Qu'est-ce que l'ERM (gestion des risques d'entreprise) ?
L'ERM, ou gestion des risques d'entreprise, est une approche structurée et transverse visant à identifier, évaluer, traiter et surveiller les risques susceptibles d'affecter les objectifs stratégiques. Ce qui la distingue de la gestion des risques ordinaire, c'est la perspective : les risques sont considérés comme un portefeuille à l'échelle de l'entité, et non traités isolément au sein de chaque direction.
Le cadre ERM en pratique
Le modèle de référence est le COSO ERM, qui organise la discipline autour de la gouvernance et de la culture, de la stratégie et de la fixation des objectifs, de la performance, de la revue et de la communication. L'ISO 31000 propose une structure comparable avec un vocabulaire différent. Les deux portent la même idée centrale : la gestion des risques se situe à l'intérieur de la décision stratégique, non à côté.
Opérationnellement, l'ERM produit un nombre réduit de livrables déterminants. Une cartographie des risques recensant les risques identifiés avec probabilité, impact et propriétaire. Une appétence au risque formalisée indiquant le niveau d'exposition acceptable par catégorie. Et des indicateurs clés de risque donnant l'alerte avant que l'exposition ne se matérialise.
De la cartographie à la surveillance continue
La plupart des dispositifs ERM calent au même endroit. La cartographie est construite, les ateliers se tiennent, les cotations sont validées, puis le document vieillit. Douze mois plus tard, il décrit un profil de risque qui ne correspond plus à l'activité.
Le manque porte sur la mesure. Un risque coté par jugement d'atelier ne peut pas être suivi entre deux revues, alors qu'un risque adossé à des indicateurs transactionnels le peut. Relier la cartographie aux données que l'organisation produit déjà transforme un exercice annuel en un dispositif qui bouge avec l'activité.
ERM et Supervizor
La plateforme AI and Controls de Supervizor fournit les éléments transactionnels qui maintiennent le profil de risque à jour, en reliant les risques cartographiés à ce qui se passe réellement dans les comptes. Les équipes l'utilisent pour :
- Quantifier les risques financiers sur données réelles plutôt que sur des estimations d'atelier et des cotations subjectives
- Suivre les indicateurs clés de risque en continu, pour rendre l'exposition visible entre deux cycles de revue
- Fournir au comité d'audit un reporting étayé sur la tenue effective des contrôles