Management des risques d'entreprise (ERM)

Qu’est-ce que le management des risques d’entreprise ?

Le management des risques d’entreprise (ERM) représente un changement de paradigme par rapport à la gestion traditionnelle des risques en silos — où chaque département gère ses propres risques de manière isolée — vers une approche intégrée à l’échelle de l’entreprise qui donne à la direction une vision consolidée de tous les risques significatifs et de leurs interdépendances.

Le principe fondamental est que la gestion des risques ne doit pas être un exercice réactif, axé sur la conformité. Elle doit au contraire être intégrée dans la définition de la stratégie et le pilotage de la performance, aidant les organisations à comprendre non seulement les menaces auxquelles elles font face, mais aussi les opportunités que représente une prise de risque bien gérée.

Le cadre COSO ERM

Le cadre ERM le plus utilisé au monde est le COSO Enterprise Risk Management — Integrating with Strategy and Performance, mis à jour en 2017. COSO est l’acronyme du Committee of Sponsoring Organizations of the Treadway Commission, une initiative américaine dont les cadres ont été adoptés à l’international et sont référencés par les régulateurs et les auditeurs du monde entier.

Le cadre COSO ERM organise ses composantes en cinq catégories interdépendantes :

1. Gouvernance et Culture — Surveillance par le conseil d’administration, culture de gestion des risques, structure opérationnelle, engagement envers les valeurs fondamentales, attraction et développement des talents
2. Stratégie et Définition des Objectifs — Analyse du contexte d’entreprise, définition de l’appétit pour le risque, évaluation de la stratégie, fixation des objectifs en tenant compte des risques
3. Performance — Identification des risques, évaluation de la sévérité des risques, hiérarchisation des risques, réponses aux risques (accepter, éviter, poursuivre, réduire, partager)
4. Révision et Mise à jour — Surveillance des changements substantiels, examen des risques et de la performance, recherche d’amélioration continue
5. Information, Communication et Reporting — Exploitation de l’information, utilisation des technologies, communication des informations sur les risques, reporting sur les risques, la culture et la performance

Catégories de risques en pratique

Les cadres ERM organisent généralement les risques par catégories, qui varient selon l’organisation et le secteur. Les catégories courantes pour les entreprises espagnoles comprennent :

• Risques stratégiques : Échecs d’entrée sur le marché, disruption concurrentielle, échec d’intégration M&A, forte concentration clients
• Risques financiers : Tensions de liquidité, risque de crédit clients, exposition aux devises, risque de taux d’intérêt, menaces sur la continuité d’exploitation
• Risques opérationnels : Défaillances de processus, pannes de systèmes, ruptures de la chaîne d’approvisionnement, dépendance à des personnes clés, défauts de qualité produit
• Risques juridiques et réglementaires : Changement réglementaire (fiscal, social, environnemental), exposition contentieuse, violations de la protection des données, responsabilité anti-corruption
• Risques réputationnels : Atteinte à la marque due à des défaillances opérationnelles, crises sur les réseaux sociaux, manquements ESG, fautes de tiers
• Risques cyber et technologiques : Ransomware, défaillances de systèmes, violations de données, dépendance fournisseur, obsolescence technologique

Appétit pour le risque et tolérance au risque

Deux concepts fondamentaux de l’ERM souvent mal utilisés :

L’appétit pour le risque est le niveau global et le type de risque qu’une organisation est prête à accepter dans la poursuite de ses objectifs stratégiques. Il est défini par le conseil d’administration et exprimé en déclarations qualitatives (« Nous n’acceptons aucun risque de sanction réglementaire dans nos activités réglementées principales ») ou, de manière plus utile, en paramètres quantitatifs.

La tolérance au risque est la variation acceptable de la performance par rapport à un objectif spécifique — les limites tactiques dans lesquelles l’organisation opère. Les tolérances aux risques doivent se décliner depuis l’appétit pour le risque défini par le conseil d’administration jusqu’aux divisions opérationnelles.

ERM et exigences réglementaires espagnoles

Plusieurs cadres réglementaires et de gouvernance espagnols font référence aux concepts ERM :

• Sociétés cotées (CNMV) : Le Sistema de Control Interno sobre la Información Financiera (SCIIF) et le Sistema de Gestión de Riesgos requis par le Code de bonne gouvernance espagnol pour les sociétés cotées s’appuient directement sur les concepts COSO
• Assurances (Solvabilité II) : Les exigences ORSA (Own Risk and Solvency Assessment) imposent effectivement l’ERM aux compagnies d’assurance espagnoles
• Banques (Pilier 2) : Le processus ICAAP (Internal Capital Adequacy Assessment Process) au titre de Bâle III/Pilier 2 exige des cadres complets de gestion des risques
• Conformité pénale (LO 1/2015) : Les entreprises s’appuyant sur la défense de conformité pénale doivent démontrer un programme efficace d’identification, d’évaluation et d’atténuation des risques dans les domaines de la corruption, de la fiscalité, du droit du travail et autres risques pénaux

Mise en œuvre de l’ERM dans une PME espagnole

Pour les entreprises espagnoles de taille intermédiaire qui mettent en œuvre l’ERM pour la première fois, une approche pragmatique comprend :

1. Mandat de gouvernance — Résolution du conseil d’administration établissant l’ERM comme une priorité managériale
2. Inventaire des risques — Ateliers animés avec l’équipe de direction pour identifier et décrire les risques significatifs (généralement 25 à 50 risques pour une entreprise de taille intermédiaire)
3. Registre des risques — Registre structuré avec descriptions des risques, responsables, évaluations de probabilité/impact et contrôles existants
4. Hiérarchisation — Carte de chaleur ou méthodologie de scoring pour identifier les 10 à 15 risques prioritaires
5. Plans de réponse — Pour les risques prioritaires, actions documentées, responsables et délais
6. Reporting au conseil — Rapport trimestriel au conseil d’administration ou au comité d’audit
7. Cycle de révision annuel — Mise à jour du registre des risques au gré des évolutions du contexte d’entreprise

Comment BMC peut vous aider

Nous concevons et mettons en œuvre des cadres ERM pour les entreprises espagnoles, depuis la facilitation initiale de l’inventaire des risques jusqu’à la conception de la structure de gouvernance conforme au COSO, au développement du registre des risques, aux modèles de reporting au conseil d’administration et à l’intégration avec les processus de planification financière et de revue stratégique.