Tendances de risque en 2023 et par la suite : Composer avec les difficultés de la nouvelle normalité au Canada

Les répercussions de la pandémie de COVID-19 se feront sentir encore longtemps après que l’Organisation mondiale de la Santé aura annoncé officiellement qu’elle est terminée. Même si plusieurs aspects de la vie ont retrouvé leur normalité, de nombreuses questions demeurent quant à ce que l’avenir nous réserve une fois que la poussière sera enfin retombée.

Rétention et recrutement de personnel essentiel

La pandémie de COVID-19 a provoqué l’une des crises de l’emploi les plus aiguës et les plus généralisées de mémoire récente. Les organisations se retrouvent coincées, alors que, d’un côté, les baby-boomers prennent leur retraite en masse et que, de l’autre, de nombreux jeunes travailleurs sont à l’affût de nouvelles occasions d’emploi. À cela s’ajoute une pénurie de main-d’œuvre, particulièrement pour les postes hautement spécialisés.

Ce qu’en disent les experts

Le départ d’employés chevronnés crée des brèches dans les plans de relève de nombreuses organisations. Rares sont ceux qui auraient pu prévoir le changement de mentalité majeur qui s‘est opéré entre 2020 et 2022 et ses répercussions sur toutes les tranches de la population active.

Alors que les effets de la grande démission se font sentir à tous les niveaux, beaucoup d’organisations ont revu leur stratégie et cherchent à pourvoir les postes vacants à court terme, plutôt que de tenter d’attirer des employés et de former la prochaine génération de dirigeants.

Questions que l’équipe d’audit interne devrait poser

• Quels sont les plans de relève de l’organisation pour les postes hautement stratégiques?
• Quels rôles et quelles compétences seront essentiels pour assurer son succès d’ici un à cinq ans?
• Quelles sont les stratégies en place pour motiver les employés actuels, et favoriser leur perfectionnement et leur épanouissement? Ces stratégies sont-elles fondées sur des pratiques de pointe en ressources humaines?
• Quelles sont les aspirations des plus jeunes générations et comment évoluent leurs attentes (p. ex., par rapport à la rémunération, à l’équilibre travail-vie personnelle, à la culture et à l’aspect significatif du travail)?

Inflation et risque de récession

La pandémie de COVID-19 a provoqué l’effet domino qui a propulsé en 2022 les taux d’inflation à leur plus haut niveau en 40 ans. Les taux d’intérêt sont l’un des outils les plus efficaces dont disposent les banques centrales pour freiner la flambée des prix. Cependant, alors que l’objectif est de refroidir la demande, et ainsi, de réduire les prix, cette situation s’accompagne du risque bien réel de faire plonger l’économie en récession. De plus, si le Canada réussit à éviter une récession, mais pas les États-Unis, son économie en ressentira tout de même les turbulences.

Ce qu’en disent les experts

De nombreux consommateurs se retrouvent dans une meilleure situation financière après la pandémie qu’avant celle-ci. Cela est principalement attribuable aux économies réalisées en raison des restrictions dans les secteurs de la restauration, du commerce de détail et du voyage, ainsi qu’aux taux d’intérêt historiquement bas et aux mesures de soutien offertes par les gouvernements.

L’inflation a été provoquée, entre autres, par une reprise soudaine des dépenses après la réouverture des commerces et par l’incapacité des chaînes d’approvisionnement à suivre la cadence. Or, cette envolée devrait s’atténuer maintenant que le coût des biens et des emprunts atteint des sommets jamais vus depuis une génération.

Les entreprises doivent évaluer l’incidence de ce renversement de situation sur la demande d’ici la fin de 2022 et au début de 2023, et sur leur capacité d’accès au capital si l’économie se retrouve en pleine récession.

Questions que l’équipe d’audit interne devrait poser

• Quels secteurs d’activité sont les plus susceptibles d’être touchés par un ralentissement économique ou une récession, et que peut-on faire pour mieux en gérer les effets?
• Quelles sont les mesures d’économie de coûts à votre disposition pour compenser la hausse des coûts ou la baisse des revenus?
• Dans quelle mesure votre organisation dépend-elle du financement par emprunts et quel est l’effet de la hausse des coûts de stockage sur vos résultats financiers?
• Quelle serait l’incidence d’une récession ou d’un ralentissement économique sur vos prévisions concernant l’emploi, et sur vos efforts de recrutement et de rétention des employés?
• Des tiers risquent-ils de ne pas être en mesure de fournir des biens ou des services, ou de maintenir leur niveau de qualité en raison d’un ralentissement économique?
• Quelle serait l’incidence, sur les activités de l’entreprise, de la hausse des cas d’insolvabilité de sociétés et de particuliers, et que peut-on faire pour la minimiser?

Incertitude liée à la chaîne d’approvisionnement mondiale

Il est clair que la pandémie de COVID-19 est à l’origine de la crise actuelle au niveau de la chaîne d’approvisionnement, mais il est de plus en plus évident qu’elle n’en était pas la seule cause. De nombreux problèmes demeurent plus de deux ans plus tard, et il faudra sans doute plusieurs années avant d’éliminer tous les arriérés.

Ce qu’en disent les experts

La crise actuelle au niveau de la chaîne d’approvisionnement n’est pas un événement en soi. Il s’agit plutôt d’une multitude de petites crises qui se sont amalgamées au plus fort de la pandémie, ce qui en fait un problème bien difficile à régler.

La majeure partie des arriérés attribuables à des fermetures d’entreprises, aux absences d’employés qui avaient contracté la COVID-19, à la mise en quarantaine d’entrepôts et à des événements météorologiques extrêmes ont été éliminés. Il faudra cependant beaucoup plus de temps pour construire les routes, les ports et les voies ferrées requises pour combler le déficit actuel en infrastructures de plusieurs milliards de dollars. Les entreprises du secteur de la logistique, comme celles de tous les secteurs de l’économie, font des pieds et des mains pour attirer des chauffeurs et les garder en poste.

