Qu’est-ce que le modèle COSO ?
Le COSO (Committee of Sponsoring Organizations of the Treadway Commission) est une organisation composée d’organismes privés, créée aux États-Unis, qui propose aux entités un cadre de référence commun sur des sujets essentiels :
- la direction et la gouvernance,
- l’éthique des affaires,
- le contrôle interne,
- la gestion des risques de l’entreprise,
- la lutte contre la fraude,
- et l’information financière.
L’évolution du modèle COSO
1992 : publication de l’Internal Control – Integrated Framework (rapport COSO ou COSO I), un cadre intégré pour aider les entreprises à évaluer et à améliorer leurs systèmes de contrôle interne.
2004 : publication du modèle COSO ERM (Enterprise Risk Management – Integrated Framework), ou COSO II, qui permet aux entreprises d’améliorer leur contrôle interne grâce à un processus de gestion des risques plus complet.
2013 : publication du modèle COSO III, une mise à jour du cadre de contrôle interne de 1992.
2017 : publication du COSO ERM 2017 (Enterprise Risk Management – Integrating with Strategy and Performance), qui élargit le cadre de gestion des risques pour mieux couvrir les risques auxquels les organisations font face et le relie directement à la stratégie et à la performance.
Les composantes et principes du contrôle interne (COSO 2013)
Le cadre de contrôle interne de 2013 (Internal Control – Integrated Framework) sert de référence pour le contrôle interne de l'information financière, par exemple dans le cadre de la loi SOX. Il organise le contrôle interne en cinq composantes et dix-sept principes. Pour que le dispositif soit considéré comme efficace, les cinq composantes doivent être présentes, fonctionner et opérer ensemble ; les principes précisent ce que chacune signifie dans la pratique.
- 1Intégrité et valeurs éthiques
- 2Surveillance indépendante par le conseil
- 3Structure, pouvoirs et responsabilités
- 4Compétence professionnelle
- 5Obligation de rendre compte
- 6Objectifs clairs et précis
- 7Identification et analyse des risques
- 8Risque de fraude
- 9Changements significatifs
- 10Activités de contrôle qui réduisent les risques
- 11Contrôles généraux informatiques
- 12Politiques et procédures
- 13Information pertinente et de qualité
- 14Communication interne
- 15Communication externe
- 16Évaluations continues ou ponctuelles
- 17Évaluation et communication des défaillances
Si vous cherchez un cadre pour la gestion des risques de toute l'organisation, au-delà du contrôle interne, la référence est le COSO ERM 2017, que nous voyons ci-dessous.
Les cinq composantes et vingt principes du COSO ERM 2017
Le COSO ERM 2017 regroupe ses vingt principes en cinq composantes. Les principes forment la liste pratique pour vérifier ce que l'organisation a déjà en place et ce qui lui manque.
- 1Surveillance des risques par le conseil
- 2Structures opérationnelles
- 3Culture souhaitée
- 4Engagement envers les valeurs fondamentales
- 5Attirer, développer et retenir les talents
- 6Analyse du contexte de l'activité
- 7Définition de l'appétit pour le risque
- 8Évaluation des stratégies alternatives
- 9Formulation des objectifs de l'activité
- 10Identification des risques
- 11Évaluation de la gravité
- 12Hiérarchisation des risques
- 13Réponses aux risques
- 14Vision de portefeuille des risques
- 15Évaluation des changements significatifs
- 16Examen des risques et de la performance
- 17Amélioration de la gestion des risques
- 18Utilisation de l'information et de la technologie
- 19Communication de l'information sur les risques
- 20Reporting sur les risques, la culture et la performance
Les composantes du modèle COSO ERM
Les cinq composantes du COSO ERM 2017 fonctionnent de manière interdépendante pour intégrer la gestion des risques à la stratégie et à la performance :
Qu’est-ce que la méthode ERM de gestion des risques de l’entreprise ?
