Gestion des risques opérationnels

De la visibilité du risque aux décisions ajustées du risque

Et si le risque pouvait être mesuré aussi continûment que le chiffre d'affaires — et reflété dans l'économie de chaque produit et de chaque service ?

La plupart des dispositifs de risque opérationnel vous disent ce qui a déjà mal tourné. Les incidents sont enregistrés, les pertes comptabilisées, les indicateurs clés de risque revus selon un cycle, les scénarios actualisés périodiquement, et le conseil reçoit une image agrégée quelques semaines après la période qu'elle décrit. Tout cela est nécessaire. Très peu de cela est actuel.

L'alternative n'est pas d'écarter ces dispositifs. Elle consiste à ajouter une seconde vue : un risque mesuré au plus près de l'endroit où il est réellement créé — par produit, par service, par volume de transactions et par environnement opérationnel qui le porte — et actualisé assez souvent pour éclairer les décisions tant qu'elles sont encore ouvertes.

C'est la prémisse du Risk Accounting, une méthodologie développée et publiée par le Risk Accounting Standards Board. VODIS intervient du côté de la mise en œuvre : traduire la méthode en modèle opérationnel, mobiliser les données, construire la vue de gestion et — en tant qu'étape distincte qui relève de VODIS et non de la norme — explorer ce que le risque mesuré implique pour l'économie d'un produit.

Pourquoi une vue rétrospective ne suffit pas

Un rapport de risque trimestriel répond bien à la question « que s'est-il passé ? ». Il répond mal à « qu'est-ce qui s'accumule en ce moment, et sur quel produit ? », et il ne répond pratiquement jamais à « qu'est-ce que cette décision ferait à notre risque ? ».

Les conséquences pratiques sont familières à la plupart des fonctions risque et finance :

• La croissance est approuvée avant que quiconque ait établi si les contrôles suivent la montée en charge.
• Deux produits sont comparés sur la marge, sans mesure comparable du risque que chacun porte.
• Les faiblesses de contrôle sont connues en première ligne bien avant d'apparaître dans un dossier de comité.
• La remédiation est priorisée par constat d'audit ou par celui qui argumente le plus fort, plutôt que par exposition.
• Les décisions d'externalisation sont prises sur le coût, la conséquence en risque n'étant décrite que qualitativement.

Mesurer le risque là où il est créé

Le basculement consiste à passer d'une mesure du risque après sa matérialisation à une mesure de l'exposition portée par une activité pendant qu'elle est exercée. Trois éléments déterminent cette exposition : ce qu'est structurellement le produit ou le service, le volume réalisé, et la qualité réelle de l'environnement de contrôle qui l'entoure.

Exprimé ainsi, le risque devient comparable à l'échelle d'un portefeuille au lieu d'être décrit séparément pour chacune de ses composantes.

Le Risk Accounting et la Risk Unit

Le Risk Accounting est développé et publié par le Risk Accounting Standards Board (RASB), qui se présente comme un organisme de normalisation indépendant, académique et porté par des praticiens, établi au sein de la Durham University Business School. Les définitions ci-dessous sont celles du RASB.

La méthode exprime le risque non financier dans une dénomination commune, afin que des expositions différentes puissent être additionnées et comparées :

• Risk Unit (RU) — la mesure standard du RASB, qui représente l'exposition non financière dans une dénomination de mesure commune.
• Inherent Risk (risque inhérent) — l'exposition brute avant prise en compte des contrôles et de la mitigation.
• Exposure Uncertainty Factor (EUF) — représente les caractéristiques structurelles de risque et l'incertitude associées à l'activité, au produit, au service ou au processus défini, reflétant notamment la complexité, les dépendances opérationnelles et la stabilité de l'environnement.
• Value-Based Weighting — le débit observable ou l'échelle des transactions informe le poids relatif de l'unité. Le RASB précise explicitement que cela n'affirme aucune causalité mécanique, proportionnelle ou prédictive sur les pertes finales.
• Risk Mitigation Index (RMI) — un indice empirique, dynamique et auditable de l'efficacité des contrôles, exprimé de 0 à 100 %.
• Residual Risk (risque résiduel) — l'exposition nette qui subsiste après mitigation, également exprimée en Risk Units.

La logique publiée suit cet ordre : l'exposition structurelle, combinée à l'activité et à sa pondération, produit un risque inhérent exprimé en Risk Units ; l'application de l'indice d'efficacité des contrôles produit le risque résiduel dans la même unité.

