La gestion des risques sert les objectifs, pas elle-même

Au conseil d’administration, la gestion des risques est aisément perçue à tort comme un exercice de conformité qui remplit des registres et produit des rapports. Michael Rasmussen, analyste GRC chez GRC 20/20 Research, rappelle que la gestion des risques ne remplit sa finalité que lorsqu’elle améliore les décisions et rend les objectifs atteignables en situation d’incertitude. Pour le conseil d’administration, un autre critère que l’exhaustivité mérite donc d’être retenu : la fréquence à laquelle une information sur les risques a effectivement conduit à une décision.

Quelle est la finalité de la gestion des risques dans une organisation ?

La gestion des risques sert à améliorer les décisions prises en situation d’incertitude et à rendre plus fiable l’atteinte des objectifs de l’entreprise, non à tenir un registre.

Michael Rasmussen propose un test simple aux propriétaires du risque et aux conseils d’administration. Ce qui compte, c’est de savoir si les registres, les contrôles, les évaluations, les analyses, les modèles, le reporting et la technologie aident réellement à prendre de meilleures décisions et à atteindre les objectifs de manière fiable en situation d’incertitude. Si la réponse est négative, soutient Rasmussen, on est en droit de se demander pourquoi cet effort est consenti.

Les obligations administratives liées à la gestion des risques ne disparaissent pas pour autant. Les autorités de supervision attendent des rapports, les conseils d’administration ont besoin d’informations, les politiques doivent être tenues à jour, et les contrôles comme les évaluations doivent être documentés. Le problème apparaît lorsque cette gestion administrative se substitue au pilotage effectif au lieu de le soutenir.

Comment le conseil d’administration reconnaît-il si la gestion des risques est un moyen ou une fin en soi ?

Le conseil d’administration reconnaît la différence selon qu’un rapport sur les risques conduit à une décision traçable ou qu’il se contente de documenter ce qui est déjà connu.

Rasmussen décrit un schéma courant : les organisations peuvent devenir extrêmement efficaces pour produire une information sur les risques que personne n’utilise pour décider. Pour le conseil d’administration, cela se traduit par une question de vérification concrète à poser pour chaque point de l’ordre du jour consacré aux risques.

Un ensemble concis de critères que le conseil peut appliquer à chaque dossier soumis en matière de risques est utile. Le Chief Risk Officers Outlook 2024 montre que de nombreuses fonctions risques travaillent précisément sur ce lien entre reporting et prise de décision.

• Le dossier est-il relié à une décision à venir pour laquelle il est effectivement utilisé ?
• Un indicateur manquant empêcherait-il réellement une action concrète, ou laisserait-il seulement un rapport incomplet ?
• La discussion au sein du conseil conduit-elle à ajuster la stratégie, les limites ou les ressources ?

Que montre l’exemple des risques liés à l’IA dans le secteur financier européen ?

Les autorités européennes de supervision financière n’exigent pas une documentation supplémentaire pour elle-même, mais des structures de gouvernance qui permettent aux établissements de réagir effectivement aux nouveaux risques.

Les autorités européennes de supervision EBA, EIOPA et ESMA appellent, dans une déclaration commune, à une approche de supervision transsectorielle, fondée sur les risques et cohérente pour atténuer les risques liés aux TIC que font peser les modèles d’IA de pointe. L’enjeu n’est pas le reporting lui-même, mais la capacité d’action des établissements.

La déclaration souligne que les établissements financiers devraient disposer de structures solides de gouvernance et de gestion des risques, de nature à soutenir efficacement la maîtrise et l’atténuation de ces risques. C’est la même logique qui devrait prévaloir au niveau du conseil d’administration : les structures existent pour que des décisions puissent être prises lors d’un événement réel, non pour qu’un dossier soit complet.

Comment transmettre cette logique au conseil d’administration en pratique ?

Le plus efficace consiste à présenter l’information sur les risques dans le langage des objectifs, des limites et des options d’action plutôt que dans celui des contrôles et des pourcentages.