La gestion des risques de l’entreprise (ERM, Enterprise Risk Management) est une démarche fondée sur des plans qui vise à identifier, évaluer et anticiper tout risque ou événement susceptible d’affecter, positivement ou négativement, les opérations et les objectifs d’une organisation.
L’ERM a pour but d’évaluer les risques importants pour l’entreprise (financiers, stratégiques et opérationnels), de les hiérarchiser et de prendre des décisions éclairées sur la façon de les gérer. Les plans de gestion des risques estiment l’impact des différentes menaces et décrivent les réponses possibles si l’une d’elles se concrétise.
Un processus d’ERM efficace doit être un outil stratégique important pour les dirigeants. Ce que le processus d’ERM apprend sur les risques doit alimenter le plan stratégique de l’organisation.
Comme les risques apparaissent et évoluent en permanence, il faut comprendre que l’ERM est un processus vivant, mis à jour et amélioré en continu.
La structure du cadre de gestion des risques de l’entreprise s’applique quelle que soit la taille de l’organisation ou la façon dont elle classe ses risques, et elle est conçue pour aider la direction et les conseils d’administration à bien gérer les aspects suivants :
- L’identification de tous les risques qui peuvent affecter la stratégie et les opérations, et de leurs liens.
- Le niveau de risque acceptable.
- La façon de gérer les risques (culture, gouvernance et politiques).
- La façon d’obtenir les informations nécessaires pour gérer les risques.
- La façon de contrôler les risques.
- La façon de mesurer et d’évaluer les différents risques.
- La réponse à apporter aux risques.
- Les tests de réponse aux scénarios défavorables les plus adaptés.
Le COSO ERM 2017 est aujourd’hui l’un des principaux modèles pour une gestion efficace des risques de l’entreprise (ERM).
Les avantages pour les organisations
Le COSO ERM en 2026 : vers un ERM plus stratégique
Le cadre de référence reste le COSO ERM 2017, mais le COSO continue de publier des guides complémentaires qu’il est utile de connaître, car ils montrent dans quelle direction évolue la pratique de la gestion des risques :
- Du guide à l’action (2026) : en mai 2026, le COSO a publié From Guidance to Action: Exploring Practical Enterprise Risk Management, un document qui vise à renforcer la portée stratégique et l’impact réel des programmes d’ERM. Un chiffre parlant de son enquête mondiale : si 98 % des professionnels estiment que l’ERM devrait jouer un rôle plus stratégique, seuls 7 % disent l’avoir pleinement intégré à leurs décisions stratégiques. L’enjeu n’est donc plus de savoir ce qu’est l’ERM, mais de le rendre opérationnel au quotidien.
- Données alternatives (2024) : le guide Alternative Data: The COSO Perspective explique comment intégrer des sources de données non traditionnelles (analyse des réseaux sociaux, capteurs IoT, web scraping ou indicateurs ESG) dans l’ERM sans introduire de risques inacceptables liés à la qualité, à la confidentialité ou aux biais des données.
- Gouvernance de l’IA : l’intelligence artificielle est la catégorie de risque émergent que l’ERM doit intégrer (risque de modèle, gouvernance des données, biais et shadow AI). L’approche par principes du COSO se combine bien avec des cadres complémentaires comme le NIST AI RMF.
Le message pour les organisations est clair : la valeur du COSO ERM ne tient pas à sa documentation, mais à son utilisation comme outil de décision qui relie risque, stratégie et performance.
Comment GlobalSuite Solutions vous accompagne
Chez GlobalSuite Solutions, nous proposons le logiciel GlobalSuite®, entièrement développé par notre équipe, qui permet de mettre en place, de gérer et de faire vivre un système de gestion des risques à partir des objectifs fixés. Il permet aussi d’évaluer et de suivre le traitement des risques, pour faire passer le COSO ERM du cadre théorique au travail quotidien.
Vous voulez voir comment cela fonctionnerait dans votre organisation ? Demandez une démo et nous vous le montrerons.
