La gestion des risques d'entreprise en pratique

Rédigé par Jonas Osman Abdelghafour — actuaire et gestionnaire de risques financiers (FRM, GARP USA).

Chaque dispositif de gestion des risques d'entreprise que j'ai examiné en vingt ans de conseil paraît respectable en couverture. Il y a un énoncé d'appétit au risque, une taxonomie, un schéma des trois lignes de défense, et une carte de chaleur probablement réutilisée dans plusieurs comités sans rapport entre eux. Ce qui distingue un dispositif qui pilote réellement l'entreprise d'un dispositif qui décore l'intranet n'est pas le schéma — ce sont une poignée de choix de conception que la plupart des organisations continuent de mal faire.

Ce texte rassemble ces choix tels que je les observe, à l'attention des praticiens qui doivent rendre l'ERM défendable devant un conseil, un régulateur et un auditeur interne au cours du même trimestre.

Partir des décisions, pas des risques

Le mode d'échec le plus courant est un dispositif qui catalogue exhaustivement les risques puis ne dispose d'aucun mécanisme pour convertir ce catalogue en décisions. Une fonction ERM utile part de l'autre bout. Posez la question : quelles décisions cette organisation prend-elle, et comment l'information sur les risques les changerait-elle ?

Pour un assureur, ces décisions concernent l'allocation de capital, la structure de réassurance, le mix produit, la tarification et la stratégie d'investissement. Pour une banque, ce sont l'origination d'actifs, le positionnement ALM, les coussins de liquidité et la conception des produits. Pour une entreprise industrielle, ce sont les projets d'investissement, la couverture, la concentration fournisseurs et l'implantation géographique.

Chaque rapport de risque qui ne se rattache à aucune de ces décisions est un coût de structure. Chaque décision qui n'est pas visiblement éclairée par le risque est une lacune de gouvernance. Un dispositif qui relie les deux est petit, précis et utilisé — voir la note complémentaire sur l'ERM démystifiée pour un traitement plus long de cette cartographie elle-même.

Un appétit au risque qui mord

Un énoncé d'appétit au risque vaut exactement ce que valent les décisions qu'il arrête. Si rien n'a jamais été refusé pour non-respect de l'appétit, l'énoncé n'est pas calibré — c'est de la décoration. Trois propriétés distinguent un dispositif d'appétit réel d'un dispositif symbolique.

Des limites quantitatives au niveau où les décisions sont prises. Un appétit de groupe du type « nous maintenons un ratio de solvabilité de 180 % en scénario de stress » est inutile pour un souscripteur qui tarife un traité facultatif. Faites descendre l'indicateur en cascade : consommation de capital économique par ligne d'activité, limites de concentration par contrepartie, plafonds de sensibilité par facteur de marché. Chaque limite opérationnelle devrait pouvoir être rattachée à l'énoncé de groupe.

Une réponse préengagée en cas de dépassement de limite. La faiblesse la plus courante des dispositifs d'appétit est qu'un dépassement déclenche une discussion, pas une action. Préengagez-vous : en dessous de X, surveiller. Entre X et Y, plan de remédiation sous trente jours. Au-dessus de Y, clôturer l'exposition. Les conseils trouvent cela inconfortable et la direction y résiste souvent — c'est précisément pour cela que cela fonctionne.

Une mesure indépendante. Si la première ligne mesure elle-même sa propre consommation par rapport à l'appétit, l'appétit ne mordra pas. La deuxième ligne détient le calcul, et la troisième ligne revoit la méthodologie selon un cycle défini. Cela recoupe le modèle de gouvernance à trois lignes sur lequel j'ai écrit séparément.

L'ORSA et ses équivalents : imposer des scénarios qui comptent

L'évaluation interne des risques et de la solvabilité (ORSA) est l'un des instruments réglementaires les plus utiles introduits par Solvabilité II. Sa valeur ne tient pas au document — elle vient des scénarios retenus et de l'honnêteté avec laquelle la direction s'y confronte.

Une ORSA utile comporte trois ou quatre scénarios narratifs qui stressent les fragilités spécifiques de l'activité, et non des scénarios génériques. Pour un assureur automobile monobranche, cela signifie une inflation de sévérité combinée à une réforme légale ; pour un régime de pension, la longévité combinée à un effondrement des taux réels ; pour une banque, un choc de qualité d'actifs combiné à une fuite des dépôts. Recopier les scénarios illustratifs du régulateur gâche l'exercice.

Le rapport ORSA devrait également projeter — et pas seulement décrire — le bilan sous chaque scénario sur l'horizon de planification, en utilisant les mêmes hypothèses et les mêmes modèles que ceux utilisés par l'entreprise pour son propre plan. Lorsque les chiffres de l'ORSA divergent du plan d'affaires, il y a une conversation de gouvernance à avoir. Cette conversation est tout l'intérêt de l'exercice.

