Reporting des risques : 5 questions que tout conseil d’administration devrait poser

Dans de nombreuses PME, le reporting des risques existe. Pourtant, cela ne signifie pas encore que le conseil d’administration dispose réellement des informations dont il a besoin pour exercer sa surveillance.

Un registre transmis avant la séance, quelques dizaines de lignes, une matrice en couleurs et une liste de mesures ne suffisent pas forcément à permettre une discussion de qualité.

La vraie question est ailleurs : le conseil dispose-t-il d’une information suffisamment claire, structurée et comparable pour comprendre les principaux risques, suivre leur évolution et intervenir au bon moment ?

Dans une société anonyme suisse, le conseil d’administration assume des attributions qu’il ne peut déléguer à personne : la haute direction de la société, la fixation des principes de la comptabilité et du contrôle financier, ainsi que la haute surveillance de la gestion (art. 716a CO). Depuis la révision entrée en vigueur en 2023, l’art. 725 CO dispose en outre que le conseil surveille la solvabilité de la société. Ces devoirs supposent de pouvoir s’appuyer sur une information exploitable et pas simplement sur l’existence formelle d’un registre des risques.

Se concentrer sur les risques qui comptent vraiment

Un reporting efficace ne doit pas nécessairement reprendre l’intégralité du registre des risques.

Pour une PME, une synthèse centrée sur une dizaine de risques majeurs peut constituer une bonne base, à adapter naturellement à la taille et à la complexité de l’entreprise. Le registre complet reste disponible en arrière-plan, mais le conseil doit pouvoir identifier rapidement les sujets qui nécessitent réellement son attention.

Pour chaque risque important, cinq éléments devraient être visibles :

Le scénario. Que peut-il réellement se passer et quelles seraient les conséquences pour l’entreprise ?

L’évaluation. Selon quelle échelle la probabilité et l’impact ont-ils été appréciés ?

L’effet des mesures prises. Quel était le risque initial, quel est le niveau de risque résiduel aujourd’hui et quel est le niveau visé ?

Le responsable et l’échéance. Qui coordonne le suivi et quand le prochain point doit-il être fait ?

L’évolution. Le risque augmente-t-il, diminue-t-il ou reste-t-il stable ? Qu’est-ce qui explique cette évolution ?

Cette structure permet surtout d’éviter que le conseil passe son temps à commenter une matrice de risques au lieu de discuter des véritables arbitrages.

Définir ce que l’entreprise est prête à accepter

Le reporting devient beaucoup plus utile lorsque le conseil a défini un cadre d’acceptation des risques.

L’appétence au risque permet de préciser quels niveaux d’exposition l’entreprise est prête à accepter pour atteindre ses objectifs, mais aussi quelles limites elle ne souhaite pas dépasser.

Cela peut rester très concret.

Un conseil peut par exemple fixer une limite maximale pour certains placements financiers risqués ou déterminer dans quels pays l’entreprise accepte ou non de développer une nouvelle activité. Dans des dispositifs plus avancés, ces limites peuvent aussi être complétées par des scénarios de stress.

L’objectif n’est pas de multiplier les règles, mais de créer un cadre permettant à la direction et au conseil de parler le même langage lorsqu’un risque augmente.

Suivre les signaux avant qu’ils ne deviennent des problèmes

Les Key Risk Indicators, ou KRI, peuvent aider le conseil à détecter plus tôt une évolution défavorable.

Pour une PME, quelques indicateurs simples peuvent déjà être très utiles :

• écart entre budget et réalisé pour le risque stratégique
• nombre de mois de trésorerie disponible pour la liquidité
• part du chiffre d’affaires réalisée avec les principaux clients pour le risque de concentration
• nombre d’incidents ou de vulnérabilités critiques pour le cyber
• taux de rotation du personnel pour les ressources humaines
• dépendance à un fournisseur critique pour le risque fournisseur

Ces indicateurs ne remplacent pas l’analyse qualitative. Ils permettent en revanche de déplacer la discussion du conseil.

Au lieu de parler uniquement de ce qui s’est déjà passé, le CA commence à discuter des signaux qui pourraient annoncer un problème à venir.