Il y a également les problèmes liés à l’écologisation de la chaîne d’approvisionnement et à la recherche d’un équilibre entre la production au pays et à l’étranger. Et les répercussions de la guerre en Ukraine compliqueront encore plus les choses plus le conflit s’étire. Soudainement, le commerce mondial est devenu extrêmement complexe.

Questions que l’équipe d’audit interne devrait poser

• De quelle façon les problèmes liés à la chaîne d’approvisionnement pourraient-ils nuire à la capacité de votre organisation à exercer ses activités? Avez-vous un plan B pour vous procurer tous les produits et services essentiels à votre organisation?
• Les modèles d’affaires actuels sont-ils toujours adéquats si les problèmes courants liés à la chaîne d’approvisionnement deviennent la norme?
• L’organisation tient-elle compte dans ses prévisions d’expédition d’une hausse possible des événements météorologiques extrêmes ou porte-t-elle une attention accrue à la viabilité de la chaîne d’approvisionnement dans le cadre de sa planification et de ses pratiques d’approvisionnement?
• L’organisation gère-t-elle les attentes de ses clients en cas de problèmes majeurs dans la prestation de produits et services?
• Quelles sont les stratégies en place pour composer avec les interruptions de travail?

Un modèle d’affaires prêt pour l’avenir

« Perturbation » a été l’un des termes les plus en vogue dans le monde des affaires dans les années précédant la pandémie, au point de devenir pratiquement un cliché. Mais il a pris une signification bien particulière ces deux dernières années, et demeurera une préoccupation bien légitime au cours des 10 prochaines années.

Ce qu’en disent les experts

Même si le monde revient peu à peu à la normale, il est impossible d’éradiquer totalement la COVID-19. Les outils de collaboration numériques, les formules de travail hybrides et la demande pour une expérience client fluide tant en ligne que hors ligne sont là pour de bon, et continueront à évoluer.

De nombreuses organisations constateront que c’était chose facile de s’adapter aux défis de la pandémie comparativement aux perturbations à l’horizon. Il n’y avait pas de précédent aux événements de 2020, mais nous avons tous été confrontés aux mêmes défis et incertitudes. Les possibilités s’élargiront considérablement au fur et à mesure où les organisations ne seront plus contraintes à planifier seulement pour survivre. La norme a maintenant été établie sur le plan de l’innovation, de l’adaptabilité et de la réponse aux demandes externes.

Les clients et les employés ne seront probablement pas aussi patients avec les organisations qui résistent à de nouvelles façons de travailler ou d’offrir de la valeur.

Questions que l’équipe d’audit interne devrait poser

• À quoi les consommateurs et les parties prenantes s’attendent-ils de votre organisation? Comment votre organisation peut-elle répondre à la demande, tout en respectant sa mission, sa raison d’être et ses valeurs?
• Quelles technologies, données et capacités perturbent votre secteur d’activité? Comment pouvez-vous adapter votre modèle d’affaires afin d‘en tirer profit efficacement?
• Quels sont les obstacles sur le plan financier, de la main-d’œuvre et de la logistique et comment pouvez-vous les surmonter?
• Qui perturbe votre secteur d’activité et que pouvez-vous apprendre de ces personnes?
• Êtes-vous un partenaire de confiance, constamment à l’affût des tendances et des changements dans la demande?

La technologie est devenue un couteau à deux tranchants pour les organisations qui souhaitent réduire leurs coûts, simplifier leur exploitation et acquérir un avantage concurrentiel. Même si beaucoup d’organisations gardent l’œil sur la suite des choses, il y a également un danger à miser outre mesure sur l’innovation, surtout si l’on n’a pas les assises nécessaires pour la soutenir.

Tirer profit de la technologie pour réaliser votre stratégie organisationnelle et commerciale

L’intelligence artificielle, l’apprentissage automatique et l’analytique prédictive offrent des capacités de plus en plus pratiques et abordables aux entreprises de tous les secteurs. Cela crée de nouvelles possibilités pour les petites et moyennes entreprises, mais présente également de nouveaux risques.

Ce qu’en disent les experts

Les nouveaux outils sont associés à la promesse de coûts réduits et d’une plus grande efficacité. Ils peuvent également contribuer à multiplier la capacité d’innovation. Les organisations qui tardent à tirer profit du potentiel des technologies émergentes auront de la difficulté à suivre la cadence imposée par leurs concurrents plus prompts à faire le saut.

L’adoption rapide des nouvelles technologies comporte de nombreux avantages, allant de l’attraction et la rétention d’employés à une vision plus claire des tendances émergentes et des occasions d’affaires. Les entreprises doivent bien comprendre la relation entre leurs stratégies numériques, organisationnelles ou commerciales, ainsi que leurs interdépendances.

Questions que l’équipe d’audit interne devrait poser

• Quelles technologies numériques auront la plus grande incidence sur votre secteur d’activité et comment l’organisation peut-elle les exploiter pour en tirer un avantage concurrentiel?
• Quels sont les obstacles à l’adoption de nouvelles technologies au sein de l’organisation et comment pouvez-vous les surmonter?
• L’organisation dispose-t-elle du capital humain et de l’expertise requis pour adopter les technologies émergentes et les déployer efficacement?
• Pour quelles mesures stratégiques les technologies émergentes seraient-elles les plus bénéfiques, et comment l’organisation peut-elle en tirer parti afin d’accroître sa part de marché?
• Quelle est la valeur inhérente à l’adoption de ces technologies et comment pouvez-vous en mesurer les avantages prévus et vous assurer de les concrétiser?

