La forte volatilité des marchés financiers, au cours du premier trimestre 2016, révèle l’inquiétude des investisseurs sur la solidité et la rentabilité des banques, notamment en Europe, alors que la période de taux d’intérêt négatif pourrait se prolonger et l’éventualité d’un ralentissement majeur de l’activité économique n’est pas à exclure. Cette inquiétude est-elle une reconnaissance tardive de risques insuffisamment identifiés ou un ajustement de l'émergence de nouveaux risques ? Face à la prévention des risques, la supervision a progressé en Europe notamment avec la mise en œuvre de l’Union bancaire, mais la question de la séparation des activités bancaires n’est pas encore tranchée. Dans ce débat, la Commission européenne a ouvert une voie médiane en proposant que les banques fassent la preuve que leur organisation ne recèle pas de risque systémique. Autrement dit, face aux risques, la gouvernance bancaire est-elle adaptée ? Dans ce contexte, quels sont les apports des récentes évolutions réglementaires (arrêté du 3 novembre
L’objectif de cet article est de préciser la portée de cette gouvernance par les risques sous-tendue par la logique inhérente à la gestion des risques et que les organisations ont trop souvent abordé sous l’angle de la conformité et donc de la traçabilité.
Le développement d’une culture du contrôle de la conformité
Depuis les années 2000, quelques évolutions réglementaires ont modifié de façon significative l’organisation de la banque, notamment son système de contrôle interne. L’intégration explicite du risque opérationnel dans la gestion des risques a permis de développer des cartographies, générant ainsi des prises de conscience sur certains types de risque. Ces prises de conscience se sont traduites bien souvent par des plans d’actions (plans de contrôle). Le régulateur a ensuite défini la notion de contrôle permanent en complémentarité avec le contrôle périodique (arrêté de mars 2005 du
Ce même arrêté a précisé le risque de non-conformité en réponse notamment à l’augmentation potentielle des risques de réputation qui naîtrait d’une non-conformité (dont les conséquences sont amplifiées par la médiatisation des affaires). Préciser ce risque et le gérer de manière efficace était devenu essentiel. Cependant, les exigences de conformité ont parfois été perçues comme des obligations de moyens (par exemple en matière de prévention du blanchiment et de déontologie) ; c’est-à-dire pouvoir prouver, en cas d’atteinte à la réputation, que les dispositifs demandés sont néanmoins en place. C’est dans ce contexte que tout reporting faisant état de non-conformité des dispositifs de contrôle devient un risque en soi, nécessitant de renforcer ou de repréciser certains contrôles. Une culture de contrôle s’est alors parfois progressivement installée et les dispositifs mis en place, significatifs en termes de ressources notamment humaines et système, finissaient par rassurer les directions générales, voire les organes délibérants. La confiance s’inscrit alors dans une logique institutionnelle décrite par
Une évolution qui réduit la vision des risques à la qualité des contrôles
La culture de la conformité évoquée par Visnovsky
Demander au contrôle permanent de vérifier que le contrôle de 1er niveau a bien été réalisé est légitime. Aller jusqu’à refaire les mêmes contrôles que le 1er niveau pour s’assurer que celui-ci a bien réalisé son travail est une incitation à la déresponsabilisation. Sauf à ce que d’autres indicateurs incitent à recontrôler les travaux. Si le contrôle du contrôle est essentiel en cas de risque significatif, il peut s’avérer contre-productif dans une vision récurrente des contrôles et amener progressivement une perte de la vision même du risque. Les contrôleurs tendent alors à devenir des spécialistes du contrôle avec une vision parfois éloignée des préoccupations managériales, chacun se spécialisant dans son domaine. Or, comme toute démarche Enterprise Risk
La réaffirmation du pilotage des risques à partir de la déclinaison opérationnelle de la stratégie
L’arrêté du 3 novembre 2014 ainsi que les préconisations du comité de Bâle insistent sur la nécessaire implication des instances de gouvernance dans la définition et la supervision du dispositif de maîtrise des risques. Ces instances sont « accountable » de la gestion des risques inhérents aux objectifs. La première étape pour la direction, en tant que décisionnel, et pour l’organe délibérant pour validation est de définir et de préciser, à partir de la stratégie et de sa déclinaison opérationnelle, l’appétence pour les risques et la tolérance aux risques. Le Financial Stability Board (FSB), repris dans le document du BCBS, parle du Risk Appetite Statement
Ce n’est pas nouveau puisque l’organe délibérant se prononce depuis de nombreuses années sur les limites de crédit, de marché, de taux et de liquidité. Cependant, le périmètre se concentrait principalement sur les risques dits financiers, sans doute plus simple à définir que pour les autres risques dits opérationnels dont le risque de non-conformité. Dorénavant, c’est bien l’ensemble du périmètre des risques qui est concerné par cette approche par les risques en prenant en compte les facteurs de risque internes et externes. L’organe de surveillance doit également définir les modalités de communication et la périodicité des informations relatives au respect de ces limites.
