Optimiser la gestion des risques opérationnels : une perspective axée sur les processus

Contexte

Ces derniers années, il est intéressant de constater que le rythme de pilotage des risques s’est fortement accéléré. En effet, il devient désormais courant de voir des entreprises piloter leurs risques à des fréquences hebdomadaire voir quotidienne là ou quelques années en arrière la norme était trimestrielle ou mensuelle. Si le secteur bancaire fait régulièrement parler de lui dans le cadre de ce thème, il serait erroné de croire qu’il est le seul concerné. Toutes les entreprises, quels que soient leur taille et leur secteur d’activité sont confrontées à des risques qui méritent d'être monitoré. Comment optimiser la gestion du risque opérationnel via une approche par le processus?

Les processus métier supportent les risques opérationnels de l’entité

• Etablir une cartographie des processus métier

La première étape, et sans doute la plus importante, consiste à établir une cartographie des processus métiers. Qu’ils soient endogènes ou exogènes, les risques s’expriment au travers des processus ; c’est pourquoi il est indispensable de les cartographier.

Réaliser une cartographie consiste à représenter l'entité sous la forme de niveau des processus cohérents intégrant l’ensemble des activités réalisées par l’entité ainsi que leurs interdépendances.

• Positionner sur chaque activité les acteurs et les systèmes d’information qui y contribuent

Dans un objectif de pilotage des risques, il est fondamental d’enrichir la cartographie en positionnant sur chaque activité les acteurs ainsi que les systèmes qui y contribuent. Cela permettra par la suite d’identifier aisément les défaillances relatives au personnel ou aux systèmes (2 composantes majeures du risque opérationnel).

Le travail de cartographie réalisé, permet à l’entité de disposer d'une vision holistique des activités ainsi que des acteurs et des systèmes d’informations concernés.

Il s’agira maintenant par la suite d’identifier les risques opérationnels potentiellement encourus par l’organisation.

Définir et évaluer les risques encourus par l’entité au regard des activités réalisées

cette étape consiste pour chaque entité à mener une réflexion permettant d'identifier la typologie de risque correspondant à son profil. cette démarche s'explique suivant deux dimensions :

• La dimension interne consistant à identifier sur l’ensemble des processus modélisés, les risques qu’ils pourraient faire encourir à l’entreprise.
• La dimension externe qui consiste, par l’intermédiaire d’un benchmark sectoriel (recensement des incidents ayant eu lieu sur des activités similaires aux nôtres) à compléter / valider l’approche interne.

Positionner sur chaque activité les risques opérationnels associés

Pour chaque activité identifiée dans la cartographie des processus, il faut y associer les risques correspondants. Par exemple dans le cadre d'une activité de paiement il conviendra d'y associer un risque de fraude et de non paiement. Ce travail permettra d'enrichir davantage la cartographie de processus en y ressortant l'ensemble des risques potentiels générés par les activités exercées au sein de l'entité.

Recenser les incidents, évaluer les risques et définir le niveau de risque « acceptable »

cette étape consiste à recenser les incidents survenus par le passé au sein de l'entité qui permettra par la suite de disposer d'une base de données de gestion d'incidents renseignée de manière déclarative. cette base de recensement des incidents devra être aligné à la cartographie des processus. Chaque incident devra donc être renseigné ennuyeux précisant l'activité et le risque concerné.

L'analyse de la base des incidents, associée à l'expertise des opérationnels et la définition des éléments quantitatifs susceptibles d'augmenter la probabilité de réalisation d'un risque (KRI), permettra d'évaluer les risques.

Enfin, au regard de ces informations, l’entreprise devra déterminer le niveau de risque qu’elle juge ‘acceptable’, permettant ainsi de dimensionner les mesures de contrôles à mettre en place.

Définir, mettre en oeuvre et piloter le plan de contrôle

Cette étape consiste à définir et mettre en oeuvre le plan de contrôle au regard du niveau de risque défini comme "Acceptable". A la suite de l'acceptabilité du niveau de risque défini, un plan de contrôle est déployé sur l'ensemble des activités de l'entité pour garantir une couverture et une maîtrise de ces risques. Ces contrôles feront l'objet d'une intégration dans la cartographie.

le plan de contrôle devra être piloté par les opérationnels en charge des activités. La fréquence des contrôles est définie en fonction du niveau de risque et de la fréquence même de l’activité.

Conclusion

Pour améliorer le suivi et le développement des processus, ainsi que la gestion des risques et des contrôles, de nombreux éditeurs de logiciels spécialisés dans la modélisation des processus ont enrichi leurs solutions de systèmes d'information en intégrant une dimension de risque opérationnel. Cette évolution se traduit par des outils complets qui intègrent non seulement les fonctionnalités standard de modélisation des organisations et des processus métiers, mais également des fonctionnalités de collecte et de stockage des incidents, d'exploitation statistique des données historiques, de mesure du risque et de reporting.