Contexte et cadre institutionnel
Célestine Tiako présente l’UGAP (Union des Groupements d’Achats Publics), un établissement public à caractère industriel et commercial, centrale d’achat généraliste de l’État français, placée sous la tutelle du ministère chargé du Budget et de l’Éducation nationale. Forte d’environ 1 800 salariés, dont le siège est établi à Champs-sur-Marne, elle assure la mise en concurrence de fournisseurs éligibles à la commande publique au profit de clients publics. Dans ce contexte réglementaire exigeant (Code des marchés publics, RGPD, loi Sapin 2, exigences RSE), deux démarches structurantes ont été lancées : la cartographie des processus métiers et la gestion des risques opérationnels.
L’impulsion est venue d’une recommandation de la Cour des comptes, érigée en objectif prioritaire de gouvernance stratégique et intégrée au contrat d’objectifs et de performance de l’établissement. En réponse, deux directions dédiées ont été créées dès 2017 : une direction de la Transformation et des Processus, et une direction de l’Audit et du Contrôle Interne.
Mise en œuvre : étapes et articulation
La cartographie des processus a démarré en 2018, avec le choix initial d’un outil commun aux deux démarches sous gouvernance partagée. Elle repose sur des ateliers métiers produisant des logigrammes normés – représentant le « qui fait quoi, à partir de quoi et pour quelle finalité » – et permettant d’identifier les propriétaires de processus ainsi que les irritants opérationnels. Ces irritants sont un matériau précieux : ils signalent souvent un risque sous-jacent et alimentent directement les axes d’amélioration continue.
À partir de 2021, les cartographies ont été partagées avec les contrôleurs internes. La démarche de contrôle interne a alors pu s’appuyer sur ce référentiel pour désigner des propriétaires de risques – alignés autant que possible sur les propriétaires de processus – et organiser des séminaires d’acculturation auprès de correspondants conformité déontologie.
Un référentiel des risques majeurs a été validé par la direction générale, qui a également priorisé les processus à couvrir, notamment ceux ciblés par les recommandations de l’Agence française anticorruption et de l’Inspection générale des finances.
La cartographie des risques s’est déployée en cinq étapes. L’identification s’est appuyée sur la lecture des logigrammes en atelier, en distinguant sources internes (erreurs humaines, incidents organisationnels) et sources externes (évolutions réglementaires, fluctuations économiques). L’évaluation a combiné analyse qualitative (probabilité d’occurrence et gravité de l’impact) et analyse quantitative des pertes potentielles. Les risques ont ensuite été priorisés par multiplication probabilité impact, formalisés dans une matrice. Le traitement a principalement retenu l’option de réduction via des contrôles préventifs, les options d’évitement, de transfert ou d’acceptation restant envisageables selon les cas. Enfin, une révision annuelle est inscrite dans la charte du contrôle interne, avec un premier retour d’expérience imminent après une année de pilotage. Les pilotes de processus jouent tout au long de ce parcours un rôle clé d’intermédiation : ils facilitent la lecture des logigrammes par les contrôleurs internes et apportent la
connaissance opérationnelle des irritants lors des ateliers d’identification des risques.
Écueils rencontrés
Plusieurs difficultés ont jalonné la mise en œuvre. La désignation des propriétaires de risques s’est heurtée à des résistances, notamment sur les risques transverses impliquant plusieurs directions, pour lesquels la validation d’un RACI s’est révélée particulièrement ardue. Une problématique que la démarche processus connaît symétriquement avec les macroprocessus transverses. L’évaluation des risques a posé des difficultés culturelles : les profils opérationnels, peu familiers de la notion de risque, ont eu du mal à s’approprier la grille d’analyse, contrairement aux profils comptables et financiers. Des systèmes de correspondance ont dû être développés pour rendre l’évaluation accessible à tous. Sur le traitement, si l’identification des plans d’action a été rapide, leur validation par les propriétaires et surtout leur mise en œuvre effective, notamment les contrôles de supervision, se sont révélées plus laborieuses.
Sur l’outillage, la solution commune initialement retenue n’a pas perduré. En 2024, lors de l’étude d’opportunité de déploiement de la brique GRC intégrée à l’outil de cartographie, l’expert solution n’a pas convaincu les contrôleurs internes. Un outil distinct, spécialisé dans la gestion des risques mais sans visualisation sous forme de processus, a été adopté. L’UGAP fonctionne donc avec deux outils coexistant, reliés par des exports de données – une complexité opérationnelle réelle, mais surmontable.
Succès et dynamique collaborative
Malgré ces obstacles, les résultats sont tangibles. Sur les risques financiers, un outil développé en interne affiche un taux d’adoption de 98 %. Le nouvel outil de gestion des risques opérationnels est jugé intuitif, flexible dans sa maintenance, avec de très bons retours d’expérience utilisateurs.
Plus structurellement, les deux démarches s’alimentent mutuellement. La feuille de route annuelle de la démarche processus intègre désormais les priorités du contrôle interne, et les recommandations issues des audits internes et externes enrichissent la documentation des processus.
En perspective, l’UGAP ambitionne de mutualiser les revues de performance entre propriétaires de processus, propriétaires de risques et correspondants qualité, afin de traiter de façon cohérente l’ensemble des plans d’action. L’utilisation d’outils comme le
BPMN pour identifier les zones sensibles des processus est également envisagée.
Conclusion
L’expérience de l’UGAP illustre comment deux démarches complémentaires peuvent, dans un établissement public soumis à de fortes contraintes réglementaires, converger progressivement selon une approche graduée « pas à pas ». La réussite repose sur une
gouvernance engagée au plus haut niveau, une acculturation patiente des métiers, des rôles de facilitateurs bien définis, et une volonté constante de collaboration entre les équipes processus et contrôle interne, malgré les défis liés à la transversalité des risques et à la coexistence de plusieurs outils.