Pourquoi un registre des risques n'est pas qu'une question de conformité
Dans une PME suisse, cyberattaques, ruptures de la chaîne d'approvisionnement, accidents du travail ou erreurs fiscales ne sont pas des événements lointains : ce sont des scénarios qui pèsent sur la liquidité, les marges et la réputation. Un registre des risques d'entreprise (risk register) ne remplace ni l'assurance ni le budget, mais les rend cohérents : chaque menace est décrite, évaluée et reliée à des mesures, des coûts et des responsabilités comptables.
Le Code des obligations impose aux conseils d'administration et aux gérants un devoir général de diligence dans la gestion (art. 717 et 812 CO). Même sans obligation explicite de « risk register », documenter comment l'entreprise identifie et traite les risques pertinents soutient la défense des décisions d'investissement, d'assurance et de constitution de provisions face aux réviseurs, aux banques et, en matière fiscale ou réglementaire, aux autorités compétentes.
Ce guide explique comment structurer un registre annuel adapté aux PME, comment le traduire en postes budgétaires et polices, et comment le refléter dans la comptabilité ordinaire suisse avec une piste auditable — y compris à l'aide d'outils comme Accountex pour relier documents, centres de coûts et échéances.
Ce que contient un registre des risques efficace
Un registre utile pour la comptabilité et le contrôle de gestion n'est pas une liste générique de « dangers » : chaque entrée doit être actionable et mesurable.
| Champ | Contenu type | Lien financier |
|---|---|---|
| ID et intitulé du risque | Ex. « Perte de données clients par hameçonnage » | Référence en note aux annexes ou annexe interne |
| Catégorie | Opérationnel, financier, juridique/fiscal, personnes, IT, réputation | Centre de coûts ou projet budgétaire |
| Probabilité × impact | Échelle 1–5 ou matrice qualitative | Priorité pour l'allocation des ressources |
| Impact financier estimé | Perte ponctuelle, coût annuel, plafond d'exposition | Base pour réserves, franchises, analyse de sensibilité budgétaire |
| Contrôles et atténuations | Procédures, sauvegardes, formation, clauses contractuelles | OPEX (formation, audit) ou CAPEX (sécurité) |
| Traitement résiduel | Accepter, atténuer, transférer (assurance), éviter | Prime d'assurance, auto-assurance, provision |
| Responsable et révision | Nom, date de dernière revue, prochaine échéance | Agenda administratif et piste documentaire |
Risques typiques des PME suisses et où ils apparaissent en comptabilité
Opérationnels et approvisionnement
Retards logistiques, défauts de qualité, dépendance à un fournisseur unique ou pannes d'installations peuvent entraîner pénalités contractuelles, heures supplémentaires et perte de chiffre d'affaires. En comptabilité, cela se manifeste par dépréciations de stocks, rectifications de produits, coûts de remise en état ou passifs de garantie.
Dans le registre : estimer l'impact en pourcentage du chiffre d'affaires critique ou coût journalier d'immobilisation ; le relier au budget « continuité opérationnelle » et aux polices d'interruption d'exploitation si souscrites.
Fiscaux et réglementaires
Erreurs de TVA (taux, importations, autoliquidation), retards dans les déclarations fiscales (TVA auprès de l'Administration fédérale des contributions, impôt sur le revenu auprès de l'autorité cantonale compétente) ou manquements à la nLPD et à la conservation des documents comptables exposent à rectifications, intérêts moratoires et sanctions. La piste comptable doit permettre de reconstituer l'assiette imposable et la déductibilité.
Dans le registre : quantifier le « pire scénario » administratif ; budget pour conseil fiscal et logiciel de conformité ; atténuation via calendrier d'échéances intégré à la comptabilité.
Personnes et prévoyance
Absence prolongée de personnes clés, accidents non couverts, erreurs dans les cotisations AVS/AI/IPG ou LPP génèrent des coûts de personnel imprévus et des passifs sociaux. Les coûts RH et les cotisations employeur sont des postes sensibles du budget annuel.
Relier les risques aux polices d'accidents complémentaires, à l'assurance indemnités journalières maladie (IJM) le cas échéant, et à des contrôles périodiques des fiches de salaire et registres salariaux.
IT, données et fraudes
Ransomware, virements frauduleux (fraude au président) et violations de données personnelles entraînent des coûts IT, juridiques, de notification et d'éventuels dédommagements. Souvent, tout n'est pas assuré : il reste un risque résiduel à budgétiser ou à couvrir par une réserve de liquidité.
Documenter dans le registre les contrôles sur les paiements (quatre yeux), les sauvegardes testées et l'assurance cyber ; enregistrer les dépenses de réponse à incident sur des comptes dédiés pour l'analyse de gestion.
Du registre au budget : réserves, OPEX et sensibilité
L'étape décisive pour la direction et la fiduciaire est de traduire la matrice des risques en chiffres dans le plan économique. Il ne faut pas une précision absolue : il faut des ordres de grandeur cohérents avec la liquidité disponible.
Budget opérationnel d'atténuation : formation à la sécurité, maintenance, vérifications de conformité à la nLPD, conseil, pénalités évitées grâce aux clauses — imputer aux centres de coûts (administration, IT, production) déjà utilisés en comptabilité analytique.
