La surveillance des risques par le conseil : les questions auxquelles les administrateurs doivent savoir répondre

Les rapports de risques sont écrits pour être approuvés. Ce n’est pas une critique de ceux qui les rédigent ; c’est une description de l’objet du document. Un rapport qui parvient au conseil est déjà passé par le comité exécutif, la fonction risques et le secrétariat, et chacun a fait son travail : le rendre complet, cohérent et serein. L’administrateur qui le lit tel qu’il est écrit n’y trouvera rien à redire. L’administrateur qui le lit en examinateur y trouvera les questions auxquelles il n’a pas été conçu pour répondre.

Ce qu’est la surveillance des risques par le conseil#

La surveillance des risques par le conseil est la capacité du conseil à savoir quel risque l’institution porte réellement, à vérifier qu’il reste dans ce que le conseil a accepté, et à agir quand ce n’est pas le cas. Elle se distingue de la gestion des risques, qui appartient à l’exécutif, et n’exige pas de profondeur technique. Elle exige le répertoire de questions qui révèlent ce qu’un rapport omet, et la légitimité de les poser. Un conseil incapable de dire, dans ses propres mots, quel risque l’institution prend et pourquoi c’est acceptable, reçoit du reporting sur les risques plutôt qu’il n’exerce une surveillance.

L’appétit, lu honnêtement#

Le premier ensemble de questions concerne la déclaration d’appétit pour le risque, parce que c’est le document que le conseil a lui-même approuvé et celui qu’il a le plus probablement cessé de lire. Lue honnêtement, toute déclaration d’appétit fait deux choses : elle engage l’institution sur certaines limites, et elle permet en silence tout ce que ces limites n’atteignent pas. Les administrateurs doivent pouvoir dire quels risques la déclaration contraint réellement, dans une mesure que quelqu’un pourrait dépasser, et lesquels elle se contente de décrire. Ils doivent savoir comment les limites se déclinent en escalades, et, le plus révélateur, combien de dépassements sont survenus dans la période sans jamais atteindre le conseil parce que l’escalade s’est arrêtée un niveau en dessous.

La conversation d’appétit en une page est l’épreuve. Si le conseil ne peut pas la tenir, sur une page, sans la fonction risques dans la salle, la déclaration est devenue un dossier classé plutôt qu’une frontière.

Les modèles, les tableaux de bord et leurs silences#

Le deuxième ensemble de questions concerne ce que les chiffres ne peuvent pas savoir. Tout modèle repose sur l’hypothèse que l’avenir ressemblera au passé, et tout tableau de bord montre ce qui a été mesuré plutôt que ce qui compte. Les administrateurs n’ont pas besoin de comprendre les modèles pour en révéler la fragilité ; ils doivent demander ce qui devrait être vrai pour que le chiffre soit faux, et si quelqu’un a vérifié. Les risques qui blessent le plus les institutions sont rarement ceux qui ont une ligne sur le tableau de bord. Ils se cachent entre les rapports, dans l’agrégation que personne ne possède et les corrélations qui n’apparaissent que sous tension, et dans les expositions émergentes qui n’ont pas encore de données, et donc pas de diapositive.

La culture, les incitations et les pertes en fabrication#

Le troisième ensemble de questions est le moins confortable, parce qu’il porte sur les personnes plutôt que sur les chiffres. Les pertes de demain se fabriquent aujourd’hui par ce que l’institution récompense, tolère et choisit de ne pas voir. Un portefeuille de crédit, un dossier de sécurité, une exposition cyber et un dépassement de projet échouent par les mêmes failles de gouvernance : des incitations qui rémunèrent le volume, une culture où les mauvaises nouvelles circulent lentement, et une première ligne qui a appris quelles questions la seconde ligne ne pose pas. C’est pourquoi la surveillance des risques par le conseil voyage d’un secteur à l’autre. Les instruments diffèrent ; le mode de défaillance, non.

Là où la surveillance échoue#

La surveillance échoue de façons reconnaissables. Le conseil confond reporting et surveillance et mesure sa diligence à l’épaisseur du dossier. La déclaration d’appétit est approuvée chaque année et consultée jamais. Le questionnement devient théâtre : des questions posées pour le procès-verbal plutôt que pour la réponse, et traitées de même. Le comité des risques devient le lieu où l’on parle du risque pour que le conseil n’ait pas à le faire. Et quand le risque finit par survenir, le conseil gère lui-même la remédiation, ce qu’il ne peut pas bien faire, ou s’en retire entièrement, ce qu’il ne peut pas se permettre.

Les instruments diffèrent ; le mode de défaillance, non.

Quand le risque survient#

Le rôle du conseil quand le risque se matérialise est la surveillance de la remédiation, non la remédiation. Dans les premières heures, cela signifie trois choses : un rôle défini pour le conseil et son président, une cadence d’information que l’exécutif peut tenir tout en gérant l’événement, et une trace de ce que le conseil savait et a décidé, tenue au fil de l’eau. Après l’événement vient le retour d’expérience que le conseil se doit à lui-même, qui n’est pas celui de l’exécutif. Il demande ce que le conseil aurait pu voir, quelle question il n’a pas posée, et ce qui, dans sa propre surveillance, a laissé le risque arriver sans s’annoncer.

Que faire ensuite#

Prenez le prochain dossier de risques et lisez-le en examinateur. Quatre questions sont révélatrices.

1. Quels risques la déclaration d’appétit contraint-elle réellement, dans une mesure que quelqu’un pourrait dépasser, et lesquels se contente-t-elle de décrire ?
2. Combien de dépassements dans la période se sont arrêtés un niveau sous le conseil ?
3. Que faudrait-il pour que le chiffre central du rapport soit faux, et quelqu’un a-t-il vérifié ?
4. Que récompense l’institution aujourd’hui qui deviendra la perte de demain ?

Un conseil qui peut y répondre dans ses propres mots exerce une surveillance. Les administrateurs et membres de comité des risques qui veulent construire ce répertoire, aux côtés de pairs d’autres secteurs, le travaillent dans la masterclass Surveillance des risques au niveau du conseil de The Helm, la série dirigeants et conseil de BIZENIUS.