Une bonne culture du risque doit récompenser les décideurs à tous les niveaux de la hiérarchie et leur permettre de prendre les bons risques en étant aussi bien informés que possible. Les critères suivants permettent de reconnaître le succès d’une culture du risque :

  • Culture de leadership : signaux clairs et cohérents de la part des dirigeants concernant les risques à accepter et les risques à éviter.
  • Responsabilité des employés : reconnaissez que la gestion des risques ne se limite pas à cocher des cases une fois pour toutes, mais qu’il s’agit d’un travail permanent, avec des processus et des responsabilités bien définis.
  • Une communication ouverte et un dialogue critique : Des informations transparentes et actualisées sur les risques sont accessibles à tous les membres de l’organisation. Même les mauvais risques (au sens de pertes financières potentielles) sont communiqués rapidement et ouvertement, sans crainte d’éventuelles conséquences négatives. Les employés à tous les niveaux sont encouragés à signaler les incidents, les accidents évités de justesse et les activités suspectes afin d’en tirer des enseignements.
  • Structures d’incitation appropriées: les comportements appropriés et conscients des risques sont récompensés et encouragés, tandis que les comportements inappropriés sont remis en question et sanctionnés.
  • Tout est mis en œuvre pour comprendre pleinement les conséquences d’un risque sur la réalisation des objectifs (et ce avant de décider de l’action appropriée).
  • Le rôle du gestionnaire de risques est bien établi dans la structure de l’entreprise : son travail est évalué à sa juste valeur, il dispose des ressources appropriées (employés, capacités, moyens financiers) et reçoit le soutien de la direction de l’entreprise.
  • Une culture du risque nécessite une culture d’entreprise qui valorise la diversité des opinions et des points de vue, qui ne s’appuie pas sur le statu quo et qui s’efforce continuellement d’améliorer les choses.

Que signifie exactement la culture du risque ?

Tout comme la culture d’entreprise, la culture du risque est difficile à définir car la définition elle-même contient des concepts abstraits tels que des valeurs, des normes et des approches. Pourtant, permettez-moi d’essayer en donnant la définition du Comité de Bâle sur le contrôle bancaire (CBCB) :

« La culture du risque est l’ensemble des normes, approches et comportements d’une entreprise en ce qui concerne la conscience du risque, la propension au risque et la gestion du risque. La culture du risque influence les décisions de la direction et des employés dans leur travail quotidien et a des conséquences sur les risques qu’ils prennent. »

Chaque organisation (indépendamment de sa forme juridique et de sa taille) possède une culture d’entreprise et une culture du risque. La question décisive est de savoir si cette culture est plutôt positive ou plutôt négative pour le succès à long terme de l’entreprise. La culture du risque serait donc comme une boîte de Pétri qui favorise le développement d’une bonne attitude face au risque.

Pourquoi la culture du risque est-elle si importante ?

Pour atteindre ses objectifs, toute entreprise doit prendre certains risques. La culture du risque d’une entreprise a une influence décisive sur le succès ou l’échec de sa gestion du risque, ainsi que sur sa capacité de décision et ses performances. Les entreprises dont la culture du risque est inappropriée encouragent involontairement leurs employés à prendre des risques au-delà des limites de tolérance, des modèles de comportement définis et des politiques. Pire encore : les risques inacceptables pris par certains collaborateurs ou groupes passent souvent inaperçus (ou n’intéressent personne) ! Dans les cas les plus graves, il en résulte des dommages financiers importants et/ou une atteinte à la réputation de l’entreprise.

Quel est le rôle de la direction et celui du gestionnaire des risques ?

Développer et encourager une culture du risque appropriée et durable est avant tout le rôle de la direction de toute entreprise. La « propension au risque », définie individuellement par la direction dans le cadre de la stratégie de gestion des risques, fait partie intégrante de cette culture du risque. Cette appétence permet de prendre et de gérer des risques dans la limite de la capacité à les supporter, en vue d’atteindre les objectifs stratégiques. Il appartient donc à la direction d’appliquer une approche descendante à la communication de la culture du risque et de veiller à ce que celle-ci coïncide en permanence avec les objectifs stratégiques de l’entreprise. La culture de leadership mentionnée ci-dessus, et donc la position de la direction elle-même, joue un rôle décisif. La direction de l’entreprise devrait se poser les questions suivantes :

  • À quoi ressemble actuellement notre culture du risque et comment pouvons-nous améliorer la gestion du risque dans le cadre de cette culture ?
  • Que voulons-nous changer dans notre culture du risque ? Dans quelle direction voulons-nous aller ?
  • Que devons-nous faire pour y parvenir ? À quoi ressemble notre feuille de route ? De qui ou de quoi avons-nous besoin ?

Parmi les gestionnaires de risques, il n’y a pas encore de consensus sur la meilleure façon d’aider la direction de l’entreprise à répondre à ces questions. Mais des organisations telles que l’Institute of Risk Management (IRM) estiment que les gestionnaires de risques, en tant qu’agents de changement, peuvent apporter une contribution importante à l’amélioration de la culture et de la gestion des risques au sein d’une organisation.

Si vous ne pouvez pas le mesurer, vous ne pouvez pas le gérer.

La réorientation de la culture du risque est un projet de gestion du changement qu’il ne faut pas sous-estimer et dont les progrès et le degré de réalisation des objectifs doivent – comme pour tout autre projet – être régulièrement contrôlés. Outre la définition des processus et des responsabilités, un outil informatique centralisé et facile à utiliser joue un rôle décisif. Selon la devise « If you can’t measure it, you can’t manage it », attribuée au célèbre conseiller en gestion Peter Drucker, une plateforme centralisée de gestion des risques crée la base d’une saisie, d’une évaluation et d’une surveillance efficaces, structurées et permanentes des risques pertinents de l’entreprise. En outre, il s’agit d’une plateforme de communication grâce à laquelle les responsables des risques, les gestionnaires des risques et les autres parties prenantes peuvent – indépendamment du lieu et de l’heure – s’informer sur les risques, les actions et les tâches et échanger des informations sur les meilleures pratiques et les enseignements tirés de l’expérience.