Fonctions ERM et conformité cloisonnées ? Ce que cela vous coûte – et comment y remédier

La gestion des risques de l’entreprise (ERM) et la conformité opèrent souvent de manière indépendante, non pas par décision délibérée, mais parce que la structure qui les entoure n’a tout simplement pas été conçue pour faire le lien. Cette séparation peut toutefois créer des angles morts paralysants qui masquent les problèmes et coûtent cher à l’entreprise en termes de décisions retardées, d’actions contradictoires, de perte de productivité et d’opportunités manquées.

Le risque et la conformité ont un objectif commun : protéger l’organisation. Et les deux équipes sont généralement bien informées des changements réglementaires imminents. Le problème réside dans l’exécution de ces changements – décider de ce qui s’applique, qui en est responsable et comment cela est mis en œuvre.

Voici comment identifier les lacunes entre l’anticipation d’un changement et sa réalisation effective, comment les combler et comment collaborer pour éviter des erreurs coûteuses.

Un objectif, deux perspectives

Bien que l’ERM et la conformité surveillent les mêmes régulateurs, les mêmes exigences et les mêmes mises à jour, elles analysent ces signaux sous des angles différents. L’ERM examine les menaces et les opportunités au niveau de l’entreprise en fonction de leur impact sur les objectifs commerciaux à long terme. La conformité se concentre sur les détails pour garantir le strict respect de la lettre de la loi.

Considérez les deux perspectives d’un même événement :

Conformité : Respectons-nous chaque exigence à la lettre ?	ERM : Quelle est l’exposition si nous nous trompons ?
Se concentre sur les détails règle par règle.	Se concentre sur la probabilité au niveau du portefeuille.
Prend en compte les précédents en matière d’application.	Prend en compte l’impact commercial et la conception des contrôles.
Mesure l’adhésion et la documentation.	Mesure le risque résiduel et l’efficacité des contrôles.
Peut manquer l’impact plus large du changement sur les risques.	Peut manquer des détails techniques réglementaires.

Un objectif, deux perspectives

Les deux perspectives sont légitimes et précieuses, mais elles sont incomplètes si elles restent isolées. La vision unilatérale devient problématique lorsque l’interprétation, la responsabilité et le suivi ne sont pas clairs. Les silos de données, les taxonomies contradictoires et les lignes de reporting distinctes accentuent la confusion.

Deux équipes travaillant en parallèle coûtent à l’entreprise en termes de :

Doublon d’efforts. Les équipes de gestion des risques et de conformité recherchent, interprètent et agissent indépendamment et en parallèle sur la même évolution réglementaire.

Réponse incohérente. Des changements similaires sont traités différemment selon l’équipe, la région ou la personne qui lit en premier la nouvelle règle ou la mise à jour des directives.

Ralentissement du cycle d’exécution. Chaque changement déclenche un autre processus ad hoc pour déterminer ce qui s’applique, où et qui est responsable.

Le coût le plus dommageable de la fragmentation provient toutefois des angles morts. Qu’est-ce qui passe entre les mailles du filet parce qu’une équipe pensait que l’autre s’en occupait ? Dans quelle mesure le changement réglementaire augmentera-t-il le risque au niveau de l’entreprise ? Qu’est-ce qui n’a pas été priorisé parce que les deux perspectives n’étaient pas reliées pour montrer l’impact total ?

Où surviennent les ruptures

Pour chaque changement réglementaire, les entreprises doivent percevoir le signal, interpréter l’impact et prendre les mesures appropriées. La rupture se produit entre les étapes, au moment de décider :

À qui incombe cette tâche ?

Il est facile de supposer que d’autres s’en occupent si la responsabilité est suggérée par un titre de poste au lieu d’être assignée à une personne spécifique. La définition des responsabilités est particulièrement délicate lorsqu’un changement réglementaire concerne plusieurs unités commerciales, sites ou produits.

Est-ce vraiment terminé ?

Suivi ne signifie pas terminé. Un contrôle, une politique ou un processus marqué « en cours » ne signifie pas qu’un changement réel a eu lieu.

