Sommaire
Trois notions à ne pas confondre
- L'appétit au risque : les types et le niveau de risque que l'organisation est prête à accepter pour poursuivre ses objectifs. C'est une orientation générale.
- La tolérance : l'écart acceptable de performance autour d'un objectif précis. Par exemple, un objectif de délai de livraison de 48 heures, avec une tolérance jusqu'à 72 heures.
- La capacité : le niveau maximal de risque que l'organisation peut absorber sans mettre en péril sa survie.
L'appétit doit rester nettement en dessous de la capacité.
Ce que l'appétit n'est pas
Parler d'appétit pour le risque de conformité ne veut pas dire accepter des violations connues de la loi. Cela signifie reconnaître qu'il est impossible de réduire à zéro la probabilité d'une infraction, et décider où concentrer les efforts de prévention et de contrôle.
Les trois intrants
Selon la publication du COSO de mai 2020 consacrée à l'appétit au risque, trois éléments nourrissent sa définition :
- le point de vue du conseil et de la direction ;
- la compréhension du profil de risque actuel ;
- la culture de l'organisation.
La méthode en 7 étapes
- Rappeler les objectifs stratégiques de l'organisation pour les deux ou trois prochaines années.
- Établir le profil de risque actuel : quels risques majeurs, à quel niveau.
- Choisir les catégories de risque à couvrir : stratégique, financier, opérationnel, conformité, réputation, cyber, données.
- Rédiger une déclaration par catégorie, en combinant formulation qualitative et seuils chiffrés.
- Fixer des indicateurs de risque clés et des seuils d'alerte pour suivre chaque déclaration.
- Faire valider la déclaration par la direction générale et le conseil.
- Décliner et suivre : traduire l'appétit en limites opérationnelles, en rendre compte régulièrement et le réviser au moins une fois par an.
Exemples de déclarations
| Catégorie | Exemple de déclaration | Indicateur de suivi |
|---|---|---|
| Intégrité | Tolérance zéro pour la corruption, sous toutes ses formes | Nombre d'alertes reçues et traitées dans les délais |
| Concentration commerciale | Aucun client ne doit représenter plus de 20 % du chiffre d'affaires | Part du premier client dans le chiffre d'affaires |
| Données personnelles | Aucun traitement de données clients sans formalité CNDP préalable | Part des traitements déclarés ou autorisés |
| Continuité | Interruption des services critiques limitée à 4 heures | Durée des incidents sur les services critiques |
| Innovation | Appétit modéré pour tester de nouveaux services numériques, sur un périmètre limité | Budget et nombre de clients concernés par les pilotes |
Ces exemples sont illustratifs : chaque organisation fixe ses propres seuils selon sa stratégie et sa capacité.
Les erreurs fréquentes
- Une déclaration si générale qu'elle ne guide aucune décision.
- Des seuils fixés sans lien avec la capacité réelle de l'entreprise.
- Une déclaration validée une fois, puis jamais révisée.
- Un appétit défini par la seule fonction risque, sans la direction générale.
À lire aussi
- 4 min de lecture
- 4 min de lecture
- 4 min de lecture
Questions fréquentes
Quelle est la différence entre appétit et tolérance au risque ?
L'appétit exprime les types et le niveau de risque que l'organisation accepte de manière générale pour créer de la valeur. La tolérance fixe l'écart acceptable de performance autour d'un objectif précis.
Qui doit valider l'appétit au risque ?
La direction générale et le conseil d'administration, ou son comité des risques. La fonction risque prépare la déclaration, mais elle ne peut pas la fixer seule.
Une PME a-t-elle besoin d'une déclaration d'appétit au risque ?
Une version simple suffit : quelques phrases par grande catégorie de risque, avec deux ou trois seuils chiffrés. L'essentiel est que les dirigeants s'accordent explicitement sur ce qu'ils acceptent et ce qu'ils refusent.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (1)
- COSO (2017). Enterprise Risk Management — Integrating with Strategy and Performance.