Stratégies de réponse aux risques et appétit pour le risque

Introduction

Dans la leçon précédente, nous avons établi une distinction cruciale entre risk capacity, risk appetite et risk tolerance. Nous avons vu que le risk appetite est un choix stratégique fondamental : c'est le niveau et le type de risque qu'une organisation est volontairement prête à accepter pour atteindre ses objectifs.

Maintenant, la question devient opérationnelle : une fois qu'un risque est identifié et évalué, que fait-on concrètement ? La réponse à cette question n'est pas toujours "l'éliminer". C'est là qu'interviennent les stratégies de réponse aux risques.

L'objectif de cette leçon est donc de décrire les stratégies de réponse aux risques (accept, avoid, mitigate, transfer) en les reliant au risk appetite. Pour vous, en tant que futur Contrôleur Interne, il est essentiel de maîtriser ces stratégies afin de pouvoir évaluer si les actions prises par le management pour gérer les risques sont cohérentes avec la stratégie globale et l'appétit pour le risque déclaré de l'entreprise.

1. Les quatre stratégies de réponse aux risques

Face à un risque identifié, le management dispose de quatre options principales. Pour comprendre en détail ces quatre stratégies, nous allons nous appuyer sur un guide pratique de gestion des risques.

Comme vous l'avez lu, les quatre réponses possibles sont : éviter, transférer, atténuer et accepter. Analysons chacune d'entre elles.

a) Avoid (Éviter)

Cette stratégie consiste à éliminer le risque en ne démarrant pas ou en cessant l'activité qui en est à l'origine. C'est la réponse la plus radicale.

• Définition : Décider de ne pas s'exposer à un risque ou se retirer d'une situation à risque.
• Exemples :
  • Abandonner le lancement d'un produit dans un nouveau marché jugé trop instable.
  • Vendre une filiale ou une unité d'affaires qui présente des risques non maîtrisables.
  • Refuser un projet car la technologie requise n'est pas assez mature et présente un risque d'échec trop élevé.
• Lien avec le Risk Appetite : Cette option est choisie lorsque le risque est jugé bien au-delà de l'appétit pour le risque de l'organisation. Le gain potentiel ne justifie absolument pas le niveau de risque encouru. Il s'agit souvent de risques pour lesquels l'entreprise a un appétit "Averse" ou "Minimalist" (voir l'échelle dans la Figure 11 du document que vous venez de lire).

b) Transfer (Transférer)

Ici, l'organisation déplace l'impact financier du risque vers un tiers. Le risque n'est pas éliminé, mais ses conséquences sont partagées ou assumées par une autre entité.

• Définition : Partager le risque avec un tiers, moyennant généralement une contrepartie financière.
• Exemples :
  • Souscrire une police d'assurance pour se couvrir contre les incendies, le vol ou la responsabilité civile.
  • Utiliser des instruments financiers dérivés pour se couvrir contre le risque de change ou de taux d'intérêt (hedging).
  • Externaliser une fonction (par exemple, la gestion de la paie ou de l'IT) en s'assurant que le contrat de service inclut des clauses de pénalité en cas de défaillance du prestataire.
• Lien avec le Risk Appetite : Le transfert est pertinent lorsque le risque dépasse l'appétit de l'entreprise, mais que l'activité sous-jacente est trop importante pour être évitée. L'entreprise est prête à payer un certain coût (la prime d'assurance, par exemple) pour ramener son exposition nette au risque à un niveau acceptable.

c) Mitigate (Atténuer)

C'est la stratégie la plus courante et le cœur de métier du contrôle interne. Elle vise à réduire la probabilité d'occurrence du risque ou son impact s'il se matérialise.

• Définition : Mettre en place des actions, des processus ou des contrôles pour réduire la sévérité du risque.
• Exemples :
  • Mettre en place la ségrégation des tâches (segregation of duties) pour réduire le risque de fraude.
  • Effectuer des rapprochements bancaires réguliers pour réduire le risque d'erreurs comptables.
  • Installer des systèmes de sécurité incendie (détecteurs, sprinklers) pour réduire l'impact d'un départ de feu.
• Lien avec le Risk Appetite : L'objectif de l'atténuation est de réduire un inherent risk (risque brut) qui se situe au-dessus de l'appétit pour le risque, pour le ramener à un niveau de residual risk (risque net) qui se situe à l'intérieur des limites de cet appétit.

d) Accept (Accepter)

Cette stratégie consiste à ne prendre aucune mesure spécifique pour gérer le risque. Il s'agit d'une décision consciente et informée.

