Quand la confusion entre 1er et 2nd niveau fragilise le contrôle interne

Le contrôle interne constitue un pilier central de la gouvernance des organismes soumis à Solvabilité II et repose sur une articulation claire des lignes de défense. Les contrôles de 1^er niveau sont intégrés aux processus opérationnels et managériaux, tandis que les contrôles de 2^nd niveau en supervisent l’effectivité. Dans la pratique, cette distinction est pourtant régulièrement mise à mal. Dès lors, comment ces confusions entre 1^er et 2^nd niveau peuvent-elles fragiliser la robustesse et l’efficacité globale du dispositif de maîtrise des risques ?

Qui contrôle quoi ? Une confusion persistante entre les lignes de défense :

Dans de nombreuses organisations, les procédures internes ne formalisent pas de manière suffisamment explicite les rôles et responsabilités propres à chacune des lignes de défense. Faute d’un cadre clair, la maîtrise des risques devient fragmentée, et la responsabilité du contrôle se dilue entre les acteurs.

Cette confusion fragilise l’efficacité globale du dispositif de contrôle interne et crée un faux sentiment de sécurité. Une première ligne insuffisamment responsabilisée ou formée sur les enjeux de risque tend à s’en remettre à la seconde, qui se voit contrainte de compenser par des contrôles plus opérationnels, détaillés et fréquents. Cela entraîne un déséquilibre du modèle des lignes de défense : surcharge des équipes de contrôle de 2^nd niveau, duplication des contrôles, allongement des délais opérationnels et persistance de zones de risques non couvertes.  

La clarification des rôles constitue un levier prioritaire. Il est indispensable de formaliser explicitement les responsabilités de chaque ligne de défense, en particulier celles de la 1^ère ligne, qui doit rester pleinement propriétaire des risques qu’elle génère. Cette clarification doit s’accompagner d’une montée en compétences des équipes opérationnelles, notamment par des actions de formation ciblées sur les risques, les contrôles attendus et leur finalité, afin de favoriser une appropriation durable du dispositif.

Le contrôle de 2^nd niveau doit, quant à lui, être recentré sur sa mission de supervision, d’évaluation et d’animation du dispositif, sans se substituer aux métiers.

Enfin, la mise en place d’un pilotage coordonné des contrôles permet de rétablir un équilibre durable entre efficacité opérationnelle, maîtrise des risques et conformité réglementaire.

Qui contrôle quand le premier niveau fait défaut ?

Lorsque les contrôles de 1^er niveau sont insuffisamment formalisés, irréguliers ou peu appropriés par les équipes opérationnelles, la question de leur prise en charge se pose. Le 2^nd niveau se retrouve à devoir réaliser des contrôles opérationnels, alors que la première ligne de défense perd progressivement la maîtrise de ses propres risques.

Ce mécanisme de substitution, souvent mis en place par pragmatisme ou en raison d’une contrainte de temps, brouille durablement la répartition des responsabilités. A long terme, cette organisation peut compromettre la capacité du dispositif à fonctionner de manière autonome et durable.

Cette situation met également en lumière un problème plus profond : l’absence d’un socle minimal de contrôles de 1^er niveau effectifs empêche le 2^nd niveau d’exercer pleinement son rôle de supervision et d’évaluation critique. Le contrôle interne devient alors un dispositif de correction, axé sur la production de preuves, plutôt qu’un outil de pilotage des risques intégrés aux processus métiers.

Lorsque le 1^er niveau est insuffisant, l’enjeu n’est pas de renforcer durablement l’intervention du 2^nd niveau, mais d’organiser le retour à une répartition claire des rôles. Il convient de définir des mécanismes de remise en autonomie progressive de la 1^ère ligne, en s’appuyant sur un cadre précis de rétablissement avec des objectifs fixés, et un calendrier défini. Cette approche permet d’éviter l’installation durable de pratiques de substitution et de sécuriser le dispositif sans déséquilibrer le modèle des lignes de défense.

Surveillance ou maîtrise des risques ? Une tension croissante entre les lignes de défense

Les relations entre la 1^ère et la 2^ème ligne de défense mettent souvent en évidence un manque d’alignement sur les objectifs du contrôle interne. Les équipes opérationnelles constatent une augmentation progressive des exigences de contrôle pouvant être jugées comme contraignantes et allant à l’encontre de l’efficacité opérationnelle. Le contrôle de 2^nd niveau est perçu non comme un soutien à la maîtrise des risques, mais comme un outil de surveillance des pratiques, ce qui peut entraîner des incompréhensions et de la résistance de la part de la 1^ère ligne de défense. Cette perception s’accroît quand la 2^ème ligne intervient sans avoir suffisamment embarqué la 1^ère.

Ce désalignement alimente un fonctionnement en silos, dans lequel chaque ligne agit selon sa propre logique, au détriment d’une vision globale de la maîtrise des risques. La communication est alors défaillante, les contrôles ne remplissent plus leur fonction de sécurisation des différentes activités. La culture du risque de l’organisation se voit entachée. Le dispositif perd en efficacité, lisibilité et crédibilité.

Un réalignement est possible grâce à la mise en place d’une gouvernance renforcée. Il faut repositionner le contrôle interne comme un partenaire du business, en associant la 1^ère ligne à la conception ainsi que l’évolution des contrôles. La mise en place de réunions mensuelles permet de sensibiliser à la culture du risque et de partager les enjeux, les constats et les priorités. En outre, la mise en place de KPI dédiés à ce pilotage – tels que le taux des contrôles de 1^er niveau réalisés par les métiers et de 2^nd niveau ainsi que leurs résultats, les catégories d’anomalies récurrentes sur le niveau 1 et leurs pourcentages, le délai de clôture des actions correctrices – contribue à enrichir les échanges, à mesurer l’efficacité du dispositif et à sortir d’une logique de contrôle vu comme punitive. L’utilisation de « Nudges » (coup de pouce en anglais) peut également être étudiée pour insuffler les bonnes pratiques de contrôle interne et sensibiliser les acteurs.

Ainsi lorsque la 2^ème ligne de défense compense les faiblesses de la 1^ère, un déséquilibre se crée entre les 3 lignes de défense, comme résumé ci-après :

Sécuriser l’activité ensemble… chacun dans son rôle

La confusion entre contrôles de 1^er et 2^nd niveau fragilise durablement l’efficacité du dispositif de maîtrise des risques lorsqu’elle n’est pas traitée à la source. Clarifier les rôles, responsabiliser les acteurs et rétablir un dialogue structuré entre les lignes de défense constituent des leviers essentiels pour renforcer la robustesse, la lisibilité et la crédibilité du contrôle interne. Face à ces enjeux, la question n’est plus de savoir s’il faut faire évoluer les dispositifs, mais comment le faire de manière pérenne. Noverisk accompagne les acteurs de l’assurance dans l’évaluation, la refonte et l’optimisation de leurs lignes de défense (yc revue de plan de contrôle, renfort opérationnel contrôle interne, définition de cartographies des risques, etc), en s’appuyant sur une connaissance fine des pratiques de marché et un accompagnement étroit des équipes sur le terrain.

Une question en tête ou un besoin spécifique ? Notre équipe est à votre écoute.

Lire la suite ici : Quand la confusion entre 1er et 2nd niveau fragilise le contrôle interne (source : News Assurances Pro - Media Indépendant des assureurs, mutuelles et institutions de prévoyance)