Quel est notre thème d'aujourd'hui ? Il s'agit de montrer comment une gestion des risques globale au niveau de toute l'entreprise (Enterprise Risk Management, ERM) profite de l'implémentation d'un système d'information et de gestion des risques (SIGR). Une plateforme web de gestion des données et d'analyse centralisée est de nos jours une base indispensable pour une gestion des risques (ERM) efficace, transparente et moderne.

Tandis qu'on reproche à la gestion des risques traditionnelle d'être compartimentée, c'est-à-dire de  s'effectuer pour chaque secteur et pour chaque catégorie de risques séparément, de ne considérer que les risques, en oubliant les opportunités, et de ne pas être orientée vers les objectifs de l'entreprise ni ancrée dans l'organisation, on attribue au management moderne ERM des propriétés tout à fait positives. Il existe deux principaux modèles de ERM : le cadre COSO ERM et le cadre de management du risque ISO 31000.

Dans le web, vous trouverez assez d'informations sur les différences entre ces deux approches et sur leurs avantages et leurs inconvénients respectifs. Les deux cadres requièrent une plus grande intégration du raisonnement axé sur le risque (Risk-Based Thinking) dans les principaux domaines que sont la stratégie de l'entreprise, la gestion  du rendement, la gestion des processus et la prise de décision.

Les débuts sont-ils toujours difficiles ?

Comment, où et par quoi commencer quand on envisage une implémentation globale d'une solution ERM ? Internet vous propose une foule d'informations, de guides et d'offres de conseils sur ce sujet, que vous pouvez consulter bien avant de vous lancer. Voici donc quelques conseils pour aborder le thème ERM  de façon pragmatique et peu conventionnelle :

Commencez par les risques (logique en quelque sorte…)  

Effectuez une évaluation des risques de l'entreprise (Enterprise Risk Assessment ERA) et inventoriez-les. N'oubliez surtout pas d'effectuer une analyse des lacunes (Gap Analysis), pour identifier les capacités manquantes mais indispensables pour la gestion des principaux risques. Par exemple, processus, connaissances, outils, collaborateurs etc.

Poursuivez avec les capacités

Développez les capacités nécessaires  par exemple à la gestion des deux risques les plus critiques. L'objectif est d'augmenter en continu le degré de maturité du service de gestion des risques en termes de ressources humaines, de processus et de données.

Pensez et agissez stratégiquement 

Comme nous l'avons mentionné au début, un de vos objectifs doit être de mieux intégrer la gestion des risques dans la stratégie de l'entreprise ou de mieux l'orienter vers cette stratégie. Pour éviter de sombrer dans la micro-gestion, il est recommandé de considérer vos risques avec une approche descendante (top-down), de les regrouper en conséquence et de développer des actions pour la gestion de ces risques. Dans ce contexte, la création de structures de gouvernance est extrêmement importante : chaque risque doit  être attribué à un propriétaire de risques (Risk Owner) qui sait ce qu'il doit faire.

Rassemblez les ressources humaines, les processus et les données   

Il s'agit ici de faire sortir des services respectifs les activités ad hoc de gestion des risques réactives et fragmentées. Et quoi de mieux adapté qu'une plateforme web centralisée pour toute l'entreprise pour atteindre une plus grande intégration et pour l'échange d'informations de risques et l'automatisation de processus jusqu'alors manuels ?

Un outil informatique adéquat assistant les processus de gestion des risques est une fonctionnalité importante que vous devriez développer. Et je ne parle pas de cartographie de risques basés sur Excel ou Access que vous envoyez une fois par an (ou peut-être plus souvent) aux propriétaires de risques, en leur demandant d'actualiser les risques.

Pour être vraiment efficace, un outil informatique doit aider les propriétaires de risques à prendre plus de responsabilité individuelle, tout en les aidant à faire face activement aux tâches et aux défis. Et si en plus l'outil informatique favorise la coopération des acteurs participant à la gestion des risques, alors nous avons une bonne base pour une gouvernance effective du programme ERM.