Priorité à la transformation numérique plutôt qu’à la préparation de l’organisation

La mise en œuvre de technologies numériques a été un important facteur de succès lorsque les organisations sont passées à un environnement principalement fondé sur le télétravail dans les premiers temps de la pandémie de COVID-19. Cependant, les défis posés par la gestion des ressources et du changement font en sorte que de nombreuses initiatives ne répondent pas aux attentes.

Ce qu’en disent les experts

Les organisations ne peuvent pas s’attendre à récolter les fruits des nouveaux outils et des nouvelles façons de faire si elles n’investissent pas également dans des programmes d’intégration et de formation, dans leur personnel de soutien, dans l’intégration des systèmes et dans la gestion du changement en général. Un excellent système est tout à fait inutile si les employés ne savent pas comment, ou ne veulent pas, l’utiliser.

Les entreprises qui ont investi massivement dans la technologie ces deux dernières années auraient avantage à évaluer la façon dont ces nouveaux systèmes sont utilisés et s’ils procurent le rendement attendu. Ne pas aborder ces problèmes dès maintenant pourrait nuire encore plus aux efforts de transformation à long terme.

Questions que l’équipe d’audit interne devrait poser

• Quels sont les indicateurs de réussite d’un projet de transformation numérique et comment les projets récents répondent-ils aux attentes?
• Quels sont les risques de ne pas utiliser les technologies numériques comme prévu et comment peut-on les contrer?
• Quels sont les obstacles au changement et comment peut-on inciter les employés à adopter de nouvelles technologies?
• Quelles initiatives de transformation peuvent fournir le meilleur rendement? Et quelles initiatives devraient être annulées parce qu’elles n’offrent pas la valeur attendue?
• La culture de l’organisation appuie-t-elle le changement stratégique et technologique, ou y nuit-elle?

Soutenir l’intégrité et tirer profit de l’intelligence artificielle

La qualité des analyses et des décisions fondées sur l’intelligence artificielle dépend de la validité des données sur lesquelles elles s’appuient et des hypothèses utilisées pour la modélisation des biais. Mais tandis que les organisations se précipitent pour adopter ces technologies, beaucoup négligent de mettre en place les bons contrôles pour veiller à ce que les données d’entrée et de sortie conservent leur intégrité au fil du temps.

Ce qu’en disent les experts

Des incohérences dans la façon de recueillir, d’entrer ou de formater les données peuvent causer de graves erreurs. Les intrusions informatiques, particulièrement celles qui passent inaperçues, peuvent également compromettre la validité et la fonctionnalité d‘un système. Pour compliquer encore plus les choses, il y a un risque d’exacerbation des erreurs alors que l’intelligence artificielle, les biais de décisions ou les outils d’analyse se fondent sur des données erronées pour faire des prédictions.

La première chose à faire est de s’assurer dès le départ de l’intégrité des données et des biais de décision. Mais les organisations doivent également mettre en place des contrôles pour s’assurer constamment de l’intégrité des systèmes et des données, ainsi que des biais de décisions.

La rapidité de la détection des erreurs deviendra un facteur encore plus important, alors que les systèmes deviennent de plus en plus interreliés et interdépendants.

Questions que l’équipe d’audit interne devrait poser

• Quels sont les contrôles en place pour surveiller l’intégrité des données et signaler des problèmes de contrôle de la qualité?
• Les hypothèses pour expliquer les biais de décisions sont-elles bien comprises et acceptables?
• Qui est responsable de la gouvernance des données au sein de l’organisation?
• Quelles sont les procédures établies pour tester la validité des processus d’automatisation et des algorithmes prédictifs?
• Quels sont les liens entre les responsables de la gouvernance des données, de la sécurité des données, et de la création et de l’évolution des algorithmes?

Suivre le rythme de l’innovation numérique

Alors que la technologie évolue à la vitesse grand V, la fenêtre pour en tirer profit se rétrécit. Il y a quelques années, les premières organisations à adopter les plus récents outils numériques pouvaient en tirer un avantage concurrentiel à long terme. Mais aujourd’hui, la vitesse de l’innovation se mesure en semaines.

Ce qu’en disent les experts

Bon nombre de produits numériques courants aujourd’hui n’existaient pas il y a 5 ou 10 ans. Et bon nombre de ces mêmes technologies n’existeront peut-être plus dans cinq ans. Le moment est la clé, puisqu’il y a un coût à attendre trop longtemps avant d‘innover ou à miser les yeux fermés sur des initiatives inadéquates.

L’un des défis les plus évidents est qu’il y aura beaucoup plus d’occasions à saisir que de temps, de ressources ou de matière grise disponibles pour en récolter les fruits. Même si elles sont essentielles au succès, les transformations ne sont pas toujours des investissements qui en valent le coup.

Les organisations ont besoin d’aptitudes en gouvernance afin de choisir le bon moment pour adopter de nouvelles technologies numériques et de déterminer la façon de les mettre en œuvre le plus efficacement possible. Celles qui sauront déterminer lesquelles saisir, de même que le moment, la façon et les raisons de les saisir — et les moyens d’atténuer les risques — se démarqueront au cours des années à venir.

Questions que l’équipe d’audit interne devrait poser

• L’organisation dispose-t-elle d’un programme de gouvernance afin de surveiller l’innovation en matière de technologie de l’information et les risques connexes?
• Votre organisation évolue-t-elle dans un secteur hautement concurrentiel où il peut être avantageux de « s’autoperturber » par l’innovation afin d’offrir une plus grande valeur aux clients?
• Quels sont les obstacles à l’adoption de nouvelles technologies?
• Comment l’organisation s’assure-t-elle que les transformations numériques procurent un rendement viable du capital investi?
• Quelles sont les ressources nécessaires pour permettre à l’organisation d’optimiser la valeur de l’adoption de nouvelles technologies?

