Mettre en œuvre une politique de maîtrise des risques

La politique de maîtrise des risques se définit comme le document encadrant l’organisation et les objectifs de la fonction en charge de la gestion des risques et intègre les priorités de cette dernière ainsi que les moyens de faire face aux risques prioritaires^[1].

Les points clés composant cette politique sont les suivants :

• définition de l’organisation de la gestion des risques dans l’entreprise, en tant que dispositif : organisation de type filière transverse de gestion des risques, organisation avec un comité des risques dédié, moyens définis y compris en termes d’équipe assurant la gestion des risques dans l’organisation ;

• définition d’un cadre d’appétence aux risques.

Il s’agit de suivre des risques plus spécifiques et de déterminer des seuils qualitatifs ou quantitatifs constituant des limites à ne pas franchir ou devant alerter en cas de franchissement. À titre d’exemple, un cadre d’appétence aux risques peut porter sur les risques financiers, sur les risques de conformité ou même encore sur certains risques opérationnels (risques de sécurité, risque logistique).

Des limites de risques formalisées et justifiées (au regard d’études de risque, de crise, d’incidents, de comparaison à d’autres entreprises) seront également proposées. La fixation d’un cadre d’appétence aux risques suppose une révision annuelle en vue de rester en cohérence avec les choix stratégiques, financiers et opérationnels de l’entreprise ;

• définition d’indicateurs clés de risques.

Ils permettent de suivre dans le temps l’évolution favorable ou défavorable de l’exposition aux risques (dégradation de la solvabilité de l’entreprise, augmentation du risque de trésorerie…) ;

• définition d’un processus d’escalade auprès de la gouvernance d’entreprise en cas d’exposition à un risque élevé ou réputé non acceptable, ou en cas de non-respect du cadre d’appétence au risque précité.

Le rôle d’une telle démarche est alors de prioriser un nombre restreint de risques, sans rechercher nécessairement l’exhaustivité dans l’identification des risques, mais en s’assurant que les risques incontournables pour l’organisation sont bien identifiés et que ceux réellement intolérables figurent dans le top 10 des risques^[2].

La suite d’une telle démarche permet d’aboutir à un ensemble de questionnements portés auprès des organes de gouvernance tel qu’illustré dans le tableau 1.

L’application d’une politique de maîtrise des risques est aussi une question de priorisation et de moyens.

Comme l’évoque un directeur général adjoint rencontré dans le cadre d’une mission en entreprise, « la gestion des risques n’a pas de ressources illimitées. En tant que responsable des risques, vous devez aller sur les sujets prioritaires et admettre que vous ne pourrez pas tout traiter. Il faut faire le deuil des sujets secondaires même si cela peut sembler frustrant car les métiers vous sollicitent. On préfère voir la gestion des risques sur ce qui peut coûter le plus cher à l’entreprise ou sur ce qui constitue une obligation réglementaire forte ! »

Cette logique suppose alors que la gestion des risques soit adaptée dans ses moyens (en effectifs équivalents temps plein, en outil, en budget des risques) aux périmètres à couvrir. Cela suppose aussi d’avoir les moyens de traiter les risques complexes, chronophages, variés auxquels la gestion des risques est confrontée.

La prise de décision adaptée face au risque, formalisée dans une politique de maîtrise des risques de conformité, suppose également un système d’arbre de décision adapté à chaque risque.

Pour les risques de conformité, nous suggérons, à titre illustratif, une matrice de décision dédiée. Le tableau 2 est un exemple de matrice décisionnelle face au risque de conformité. Il détaille différents niveaux de risque :

• les risques majeurs sont ceux avec une forte probabilité de contrôle et de sanction en cas de contrôle ;

• les risques forts impliquent une plus faible probabilité d’être contrôlé mais un risque probable de sanction en cas de contrôle ;

• les risques modérés impliquent une probabilité moyenne d’être contrôlé et une sanction moins dissuasive en cas d’infraction ;

• les risques faibles portent sur des cas de figure où l’entreprise n’a que peu de chance d’être contrôlée et sanctionnée.

Comme l’évoquent certains auteurs^[3], ce type de politique suppose de choisir ses priorités, y compris en matière de risque réglementaire où une entreprise peut avoir une appétence précise. Il suffit de choisir son infraction préférée : celle pour laquelle l’entreprise estime la probabilité de contrôle faible et la probabilité de sanction en cas de contrôle également faible, avec en prime certaines sanctions peu dissuasives.

Une appétence aux risques visera donc à traiter ces non-conformités à faible probabilité et à faible impact dans un second temps, en gardant les budgets de maîtrise des risques pour les réglementations avec fort risque de sanction, d’amende élevée voire de médiatisation de la sanction (infraction au RGPD, infraction aux lois sur le contrôle des concentrations par exemple).

[1] Le coût du risque, un enjeu majeur pour l’entreprise, J.-D. Darsa et N. Dufour, Gereso, 2014
[2] Norme ISO 31000 : 2018 – Management du risque – Lignes directrices – Mise en œuvre opérationnelle, Revue Techniques de l’Ingénieur, Réf : SE1022 v1, N. Dufour, 2020
[3] Dynamique normative. Arbitrer et négocier la place de la norme dans l’organisation, Laurent Cappelletti, Benoît Pige, Véronique Zardet, EMS Éditions, 2015

Article extrait du n° 594 de Face au Risque : « Éviter les chutes » (juillet-août 2023).