En résumé
Le risque inhérent est le risque avant traitement. Le risque résiduel est le risque après traitement. La distinction paraît simple. Elle est pourtant souvent mal comprise : le risque inhérent est une construction théorique impossible à évaluer objectivement, et le risque résiduel n’est pas un solde statique — c’est un niveau de risque qui évolue avec le système, la qualité des contrôles et le contexte. Confondre les deux, c’est croire que les contrôles suffisent à maîtriser le risque.
Risque inhérent : une notion théorique, difficile à objectiver
La définition officielle
Le risque inhérent est défini par le COSO comme « le risque existant en l’absence d’action du management qui pourrait en modifier l’impact ou la probabilité »–. Le COSO ERM 2017 le présente comme le risque « brut », avant prise en compte des mesures de contrôle interne. Continuer la lecture de « Risque inhérent et risque résiduel : pourquoi la distinction est mal comprise (et pourquoi elle compte) »