Gérer tous les risques de l'organisation : registre, appétit, conformité et réputation

1Des risques de sécurité aux risques de l'organisation

La gestion des risques de l'organisation (souvent appelée ERM, enterprise risk management) élargit la logique de la sécurité à tous les risques qui menacent la mission :

• Sécurité : violence, accidents, santé du personnel.
• Fiduciaires : fraude, corruption, détournement, mauvaise utilisation des fonds.
• Opérationnels : rupture d'approvisionnement, défaillance d'un partenaire, perte d'accès.
• Juridiques et de conformité : sanctions, antiterrorisme, droit du travail, fiscalité, protection des données.
• Éthiques et de sauvegarde : exploitation et abus sexuels, harcèlement, atteinte aux principes.
• Réputationnels : perte de confiance des communautés, des bailleurs et du public.
• Financiers et stratégiques : dépendance à un bailleur, crise de trésorerie, perte de pertinence.

Ces risques sont liés : un détournement d'aide par un groupe armé est à la fois fiduciaire, juridique (sanctions), opérationnel (suspension), réputationnel et de sécurité (représailles si l'organisation le dénonce). C'est pourquoi une approche intégrée est nécessaire.

2Le registre des risques

Le registre des risques recense les principaux risques, avec pour chacun : description (cause, événement, conséquence), catégorie, propriétaire, probabilité, impact, score inhérent, mesures existantes, score résiduel, mesures supplémentaires prévues, échéance.

Le registre est revu chaque trimestre par la direction et chaque année par le conseil ou son comité d'audit et des risques. Les dix principaux risques font l'objet d'un suivi particulier.

3L'appétit pour le risque

L'appétit pour le risque est le niveau de risque que l'organisation accepte de prendre pour atteindre sa mission. Il est fixé par le conseil, par catégorie :

• Sécurité : appétit modéré, élevé seulement pour les activités vitales (voir la criticité des programmes).
• Fiduciaire : appétit faible pour la fraude, mais acceptation d'un risque résiduel dans les contextes difficiles, à condition de le détecter et de le signaler.
• Exploitation et abus sexuels : tolérance zéro pour les comportements, ce qui n'empêche pas de reconnaître que le risque existe et doit être géré activement.
• Programmatique : appétit plus élevé pour l'innovation et l'accès à des zones difficiles.

L'appétit pour le risque n'est pas un slogan : il se traduit en seuils (score résiduel maximal par catégorie), en délégations (qui peut accepter quel niveau de risque) et en décisions documentées. Un appétit trop faible empêche de travailler là où les besoins sont les plus grands ; un appétit non défini laisse chaque responsable décider seul.

4La perte attendue

Pour certains risques financiers, on peut compléter la matrice par la perte attendue : probabilité annuelle × coût en cas de réalisation. Cela aide à comparer le coût d'une mesure à la perte qu'elle évite.

Exemple. Risque de vol de la caisse d'un bureau de terrain : probabilité annuelle estimée à 20 %, perte moyenne 15 000 USD (espèces et frais). Perte attendue : 0,2 × 15 000 = 3 000 USD par an. Passer aux paiements par mobile money coûte 1 800 USD par an et réduit la probabilité à 5 % et la perte moyenne à 4 000 USD : perte attendue 200 USD. Gain net : 3 000 − 200 − 1 800 = 1 000 USD par an, sans compter la baisse du risque pour la sécurité du caissier.

Limites : la perte attendue ne convient pas aux risques qui touchent des vies ou dont l'impact est catastrophique. Personne ne décide d'accepter un enlèvement parce que sa « perte attendue » serait faible. Pour ces risques, on raisonne en seuil acceptable et en plans de contingence.

5Conformité : sanctions, antiterrorisme, fraude

Les obligations de conformité s'imposent par les lois nationales, les régimes de sanctions et les contrats des bailleurs :

• Sanctions et antiterrorisme : interdiction de mettre des fonds ou des ressources à la disposition de personnes ou entités inscrites sur les listes. Mesures : vérification des fournisseurs, partenaires, employés selon le risque ; clauses contractuelles ; vigilance sur les paiements dans les zones contrôlées par des groupes listés ; usage des exemptions humanitaires existantes en documentant leur application.
• Antifraude et anticorruption : politique, ligne d'alerte, enquêtes, signalement aux bailleurs dans les délais (voir la finance).
• Vérification du bénéficiaire final : en général, les bailleurs n'exigent pas de vérifier chaque bénéficiaire de l'aide contre les listes, et les principes humanitaires s'y opposent ; les contrôles portent sur les partenaires, fournisseurs et personnels.

Le dialogue avec les bailleurs et les banques est essentiel : le retrait des banques (de-risking), qui refusent de traiter avec des organisations travaillant dans des zones sanctionnées, peut bloquer des opérations entières. Documenter sa diligence aide à garder les comptes ouverts.

6Protection contre l'exploitation et les abus sexuels

La protection contre l'exploitation et les abus sexuels (PSEA) envers les populations aidées est une obligation fondamentale. Les six principes fondamentaux du Comité permanent interorganisations (IASC) interdisent notamment toute relation sexuelle avec des enfants (moins de 18 ans), tout échange d'argent, d'emploi, de biens ou de services contre des faveurs sexuelles, et imposent de signaler toute préoccupation.

Le dispositif :

• code de conduite et formation de tout le personnel et des partenaires ;
• vérification des références au recrutement (dispositifs interorganisations) ;
• mécanismes de plainte communautaires accessibles, sûrs, adaptés aux femmes et aux enfants ;
• assistance aux victimes (médicale, psychosociale, juridique) selon leurs choix ;
• enquêtes rapides et indépendantes, sanctions, signalement aux bailleurs ;
• clauses PSEA dans les accords avec les partenaires.

Indicateur trompeur : zéro plainte ne signifie pas zéro abus. Dans la plupart des contextes, l'absence de plaintes indique plutôt que les mécanismes ne sont ni connus ni jugés sûrs par les communautés.