Comment évaluer la maturité d'un dispositif de gestion des risques ?

Pourquoi « nous avons une cartographie » ne suffit-il pas ?

Parce que cette réponse ne traite que l'existence du dispositif. Au démarrage d'une mission, on nous dit presque toujours : « nous avons une cartographie, une politique et des limites ». C'est souvent exact. Trois questions distinctes se posent pourtant :

• le dispositif existe-t-il, c'est-à-dire les documents sont-ils rédigés, approuvés et diffusés ?
• est-il adapté au profil de risque réel de la banque, à ses activités, à sa taille, à son environnement ?
• est-il actualisé lorsque le profil de risque, le périmètre ou l'environnement évoluent ?

Une banque peut disposer d'une cartographie complète et soignée, construite pour un bilan qui n'est plus le sien. Elle peut aussi avoir un dispositif bien calibré à l'origine, resté figé alors que la composition de ses actifs ou son périmètre de consolidation ont changé.

Comment fonctionne l'échelle de maturité en cinq niveaux ?

Nous l'appliquons à chaque composante du dispositif : cartographie, politiques et procédures, appétence, évaluation interne du capital, reporting.

1. Absent : la composante n'existe pas ou n'est pas formalisée.
2. Formalisé : elle est rédigée et approuvée, sans que sa pertinence ait été vérifiée au regard du profil de risque.
3. Adapté : elle est calibrée sur les activités, les expositions et l'environnement réels de la banque.
4. Vivant : elle est mise à jour selon un rythme défini et à chaque évolution significative, avec des déclencheurs explicites.
5. Inséré : elle irrigue les décisions de gestion, le crédit, la tarification, la planification du capital et les comités.

Le superviseur part du principe que le niveau 1 est acquis. Ses constats portent sur les niveaux 2 à 4 : un document jugé inadéquat au profil de risque, ou qui n'a pas été mis à jour.

Que révèle l'absence d'un risque dans la cartographie ?

Un défaut de dispositif. Les risques de crédit, de liquidité et de marché sont en général documentés. D'autres le sont beaucoup moins : risque opérationnel, risque lié aux prestataires et aux activités externalisées, risque de concentration, risques émergents.

L'absence d'une nature de risque est souvent lue comme le signe qu'elle est faible. Une nature de risque non cartographiée n'est pas un risque faible, c'est un défaut de dispositif. Elle n'est ni mesurée, ni encadrée par des limites, ni suivie par des indicateurs, et elle n'entre pas dans l'évaluation des besoins en fonds propres.

Pour une banque de la zone UMOA, l'analyse du profil de risque a ainsi porté sur l'ensemble des natures de risque, classiques et émergentes. Elle a fait apparaître des expositions documentées de longue date et d'autres jamais évaluées, devenues significatives avec l'évolution du bilan et de l'environnement.

Comment recalibrer l'appétence au risque ?

En croisant trois sources. Le cadre d'appétence vieillit vite : ses seuils sont fixés sur la base d'un bilan, d'une stratégie et d'un contexte donnés. Un seuil de tolérance qui n'est jamais atteint signale souvent un seuil devenu sans objet.

Le recalibrage s'appuie sur le recueil réglementaire, qui fixe les plafonds, sur un benchmark d'établissements comparables, qui situe la banque, et sur l'analyse de son profil de risque, qui détermine où elle souhaite se placer entre ces bornes.

Chaque indicateur reçoit un seuil de tolérance, un seuil d'alerte, un propriétaire et une fréquence de suivi. Le dispositif précise ce qui se passe en cas de franchissement : qui est informé, dans quel délai, et quelle instance décide des mesures correctrices.

Comment relier le dispositif à l'évaluation interne du capital ?

Le niveau « inséré » se joue dans l'articulation entre cartographie, appétence et évaluation interne de l'adéquation des fonds propres. Dans une banque marocaine, la refonte de l'ICAAP a été déclenchée par les remarques du régulateur. Elle a porté sur la gouvernance, la mise à jour du profil de risque et du cadre d'appétence, la mise en cohérence des stress tests avec ceux du plan de redressement de crise interne, et la revue des politiques et procédures de planification des fonds propres.

La règle est la même que pour la cartographie : chaque risque jugé significatif se retrouve dans l'évaluation du capital, et chaque scénario de stress repose sur les vulnérabilités réelles de la banque.

Pourquoi les fonctions de contrôle doivent-elles se coordonner ?

Parce qu'un dispositif ne reste à jour que si l'information circule entre elles. Dans plusieurs banques de la zone UMOA, nous avons formalisé la coordination entre gestion des risques, contrôle permanent, conformité et audit interne : charte de contrôle interne, périmètre de chaque fonction, procédures d'échange.

Un incident opérationnel collecté par le contrôle permanent doit nourrir la cartographie. Une recommandation de l'audit interne doit conduire à réviser un contrôle. Une évolution réglementaire repérée par la conformité doit se traduire dans les politiques. Sans ces circuits, chaque fonction tient sa propre vision du risque.

Par où commencer ?

Par une évaluation ciblée de quelques semaines, conduite par entretiens et revue documentaire. Elle situe chaque composante sur l'échelle, identifie les natures de risque absentes et hiérarchise les chantiers.

La priorité est de sortir les composantes critiques des niveaux 1 et 2, puis d'installer les déclencheurs qui permettront au dispositif de suivre l'évolution de la banque. Viser le niveau 5 sur toutes les composantes dès la première année serait coûteux et rarement utile.