1. Introduction

Le risque est l’effet de l’incertitude sur les objectifs. On peut le caractériser comme la possibilité d’une conséquence ou d’un évènement négatif (menace) ou positif (occasion) qui s’écarte d’un résultat prévu. La gestion globale des risques est un processus proactif et systématique qu’on applique dans l’ensemble de l’organisation pour comprendre et gérer les risques dans le cadre d’un portefeuille interrelié. Il s’agit de prendre des décisions stratégiques contribuant à la réalisation des objectifs de l’organisation.

La Directive sur la gestion globale des risques énonce la politique du gouvernement concernant la gestion du risque. Le cadre de gestion globale des risques de la fonction publique de l’Ontario (FPO)^{footnote 1[1]} (en anglais seulement) explique en détail comment assurer la conformité aux exigences énoncées dans la présente directive.

2. Objet

La présente directive énonce les principes, les exigences et les responsabilités qui s’appliquent à la gestion globale efficace et efficiente des risques.

3. Application et portée

La présente directive sur la gestion globale des risques s’applique aux ministères et aux organismes provinciaux.

Les organismes provinciaux doivent gérer et déclarer les risques comme l’exige la Directive concernant les organismes et les nominations. Ces exigences en matière de risque sont compatibles avec les principes de la Directive sur la gestion globale des risques. Les organismes provinciaux et les ministères dont ils relèvent collaborent pour faire en sorte que les exigences de la Directive concernant les organismes et les nominations en ce qui a trait à l’évaluation et à la déclaration des risques soient pleinement prises en compte et respectées et fassent partie du processus d’évaluation et de déclaration des risques des ministères.

La présente directive doit être interprétée conjointement avec les exigences relatives à la gestion des risques énoncées dans les autres directives et politiques.

4. Administration

La présente directive est donnée en application du paragraphe 3 (3) de la Loi sur le Conseil de gestion du gouvernement et doit être interprétée et appliquée dans sa totalité.

Le secrétaire du Conseil du Trésor/Conseil de gestion du gouvernement a le pouvoir d’établir des politiques opérationnelles obligatoires compatibles avec la présente directive.

Un ministère doit demander l’autorisation du Conseil du Trésor/Conseil de gestion du gouvernement si, en cas de situation exceptionnelle, le ministère ou l’un de ses organismes provinciaux a besoin d’une exemption à l’égard de la totalité ou d’une partie de la présente directive. Le ministère doit exposer la justification de l’exemption dans un dossier de décision.

5. Principes

Les principes suivants guident l’application de la présente directive. La gestion globale des risques :

1. est axée sur la réalisation des objectifs;
2. exige la participation active de la haute direction et du personnel de l’ensemble de l’organisation;
3. se fonde sur des activités délibérées consacrées à la communication et à la consultation;
4. se fonde sur une approche et une application communes dans l’ensemble de l’organisation;
5. est adaptée au contexte externe et interne de l’organisation.

6. Exigences

Les ministères et les organismes provinciaux doivent adopter des pratiques de gestion des risques adaptées à la capacité, au mandat, aux objectifs, aux activités et aux responsabilités de l’organisation. Pour tenir compte de la diversité des organisations, des programmes et des activités, on peut adapter le système de gestion des risques selon leurs besoins particuliers.

Les ministères doivent faire ce qui suit :

• Mettre en œuvre un système de gestion globale intégrée des risques guidant la prise des décisions clés.
• Appliquer le cadre de gestion globale des risques de la FPO, y compris  :
  • Utiliser le processus de gestion des risques à cinq étapes défini à la section 8 de la présente directive. Ce processus contribue à assurer la détection, l’évaluation et l’atténuation appropriées des risques. Voici les cinq étapes :
    • déclarer les objectifs et établir le contexte;
    • détecter les risques;
    • évaluer les risques;
    • planifier et prendre des mesures;
    • surveiller et déclarer.
  • Tenir compte des quatre outils d’évaluation liés aux objectifs organisationnels pour déterminer et évaluer les risques :
    • stratégie (buts et objectifs de haut niveau);
    • projet (activités et tactiques visant à réaliser des objectifs définis);
    • opérations (utilisation efficace et efficiente des ressources);
    • continuité (gestion des situations d’urgence et planification des mesures d’urgence).
  • Établir un profil de risque, au sens de la section 8 de la présente directive, qui doit être mis à jour au moins chaque année et examiné dans le cadre des activités de supervision et de surveillance des risques du ministère.
  • Établir des structures de gouvernance aux fins de la supervision et de la surveillance des risques, y compris créer ou assigner un comité de la haute direction qui devra se réunir au moins tous les six mois pour examiner :
    • les risques nouveaux et existants;
    • la mise en œuvre et l’efficacité des stratégies d’atténuation des risques;
    • l’utilisation des renseignements et des déclarations sur la gestion globale des risques dans la prise des décisions;
    • le maintien du profil de risque, y compris sa mise à jour et son renouvellement;
    • les mesures de rendement permettant de cerner les tendances et de déterminer si le processus de gestion des risques fonctionne comme prévu (p. ex., nombre de risques gérés qui ont diminué ou de risques élevés qui n’ont pas été atténués dans une période donnée);
    • la conformité aux exigences de la présente directive et les plans d’action visant à assurer la conformité;
    • l’intégration aux activités de vérification et d’assurance, y compris le cadre de contrôle interne du ministère.
  • Élaborer et maintenir des processus visant à développer les compétences et la capacité en matière de gestion des risques, y compris intégrer les compétences en gestion des risques au recrutement, à la rétention et au perfectionnement professionnel.
  • Veiller à ce que les organismes provinciaux qui relèvent d’eux connaissent les exigences de la présente directive.
  • Déterminer les cas où les exigences de la présente directive n’ont pas été respectées et établir un plan d’action pour y remédier.
  • Communiquer les renseignements sur les risques aux organismes centraux au moyen du processus annuel de planification des activités et des finances du gouvernement et d’autres processus au besoin.