Un SIGR est absolument indispensable pour un ERM vraiment efficace

L'outil qu'il vous faut, c'est un SIGR. En tant que plateforme web de gestion des risques basée avec les outils Reporting/analytiques intégrés, il vous permet de saisir, de consolider et d'évaluer/analyser les données de risque de façon structurée, par exemple sous forme de matrice des risques (Heat maps) et Valeur des Risques (Score cards). Les avantages sont les suivants :

• Un seul langage uniformisé pour toute l'entreprise, afin d'organiser les informations de gestion des risques et de les analyser à n'importe quel niveau (p. ex. groupe, unité, processus).
   
• Mécanismes de rétroaction : Pour augmenter les chances de réussite, il est important de donner aux managers, aux propriétaires de risques et autres acteurs un feedback régulier (pas seulement 1 x an) et rapide concernant les risques, les capacités de gestion des risques, les incidents, les sinistres et autres événements pertinents. Via des questionnaires en ligne personnalisés, les participants peuvent donner leur estimation sur la probabilité de survenance et sur les conséquences des risques. Les informations ainsi saisies sont transmises en temps réel au SIGR central, peuvent y être analysées par exemple pour identifier des capacités manquantes pour la gestion des risques critiques et définir ainsi des actions adéquates et des responsabilités.
  
  
• Entrepôt de données centralisé : des masques en ligne individuels servent à la saisie (et à l'évaluation) uniforme et structurée des données de risques qui sont sauvegardées à un endroit centralisé et sont accessibles à tout moment et de n'importe où pour les personnes habilitées. Exemples
• Taux de risque, tolérance au risque et évaluation du risque résiduel
• Autoévaluation de l'efficacité des traitements de gestion des risques et des systèmes de contrôle internes
• Surveillance d'actions pour la gestion des risques critiques et des tâches qui y sont liées
• Rapport de situation (Status Reporting) : Grâce à l'envoi automatique (p. ex. mensuel) de tableaux de bord et de rapports, le SIGR simule un processus d'amélioration continu des capacités de gestion des risques et démontre où et dans quels domaines des progrès ont été (ou n'ont pas été) enregistrés.

Qui profite d'un SIGR ?

Un SIGR offre aux parties impliquées dans le processus de gestion des risques de nombreux avantages :

La direction générale utilise des tableaux de bord, a) pour améliorer la communication des risques, la surveillance et la conformité et b) pour mieux coordonner la gestion des risques et la réalisation d'objectifs stratégiques et d'indicateurs de performance (KPI).

Les propriétaires de risques peuvent saisir les informations relatives aux risques et aux actions via des masques intuitifs et avoir un aperçu sur les bonnes pratiques.

Le service de gestion centralisée des risques :

• peut, par simple pression sur un bouton, réaliser un Score Card Reporting (p.ex. sur le thème de profil des risques et du rendement de gestion des risques) qui est basé sur les données (fiables!) sauvegardées dans le SIGR.
• peut, par analytique, découvrir des tendances et des schémas et établir des tableaux de bord pour le reporting pour la direction générale.
• Peut agréger les données de risques pertinentes à n'importe quel niveau (p.ex. groupe, service, pays) et fournir aux décideurs, à leur demande, soit mensuellement, quotidiennement (ou même en temps réel) des évaluations significatives.
• peut développer des repères internes/externes, partager des informations pertinentes et des connaissances via la plateforme centrale, définir des indicateurs précoces et effectuer des agrégations des risques.
• peut identifier des opportunités et des potentiels d'amélioration dans la gestion des risques et partager des bonnes pratiques au niveau du groupe.
• peut surveiller l'état de réalisation de tâches, en relation avec des mesures de gestion des risques et prendre très tôt des contre-mesures.

Un SIGR  moderne comme système d'information au niveau de l'entreprise est entièrement évolutif et peut aisément être adapté à de nouvelles exigences (p.ex. nouveaux risques, plus d'utilisateurs, nouvelles sources de données, nouvelles exigences pour le système de reporting etc.). En résumé, la grande qualité et l'actualité des données de risque sauvegardées dans le SIGR, accompagnées des tableaux de bord et des valeurs (score cards) représentent une valeur ajoutée pour l'entreprise et un avantage concurrentiel difficile à copier pour les concurrents.