Les risques liés à la cybersécurité et à la protection des renseignements personnels sont des sources constantes de préoccupations pour les organisations de toutes les tailles et de tous les secteurs d’activité. Et c’est cette ubiquité qui les rend si pernicieux. Comme les poissons qui ignorent se trouver dans une vaste mer, comment les dirigeants peuvent-ils demeurer vigilants face aux menaces qui les entourent?

Attention accrue aux menaces internes

Les organisations croient souvent à tort que les risques liés à la cybersécurité proviennent de l’extérieur, ce qui peut les amener à ignorer les menaces bien réelles à l’intérieur même de leur périmètre de défense. En effet, les menaces internes peuvent faire de bien plus grands dommages avec une fraction de l’effort.

Ce qu’en disent les experts

Les risques internes comprennent des comportements intentionnels ou non, comme une personne qui se fait prendre par une tentative d’hameçonnage; un système de cyberdéfense inadéquat dans une infrastructure infonuagique externe, un logiciel ou un appareil relié au réseau; ou encore des actes malveillants posés par un employé ou un fournisseur de services externe.

Les organisations doivent surveiller étroitement les employés, fournisseurs de services, appareils ou systèmes ayant accès à des infrastructures de TI et à des informations clés. Pratiquement toutes les organisations font davantage appel à des tierces parties depuis cinq ans. Cela augmente de beaucoup le nombre de personnes ayant accès aux systèmes, et incidemment, les risques d’infraction à la sécurité.

Questions que l’équipe d’audit interne devrait poser

• Quelles assurances les fournisseurs externes ont-ils fournies à propos de leurs politiques et de leurs pratiques de cybersécurité?
• Quelles mesures l’organisation a-t-elle prises afin de minimiser les risques posés par des tiers (p. ex., évaluation des risques, vérification des antécédents, accords avec les fournisseurs comportant des modalités d’atténuation des risques, segmentation des réseaux, etc.)?
• Qui a accès aux systèmes et aux données critiques et à quelle fréquence l’organisation revoit-elle les privilèges d’accès?
• L’organisation procède-t-elle à des vérifications des antécédents des personnes et des tierces parties avant de leur donner accès à des systèmes critiques?
• L’organisation mène-t-elle un audit indépendant de ses nouveaux logiciels et systèmes afin de cerner des faiblesses du côté de la cybersécurité et de la sécurité physique? Quelle est la procédure pour accorder et retirer des droits d’accès à des employés et à des fournisseurs externes?
• Quelle est la formation offerte sur les cyberrisques et la procédure de signalement des comportements suspects?

Évolution des cybercrimes et gestion des risques d’autoperturbation

Les cybercriminels cherchent constamment à complexifier leurs stratégies et à exploiter de nouvelles failles. Ce risque est amplifié par le nombre de changements numériques, structurels et opérationnels entrepris par la plupart des organisations ces dernières années — et il devrait augmenter encore plus alors qu’un nombre encore plus grand d’organisations composent avec la grande démission et l’accélération des départs à la retraite.

Les conseils d’administration et les équipes de direction doivent reconnaître qu’ils seront toujours sur la défensive, surtout que les cybercriminels trouvent sans cesse de nouveaux moyens pour parvenir à leurs fins au moyen de rançongiciels ou d’autres manœuvres de leur cru. Mais il existe différents moyens pour éviter de prendre trop de retard.

Ce qu’en disent les experts

La complaisance est le pire état d’esprit à adopter par les organisations quand il est question de cybersécurité. La résilience n’est pas quelque chose d’immuable. De nouveaux types d’attaques apparaissent jour après jour de façon parfois imprévue, et très souvent avec un taux de réussite surprenant. Il peut même arriver qu’une personne de l’interne en soit la source.

De nouvelles infrastructures de TI, le travail à la maison plutôt que dans les bureaux, et le roulement élevé de personnel peuvent avoir des répercussions importantes sur l’état de préparation de l‘organisation et accroître le risque de succès d’une cyberattaque. Et il est probable que des informations détaillées sur les points faibles de l’organisation et les données d’accès à ses systèmes circulent déjà sur le Web clandestin.

La formation, l’évaluation des menaces et les tests d’intrusion doivent se poursuivre sur une base continue. Ils doivent tenir compte des plus récentes données sur l’évolution de l’organisation et des cybermenaces, et sur la façon dont elles pourraient infecter le réseau et nuire à l’organisation en général.

De nouveaux services évolués, comme la surveillance du Web clandestin, peuvent révéler les informations que s’échangent les pirates informatiques à propos d’une entreprise et des points faibles de celle-ci.

Questions que l’équipe d’audit interne devrait poser

• Le conseil d’administration se soucie-t-il de la cyberrésilience et discute-t-on régulièrement de la sécurité lorsqu’il se réunit?
• Y a-t-il des politiques établies pour la formation continue des employés sur la cybersécurité et met-on régulièrement à jour les modules afin d‘aborder les nouvelles stratégies des cybercriminels?
• L’organisation a-t-elle une politique établie sur le signalement des activités suspectes (p. ex., tentatives d‘hameçonnage par courriel) ou des cyberincidents (p. ex., après avoir cliqué sur un lien suspect)?
• L’organisation a-t-elle un plan d’intervention à la suite d’un incident? À quelle fréquence l’organisation fait-elle des exercices pour vérifier l’efficacité de ce plan? À quelle fréquence met-on ce plan à jour?
• L’organisation a-t-elle établi un programme de cybersécurité afin d‘atténuer les menaces actuelles et émergentes?
• Dans quelle mesure les nouvelles technologies, les nouvelles pratiques et les nouveaux modèles d’affaires ont-ils modifié l’exposition de l’organisation aux cyberrisques?
• Avez-vous déjà utilisé le service de surveillance du Web clandestin pour connaître les données que les pirates informatiques s’échangent à propos de votre organisation?