7. Rôles et responsabilités

Tous les membres du personnel de la FPO et des organismes provinciaux ainsi que les personnes nommées aux organismes provinciaux ont la responsabilité d’appliquer des pratiques judicieuses de gestion des risques et rendent des comptes au gouvernement à l’égard de la gestion des risques. Des responsabilités plus précises sont décrites ci- dessous:

7.1 Conseil du Trésor/Conseil de gestion du gouvernement

• Approuver les modifications et les exemptions de la présente directive.
• Tenir compte des risques clés pertinents dans la prise des décisions.

7.2 Secrétaire du Conseil du Trésor/Conseil de gestion du gouvernement

• Établir des politiques opérationnelles obligatoires compatibles avec la présente directive.
• Préciser les exigences à l’intention des ministères et des organismes provinciaux en ce qui concerne la communication des renseignements sur les risques aux organismes centraux.
• Veiller à ce que la présente directive soit examinée au besoin, mais au moins tous les cinq ans.

7.3 Directeur général de la gestion des risques de la FPO

• Superviser le processus de gestion globale des risques de la FPO, y compris examiner les renseignements sur les risques et les pratiques de gestion des risques des ministères et donner des conseils à ces sujets.
• Fournir une orientation et de la formation et agir comme centre d’expertise pour appuyer la présente directive sur la gestion globale des risques et le cadre de gestion globale des risques de la FPO.
• Fournir des conseils et une orientation lorsque les autres secteurs de programmes traitent de risques dans des directives et des politiques ministérielles nouvelles ou existantes.
• Conseiller le secrétaire du Conseil du Trésor/Conseil de gestion du gouvernement quant aux exigences applicables aux ministères et aux organismes provinciaux en ce qui concerne la communication des renseignements sur les risques aux organismes centraux.
• Collaborer avec les ministères et les organismes centraux afin que les renseignements sur les risques soient mis à la disposition du Conseil du Trésor/Conseil de gestion du gouvernement et d’autres décideurs clés, le cas échéant, et guident leurs décisions.

7.4 Bureau du Conseil du Trésor

• Fournir les renseignements clés pertinents sur les risques au Conseil du Trésor/Conseil de gestion du gouvernement au besoin pour guider la prise des décisions, y compris intégrer les risques clés à la planification annuelle des activités.

7.5 Vérification interne Ontario

• Examiner l’efficacité des systèmes et des processus de gestion globale des risques et donner des conseils à ce sujet.
• Fournir l’assurance que les ministères et les organismes provinciaux respectent les exigences de la présente directive.
• Utiliser les renseignements sur les risques pour guider la planification des vérifications.

7.6 Sous-ministre / chef de la direction générale de l’organisme ou équivalent

• Veiller à ce que les principes et les exigences de la présente directive soient respectés au sein du ministère ou de l’organisme provincial.
• Veiller à ce que l’organisation ait la capacité et les compétences nécessaires pour gérer efficacement les risques, en plus d’élaborer et de tenir à jour un profil de risque.
• Favoriser une culture organisationnelle qui appuie l’intégration de la gestion des risques à la stratégie, aux opérations, aux projets et à la continuité des activités.
• Désigner un leader, au niveau du sous-ministre adjoint, du directeur général des finances ou du directeur général de la gestion des risques de l’organisme ou l’équivalent, qui a la responsabilité en matière de risque.