Les auditeurs sont formés pour trouver les écarts entre ce qui a été suivi et ce qui a été achevé. La conséquence est une constatation d’audit portant le nom de votre organisation.

Comment combler les lacunes

C’est la structure, et non la bonne volonté, qui permet aux équipes de rester synchronisées. Combler les lacunes nécessite des mécanismes de coordination efficaces.

• Forum de triage conjoint. Évaluez chaque élément en fonction de son applicabilité et de son impact à l’aide d’une méthode cohérente qui sépare le bruit de ce qui nécessite une décision. Déterminez si le changement s’applique de manière large ou étroite, et si les enjeux sont élevés ou faibles pour l’organisation. Accordez-vous sur un calendrier d’actions et de résolution basé sur le niveau de priorité.
• Taxonomie partagée. Les deux équipes doivent parler le même langage, par exemple sur la définition de la matérialité. Définir les termes dès le départ évite les mauvaises interprétations par la suite.
• Un seul système de référence, pas deux. Centralisez tout ce qui concerne la surveillance, l’évaluation, la responsabilité et le statut sur une plateforme unique. Le changement réglementaire est saisi une seule fois, immédiatement étiqueté par pertinence et acheminé par secteur d’activité, juridiction ou type de risque.
• Responsables assignés pour chaque mesure exploitable. Un responsable – une personne, pas un département – doit être nommé pour chaque changement nécessitant une action. Cela ne laisse aucune place à l’ambiguïté.
• Circuits d’escalade définis. Transmettez automatiquement tout élément bloqué au niveau supérieur pour action au lieu de le laisser stagner dans une boîte de réception.
• Suivi jusqu’à la clôture. L’achèvement nécessite une véritable méthode de clôture – échéances, escalade et preuve de réalisation – et pas seulement un rapport d’étape.
• Reporting au niveau du comité. Incluez l’état d’avancement des mesures réglementaires – et pas seulement un suivi vague « en cours » – dans les rapports destinés au comité des risques et à la direction, selon une cadence fixe.

Bâtir la structure pour la connexion

Ne commettez pas l’erreur de consacrer tous vos efforts à la surveillance des changements réglementaires en supposant que l’aspect opérationnel se réglera de lui-même. Cela arrive rarement.

Sans une méthode partagée et structurée pour évaluer et concilier l’applicabilité, la détermination de l’impact de chaque nouveau changement réglementaire repart de zéro. La visibilité est masquée par le bruit, l’applicabilité à l’entreprise est ambiguë et la responsabilité n’est pas claire. C’est là que l’incohérence s’installe.

Certes, résoudre les problèmes ne signifie pas tout recommencer. L’ERM et la conformité n’ont pas besoin de devenir une seule fonction pour travailler comme une force connectée. Elles ont besoin d’une infrastructure partagée qui transforme les signaux réglementaires en actions coordonnées. Une plateforme commune offre aux deux équipes un lieu unique pour saisir les changements, évaluer l’applicabilité, assigner les responsabilités, acheminer les tâches, suivre les preuves, signaler les retards et rendre compte de l’état d’avancement sans friction.

Cette couche technologique est cruciale car c’est lors des passages de relais que la réponse réglementaire échoue. Les feuilles de calcul, les fils d’e-mails et les solutions ponctuelles séparées laissent trop de place aux doublons, aux oublis de responsabilité et aux rapports incohérents. Un système de référence unique crée le tissu conjonctif entre l’ERM, la conformité et l’entreprise, centralisant le processus tout en responsabilisant les bons interlocuteurs dans toute l’organisation.

L’objectif n’est pas de multiplier les réunions ou d’ajouter une couche de surveillance. C’est une exécution disciplinée à grande échelle. Lorsque chaque changement réglementaire bénéficie d’un parcours clair, d’un responsable désigné, d’une escalade intégrée et d’une preuve de réalisation, vous pouvez combler l’écart entre savoir ce qui arrive et prouver que les bonnes mesures ont été prises.

Pour en savoir plus sur la connexion entre le risque et la conformité grâce à la technologie, téléchargez l’e-book Transformer la conformité : d’une simple formalité à un atout stratégique, et découvrez le logiciel de conformité de Riskonnect.