La crise et l’accumulation des réglementations ont mis à jour la complexité du fonctionnement des groupes bancaires. Cette complexité, souvent le résultat de l’histoire, a des conséquences sur leur performance, car elle réduit la flexibilité nécessaire en période de tension du marché. Tant que l’activité croît, les groupes empilent sans les ordonner les processus et les outils pour absorber le surplus des volumes à traiter, au détriment de l’efficacité de l’appareil de production. Du coup, en période d’étiage, celui-ci n’est plus réellement maîtrisé : outre son coût devenu prohibitif, il finit par faire preuve de contre-performance.

L’empilement des dernières réglementations européennes et américaines (FATCA [1], CRD 4/CRR I [2], Dodd Frank Act, SMI [3], Solvabilité 2…) a déstabilisé les états-majors non préparés aux impacts des exigences prudentielles sur leur business model. Pris entre la volatilité de leur environnement (macroéconomique, réglementaire et commercial) et la maîtrise des coûts (coût du risque, coût d’exploitation…), les établissements financiers s’interrogent sur « la rentabilité des investissements réglementaires, quand ce sont les seuls encore envisageables ».

Une partie de la réponse se trouve probablement dans la manière dont certains établissements financiers ont su faire évoluer leur fonction de gestion des risques, pour qu’elle contribue à l’amélioration de la performance globale de l’entreprise. C’est en effet l’un des enseignements qui ressort de l’étude menée en 2011 auprès de 400 directeurs des risques. Une quarantaine de répondants (soit 10 %), essentiellement des établissements financiers, semblent plus performants que les autres organisations, sur presque toutes les dimensions de notre étude. Nous avons donc souhaité aller plus loin, afin de mieux comprendre ce qui fait la force de ces acteurs qualifiés de « risk masters ».

Les caractéristiques des risk masters

Il est possible de distinguer les points sur lesquels ces risk masters se comportent différemment des autres directeurs des risques :

• perception ​: la gestion des risques est perçue comme une fonction essentielle de l’organisation, prioritaire en matière d’investissement et critique pour éviter les pertes (de crédit, de marché ou opérationnelles)​ ;
• décision ​: le responsable des risques est fortement impliqué dans les décisions stratégiques de l’entreprise ​;
• quantification ​: l’amélioration de la modélisation et de la mesure des risques est perçue comme essentielle. Les risk masters mettent donc en place une plus grande couverture des risques mesurés, des programmes de modélisation quantitative et des outils et processus permettant de maintenir une connaissance du risque alignée avec les activités ​;
• intégration ​: ils mettent en avant une vision consolidée des risques qui s’appuie sur des outils permettant une manipulation aisée des informations à tous les niveaux d’analyse (entité, métier, géographie, etc.) ​;
• influence ​: ils ont une visibilité sur l’ensemble des activités, sont rattachés directement au CEO [4] et pensent avoir une influence sur les décisions stratégiques de l’entreprise ​;
• culture ​: ils diffusent une « culture du risque » au sein de leurs organisations, culture qui se traduit par un niveau de conscience accrue de la part des opérationnels, et une attention quotidienne ​;
• long terme ​: ils ont élaboré un plan d’investissement à long terme qui permet une amélioration progressive du dispositif existant tout en anticipant la prochaine « vague réglementaire ».

Nous avons également souhaité mieux comprendre quelle était la perception de ces risk masters vis-à-vis de l’agenda réglementaire surchargé du moment. Là aussi, leur perception est assez différente de la plupart des acteurs du marché.

Des exigences réglementaires sources d’avantages compétitifs

Ces deux dernières années ont vu des arbitrages significatifs dans les budgets d’investissement des établissements financiers. Parallèlement, la production de nouveaux textes réglementaires n’a pas cessé. Une bonne partie des établissements lutte pour répondre à ces exigences réglementaires. Pourtant, loin de ce mode réactif, nos risk masters parlent de ces évolutions réglementaires non seulement en termes de contraintes et de coûts additionnels, mais surtout en termes d’opportunités nouvelles pour aller chercher la profitabilité ou conquérir de nouvelles parts de marché.

De leur côté, comme leurs collègues de la banque, les CRO [5] des compagnies d’assurance insistent sur l’importance d’intégrer la gestion des risques au cœur des processus métiers pour piloter la prise de décision et générer de la valeur car Solvabilité 2 n’est pas seulement perçu comme un enjeu de mise en conformité, mais également comme une manière d’améliorer la performance financière en optimisant le processus de prise de décision et la gestion de l’entreprise.

Les exigences réglementaires sont certes subies, mais elles sont jugées utiles et pertinentes. Ainsi, les établissements ont « redécouvert » les vertus des stress-tests : en complément des mesures de risques existantes (VaR notamment), ils permettent d’apprécier la sensibilité de l’établissement aux facteurs de marché et de crédit en période de tension. Les nombreux exercices de ces derniers mois (stress-test européen de fin novembre 2011, stress-test FMI d’avril 2012…) montrent l’intérêt grandissant pour cette pratique ancienne, intérêt particulièrement souligné par nos risk masters qui ont plus que les autres insisté sur les enseignements que l’on pouvait tirer des nombreux exercices exigés par les différents régulateurs. Ces enseignements permettent aux établissements de mieux gérer leurs propres stress-tests, élaborés de façon autonome. De bonnes pratiques peuvent ainsi être dégagées et recensées dans la liste des étapes d’un stress-test réussi (voir Encadré) et celle des facteurs clés de succès, présentées ci-dessous.

Pour réussir un exercice de stress-test, il faut :

• développer des scénarios plausibles ;
• combiner les approches « top-down » (utilisation d’agrégats ou d’éléments macroéconomiques assurant une plus grande cohérence des résultats) et « bottom-up » (prise en compte d’éléments plus unitaires et spécifiques à l’établissement) ;
• injecter des avis et opinions d’équipes d’experts dans la définition des scénarios ;
• mener l'intégration des systèmes pour disposer d’informations complètes sur le périmètre identifié ;
• décliner des facteurs macroéconomiques en variables d’entrée des modèles de prévisions ;
• trouver le bon équilibre entre informations qualitatives et quantitatives ;
• positionner le stress-test comme un outil clé de gestion des risques, non comme un outil déconnecté des activités.

Une fois le niveau d’ambition de l’organisation en matière de risque défini, le défi réside dans son exécution. Celle-ci dépend de deux critères :

• la conduite des mises en conformité : les risk masters ont mis en place une structure de programme centrale, qui permet de coordonner les initiatives sur les multiples sujets réglementaires (d’autant que 90 % des banques [6] s’attendent encore à des changements dans les 2 ans à venir). Cette approche permet d’identifier très en amont les interactions entre les sujets réglementaires mais également les initiatives métiers concernées et d'éviter ainsi l'investissement dans des travaux (méthodologiques, processus ou d’infrastructures) qui seront amenés à être revus peu après leur mise en œuvre ;
• l’homogénéité des données et la cohérence des résultats communiqués : les risk masters travaillent de façon très intégrée avec la direction financière, chacun apportant ses compétences propres à un édifice commun.

Par ailleurs, ces directeurs des risques d'exception sont également plus enclins à combiner la dimension risques et d’autres axes qui, au final, contribuent significativement à la profitabilité globale de l’entreprise, au travers de l’innovation produit, de la simplification des infrastructures, de l’amélioration et/ou de la standardisation des processus opérationnels.