plan d’atténuation des risques. Il sera révisé lors du processus d’établissement du premier inventaire systématique des risques à l’échelle de toute l’Organisation, tâche qui doit être coordonnée par la nouvelle unité chargée de la vérification de la conformité, de la gestion des risques et de l’éthique. Détermination du risque Dénomination du risque Évaluation erronée d’un risque sanitaire mondial Description Propriétaire du risque (« gestionnaire du risque ») Sous-Directeurs généraux Évaluation du risque Note d’impact 4 Note de probabilité 2 Atténuation (éléments préliminaires fournis à titre d’exemple) Tolérer ; examen permanent de la qualité technique, étude la littérature scientifique et observation des médias sociaux Atténuer par la pleine application du Règlement sanitaire international (2005) et une meilleure gestion des conflits d’intérêts
Unité
Catégorie de risque Technique/ santé publique
Niveau Le plus élevé
Technique/ santé publique
Réaction excessive ou insuffisante dans une situation d’urgence
Sous-Directeurs généraux du Groupe Poliomyélite, situations d’urgence et collaboration avec les pays, et du Groupe Sécurité sanitaire et environnement Sous-Directeur général du Groupe Sécurité sanitaire et environnement Directeurs régionaux et Sous-Directeurs généraux
4
1
Le plus élevé
Technique/ santé publique
Interruption des activités en cas de pandémie grave Manque de confiance dans la capacité de l’OMS de faire face à un grave problème sanitaire mondial
5
1
Atténuer au moyen du plan de continuité institutionnelle Atténuer grâce à la réforme de l’OMS
Le plus élevé
Technique/ santé publique
4
1
Le plus élevé
EB133/10
9
10 Unité Catégorie de risque Technique/ santé publique Détermination du risque Dénomination du risque Diffusion d’informations techniques inexactes auprès des États Membres et du public Diffusion de recommandations ou d’autres informations techniques qui ne reposent pas sur des données factuelles ou qui sont inexactes sur le plan scientifique et/ou technique Retrait des principaux donateurs ou manquement à leurs engagements Description Propriétaire du risque (« gestionnaire du risque ») Directeurs régionaux et Sous-Directeurs généraux Évaluation du risque Note d’impact 4 Note de probabilité 2 Atténuation (éléments préliminaires fournis à titre d’exemple) En ce qui concerne les données, atténuer grâce à la validation centralisée des informations sanitaires par le Groupe Systèmes de santé et innovation (HIS) Atténuer grâce au Comité d’évaluation des directives et à la réforme de l’OMS Niveau Le plus élevé Technique/ santé publique Directeurs régionaux et Sous-Directeurs généraux 4 2 Le plus élevé Financier Sous-Directeur général chargé du Groupe Administration 4 3 Atténuer à court terme par l’établissement de rapports mensuels et à moyen terme par l’application du nouveau modèle de financement Atténuer par l’application du nouveau modèle de financement et par la croissance zéro du budget Atténuer par la couverture des risques et en retenant la proposition de libeller les contributions fixées dans plusieurs monnaies Le plus élevé Financier Crise financière mondiale Bureau du Directeur général et SousDirecteur général chargé du Groupe Administration Contrôleur financier 4 2 Le plus élevé Financier Risques de change 3 2 Le plus élevé
EB133/10 Annexe
Annexe
Unité
Catégorie de risque Financier
Détermination du risque Dénomination du risque Risques liés au financement des dépenses de personnel Risques liés aux passifs à long terme Description
Propriétaire du risque (« gestionnaire du risque ») Contrôleur financier
Évaluation du risque Note d’impact 3 Note de probabilité 3
Atténuation (éléments préliminaires fournis à titre d’exemple) Atténuer par une meilleure planification des RH et par l’application du nouveau modèle de financement Atténuer par une évaluation actuarielle annuelle de tous les passifs futurs relatifs au personnel Atténuer grâce à la réforme
Niveau Le plus élevé
Financier
Contrôleur financier
3
3
Le plus élevé
Financier
Incapacité à appliquer le nouveau modèle de financement
Bureau du Directeur général et SousDirecteur général chargé du Groupe Administration Sous-Directeur général chargé du Groupe Administration Sous-Directeur général chargé du Groupe Administration
4
Une seule occurrence
Le plus élevé
Systèmes et structures Systèmes et structures
Perte d’infrastructures essentielles Perte de productivité du personnel
4
2
Atténuer au moyen de plans de continuité institutionnelle Atténuer en modifiant le modèle de dotation en personnel et en dialoguant avec l’association du personnel Atténuer au moyen de plans de sécurité des TI Atténuer en améliorant la préparation du Secrétariat et des États Membres aux réunions des organes directeurs
Le plus élevé Le plus élevé
4
2
Systèmes et structures Politique/ gouvernance
Piratage/modification des données de l’OMS Blocage au sein d’un organe directeur ou vote aboutissant à une scission
Sous-Directeur général chargé du Groupe Administration Bureau du Directeur général/États Membres
4
2
Le plus élevé Le plus élevé
4
1
EB133/10
11
12 Unité Catégorie de risque Politique/ gouvernance Politique/ gouvernance Détermination du risque Dénomination du risque Incapacité à mettre en œuvre la réforme de la gouvernance de l’OMS Crise politique/ économique sur le lieu d’implantation d’un bureau Manque de cohérence au niveau de l’Organisation Description Propriétaire du risque (« gestionnaire du risque ») Bureau du Directeur général/États Membres Directeurs régionaux et Sous-Directeurs généraux Directeurs régionaux et Sous-Directeurs généraux Évaluation du risque Note d’impact 4 Note de probabilité 2 Atténuation (éléments préliminaires fournis à titre d’exemple) Atténuer au moyen du plan de mise en œuvre de la réforme Mettre à jour les plans d’atténuation Niveau Le plus élevé Le plus élevé 3 3 Politique/ gouvernance 4 2 Atténuer grâce à la réforme, en particulier l’harmonisation des organes directeurs et une définition plus claire du rôle des trois niveaux de l’Organisation Remédier à la situation en gérant mieux les conflits d’intérêts et en tolérant un risque résiduel Atténuer en renforçant le cadre de contrôle interne et en tolérant un risque résiduel Atténuer grâce à la réforme de l’OMS Le plus élevé
EB133/10
= = = Réputation Influence extérieure indue sur les priorités et les activités de l’OMS Fraude ou corruption au sein de l’Organisation Incapacité à obtenir les résultats escomptés Directeurs régionaux et Sous-Directeurs généraux Contrôleur financier 4 2 Réputation 4 2 Réputation Directeurs régionaux et Sous-Directeurs généraux 5 1
Le plus élevé
Le plus élevé
Le plus élevé
Annexe