Réduction des risques liés à la protection des renseignements personnels dans un contexte de changement de la réglementation

Les territoires de compétence des quatre coins du monde resserrent la réglementation sur la collecte et l’utilisation de renseignements personnels par les organisations et sur la façon dont elles doivent s’en débarrasser. Ce resserrement de la surveillance et de la réglementation est assorti d’amendes salées en cas de non-conformité, ainsi que de peines sévères en cas d’atteinte à la protection des renseignements.

Ce qu’en disent les experts

La tendance actuelle est d’exiger une plus grande transparence et un plus grand contrôle des organisations qui détiennent les données. Celles-ci doivent donc trouver un équilibre entre les avantages concurrentiels énormes de toutes les données qu’elles pourraient recueillir et les conséquences juridiques et éthiques de procédures inappropriées pour la collecte, le traitement et l’utilisation des données.

Plus une organisation mène ses activités dans un grand nombre de régions du monde, plus elle devra se conformer à une grande variété de cadres réglementaires — et plus elle encourt de risques juridiques, financiers et d’atteinte à sa réputation. Par exemple, plusieurs provinces canadiennes ont adopté des lois ou déposé des projets de loi dont les dispositions diffèrent de la législation fédérale.

Questions que l’équipe d’audit interne devrait poser

• Qui est responsable de la protection des renseignements personnels au sein de l’organisation, et quelle est son autorité pour s’assurer de la conformité aux pratiques et procédures actuelles pour la collecte et l’utilisation de données?
• Comment les politiques et pratiques actuelles de protection des renseignements personnels s’alignent-elles à la réglementation en vigueur dans les territoires de compétence où l’organisation mène ses activités?
• Quelle sera l’incidence des changements prévus au niveau de la réglementation, des technologies et des stratégies organisationnelles sur la conformité de l’organisation aux cadres réglementaires pertinents entourant la protection des renseignements personnels?
• Quels sont les mécanismes en place pour informer les différentes parties prenantes sur l’évolution de la législation encadrant la protection des renseignements personnels et sur les répercussions des politiques, des procédures et des pratiques de gestion de données de l’organisation?
• L’organisation a-t-elle évalué son besoin à l’égard des renseignements qu’elle recueille dans le but (1) de réduire le volume de données et le nombre d’emplacements de stockage qu’elle doit protéger et (2) de mettre en œuvre des stratégies de gestion en libre-service des données par les clients?

Adieu écoblanchiment (faire paraître les choses plus belles qu’en réalité) et pensée écomagique (avoir espoir que les choses s’amélioreront d’elles-mêmes)! L’année 2023 marquera le début d’une nouvelle ère de transparence, de politique et de comptabilisation du développement durable. Les nouvelles normes et les nouvelles attentes présenteront des occasions pour certaines organisations, et des défis importants pour beaucoup.

Établir un plan d’action stratégique en dressant le portrait de la situation actuelle de votre organisation et de sa situation future optimale

Les attentes sans cesse croissantes des parties prenantes en lien avec les facteurs ESG accentuent la pression sur les organisations. Bon nombre d’entre elles auront de la difficulté à obtenir le financement dont elles ont besoin et à attirer des clients dans les prochaines années, si elles ne parviennent pas à énoncer clairement leur situation actuelle, leur vision pour l’avenir et la façon de la réaliser.

Ce qu’en disent les experts

Le discours à propos des facteurs ESG a considérablement évolué au cours des deux dernières années, et certaines organisations en font une plus grande priorité que d’autres. Cependant, la cadence du changement continuera de s’accélérer, à l’avantage de celles qui comprennent les mesures à prendre pour quantifier les facteurs ESG ayant la plus grande incidence sur leurs activités, et qui savent comment s’améliorer par rapport à eux.

Les organisations devraient à tout le moins mener une analyse environnementale et utiliser les informations qui en découlent afin de miser sur les initiatives axées sur l’atteinte des objectifs des investisseurs, des consommateurs, des employés et des dirigeants d’entreprises.

Les grands émetteurs constatent à quel point il faudra des efforts, des investissements et du temps pour atteindre la carboneutralité. Mais le chemin sera parsemé de découvertes qui créeront à la fois des occasions et des risques. Il faudra probablement compter des dizaines d’années pour mettre en œuvre des changements viables sur le plan de l’environnement afin de remplacer des habitudes et façons de faire dignes d’une autre époque.

Questions que l’équipe d’audit interne devrait poser

• Comment les facteurs ESG s’inscrivent-ils dans les priorités stratégiques de l’organisation?
• Quelles mesures l’organisation a-t-elle prises afin de comprendre et d’évaluer ses priorités actuelles en lien avec les facteurs ESG et les paramètres correspondants qui sont importants pour ses activités?
• Qui sont les principales parties prenantes de l’organisation relativement aux facteurs ESG et quelles sont leurs attentes quant à la présentation d’information et au plan stratégique de l’organisation afin d’accélérer l’adoption de mesures à cet égard?
• À quels risques l’organisation s’expose-t-elle en n’accordant pas la priorité à la conformité aux facteurs ESG et aux normes de présentation de l’information sur la durabilité?
• Quels services de certification propres aux facteurs ESG seront requis pour répondre aux besoins des parties prenantes?