Deux points d'exactitude comptent ici, et VODIS les énonce plutôt que de les escamoter. Le RASB publie la structure de la méthode mais ne publie pas ses échelles et formulations détaillées dans ses supports publics ; cette page ne reproduit donc pas de chiffres qu'elle ne peut pas sourcer. Et le RASB est explicite : mesure, valorisation monétaire et reconnaissance comptable sont des questions liées mais distinctes — une Risk Unit est une mesure d'exposition, pas un montant monétaire.

Une vue de gestion continuellement actualisée

Dès lors que l'exposition est exprimée dans une unité cohérente et que les données d'entrée proviennent de systèmes plutôt que d'un questionnaire périodique, la mesure peut être rafraîchie bien plus souvent qu'un cycle de reporting ne le permet — en temps réel ou quasi réel lorsque les données sous-jacentes et l'architecture de mise en œuvre le permettent réellement. Cette réserve est délibérée : dans la plupart des organisations, certaines entrées sont automatisées et d'autres non, et la réponse honnête est que la fréquence d'actualisation suit la donnée.

Là où cela fonctionne, les questions que la direction peut poser changent :

• Où l'exposition s'accumule-t-elle plus vite que les contrôles qui l'entourent ?
• Quels produits et services portent le plus de risque résiduel, mesuré de la même façon ?
• La croissance de cette ligne augmente-t-elle l'exposition plus vite que le revenu ?
• Le risque résiduel s'est-il dégradé depuis le mois dernier, et sur quel domaine de contrôle ?
• Quels contrôles sont démontrablement efficaces, et lesquels n'existent que dans une politique ?
• Quelle remédiation supprimerait le plus d'exposition pour le moindre effort ?
• Faut-il ajuster les volumes ou les limites de cette activité maintenant plutôt qu'à la prochaine revue ?

Des Risk Units à l'économie du risque

Cette section décrit une hypothèse de mise en œuvre propre à VODIS. Elle ne fait pas partie de la norme RASB, et rien de ce qui suit ne doit être lu comme une position du RASB.

Le Risk Accounting produit une mesure d'exposition. Les décisions de gestion, elles, se prennent généralement en monnaie. Le pont que VODIS cherche à construire est une couche de traduction délibérée et clairement identifiée : prendre un risque inhérent et résiduel mesuré de façon cohérente et le relier — à l'aide d'hypothèses validées, de l'historique de pertes propre à l'organisation et d'un jugement prospectif — à un coût économique estimé du portage de ce risque.

Lorsque cette traduction tient, le risque peut entrer directement dans l'économie du produit au lieu de rester à côté :

• coût opérationnel
• coût de financement et de fonds propres, le cas échéant
• coût de distribution et de service
• coût économique estimé du risque
• marge cible

Il s'agit d'un modèle de gestion, non d'une norme comptable ni d'une prévision de pertes. L'estimation ne vaut que ce que valent les hypothèses qui la sous-tendent, et ces hypothèses doivent rester visibles afin de pouvoir être contestées, versionnées et confrontées à la réalité. VODIS traiterait un tel modèle comme un objet à valider avec les fonctions risque et finance de l'organisation, et non comme une boîte noire à livrer.

Tarification et rentabilité ajustées du risque

Dès lors qu'un coût du risque peut être estimé par produit, plusieurs décisions habituellement débattues de façon qualitative deviennent comparables :

• Rentabilité produit ajustée du risque, plutôt que marge avant risque.
• Tarification reflétant le risque réellement porté par un produit.
• Comparaison entre clients, segments et canaux lorsque les données le permettent.
• Décisions de portefeuille : quels produits développer, retarifer, repenser ou arrêter.
• Fixation des volumes et des limites éclairée par l'exposition et non par le seul appétit.
• Investissement dans les contrôles évalué au regard de l'exposition qu'il supprimerait.
• Décisions d'externalisation et de fournisseurs intégrant le coût du risque.
• Refonte des processus ciblée là où elle réduit le plus d'exposition.

Le schéma que cela met souvent en évidence est connu, et il est décrit ici qualitativement parce que les chiffres réels sont propres à chaque organisation. Un produit peut paraître très rentable avant risque et l'être nettement moins une fois porté le coût de son risque résiduel. La logique joue aussi dans l'autre sens : un investissement dans les contrôles qui abaisse le risque résiduel peut améliorer la contribution ajustée du risque d'un produit, et parfois créer la marge de manœuvre nécessaire pour tarifer de façon plus compétitive, et non moins.