Organiser également l’alerte entre les séances

Un bon système de reporting ne doit pas fonctionner uniquement au rythme des séances du conseil.

Certains événements nécessitent une information immédiate.

La perte d’un client majeur, un problème de liquidité important, une indisponibilité d’un prestataire critique ou un incident grave ne devraient pas attendre la prochaine séance ordinaire du CA.

Le conseil et la direction devraient donc convenir à l’avance des événements qui nécessitent une alerte, des personnes à informer et du canal à utiliser.

Cela ne signifie pas que le conseil reprend la gestion opérationnelle. Cela lui permet simplement d’exercer son rôle de surveillance lorsque l’exposition de l’entreprise change significativement.

Une information concise, stable et traçable

Le reporting des risques gagne également en qualité lorsque sa présentation reste stable dans le temps.

Les mêmes catégories, les mêmes échelles et une structure comparable d’une séance à l’autre permettent de repérer plus facilement les évolutions.

La traçabilité est tout aussi importante. Les données critiques doivent pouvoir être reliées à une source, une date ou une hypothèse.

Et surtout, la concision reste une force.

Quelques pages de synthèse bien construites peuvent être beaucoup plus utiles au conseil qu’un registre de plusieurs dizaines de pages.

Cinq questions à poser lors de la prochaine séance

Pour tester rapidement la qualité du reporting des risques, le conseil peut commencer par cinq questions simples :

1. Quelle échelle a été utilisée pour évaluer ce risque et qui l’a validée ?
2. Le niveau présenté correspond-il au risque initial, au risque résiduel ou au niveau cible ?
3. Qui coordonne le suivi et quelle est la prochaine échéance ?
4. Comment ce risque a-t-il évolué au cours des six derniers mois et pourquoi ?
5. Quel événement justifierait une alerte avant la prochaine séance ?

Si les réponses restent floues ou contradictoires, le problème ne se situe peut-être pas dans le document présenté au conseil, mais dans le processus de gestion et de reporting lui même.

Le reporting n’est pas une fin en soi

La qualité d’un système de gestion des risques ne se mesure pas au nombre de lignes du registre ou à la sophistication de la matrice utilisée.

Elle se mesure à la capacité du conseil à comprendre les principaux risques, à poser les bonnes questions et à intervenir au bon moment.

Pour améliorer le dispositif, trois décisions simples peuvent déjà faire une différence : définir le délai de transmission des documents au conseil, sept jours avant la séance par exemple, fixer les seuils qui déclenchent une alerte entre deux séances et adopter une structure de reporting stable dans le temps.

Le reporting prend alors tout son sens : il ne sert plus uniquement à documenter les risques. Il devient un véritable outil de gouvernance et de décision.

À propos de l’auteur

Jaurès Adjamonsi est comptable senior à Lausanne et travaille en étroite collaboration avec la direction des risques. Il est également fondateur de RiskBoard, à Juriens dans le canton de Vaud.

Note de traduction
Le texte original a été rédigé en français. La version allemande a été établie avec l'aide de l'intelligence artificielle. En cas de divergence d'interprétation, la version française fait foi.

Note de transparence
L’intelligence artificielle générative a été utilisée en appui de la recherche documentaire et des travaux rédactionnels préparatoires. La conception de l’article, la sélection et la pondération des contenus, leur mise en perspective professionnelle, la version définitive du texte et la responsabilité de l’ensemble des affirmations et conclusions sont celles de l’auteur.

Disclaimer

Cet article fait partie de la série « Network Briefs, réflexions et impulsions de membres du SwissBoardForum ». Les contenus reflètent l’opinion personnelle de l’autrice ou de l’auteur et ne correspondent pas nécessairement à la position du SwissBoardForum. L’objectif est d’aborder des questions actuelles de la pratique des conseils d’administration et de rendre visibles différentes perspectives issues du réseau, de manière personnelle, pertinente et stimulante pour le travail de mandat. La version française de cet article a été réalisée à l’aide d’un outil d’intelligence artificielle. Le texte original a été rédigé en allemand. En cas de divergences d’interprétation, la version originale en langue allemande fait foi.