Respect des normes ESG visant la conception, la mise en œuvre, la présentation de l’information et la certification

Les organisations devront composer avec une hausse des coûts liés aux facteurs ESG et avec de nouvelles normes plus complexes de présentation de l’information sur la durabilité au cours des deux prochaines années. Il est de plus en plus évident que les grands émetteurs auront de la difficulté à progresser au rythme attendu par les investisseurs et les parties prenantes. Les entreprises qui n’ont toujours pas pris de mesures à l’égard des facteurs ESG feront face à une courbe prononcée en vue de mettre sur pied un programme solide, adapté à la surveillance étroite qui découlera de la nouvelle réglementation et des nouvelles normes.

Ce qu’en disent les experts

Les grands émetteurs de gaz carbonique sont inquiets, à juste titre. Les facteurs ESG seront dans l’avenir soumis à des règles similaires à celles régissant la présentation de l’information financière et la certification : Les organisations devront produire des rapports précis et vérifiés par un tiers indépendant, portant sur l’incidence de leurs activités sur les gens et l’environnement.

Le changement de paradigme qui s’impose ne se fera pas sans heurts au cours des 5 à 10 prochaines années. Dans de nombreux cas, il faudra investir des ressources importantes pour recueillir des données clés à l’échelle de l’entreprise et de la chaîne d’approvisionnement, les comprendre et en faire rapport, en plus de gérer des projets associés à la décarbonisation de différents éléments de l’entreprise en vue d’atteindre les objectifs ESG.

Le plus grand test aura lieu en 2024 lorsque les institutions financières sous juridiction fédérale devront obligatoirement déposer un rapport ESG, ce qui aura des répercussions sur la capacité de leurs clients à accéder à du capital et à le déployer. Cependant, les parties prenantes s’attendent peut-être à ce que le progrès soit beaucoup plus rapide, alors que de nombreux territoires de compétences (y compris le Canada) se sont déjà engagés à atteindre la carboneutralité, et que les normes de présentation de l’information sur la durabilité seront publiées dès 2023.

Questions que l’équipe d’audit interne devrait poser

• Qui est responsable de la conception du programme ESG et de la mise en œuvre des communications, de la comptabilité et de la validation?
• Comment les facteurs ESG s’inscrivent-ils dans la stratégie de l’organisation?
• Quelles mesures l’organisation a-t-elle prises pour comprendre les nouvelles normes ESG et s’y conformer?
• Quelles seront les répercussions des exigences de divulgation obligatoire sur la capacité de l’organisation à accéder au capital et à le déployer?
• L’organisation a-t-elle les ressources et le personnel possédant l’expertise nécessaire pour se conformer aux exigences?
• Quels sont les coûts à court terme et à long terme des facteurs ESG? Quels sont les coûts d’une inaction sur le plan financier et au chapitre de la réputation et de la réglementation?

Concordance de la culture avec la stratégie et les paramètres ESG

Fixer des objectifs ESG ambitieux, c’est une chose. Cependant, il sera extrêmement difficile, voire impossible, de faire des progrès sans une adhésion de tous les membres de l’équipe, à tous les échelons. Les organisations doivent comprendre les aspects de la culture qui mènent à l’inaction ainsi que les mesures nécessaires pour apporter des changements quantifiables et durables à l’égard des facteurs ESG.

Ce qu’en disent les experts

Les gens résistent naturellement au changement. Et c’est davantage le cas si les pratiques et les comportements en question sont profondément ancrés ou perçus comme faisant partie intégrante de l’entreprise ou de son identité. La haute direction des organisations doit dire clairement pourquoi les initiatives liées aux facteurs ESG sont nécessaires, et établir des liens avec les valeurs existantes. Cela comprend notamment de susciter l’intérêt des parties prenantes à l’interne et de veiller à leur offrir une tribune pour exprimer leurs préoccupations.

L’adoption de mesures relatives aux facteurs ESG sera encore plus difficile dans les secteurs particulièrement touchés par de nouveaux impératifs qui y sont liés, puisque cela peut exiger d’importants sacrifices à court terme. Les dirigeants doivent faire preuve de transparence sur le partage des coûts à l’échelle de l’organisation et communiquer clairement les avantages à long terme pour les membres de l’équipe et toutes les parties prenantes.

Questions que l’équipe d’audit interne devrait poser

• Quelles pratiques culturelles et quels états d’esprit susciteront le plus de résistance aux initiatives liées aux facteurs ESG?
• De quels outils et de quelles ressources les administrateurs, les dirigeants et les responsables de l’exploitation ont-ils besoin pour favoriser un changement de culture et obtenir du soutien envers les facteurs ESG?
• Quels sont les coûts d’une initiative de changement mal réalisée, tant pour la culture de l’organisation que pour ses progrès par rapport aux facteurs ESG?

Gestion du risque lié à la planification d’objectifs et d’échéanciers ambitieux pour la réduction de gaz à effet de serre

Il est de plus en plus clair que de nombreuses organisations auront de la difficulté à composer avec la complexité et les coûts nécessaires pour réduire les émissions de gaz à effet de serre au rythme attendu par les investisseurs, les consommateurs et les organismes de réglementation. Beaucoup de grands pollueurs voudront réduire leurs émissions de gaz carbonique, mais la question est de savoir quels progrès peuvent être réalisés en vue d’atteindre la carboneutralité à court terme. De plus, il est peu probable que les consommateurs réagissent favorablement aux quasi inévitables perturbations qui en découleront du côté de la chaîne d’approvisionnement.

Ce qu’en disent les experts

Les grands émetteurs de gaz carbonique sont inquiets, à juste titre, des conséquences pour eux des efforts de réduction des gaz à effet de serre et des cibles ambitieuses de carboneutralité. Le changement de paradigme qui s’impose ne se fera pas sans heurt au cours des 5 à 10 prochaines années dans les secteurs où les activités ne sont pas alignées aux grands principes de la durabilité.