Risque existant et risque potentiel

Un cadre de mesure est plus utile s'il peut être projeté vers l'avant autant que vers l'arrière. Quatre notions distinctes méritent d'être séparées :

• L'exposition observée aujourd'hui — ce que l'activité porte actuellement.
• Le risque inhérent — l'exposition brute avant prise en compte des contrôles.
• Le risque résiduel — ce qui subsiste après mitigation.
• Le risque potentiel — ce que deviendrait l'exposition avec des volumes modifiés, de nouveaux produits, des contrôles altérés, d'autres dispositifs d'externalisation ou un scénario défini.

C'est cette dernière catégorie qui justifie la place de la méthode dans une conversation de direction. Elle soutient des questions telles que : qu'advient-il de notre économie ajustée du risque si les volumes de transactions doublent ? Quel est l'impact si l'efficacité des contrôles se dégrade dans ce domaine ? La marge de ce produit est-elle suffisante au regard du risque que nous acceptons ? Améliorer ce contrôle coûterait-il moins que continuer à porter le risque résiduel ? Ce sont des questions d'aide à la décision. Ce ne sont pas des prédictions garanties, et elles ne doivent pas être présentées comme telles à un conseil.

Une boucle de gestion continue

Bien utilisée, il ne s'agit pas d'un exercice de reporting mais d'une boucle qui continue de tourner :

• Mesurer — exprimer l'exposition de façon cohérente entre produits et services.
• Quantifier — produire le risque inhérent et résiduel dans une unité commune.
• Comparer — classer et confronter à l'échelle du portefeuille.
• Traduire — estimer l'impact économique, hypothèses explicitées.
• Décider — au niveau où la décision se situe réellement.
• Agir — mitiger, retarifer, repenser ou limiter.
• Mesurer à nouveau — et vérifier si l'action a déplacé le chiffre.

La dernière étape est celle que l'on saute le plus souvent, et c'est elle qui rend le reste crédible : si un investissement de contrôle ne fait pas bouger le risque résiduel, cela mérite d'être su.

Risk Accounting Standards Board

La méthodologie du Risk Accounting, sa terminologie et ses travaux de normalisation sont développés et publiés par le Risk Accounting Standards Board. Le RASB est la source faisant autorité pour la méthode elle-même, et son site ainsi que ses livres blancs constituent la référence à partir de laquelle VODIS travaille — y compris ses publications sur la mesure du risque opérationnel avant qu'il ne devienne une perte, et ses propositions sur le traitement comptable des Risk Units.

VODIS est un cabinet de mise en œuvre et d'intégration. VODIS n'a pas inventé le Risk Accounting, ne détient pas la méthodologie et ne revendique pas le statut de partenaire de mise en œuvre accrédité par le RASB.

Découvrir le Risk Accounting sur le site du RASB — rasb.org

Là où VODIS intervient

La méthodologie est le point de départ, pas le livrable. La faire fonctionner dans une organisation réelle est un programme de mise en œuvre et d'intégration, et c'est cette partie que VODIS prend en charge :

• Traduire la méthodologie en modèle opérationnel et en structure de gouvernance exploitables.
• Construire l'inventaire des produits et services dont dépend la mesure.
• Mobilisation et intégration des données, y compris la connexion aux systèmes transactionnels.
• Conception de la taxonomie des risques et du modèle de données.
• Cartographie des processus et des contrôles, et preuves de l'efficacité des contrôles.
• Architecture technologique, automatisation et trajectoire d'actualisation.
• Tableaux de bord et reporting de gestion qu'un conseil utilisera réellement.
• Intégration avec les dispositifs Risque, Finance et reporting existants plutôt qu'à côté d'eux.
• Économie produit ajustée du risque, construite comme un modèle explicite et contestable.
• Une mise en œuvre pilote sur un périmètre borné avant tout engagement à l'échelle de l'entreprise.
• Le programme de changement et la gouvernance qui entourent l'ensemble.

Un point de départ raisonnable

La première conversation la plus utile est étroite : une ligne de produits ou un domaine opérationnel, les données qui existent déjà pour lui, et les décisions que la direction prendrait différemment si l'exposition était mesurée de façon cohérente et actualisée plus souvent.

À partir de là, il est généralement possible de dire rapidement si un pilote borné en vaut la peine, quel travail sur les données il exigerait, et ce qu'il faudrait pour relier le résultat à l'économie que l'entreprise pilote déjà.

Parlons de la mesure des risques opérationnels