Gestion des risques d'entreprise (ERM) : logiciel et méthode pour une ETI
ERM : pourquoi une ETI a besoin d'un programme structuré de gestion des risques
La gestion des risques d'entreprise (Enterprise Risk Management, ERM) est la démarche par laquelle une organisation identifie, évalue, traite et surveille l'ensemble des risques susceptibles d'affecter ses objectifs stratégiques, opérationnels et financiers. Pour une entreprise de taille intermédiaire (ETI), un programme ERM structuré répond à plusieurs nécessités concrètes : satisfaire aux exigences de l'article L.225-37 du Code de commerce sur les procédures de contrôle interne et de gestion des risques dans le rapport de gouvernance ; démontrer une gouvernance mature aux partenaires financiers et aux clients grands comptes ; et anticiper les obligations issues des réglementations sectorielles qui imposent des cartographies et des plans de traitement documentés. Optivalue.ai guide les ETI dans la structuration de leur programme ERM, depuis l'adoption d'un cadre de référence jusqu'à la production des rapports de pilotage pour la direction générale et les instances de gouvernance. Un programme ERM sans outil de centralisation produit inévitablement des données fragmentées impossibles à consolider lors des revues de direction.
Comment appliquer le cadre COSO ERM et la norme ISO 31000 à une ETI ?
Le cadre COSO ERM 2017 [lu : Committee of Sponsoring Organizations of the Treadway Commission, Enterprise Risk Management -- Integrating with Strategy and Performance, 2017] et la norme ISO 31000:2018 [lu : norme ISO 31000:2018, Management du risque -- Lignes directrices] constituent les deux références les plus répandues pour structurer un programme ERM. Le COSO ERM 2017 propose cinq composantes : gouvernance et culture, stratégie et objectifs, performance, revue et révision, information, communication et reporting. L'ISO 31000:2018 décrit un processus universel applicable à tout type d'organisation, fondé sur les principes d'intégration, de structuration, d'adaptation et d'amélioration continue. Pour une ETI, le choix du cadre dépend de son secteur d'activité, de ses obligations réglementaires et du niveau de maturité existant en gestion des risques. Les deux cadres sont compatibles et peuvent être combinés : l'ISO 31000 fournit la méthode de processus, le COSO ERM fournit le cadre de gouvernance intégré à la stratégie.
Comment définir l'appétence au risque et les seuils de tolérance ?
L'appétence au risque est le niveau de risque global qu'une organisation est prête à accepter pour atteindre ses objectifs stratégiques. Elle se distingue de la tolérance au risque, qui est la variation acceptable autour d'un objectif spécifique. La définition de l'appétence au risque est une décision de gouvernance qui doit être validée par le conseil d'administration ou l'instance équivalente et formalisée dans un document de politique. En pratique, l'appétence au risque s'exprime par catégorie de risque : risques financiers, risques opérationnels, risques de conformité, risques de réputation. Elle se traduit ensuite en seuils de tolérance quantitatifs ou qualitatifs qui servent de critères de déclenchement pour les escalades et les plans de traitement. La cartographie des risques, livrable central du programme ERM, positionne chaque risque identifié par rapport à ces seuils pour prioriser les traitements.
Comment intégrer la gestion des risques aux décisions stratégiques ?
L'intégration de l'ERM aux décisions stratégiques est l'enjeu central du cadre COSO 2017 par rapport à ses versions précédentes. Elle signifie que les risques sont analysés lors de la définition des objectifs stratégiques -- et non après -- et que les décisions d'investissement, de développement et d'acquisition intègrent explicitement une analyse des risques associés. En pratique, cela se traduit par trois mécanismes : la revue des risques stratégiques dans les comités de direction, l'inclusion d'une analyse de risque dans tout dossier de décision stratégique supérieur à un seuil défini, et la mise à jour de la cartographie des risques après chaque changement stratégique majeur. Le logiciel GRC, socle technique d'un programme ERM structuré, permet de relier les risques identifiés aux objectifs stratégiques dans un référentiel unique et de suivre l'évolution des risques à chaque revue périodique.
Comment un logiciel ERM centralise-t-il la collecte et le reporting ?
Un logiciel ERM centralise la collecte des risques issus de toutes les directions de l'ETI dans un référentiel commun structuré selon le cadre de référence retenu. Il structure chaque risque avec ses attributs : catégorie, propriétaire, probabilité, impact, risque brut, contrôles existants, risque résiduel, plan de traitement et échéances. Il gère les workflows de revue périodique des risques en sollicitant les propriétaires de risques selon une fréquence définie. Il consolide les données en tableaux de bord pour la direction générale : top risques, évolution des risques résiduels, avancement des plans de traitement. Il produit les extraits nécessaires au rapport de gouvernance prévu par le Code de commerce. Optivalue.ai fournit les modèles de référentiel de risques adaptés au cadre COSO ERM 2017 et à l'ISO 31000:2018, ainsi que les gabarits de reporting pour les instances de gouvernance.
FAQ
Quelle est la différence entre ERM et gestion des risques opérationnels ?
La gestion des risques opérationnels est une sous-composante de l'ERM qui se concentre sur les risques liés aux processus internes, aux systèmes, aux personnes et aux événements externes. L'ERM couvre un périmètre plus large : il intègre les risques stratégiques, financiers, de conformité et de réputation, en plus des risques opérationnels. La valeur d'un programme ERM par rapport à une gestion des risques purement opérationnelle réside dans sa capacité à relier tous les types de risques aux objectifs stratégiques de l'organisation et à les piloter de manière unifiée par la direction générale et le conseil.
Comment impliquer les directions métiers dans le programme ERM ?
L'implication des directions métiers repose sur trois leviers : la désignation de propriétaires de risques dans chaque direction, avec une responsabilité explicite sur l'identification, l'évaluation et le traitement des risques de leur périmètre ; la mise en place de revues périodiques des risques au sein de chaque direction, avec un format standardisé permettant la consolidation ; et la formation des propriétaires de risques à la méthode retenue. Un logiciel ERM facilite cette implication en proposant des interfaces adaptées aux propriétaires de risques, sans nécessiter une formation approfondie à l'outil.
Le programme ERM doit-il être audité ?
Le rapport sur les procédures de contrôle interne et de gestion des risques, prévu par l'article L.225-37 du Code de commerce pour les sociétés cotées, est examiné par les commissaires aux comptes qui vérifient son existence et sa cohérence avec les informations financières. Pour les sociétés non cotées, il n'existe pas d'obligation légale d'audit externe du programme ERM, mais certains donneurs d'ordre, partenaires financiers ou certifications (ISO 9001, ISO 27001) peuvent imposer une revue externe des pratiques de gestion des risques.
Comment mesurer la maturité d'un programme ERM ?
La maturité d'un programme ERM s'évalue selon plusieurs dimensions : la complétude de l'inventaire des risques par rapport au périmètre couvert, la fréquence et la qualité des revues périodiques, le taux de plans de traitement formalisés et suivis, la capacité à produire des rapports consolidés pour la gouvernance, et le degré d'intégration des risques dans les processus de décision stratégique. Le cadre COSO ERM 2017 fournit des critères d'évaluation de la maturité pour chacune de ses cinq composantes. Une évaluation initiale de maturité permet de prioriser les chantiers d'amélioration et de définir une trajectoire réaliste.
Découvrez comment Optivalue.ai guide votre programme ERM
Haut de page
Sur le même sujet