Le dispositif de maîtrise des risques au sein de l’organisation se décline ainsi selon une approche « top-down » sous la surveillance directe des interlocuteurs
Repenser la communication sur les risques
La qualité de l’information et de la communication se trouve ainsi au cœur des enjeux de gouvernance. La dynamique doit venir des instances de gouvernance, ceux-là mêmes qui approuvent la stratégie afin de redonner du sens à la gestion des risques. Cette gestion n’est pas une exigence réglementaire mais un support de la performance dans une vision constructive de l’organisation. Cela suppose que la structuration de l’information sur les risques gagne en crédibilité par rapport à ce rôle. Il ne s’agit pas de rapporter des dysfonctionnements, causes des risques ; la vision doit être apportée sur les liens entre l’évolution de l’activité, des facteurs de risque tant externes qu’internes et le dispositif de maîtrise des risques. La
La vision bien souvent en silo des différents acteurs de ce dispositif doit se consolider pour devenir compréhensible. L’audit interne a alors un rôle essentiel à jouer pour faciliter la coordination des différents acteurs des risques et contrôle ; il facilite la vision consolidée du dispositif en y apportant sa valeur ajoutée et l’indépendance qui le caractérise. C’est également à ce titre que l’audit interne, comme le précise D.
Retrouver le sens du business et de la performance
La première ligne de défense repose sur l’activité. Les acteurs en première ligne en sont bien conscients mais ne comprennent pas toujours le renforcement des structures notamment de deuxième ligne (fonction risque, contrôle permanent et conformité par exemple). Pour les opérationnels, le renforcement des différents contrôles est perçu comme une contrainte, parfois encore inapplicable par rapport à leurs objectifs opérationnels. Il s’agit alors de décliner de manière beaucoup plus précise les liens entre l’activité et les risques, non pour freiner l’activité, mais dans un souci d’éclairer le manager sur les perspectives futures, compte tenu du dispositif de maîtrise des risques.
La communication même sur les risques doit partir des données relatives à l’activité (notamment les informations en provenance du contrôle de gestion). La première tâche de l’interlocuteur des risques, c’est de comprendre les sous-jacents de la performance. Quel serait l’intérêt d’un management d’être non conforme pour une rentabilité négative ? Les zones d’ombre se décèlent à partir de l’activité et de sa rentabilité. Il y a bien évidemment une corrélation forte entre le gain lié à un comportement et le coût du risque. Si le management se focalise en grande partie sur l’activité, cela doit être le cas également des risques qui vont chercher à anticiper l’incertitude en termes de probabilité et d’impact quant à l’évolution de la performance du métier/de l’activité. Que la stratégie soit d’aller sur une clientèle par nature risquée mais plus rentable peut être louable. Il est alors essentiel que les risques accompagnent l’activité pour donner régulièrement une visibilité d’une part sur la qualité du dispositif de maîtrise des risques (dont le contrôle permanent est un des éléments clés) et d’autre part sur des indicateurs potentiels de risque (réclamation client, avertissement du régulateur, intérêts payés en hausse, etc.). Un raisonnement qui s’appuie sur les liens activité-risque doit pouvoir se schématiser via un graphe, parfois plus parlant que des slides trop détaillés (voir Encadré 2).
Les fonctions risque et contrôle n’ont pas pour seule vocation d’identifier les risques passés et d’en faire l’analyse pour éviter leur survenance demain. Il s’agit de les positionner comme de réels copilotes de l’activité, facilitant ainsi l’appropriation par le management de leur périmètre de risque. C’est principalement une question de structuration des informations et de communications. Tout le contenu est déjà bien souvent présent dans les organisations. C’est en amont, dans la compréhension des zones où se situe la performance de demain, que le gestionnaire va puiser la significativité du risque. C’est également à partir de cette performance qu’il axe sa communication future.
Une implication réelle
La gestion des risques ne vaut que par son implication réelle. Les dispositifs formels fixent les règles du jeu au sein desquelles chaque acteur pourra utiliser sa marge de manœuvre à condition de respecter les règles. Il s’agit bien pour les instances de gouvernance de réduire la « cosmétique » au profit de l’efficacité, en un mot mettre en phase ce qui est dit avec ce qui est fait. La réglementation doit certes faire évoluer les règles du jeu en fonction des libertés utilisées, mais c’est dans l’exercice même de cette liberté que chacun pourra faire l’exercice de sa responsabilité, les instances de gouvernance se trouvant renforcées dans leur rôle d’arbitre du jeu. À trop préciser certaines composantes réglementaires, c’est l’ensemble du dispositif qui perd en crédibilité alors même que la réglementation est essentielle et qu’il reste encore de vastes champs d’action peu explorés…
