Un leçon que l’on tirera de la crise sanitaire est l’obligation de réfléchir en amont à toutes les possibilités. Il ne s’agit pas de voir la vie de manière pessimiste mais d’imaginer des solutions qui permettront de ne pas se retrouver dans une impasse. Certes, on le voit nombre d’entreprises ont fait évoluer leur organisation et instaurer le télétravail mais celui-ci a été imposé dans l’urgence alors qu’il aurait du être envisagé en amont. Anticiper les risques doit faire partie de l’ADN des entreprises . Un risque mon anticipé et donc en conséquence non maîtrisé peut remettre en du jour au lendemain la pérennité de l’entreprise quelles que soient sa notoriété, sa taille, son activité et même son ancienneté. La gestion des risques constitue donc un travail quotidien. Elle demande est d’ouvrir le champ d’analyse ! Il s’agit d’appréhender dans une même démarche tous les risques internes et externes de l’entreprise.
Avoir une approche totale des risques
Se lancer dans une démarche d’identification des risques doit vous amener à vous poser des questions aussi variées et hétéroclites que :
- Le contrôle et la gouvernance de votre entreprise peuvent-ils être menacés à court ou long terme ?
- Quels sont les risques de contrepartie qui pèsent sur votre entreprise (clients, fournisseurs, partenaires financiers, …) ?
- Qu’est ce qui pourrait interrompre durablement votre capacité à servir vos clients ?
- Quelle serait la conséquence d’un départ simultané de plusieurs personnes clés dans votre organisation ?
- Suis-je certain que ceux qui engagent directement (employés) ou indirectement (fournisseurs, sous-traitants, …) ma réputation respectent les règles d’éthique que j’ai fixées ?
- Mes systèmes d’informations sont-ils suffisamment sécurisés et maîtrisés ?
- Quel serait l’impact à court et moyen terme d’une modification brutale de l’environnement économique (chute de l’euro, baril à 200 $…) ?
- Les activités de mon entreprise peuvent-elles menacer à court ou long terme la santé de mes employés, de mes clients ?
- Une fraude majeure est-elle possible ?
- Les évolutions technologiques en cours (par ex. l’explosion des réseaux sociaux) peuvent-elles remettre en cause mon business model, faire apparaître de nouveaux concurrents, … ?
Cette liste pourrait s’allonger à l’infini… L’objectif est de passer en revue avec méthode tous les éléments critiques qui constituent mon entreprise, réfléchir aux scénarios crédibles pour en retenir une liste resserrée. Ici les mots clés sont : imagination, hauteur de vue, pas de tabou et esprit critique !
Arbitrer et passer à l’action !
Une fois les risques identifiés et caractérisés, l’étape suivante est d’être en mesure de les évaluer pour les trier par ordre d’importance. Ce travail doit être fait au plus haut niveau de l’entreprise et idéalement de façon collective. C’est clairement la responsabilité d’un comité de direction de fixer les priorités entre les risques, d’accepter tel ou tel niveau de risque puis de décider des actions à mettre en œuvre pour traiter les risques inacceptables.
En effet si beaucoup de risques ne peuvent pas être totalement supprimés (et d’ailleurs ne doivent pas l’être !), il y a presque toujours une marge de manœuvre, plus ou moins importante, pour les réduire à un niveau atteignable au prix d’un effort acceptable. Tout est ici question d’optimisation, donc de bonne gestion !
Prenons l’exemple du risque de volatilité des matières premières pour une entreprise industrielle. Un plan efficace de maîtrise de risque doit intégrer les aspects stratégiques (comment réduire à court ou moyen terme la part de cette matière première dans mes produits ?), la politique d’achat (multiplication et sécurisation des sources d’approvisionnement), l’excellence opérationnelle (optimisation des stocks, capacité à mettre à jour en quasi temps réel les prix de revient, …) et enfin si nécessaire mise en place d’outils de couverture sur les marchés.
Les outils pour s’attaquer à un risque
Ils doivent être multiples.
- Puis-je faire en sorte d’en réduire sa probabilité de survenance ? On parle ici de prévention. Par exemple, mettre en place un système de double signature sur les opérations de paiements pour empêcher les possibilités d’une fraude.
- Puis-je en réduire l’impact si le risque se réalise ? Il s’agit ici de protection. Pour une entreprise d’agro-alimentaire, c’est par exemple avoir un système de traçabilité efficace qui permettra de circonscrire et identifier des produits contaminés à retirer sur un marché.
- Est-il possible de transférer le risque à un tiers ? C’est le principe bien connu de l’assurance. Mais il peut s’agir aussi d’un transfert contractuel : la sous-traitance est une forme de transfert. Mais attention : un risque n’est jamais totalement transférable, il reste toujours un risque résiduel !
Passer du statique au dynamique !
Une entreprise évolue en permanence !
Nouveau produit, changement d’organisation, acquisition, évolution réglementaire, … : l’entreprise et son environnement évoluent en permanence. Son profil de risques également. Il est donc essentiel d’être en capacité de le réévaluer régulièrement, d’être en mesure de « capter » au plus tôt les signaux faibles, les risques émergents et d’ajuster en permanence les dispositifs de maîtrise. En un mot, être en capacité de gérer de façon dynamique ses risques !
Mettre en place un système
- un pilote, un référent dans l’entreprise doit être en charge officiellement de l’animation du système de gestion des risques. C’est la fonction de Risk Manager qui émerge et se professionnalise actuellement en France ;
- un cadre méthodologique et les outils associés doivent être établis et diffusés dans toute l’organisation : référentiel risque, cartographie des risques, indicateurs, systèmes de veille, …
- les principaux processus de décision (budget, planification stratégique, investissement, …) doivent intégrer un volet gestion des risques. En d’autres termes, chaque décision clé doit être prise en prenant en compte de manière formelle et consciente des risques ;
- enfin et surtout, l’organisation mise en place doit faire en sorte de responsabiliser l’ensemble des managers sur la maîtrise de leurs risques : du comité de direction jusqu’au chef de service. à chaque fois qu’un risque est identifié et évalué, un (ou plusieurs) responsable doit être nommé pour mettre en œuvre le cas échéant un plan de maîtrise et mettre le risque sous surveillance.
Mettre en place une démarche globale et intégrée de gestion des risques est désormais l’un des éléments clés d’une gouvernance moderne. Outre une valeur ajoutée immédiate en matière de maîtrise opérationnelle, elle permet surtout d’aligner l’ensemble des parties prenantes, actionnaires, dirigeants, employés vers un même objectif vertueux : le développement responsable et pérenne de l’entreprise !