FinServ SA, banque régionale française, perd 38 M€ en un trimestre : fraude interne non détectée, violation RGPD, et défaut d'un emprunteur corporate — trois risques distincts, zéro vision consolidée. Avant de lire : pensez-vous que ces trois événements auraient pu être anticipés ensemble ? L'ERM répond précisément à cette question.
Risque
Effet de l'incertitude sur l'atteinte des objectifs (définition ISO 31000). Le risque se caractérise par trois dimensions : la probabilité d'occurrence (fréquence estimée de l'événement), l'impact (gravité des conséquences financières, opérationnelles, réputationnelles) et la vélocité (rapidité avec laquelle le risque se matérialise et produit ses effets). Un risque peut être négatif (menace) ou positif (opportunité). Le risk management vise à optimiser le profil de risque de l'organisation, pas à éliminer tous les risques.
Le risk management a profondément évolué depuis la crise financière de 2008. Avant la crise, la gestion des risques était souvent organisée en silos : risque de crédit, risque de marché, risque opérationnel, chacun géré par des équipes distinctes avec des méthodologies différentes. La crise a révélé les limites de cette approche : les interdépendances entre risques n'étaient pas détectées, la vision consolidée était absente. L'ERM (Enterprise Risk Management) est né de ce constat.
| Famille de risque | Définition | Exemples | Indicateurs clés |
|---|---|---|---|
| Risque de crédit | Risque de perte lié à la défaillance d'un emprunteur ou d'une contrepartie | Défaut de paiement, dégradation de notation, concentration sectorielle | PD (Probability of Default), LGD (Loss Given Default), EAD (Exposure at Default) |
| Risque de marché | Risque de perte lié aux variations des prix de marché | Fluctuation des taux, cours de change, actions, matières premières | VaR (Value at Risk), Expected Shortfall, Sensibilités (delta, gamma) |
| Risque opérationnel | Risque de perte résultant de processus, personnes ou systèmes inadéquats ou défaillants | Fraude interne/externe, erreur humaine, panne IT, catastrophe naturelle | Pertes opérationnelles, incidents, KRI (Key Risk Indicators) |
| Risque de liquidité | Risque de ne pas pouvoir honorer ses engagements à leur échéance | Crise de confiance, assèchement du marché interbancaire, run bancaire | LCR (Liquidity Coverage Ratio), NSFR (Net Stable Funding Ratio) |
| Risque de conformité | Risque de sanction lié au non-respect des lois et réglementations | Amende réglementaire, retrait d'agrément, sanctions internationales | Nombre d'incidents de non-conformité, coût des sanctions |
| Risque cyber | Risque lié aux menaces informatiques et à la sécurité des systèmes d'information | Ransomware, phishing, fuite de données, DDoS, supply chain attack | Nombre d'incidents, temps de détection (MTTD), temps de remédiation (MTTR) |
Appétit pour le risque (Risk Appetite)
Niveau de risque qu'une organisation est prête à accepter dans la poursuite de ses objectifs stratégiques. L'appétit pour le risque est défini par l'organe de direction et se décline en tolérances au risque (risk tolerance) — seuils quantitatifs par catégorie de risque — et en limites opérationnelles (risk limits) appliquées au niveau des métiers et des activités. Exemple : « La banque accepte un risque de crédit maximum correspondant à une perte attendue de 1,5 % du portefeuille de prêts ».
Risque inhérent (ou brut) : niveau de risque avant la mise en place de contrôles ou de mesures d'atténuation. Il reflète l'exposition « naturelle » à un risque donné. Risque résiduel (ou net) : niveau de risque après application des dispositifs de contrôle et de mitigation. Formule simplifiée : Risque résiduel = Risque inhérent × (1 - Efficacité des contrôles). Le risk management vise à maintenir le risque résiduel dans les limites de l'appétit pour le risque.
L'ERM est une approche intégrée et transversale de la gestion des risques, par opposition à la gestion en silos. Caractéristiques clés : (1) vision consolidée de tous les risques (financiers, opérationnels, stratégiques, conformité). (2) Alignement sur la stratégie et les objectifs de l'organisation. (3) Prise en compte des interdépendances entre risques. (4) Gouvernance unifiée (CRO, comité des risques). (5) Culture du risque diffusée dans toute l'organisation. Référentiels : COSO ERM 2017, ISO 31000:2018.
Selon la norme ISO 31000, qu'est-ce que le risque ?
Bonne réponse : L'effet de l'incertitude sur l'atteinte des objectifs
ISO 31000 définit le risque comme « l'effet de l'incertitude sur l'atteinte des objectifs ». Cette définition est large : le risque peut être négatif (menace) ou positif (opportunité), et ne se limite pas aux pertes financières.
Quel indicateur mesure le risque de crédit en termes de probabilité de défaillance ?
Bonne réponse : PD (Probability of Default)
La PD (Probability of Default) est la probabilité qu'un emprunteur fasse défaut sur ses obligations dans un horizon donné (généralement 1 an). C'est l'un des trois paramètres clés du risque de crédit avec la LGD (Loss Given Default) et l'EAD (Exposure at Default).
Simulez l'impact financier d'un risque sur votre budget prévisionnel : provisionnez les pertes attendues et calibrez votre appétit pour le risque.
Ouvrir le calculateur →Conseiller risk management Solva — introduction ERM
Questions suggerees