Réserves et provisions : pour les risques acceptés à impact matériel mais probabilité non transférable par police, n'évaluer des provisions comptables que s'il existe des obligations légales ou des critères Swiss GAAP FER applicables (p. ex. garanties sur produits, litiges probables). En l'absence d'obligation, le registre alimente néanmoins la planification de trésorerie et les covenants bancaires.
Sensibilité : pour les trois risques au score le plus élevé, modéliser un scénario « événement au semestre » (flux de trésorerie −X, marge −Y) et vérifier que le crédit à court terme ou la ligne de factoring couvre l'écart — en documentant le résultat dans le procès-verbal de gestion ou d'assemblée.
Assurances : cartographie des couvertures vs risques résiduels
En Suisse, les PME combinent souvent RC entreprise, RC professionnelle, biens, cyber et assurance-accidents obligatoire (LAA). Le registre évite les doubles comptages et les « trous » de couverture.
| Risque dans le registre | Transfert type | Attention comptable |
|---|---|---|
| Dommages à des tiers / produits défectueux | RC entreprise / RC produit | Franchise comme passif éventuel ; primes en OPEX périodisées |
| Incendie, eau, vol de biens | Biens / contenu | Valeurs assurées vs valeur comptable des immobilisations et stocks |
| Accident du collaborateur | LAA (obligatoire) + éventuelle complémentaire | Cotisations employeur et statistiques d'accidents pour révision interne |
| Cyber / violation de données | Police cyber (si souscrite) | Exclusions fréquentes ; coûts de réponse souvent en avance puis remboursement |
| Perte de chiffre d'affaires par arrêt | Interruption d'exploitation (souvent optionnelle) | Aligner les plafonds au budget produits du segment le plus exposé |
Chaque ligne du registre avec traitement « transférer » doit mentionner le numéro de police, le plafond, la franchise et la date de renouvellement. Les primes annuelles doivent être enregistrées en comptabilité avec la date de rattachement correcte ; au renouvellement, mettre à jour l'impact financier dans le registre si les plafonds changent.
Piste comptable et documentation pour les réviseurs
Sous les normes comptables suisses (Swiss GAAP FER pour les petites entités), il n'existe pas de compte obligatoire « risques », mais la gestion doit être compréhensible depuis le bilan et les annexes. Le registre annuel sert de pont entre gestion et comptabilité.
Documents à archiver : version signée ou approuvée du registre (PDF daté), procès-verbal du CA/de la gérance qui en prend acte, polices et conditions générales, devis d'atténuation payés, éventuelles lettres d'avocats sur litiges. Conservation décennale pour les livres de commerce et documents comptables (art. 958f CO) ; pour les données personnelles dans le registre, respecter la minimisation et les contrôles d'accès selon la nLPD.
Imputations cohérentes : dépenses d'atténuation sur comptes existants (6400 formation, 6500 conseil, 6100 IT) ; indemnités d'assurance en produits extraordinaires ou compensation de coûts selon le principe de corrélation ; réparations de dommages sur immobilisations ou OPEX selon la nature. Relier chaque paiement pertinent à un code projet « Risk-ID-XX » dans Accountex facilite les rapports pour réviseur et banque.
Clôture d'exercice : comparer les risques signalés en début d'année aux événements réellement survenus ; mettre à jour les estimations sur passifs éventuels et garanties ; insérer en note aux annexes les engagements significatifs éventuels (leasing critiques, garanties bancaires, litiges) alignés sur le registre, sans dupliquer les informations déjà au bilan.
Cycle annuel en cinq étapes
- Inventaire : recueillir les apports de la comptabilité (écarts, créances dépréciées), RH, IT et assureur ; inclure les quasi-accidents de l'année précédente.
- Évaluation : atelier de 90 minutes avec le titulaire, la comptabilité et le référent opérationnel ; attribuer score et impact en CHF.
- Alignement budget : intégrer les postes d'atténuation au budget N+1 et vérifier les plafonds d'assurance vs nouveaux risques (p. ex. expansion à l'étranger).
- Approbation : soumettre le registre et la synthèse financière à l'organe de gestion ; archiver la délibération datée.
- Suivi trimestriel : mettre à jour l'état des atténuations et signaler les nouveaux risques matériels ; en fin d'année clôturer le cycle avec retour d'expérience pour le bilan.
Intégrer registre, budget et comptabilité avec Accountex
Pour les indépendants et PME qui gèrent déjà facturation, TVA et comptabilité ordinaire dans un flux unique, l'avantage pratique est d'éviter des registres Excel déconnectés des chiffres réels. Accountex permet de joindre le registre approuvé à l'exercice comptable, d'utiliser centres de coûts ou tags pour les dépenses d'atténuation et de définir des rappels pour renouvellements de polices et révisions trimestrielles du registre.
Les fiduciaires peuvent standardiser un modèle de registre pour clients Sàrl et SA, importer des extraits de compte filtrés par projet risque et produire pour l'assemblée un récapitulatif reliant score de risque, prime d'assurance payée et provisions — réduisant les questions de dernière minute à la clôture.
Un registre des risques bien tenu n'élimine pas l'incertitude, mais rend visible le coût de ne pas décider : budget, polices et écritures comptables racontent la même histoire, avec dates et responsables vérifiables — exactement ce que réviseurs et partenaires financiers attendent d'une PME suisse mature.