Plutôt que de présenter une heatmap comportant de nombreuses cases, il vaut la peine de se demander quels sont les trois risques susceptibles de mettre réellement en péril la stratégie actuelle et de quelles options d’action le conseil d’administration dispose face à eux. Cela raccourcit le point à l’ordre du jour, mais en renforce la pertinence décisionnelle.

L’analyse du Global Risks Report 2026 montre, à titre d’exemple, comment les tendances mondiales en matière de risques peuvent être ramenées à quelques questions pertinentes pour une entreprise donnée. Le conseil d’administration devrait exiger de la fonction risques ce travail de synthèse, plutôt que de le confondre avec l’exhaustivité.

Quelle est la première étape pour la prochaine réunion du conseil ?

La première étape consiste en un examen ponctuel des derniers points de l’ordre du jour consacrés aux risques sous l’angle de leur impact décisionnel, réalisé par la fonction risques et validé par le président du conseil d’administration.

Le propriétaire du risque vérifie, avant la prochaine réunion ordinaire, lesquels des cinq derniers points de l’ordre du jour relatifs aux risques ont conduit à une décision documentée et lesquels n’ont donné lieu qu’à une simple prise de connaissance. Le résultat est présenté au président du conseil d’administration sous la forme d’un bref aperçu.

Sur cette base, le format du prochain reporting sur les risques peut être ajusté de manière ciblée : moins d’exhaustivité, davantage de pertinence décisionnelle. Un aperçu des évolutions réglementaires actuelles soutient cette priorisation, par exemple à travers l’aperçu des actualités de Swiss GRC.

FAQ

Questions fréquentes

Comment reconnaître qu’un registre des risques ne sert qu’à la documentation ?

Un registre des risques sert avant tout à la documentation lorsque les rapports sont livrés complets et dans les délais sans conduire à une décision traçable au sein du conseil d’administration. Rasmussen souligne que les organisations peuvent produire efficacement une information sur les risques que personne n’utilise réellement pour décider. C’est là le véritable signal d’alerte.

Quels critères le conseil d’administration devrait-il appliquer aux dossiers soumis en matière de risques ?

Le conseil devrait vérifier si un dossier est relié à une décision à venir, si un indicateur manquant empêcherait réellement une action et si la discussion conduit à ajuster la stratégie, les limites ou les ressources. Ces trois questions remplacent l’exhaustivité comme critère de qualité d’un dossier consacré aux risques.

Qu’exigent l’EBA, l’EIOPA et l’ESMA des établissements financiers en matière de risques liés à l’IA ?

Les trois autorités européennes de supervision appellent à une approche de supervision transsectorielle, fondée sur les risques et cohérente pour atténuer les risques liés aux TIC que font peser les modèles d’IA de pointe. Les établissements financiers devraient disposer de structures solides de gouvernance et de gestion des risques soutenant efficacement la maîtrise et l’atténuation de ces risques, plutôt que de se limiter à produire une documentation supplémentaire.

En quoi un rapport sur les risques pertinent pour la décision diffère-t-il d’un simple point de situation ?

Un rapport sur les risques pertinent pour la décision identifie un nombre restreint de risques qui mettent réellement en péril la stratégie actuelle et présente des options d’action concrètes pour le conseil d’administration. Un simple point de situation énumère en revanche de nombreux indicateurs ou une heatmap complète, sans qu’en découle un ajustement de la stratégie, des limites ou des ressources.

Quelle première étape la fonction risques peut-elle engager avant la prochaine réunion ?

La fonction risques peut vérifier, avant la prochaine réunion ordinaire, lesquels des cinq derniers points de l’ordre du jour relatifs aux risques ont conduit à une décision documentée et lesquels n’ont donné lieu qu’à une simple prise de connaissance. Le résultat est présenté au président du conseil d’administration sous la forme d’un bref aperçu et sert de base à un format de reporting orienté vers la décision.

Sources

1. The Prime Directive of Risk ManagementGRC 20/20 Research
2. Joint statement on ICT risks from frontier AI modelsEuropean Banking Authority