Je traite la construction de scénarios et leur usage par le conseil plus en détail dans la note sur la conception de scénarios ORSA. Pour les entreprises financières, cela rejoint le guide de modélisation du capital que j'utilise avec mes clients.

Le problème de la taxonomie

Chaque fonction ERM investit du temps dans une taxonomie des risques. Chaque fonction ERM finit par constater que la taxonomie est soit trop grossière pour être utile, soit si granulaire que personne ne peut la naviguer. La sortie consiste à accepter qu'une taxonomie a deux fonctions et qu'elles nécessitent des structures différentes.

La taxonomie de reporting est celle qui apparaît dans les dossiers du conseil, l'ORSA et les états réglementaires. Elle devrait compter de sept à quinze catégories, mutuellement exclusives, stables dans le temps. Ne la changez pas à la légère — la comparabilité d'une année sur l'autre est une caractéristique, pas un accident.

La taxonomie de gestion est celle que la première ligne utilise pour consigner, suivre et traiter les incidents. Elle peut et devrait être plus granulaire, et peut évoluer avec l'activité. La correspondance entre taxonomie de gestion et taxonomie de reporting doit être de type plusieurs-vers-un et sans ambiguïté.

Confondre les deux est ce qui produit les taxonomies tentaculaires qui rendent les systèmes ERM inutilisables. Séparez-les et les deux s'améliorent.

Risques émergents : construire une habitude, pas un registre

Chaque dispositif que j'ai vu comporte un registre des risques émergents. Presque aucun n'est utile. Le registre capture des éléments déjà évidents au moment où ils y sont ajoutés — le risque pandémique en 2019, le risque géopolitique en 2022, l'IA en 2024 — et ne produit aucun signal d'alerte précoce.

Ce qui fonctionne est une habitude trimestrielle plutôt qu'un document. Un groupe tournant d'experts de première ligne, de la fonction risque de deuxième ligne et d'une voix externe consacre quatre-vingt-dix minutes à discuter de ce qui a changé dans l'environnement opérationnel. Le résultat tient sur une page. La discipline exige que le groupe identifie au moins un scénario que l'ORSA ne couvre pas actuellement, et explique soit pourquoi il ne devrait pas y figurer, soit l'intègre au prochain cycle ORSA.

Cela transforme le travail sur les risques émergents d'un exercice de conformité en une fonction de veille. Cela donne aussi au conseil quelque chose de concret sur lequel réagir, ce qui est plus que ce que la plupart des registres de risques émergents produisent jamais.

Le risque de modèle relève de l'ERM, pas d'à côté

Les entreprises qui séparent la gestion du risque de modèle de l'ERM finissent par dupliquer la gouvernance et, pire, par traiter les modèles comme un problème technique plutôt que stratégique. Chaque modèle qui éclaire une décision consomme de la capacité de prise de risque, et sa défaillance est un risque en soi. C'est une préoccupation ERM de premier ordre, pas une note de bas de page.

En pratique, cela signifie que le même comité qui approuve l'appétit au risque devrait approuver la hiérarchisation par matérialité de l'inventaire des modèles et le plan de remédiation des constats matériels. La note sur la remédiation du risque de modèle explique comment je structure cela en pratique, et la validation indépendante de modèles est la ligne de service qui la met en œuvre.

La relation avec le conseil

Le plus grand facteur prédictif du bon fonctionnement de l'ERM dans une organisation donnée est la qualité de la relation entre le directeur des risques et le conseil. Les dispositifs aident, mais aucun dispositif ne survit à un directeur des risques incapable de faire entendre des messages inconfortables.

Deux suggestions pratiques. Premièrement, le directeur des risques ne devrait détenir qu'au plus cinq indicateurs sur le tableau de bord du conseil, et chacun devrait être un indicateur que le directeur général préférerait ne pas voir. Si tout sur le tableau de bord des risques est au vert, le tableau de bord est faux. Deuxièmement, le directeur des risques devrait présenter seul au conseil au moins deux fois par an — sans le directeur général dans la salle. C'est un changement culturel difficile à opérer et qui vaut la peine du combat.

Conclusion

La gestion des risques d'entreprise n'est pas un projet. C'est l'habitude de relier les décisions au risque, de calibrer l'appétit pour qu'il morde, de choisir des scénarios qui font mal, et de laisser les résultats changer le plan. Les dispositifs sont largement interchangeables. Les choix ci-dessus ne le sont pas.

Si vous reconstruisez une fonction ERM ou préparez un cycle ORSA qui sera réellement utilisé, je serai heureux d'en discuter. Voir la page des services de gestion des risques d'entreprise ou me contacter.