Que fait réellement un chief risk officer ? Le mandat, les salles et le veto

Ce qu’est un chief risk officer#

Un chief risk officer est le dirigeant payé par l’institution pour s’en tenir à distance. Le rôle existe pour que quelqu’un au sommet sache quel risque l’institution porte réellement, le maintienne à l’intérieur de la limite arrêtée par le conseil, et soit entendu avant qu’une décision soit prise plutôt que consigné après.

Cette dernière proposition contient tout le siège. Une fonction risques consultée après coup, qui documente des décisions qu’elle n’a pas façonnées, respectée comme on respecte une exigence de conformité, a déjà échoué — quelle que soit la qualité de ses modèles. Les responsabilités du CRO qui comptent sont celles qui s’exercent avant la décision.

L’architecture du mandat#

Le mandat repose sur trois faits structurels, et chacun s’éprouve sous pression plutôt que sur l’organigramme.

• L’indépendance : l’appréciation d’un risque par le CRO ne peut être renversée par le métier qui veut le prendre. Une indépendance qui existe sur le papier et se dissout dans la salle est la défaillance la plus courante du siège.
• La ligne de rattachement : une ligne qui atteint le conseil — par le comité des risques et son président — plutôt que de s’arrêter au directeur général, afin que la seconde ligne soit entendue par ceux qui détiennent la limite.
• La seconde ligne de défense telle qu’elle fonctionne sous pression : les limites, les chemins d’escalade et la contestation qui tiennent quand une équipe est rentable, qu’une opération est en retard et que le directeur général la veut conclue.

L’appétit au risque n’a sa place ici que comme la limite que le CRO fait respecter. Le document appartient au conseil ; ce que le siège détient, c’est la question de savoir si le métier le ressent — si une limite est quelque chose qu’une équipe peut réellement atteindre, et si l’atteindre change quoi que ce soit.

Les salles qui décident du siège#

Un CRO est efficace, ou non, dans trois salles. Le comité des risques du conseil est la première : le dossier que le CRO rédige pour lui, l’exposé fait de l’autre côté de la table, et la dissension professionnelle que le comité devrait pouvoir entendre du siège sans drame. Le régulateur est la seconde, et la relation est une discipline permanente plutôt qu’un événement — un superviseur qui apprend un problème par le CRO avant de l’apprendre par les chiffres traite l’institution autrement. Le directeur général est la troisième : le CRO est à la fois partenaire et contre-pouvoir, et la ligne entre les deux est le travail quotidien du siège.

Un CRO efficace dans une seule des trois salles ne tient pas encore le mandat.

Un CRO efficace dans une seule des trois salles ne tient pas encore le mandat. Le comité qui fait confiance à un CRO que le directeur général ignore dispose d’un rapport, pas d’une fonction risques ; le directeur général qui s’appuie sur un CRO que le régulateur ne croit pas dispose d’un conseiller, pas d’une seconde ligne.

Le veto#

Dans certaines institutions, le CRO détient un veto formel sur les opérations ou les limites ; dans beaucoup, le veto est théorique, un droit qui existe jusqu’à ce qu’on l’exerce. Dans les deux cas, la discipline est la même : un veto s’exerce rarement, au grand jour et chiffres à l’appui, car un veto exercé en privé ou à l’instinct coûte au siège davantage que le risque qu’il a arrêté. Là où aucun veto n’existe, l’instrument du CRO est d’être entendu assez tôt pour qu’aucun ne soit nécessaire — ce qui est précisément l’objet de la ligne de rattachement et des salles décrites plus haut.

Là où le siège se perd#

Le rôle échoue de manières reconnaissables. Le CRO devient le bureau du non, respecté et contourné. Ou le CRO devient le conseiller risques du directeur général, influent et plus indépendant. Ou la fonction produit des rapports écrits pour être approuvés, et le conseil découvre l’exposition réelle par une perte plutôt que par le siège. Chacune de ces défaillances est une défaillance de l’architecture du mandat sous pression, non de la technique.

L’épreuve la plus dure#

Le siège est finalement jugé sur le risque qui se matérialise. Dans ces heures, le CRO détient l’information sur laquelle l’institution agit, l’escalade vers ceux qui doivent décider, et la trace qui sera lue ensuite par le conseil, le régulateur et peut-être d’autres. Vient ensuite le retour d’expérience — sans boucs émissaires, mais avec des conséquences — puis le travail plus lent de reconstruction de la crédibilité : celle des modèles qui n’ont rien vu, de la fonction qui les faisait tourner, et du dirigeant qui signait les rapports. Un CRO qui a réfléchi à cette semaine avant qu’elle n’arrive tient le siège autrement que celui qui ne l’a pas fait — c’est ce que Le mandat du CRO est construit pour travailler.