7.7 Leader responsable du risque (sous-ministre adjoint, directeur général des finances ou directeur général de la gestion des risques de l’organisme ou équivalent)

• Collaborer avec les autres sous-ministres adjoints ou les dirigeants équivalents des organismes provinciaux pour assurer la conformité à la présente directive.
• Veiller à ce que les structures et les processus de gouvernance du risque appropriés soient mis en œuvre conformément aux exigences de la présente directive.
• Veiller à ce que les processus et outils communs de gestion des risques soient mis en œuvre au sein de l’organisation pour assurer l’efficacité de la gestion des risques.

7.8 Direction

• Respecter les principes et les exigences énoncés dans la présente directive.
• Collaborer avec le personnel et les autres leaders et gestionnaires pour assurer la conformité à la présente directive.
• Informer le personnel des principes et des exigences de la présente directive.
• Veiller à ce que le personnel acquière les connaissances, les aptitudes et les compétences nécessaires pour prendre des décisions fondées sur le risque.

8.Définitions

Les définitions suivantes s’appliquent à la présente directive :

Outils d’évaluation liés aux objectifs organisationnels : Outils d’évaluation clés de haut niveau représentant les principaux types d’objectifs organisationnels à l’égard desquels des renseignements sur les risques sont couramment trouvés et organisés dans divers secteurs de l’organisation.

• stratégie (buts et objectifs de haut niveau);
• projet (activités et tactiques visant à réaliser des objectifs définis);
• opérations (utilisation efficace et efficiente des ressources appuyée par des activités de contrôle et d’assurance internes);
• continuité (gestion des situations d’urgence et planification des mesures d’urgence).

Catégorie : Brève description en un ou deux mots des principales caractéristiques du risque qu’il pourrait avoir en commun avec d’autres risques similaires, compte tenu à la fois des causes et des impacts. Quelques exemples : « finances », « ressources humaines », « information et technologie de l’information ». Dans chaque catégorie, les organisations peuvent choisir de définir plus précisément les risques en les répartissant dans des sous-catégories plus détaillées. La catégorisation aide l’organisation à cerner les tendances et les causes profondes des risques menaçant l’ensemble de ses secteurs.

Gestion globale des risques : Processus proactif et systématique qu’on applique dans l’ensemble de l’organisation pour comprendre et gérer les risques dans le cadre d’un portefeuille interrelié. Il s’agit de prendre des décisions stratégiques qui contribuent à la réalisation des objectifs de l’organisation.

Processus de gestion des risques à cinq étapes : Processus décrit dans le cadre de gestion globale des risques de la FPO qui assure la détection, l’évaluation et l’atténuation appropriées des risques :

1. déclarer les objectifs et établir le contexte;
2. détecter les risques;
3. évaluer les risques;
4. planifier et prendre des mesures;
5. surveiller et déclarer.

Organisme provincial : Entité qui fait partie du gouvernement de l’Ontario, mais qui n’est pas comprise dans l’organisation d’un ministère.

Risque : Effet de l’incertitude sur les objectifs. On peut le caractériser comme la possibilité d’une conséquence ou d’un évènement négatif (menace) ou positif (occasion) qui s’écarte d’un résultat prévu.

Évaluation des risques : Processus servant à déterminer les priorités en matière de gestion des risques par l’évaluation du niveau de risque et sa comparaison à des normes, à des niveaux de risque cibles ou à d’autres critères prédéterminés.

Gestion des risques : Approche systématique permettant de déterminer la meilleure voie à suivre en cas d’incertitude par la détection, l’évaluation, la compréhension, la gestion, la surveillance et la communication des problèmes liés aux risques.

Profil de risque : Sommaire indiquant le nombre et les catégories de risques ainsi que les façons dont ils peuvent nuire à la stratégie et à la réalisation des objectifs ou les guider. Le profil de risque se fonde normalement sur les renseignements compris dans un registre des risques.

Registre des risques : Outil servant à documenter les risques et les mesures permettant de les gérer. Dans le registre, les risques sont énumérés, évalués et suivis. Pour chaque risque, il devrait comprendre au moins l’objectif menacé, une description du risque, une indication de la probabilité, de l’impact et du risque général, la catégorie du risque compte tenu des contrôles existants, un plan d’atténuation du risque, ainsi que le poste ayant la responsabilité du risque et de son atténuation.

9. Ressources additionnelles

Cadre de gestion globale des risques de la FPO^{footnote 1[1]} (en anglais seulement).

Des ressources et des conseils additionnels sur la gestion globale des risques sont affichés sur le site du Portail de gestion financière consacré à la gestion globale des risques^{footnote 1[1]} (en anglais seulement).