De plus, tous les progrès réalisés par les entreprises auront une incidence sur la prestation de produits et de services et peuvent accentuer les pressions actuelles sur la chaîne d’approvisionnement. Les coûts financiers et de renonciation à assumer afin de délaisser les modèles d’affaires traditionnels seront majeurs et il pourrait falloir des dizaines d’années pour y parvenir.

Les facteurs ESG comportent également des coûts cachés qui deviendront apparents seulement lorsque les organisations commenceront à développer des stratégies de transition et des programmes sérieux. Il s’agira notamment de recueillir des données, de préparer des rapports en lien avec les paramètres ESG et d’embaucher des auditeurs externes afin de valider la conformité aux exigences, en plus de gérer des projets associés à la décarbonisation de différents éléments de l’entreprise en vue d’atteindre les objectifs ESG.

Dans certains cas, les coûts et les risques associés au changement peuvent dépasser ce que l’organisation est prête à assumer, surtout si le délai de mise en œuvre est trop serré. D’importantes discussions devront être tenues à propos des stratégies d’atténuation des risques au fur et à mesure où ces changements seront mis en œuvre.

Questions que l’équipe d’audit interne devrait poser

• Quels sont les coûts et les risques associés aux changements nécessaires afin de respecter les échéanciers liés aux facteurs ESG (particulièrement en lien avec la réduction des gaz à effet de serre et la carboneutralité)?
• L’organisation a-t-elle évalué les répercussions sur la chaîne d’approvisionnement et établi des plans d’atténuation des risques, après avoir pris des mesures pour atteindre les objectifs de carboneutralité ou de réduction des gaz à effet de serre?
• Quelle échéance serait réaliste pour l’atteinte des objectifs de durabilité de l’organisation?
• Quels sont les effets secondaires d’une progression trop rapide ou trop lente?
• Comment votre organisation se compare-t-elle à ses pairs pour l’atteinte des objectifs d’émissions de gaz à effet de serre ou de carboneutralité? Est-elle à l’avant-garde ou à la traîne? Cela pourrait-il avoir une incidence sur la demande pour vos produits et services?
• Comment les grands émetteurs de gaz carbonique peuvent-ils gérer les attentes des consommateurs, des investisseurs et des organismes de réglementation sur le plan de la durabilité?
• Y aura-t-il en place des stratégies d’atténuation des risques suffisantes durant la période prévue pour la mise en œuvre des changements liés aux facteurs ESG?

De nombreuses organisations ont été déstabilisées par l’amplitude des perturbations et des interruptions subies au cours des deux dernières années. Heureusement, les précieuses leçons tirées d’un désastre nous aident généralement à nous préparer au prochain.

Sous-traitance et recours accru à des fournisseurs tiers

Plus les organisations font appel à la sous-traitance, plus leurs activités dépendent de la réactivité et de la résilience de personnes et de systèmes hors de leur contrôle. Il y a plusieurs avantages à faire appel à des systèmes et à des fournisseurs tiers, mais les organisations doivent comprendre les risques inhérents et avoir des plans d’urgence en cas d’interruption.

Ce qu’en disent les experts

Pour chacun de leurs problèmes réglés par un tiers, les organisations doivent comprendre les conséquences possibles si les choses ne se déroulent pas comme prévu. Par exemple, un fournisseur de services d’infonuagiques peut vous permettre de réduire considérablement les coûts liés aux TI et de collaborer en tout temps, de n’importe où. Mais que se passe-t-il s’il subit une cyberattaque ou si ses serveurs deviennent hors service?

Lorsqu’une organisation opte pour la sous-traitance, elle ne doit pas mettre de côté ses responsabilités à l’égard de la fonction sous-traitée. Il est impératif que les organisations précisent dans leurs contrats les risques dont elles sont responsables et ceux assumés par le sous-traitant. Elles doivent surveiller la fiabilité de chaque fournisseur, et mettre en place des plans de continuité des activités, particulièrement pour celles critiques à son exploitation.

Questions que l’équipe d’audit interne devrait poser

• Quand l’organisation a-t-elle passé en revue pour la dernière fois son évaluation des risques de gestion des fournisseurs et son processus d’élaboration de contrats? Qui assume les coûts et les risques d’un manque de fiabilité?
• Quel est le processus en place pour cerner votre dépendance envers certains fournisseurs, vous assurer de la qualité des produits et services offerts par des tiers, et identifier les risques liés à certains produits et services et les stratégies afin de les gérer?
• Comment l’organisation surveille-t-elle et évalue-t-elle la capacité de tiers à fournir le degré attendu de fiabilité et de confiance? A-t-on établi des dispositions afin de mettre un terme à la relation en cas de rendement insatisfaisant?
• Quels fournisseurs de services et tiers jouent un rôle essentiel à la continuité des activités de l’organisation? Celle-ci a-t-elle obtenu un rapport sur les contrôles d’une société de services afin d’offrir une assurance par rapport aux produits et services fournis? A-t-elle un plan de continuité si ces produits et services ne sont pas disponibles?
• L’organisation a-t-elle vérifié les politiques et pratiques des fournisseurs de services et tiers portant sur la continuité des activités?

Attention accrue portée à la santé et à la sécurité après la pandémie de COVID-19

Beaucoup de risques oubliés depuis longtemps refont surface alors que les employés des organisations réintègrent les bureaux. Certaines entreprises ont nécessairement mis de côté des programmes de santé, de sécurité et de bien-être durant la pandémie. Cependant, les délais à relancer ces programmes entraînent une responsabilité accrue et peuvent mettre les employés en danger.

