La matrice des risques et contrôles est le document qui relie chaque risque d'un processus métier aux contrôles qui le couvrent, avec les attributs nécessaires pour exécuter et tester chaque contrôle : responsable, fréquence, type, preuve et procédure de test. Les anglophones l'appellent RACM, pour risk and control matrix.
La matrice des risques et contrôles est le cœur opérationnel d'un cadre de contrôle interne. Le cadre énonce des principes, et la matrice les traduit en lignes qu'une personne peut exécuter et qu'une autre peut tester. C'est le premier document qu'un auditeur demande lors d'une revue SOX 404 ou d'une mission de contrôle interne.
Une ligne de matrice contient en général :
- le processus et le sous-processus, par exemple achats et validation des factures fournisseurs
- l'énoncé du risque, par exemple des factures payées à un prix supérieur au contrat
- l'assertion concernée : existence, exhaustivité, exactitude ou séparation des exercices
- la description du contrôle et son responsable
- la fréquence : à chaque transaction, quotidienne, mensuelle ou trimestrielle
- la nature : préventif ou détectif, manuel ou automatisé
- l'indicateur de contrôle clé et la procédure de test
Deux erreurs de conception reviennent souvent. La première est un risque sans contrôle, ou un contrôle sans risque, qui laisse soit une faille, soit un effort inutile. La seconde est un contrôle clé qui dépend d'une seule personne sans suppléant, si bien qu'une absence ou un départ suffit à le rompre. Lorsque la séparation des tâches est impossible, la matrice documente à la place un contrôle compensatoire.
Les agents Phacet se projettent directement sur les lignes de la matrice. L'agent capable de contrôler la facturation fournisseur couvre le risque de prix, le matching 3 points couvre l'existence et l'exactitude, et chaque exécution remplit automatiquement la colonne des preuves.
