Une bonne culture du risque devrait récompenser les décideurs à tous les niveaux de la hiérarchie et leur permettre de prendre les bons risques en étant aussi bien informés que possible.

Les critères suivants permettent de reconnaître le succès d'une culture du risque :

• Culture de leadership : émission de signaux clairs et cohérents de la part des dirigeants concernant les risques à accepter et les risques à éviter.
• Responsabilité des collaborateurs : reconnaître que la gestion des risques ne se limite pas à cocher des cases une fois pour toutes mais est un travail permanent, avec des processus et des responsabilités bien définis.
• Communication ouverte et dialogue critique : des informations de risque transparentes et mises à jour sont accessibles pour tout le monde au sein de l'organisation. Même les mauvais risques (dans le sens de pertes financières potentielles) sont communiqués rapidement et ouvertement, sans peur d'éventuelles conséquences négatives. Les collaborateurs sont encouragés à tous les niveaux à déclarer les incidents, les quasi-accidents et les activités suspectes pour en tirer des enseignements.
• Structures incitatives appropriées : un comportement adapté et conscient des risques est récompensé et encouragé, et par contre un comportement inadapté remis en question et sanctionné.
• Tout est mis en œuvre pour bien comprendre les conséquences d'un risque sur la réalisation des objectifs (et cela avant de décider d'une action adéquate).
• La fonction de gestionnaire des risques (Risk Manager) est bien établie dans la structure de l'entreprise : son travail est estimé à sa juste valeur, il est doté des ressources appropriées (collaborateurs, capacités, moyens financiers) et reçoit le soutien de la direction de l'entreprise.
• Une culture du risque requiert une culture d'entreprise qui met en valeur la diversité des opinions et des points de vue, qui ne se repose pas sur un statu quo et qui s'efforce en permanence d'améliorer les choses.

Que signifie au juste la culture du risque ?

Tout comme la culture d'entreprise, la culture du risque est difficile à définir car la définition elle-même contient des concepts abstraits tels valeurs, normes et approches. Et pourtant, permettez-moi d'essayer en donnant la définition du Comité de Bâle sur le contrôle bancaire (BCBS) :

„La Culture du risque est l'ensemble des normes, des approches et des comportements d'une entreprise concernant la prise de conscience du risque, la propension au risque et la gestion du risque. La culture du risque influe sur les décisions de la direction et des collaborateurs dans leur travail quotidien et a des conséquences sur les risques qu'ils prennent“.

Chaque organisation (indépendamment de sa forme juridique et de sa taille) a une culture d'entreprise et une culture du risque. La question décisive est de savoir si cette culture est plutôt positive ou plutôt négative pour le succès à long terme de l'entreprise.

La culture du risque serait donc comme une boîte de Petri qui favorise le développement d'une bonne attitude face au risque.

Pourquoi la culture du risque est-elle si importante ?

Pour atteindre ses objectifs, chaque entreprise doit prendre certains risques. La culture du risque d'une entreprise a une influence décisive sur la réussite ou l'échec de sa gestion des risques ainsi que sur la capacité décisionnelle et les performances de l'entreprise.

Les entreprises dont la culture du risque n'est pas appropriée incitent involontairement leurs collaborateurs à prendre des risques au-delà des limites de tolérance, des modèles de comportement déterminés  et des polices.

Et pire encore : les risques inacceptables qui sont pris par certains collaborateurs ou groupes passent souvent inaperçus (ou n'intéressent personnes) !

Dans le plus grave des cas, cela entraîne des dommages financiers graves et/ou porte préjudice à la réputation de l'entreprise.

Quelle est le rôle de la direction et celui du Risk Manager ?

Le développement et l'encouragement d'une culture appropriée et durable du risque est tout d'abord le rôle de la direction de toute entreprise. L'„appétit pour le risque“ défini individuellement par la direction dans le cadre de la stratégie de gestion des risques fait partie intégrante de cette culture du risque. Cet appétit permet de prendre et de gérer les risques à l'intérieur de la capacité à supporter les risques, en vue d'atteindre les objectifs stratégiques.

Il appartient donc à la direction d'appliquer une approche descendante pour la communication de  la culture du risque et de faire en sorte que la culture du risque coïncide en permanence avec  les objectifs stratégiques de l'entreprise. La culture de leadership mentionnée ci-dessus, donc la position de la direction elle-même, joue un rôle décisif. La direction de l'entreprise devrait se poser les questions suivantes :

• A quoi ressemble actuellement notre culture du risque et comment pouvons-nous améliorer la gestion des risques au sein de cette culture ?
• Que voulons-nous changer à notre culture du risque ? Dans quelle direction voulons-aller ?
• Que devons-nous faire pour y parvenir ? A quoi ressemble notre feuille de route ? De qui ou de quoi avons-nous besoin ?

Parmi les gestionnaires des risques, il n'existe pas encore de consensus sur la meilleure manière pour eux d'aider la direction de l'entreprise à répondre à ces questions. Mais les organisations comme l'Institute of Risk Management (IRM) croient que les Risk Managers, en tant qu'agents du changement, peuvent apporter une grande contribution à l'amélioration de la culture et de la gestion du risque au sein d'une culture entrepreneuriale existante.

If you can’t measure it, you can’t manage it

La réorientation de la culture du risque est un projet de gestion du changement à ne pas sous-estimer et dont le progrès et le degré de réalisation des objectifs doivent – comme pour tout autre projet – être régulièrement surveillés. A côté de la définition des processus et des responsabilités, un outil informatique centralisé et facile à utiliser joue un rôle décisif.

Selon la devise „If you can’t measure it, you can’t manage it“, attribuée au célèbre consultant en management, Peter Drucker, une plateforme de gestion des risques centralisée crée la base pour une saisie, une évaluation et une surveillance efficaces, structurées et permanentes des risques pertinents de l'entreprise. De plus, c'est une plateforme de communication grâce à laquelle les chargés de risques, les gestionnaires de risques et autres acteurs peuvent – indépendamment du lieu et du moment - s'informer sur les risques, les actions et les tâches et s'échanger sur les meilleures pratiques et les enseignements tirés.