Ce qu’en disent les experts

La pandémie nous a conditionnés à associer les notions de santé et sécurité aux masques, au désinfectant pour les mains et aux panneaux en plexiglas. Au cours des deux à trois dernières années, bien peu d’organisations ont pu effectuer un exercice d’évacuation en cas d’incendie, passer en revue leurs procédures de sécurité, réapprovisionner leurs trousses de premiers soins, procéder à un examen ergonomique, ou mettre à jour les politiques de santé et sécurité au travail.

Compte tenu du temps passé et des répercussions de la grande démission, on peut également présumer que beaucoup de nouveaux employés n’ont jamais appris les procédures de signalement en cas d’incident ou d’accident évité de justesse.

Les organisations devront effectuer une analyse environnementale afin de bien comprendre les risques physiques et psychologiques sur les lieux de travail : leur évolution et leur incidence sur les membres de l’équipe qui travaillent au bureau, à la maison ou selon une formule hybride.

Questions que l’équipe d’audit interne devrait poser

• À quand remonte la dernière révision des politiques et procédures de santé et sécurité au travail de l’organisation?
• L’organisation a-t-elle intégré à son plan de retour au travail les communications et la formation en santé et sécurité au travail?
• Les modalités de télétravail et les formules de travail hybride ont-elles entraîné des modifications aux plans actuels de santé et sécurité au travail?
• Que fait l’organisation afin de bien soutenir le bien-être des employés sur le plan émotionnel et psychologique?
• La culture de l’organisation appuie-t-elle les politiques de santé et sécurité?

Les organisations devront effectuer une analyse environnementale afin de bien comprendre les risques physiques et psychologiques sur les lieux de travail, ainsi que leur évolution et leur incidence sur les membres de l’équipe qui travaillent au bureau, à la maison ou selon une formule hybride.

Fraude, corruption et exploitation des perturbations à des fins criminelles

Le risque de fraude en entreprise a augmenté de façon marquée au cours des premiers mois de la pandémie et il continue à grimper alors que de nombreuses organisations adoptent des formules de travail hybrides. Les organisations doivent bien comprendre l’évolution des motivations et des occasions de fraude au cours des deux dernières années — et créer des plans à long terme afin de cerner et de décourager les pratiques contraires à l’éthique.

Ce qu’en disent les experts

Un programme de dénonciation est l’un des outils les plus efficaces dont une organisation peut se doter afin de détecter les cas de fraudes, tandis que les problèmes financiers personnels sont l’une des principales causes de fraude par les employés.

Dans les deux cas, les employeurs constatent aujourd’hui une situation similaire à celle qui prévalait au début de 2020 : les formules de travail hybrides offrent aux employés des occasions de frauder à l’abri des regards de leurs superviseurs et collègues. L’inflation qui atteint des sommets en 40 ans et la hausse rapide des taux d’intérêt accentuent la pression sur les finances de plusieurs ménages.

Un autre facteur de risque important dont certaines organisations n’ont pas tenu compte est le taux de roulement élevé attribuable à la grande démission. Les nouveaux employés sont peut-être portés à frauder parce qu’ils n’ont pas reçu de formation sur le code de déontologie et concluent ainsi que la culture d’entreprise ne désapprouve pas les comportements contraires à l’éthique.

Questions que l’équipe d’audit interne devrait poser

• Quelles mesures l’organisation a-t-elle prises afin d’adapter aux formules de travail hybrides ses contrôles pour lutter contre la fraude?
• L’organisation a-t-elle pris des mesures adéquates afin de former ses employés relativement à ses politiques portant sur la fraude, l’éthique et la dénonciation?
• Quelles sont les fonctions de l’entreprise les plus sujettes à faire l’objet de fraude et quelle est l’incidence du télétravail sur le degré de risque?
• À quand remonte la dernière évaluation indépendante des risques de fraude et des vulnérabilités?

Continuité des activités, crises et reprise après sinistre

Maintenant que le pire de la pandémie de COVID-19 semble derrière nous, les organisations doivent revoir leurs plans de continuité des activités et appliquer les principales leçons qu’elles ont tirées afin d’accroître leur résilience en cas de crise. Alors que de nombreuses perturbations n’ont toujours pas été résolues et que le rythme des changements s’accélère, la probabilité d’autres perturbations importantes est extrêmement élevée. C’est le moment de s’y préparer.

Ce qu’en disent les experts

La pandémie était de toute évidence un événement totalement inattendu, et ce, partout sur la planète, mais ce n’est pas la seule crise à laquelle les organisations ont dû faire face. Les perturbations de la chaîne d’approvisionnement mondiale, la montée en flèche de l’inflation, la guerre en Ukraine et la grande démission ont toutes posé leurs propres lots de défis pour la continuité des activités.

À l’aube de 2023, face à tant d’incertitude sur les plans social, économique et environnemental, il est pratiquement impossible de prédire à quoi ressemblera la suite des choses. Cependant, les administrateurs et dirigeants doivent connaître les points faibles de leur organisation et favoriser sa prospérité dans un monde en constante évolution.

Questions que l’équipe d’audit interne devrait poser

• Quelles ont été les répercussions de la pandémie de COVID-19 sur la planification de la continuité des activités et la gestion de crise de l’organisation?
• Quels seront les effets d’un climat changeant et imprévisible sur l’organisation et sa capacité à exercer ses activités? Quels sont les plans de reprise après sinistre en cas d’incendie, d’inondation ou d’événement météo extrême?
• Quelles sont les conséquences de la dépendance de l’organisation à des tiers ou aux chaînes d’approvisionnement mondiales sur sa capacité à exercer ses activités et à réagir en cas de crise?
• L’organisation a-t-elle simulé les effets de crises probables afin de tester les plans de continuité de ses activités et d’évaluer sa résilience?
• L’organisation a-t-elle clairement défini les rôles et responsabilités de chacun en cas de crise et a-t-elle élaboré les plans de formation et de communications nécessaires?

Collaborateurs :