La définition et ce qu'elle exclut

La définition de Bâle

Le risque opérationnel est le risque de perte résultant de processus internes défaillants ou inadéquats, de personnes, de systèmes, ou d'événements externes. Il inclut le risque juridique, mais exclut le risque stratégique et le risque de réputation.

Cette définition se lit par ses quatre causes, et c'est ainsi qu'elle devient utile.

Les deux exclusions, et pourquoi elles comptent

Le risque stratégique — se tromper de marché, rater une acquisition — est exclu parce qu'il relève d'une décision délibérée, pas d'une défaillance d'exécution.

Le risque de réputation est exclu comme cause, mais il apparaît comme conséquence dans toute évaluation d'impact. La nuance est méthodologique : on ne gère pas « le risque de réputation », on gère les événements opérationnels dont la réputation est l'un des impacts.

Ce qui rend ce risque particulier

Trois caractéristiques le distinguent des risques de crédit et de marché :

1. Il n'est pas volontairement pris. On choisit d'accorder un crédit ; on ne choisit pas de subir une panne.
2. Il ne se diversifie pas. Ajouter des lignes métier ajoute des risques opérationnels au lieu de les compenser.
3. Sa distribution est asymétrique. Beaucoup de petites pertes fréquentes, et quelques pertes extrêmes qui dominent le total. C'est pourquoi la moyenne historique est un mauvais estimateur, et c'est ce qui justifie l'analyse de scénarios.

Le lien avec la continuité

Le risque opérationnel et la continuité d'activité regardent le même objet sous deux angles. Le premier demande « quelle est la probabilité et le coût attendu ? » ; la seconde demande « si cela arrive, comment tenons-nous ? ».

Les deux dispositifs partagent la même cartographie de processus, les mêmes scénarios extrêmes et souvent les mêmes personnes. Les cloisonner produit deux fois le travail pour la moitié du résultat.