• Définition : Accepter le risque à son niveau actuel sans chercher à le modifier.
• Exemples :
  • Accepter le risque de petites variations de prix sur des fournitures de bureau non stratégiques.
  • Décider de ne pas assurer un risque dont l'impact financier serait très faible et la probabilité très basse.
  • Mettre en place une provision pour risques (self-insurance) plutôt que de souscrire une assurance externe.
• Lien avec le Risk Appetite : L'acceptation est la bonne stratégie lorsque le risque identifié est déjà à l'intérieur de l'appétit pour le risque de l'organisation. Dans ce cas, le coût de mise en place de contrôles (mitigate) ou de transfert serait supérieur au bénéfice attendu.

2. Comment le Risk Appetite guide le choix de la stratégie

Le risk appetite n'est pas un concept théorique ; c'est un outil de décision pratique. Il sert de seuil pour déterminer quelle stratégie de réponse est la plus appropriée. L'un des meilleurs moyens de visualiser cela est la matrice des risques (heat map).

Interprétons cette matrice :

• Zone verte (Accept) : Les risques situés dans cette zone ont une faible probabilité et un faible impact. Ils se trouvent "en dessous" de la ligne du risk appetite. La stratégie par défaut est donc de les accepter. Il n'est pas rentable de dépenser des ressources pour les gérer activement.

• Zone rouge (Respond) : Les risques dans cette zone ont un impact élevé et/ou une probabilité élevée. Ils se situent bien "au-dessus" de la ligne du risk appetite. Une action est impérative.

  • Si le risque est extrême (en haut à droite), la stratégie pourrait être d'éviter (avoid) l'activité.
  • Pour les autres risques dans le rouge, l'objectif sera de les atténuer (mitigate) pour les ramener vers la zone orange ou verte, ou de les transférer (transfer) si l'atténuation est impossible ou trop coûteuse.

• Zones oranges (Monitor) : Ces zones représentent des risques modérés. Ils sont proches de la ligne du risk appetite. Ils nécessitent une surveillance et souvent une stratégie d'atténuation (mitigate) pour s'assurer qu'ils ne dérivent pas vers la zone rouge.

Le risk appetite définit donc où tracer la ligne. Une organisation avec un faible appétit pour le risque (plus "averse au risque") tracera sa ligne plus bas et à gauche, ce qui signifie que davantage de risques se retrouveront dans les zones orange et rouge, nécessitant une réponse active. Inversement, une organisation avec un appétit pour le risque plus élevé placera sa ligne plus haut et à droite, acceptant davantage de risques.

3. Du cadre COSO à la pratique

Le lien entre l'appétit pour le risque et la réponse au risque est un principe fondamental du référentiel COSO ERM.

Comme vous pouvez le voir, la mise en œuvre des réponses aux risques est une étape logique qui découle directement de l'analyse des risques (composante Performance) et qui est guidée par la stratégie et l'appétit pour le risque définis en amont (composante Strategy & Objective-Setting).

En tant que Contrôleur Interne, lorsque vous auditerez un processus, vous chercherez à répondre à ces questions :

• Les risques significatifs du processus ont-ils été identifiés ?
• Une réponse a-t-elle été définie pour chaque risque significatif ?
• Cette réponse (accepter, atténuer, transférer, éviter) est-elle cohérente avec le risk appetite de l'entreprise pour cette catégorie de risque ?
• Si la réponse est l'atténuation, les contrôles mis en place sont-ils bien conçus et fonctionnent-ils efficacement pour ramener le risque à un niveau acceptable ?

Conclusion

Félicitations ! Vous comprenez maintenant comment une organisation passe de la définition de sa stratégie de risque à des actions concrètes.

Points clés à retenir :

• Il existe quatre stratégies de réponse aux risques : Accept (accepter), Avoid (éviter), Mitigate (atténuer) et Transfer (transférer).
• L'atténuation (mitigation), via la mise en place de contrôles, est la réponse la plus fréquente et le cœur de métier du contrôle interne.
• Le choix de la stratégie n'est pas arbitraire ; il est directement guidé par le risk appetite de l'organisation.
• L'objectif est de s'assurer que le profil de risque résiduel de l'entreprise (les risques qui demeurent après les actions de réponse) est aligné avec son appétit pour le risque.

Aperçu de la prochaine leçon :
Nous avons identifié les risques, les avons classés, défini notre appétit et choisi des stratégies de réponse. Comment documenter tout ce travail de manière structurée ? La prochaine leçon sera très pratique : nous apprendrons à élaborer un registre des risques (risk register), l'outil central qui documente les risques, leur évaluation et les réponses envisagées.