Taxonomie et trois lignes de défense
À quoi sert une taxonomie
Une taxonomie de risque opérationnel permet trois choses, et trois seulement :
- Agréger des pertes hétérogènes pour en tirer un total significatif ;
- Comparer entre lignes métier, entre entités, et avec des données externes ;
- Repérer les concentrations : un type d'événement qui revient dans cinq lignes métier révèle une cause systémique.
Elle ne sert pas à décrire finement un incident : c'est le rôle du récit de l'événement, pas de sa classification.
Les sept catégories de Bâle
| Catégorie | Contenu |
|---|---|
| Fraude interne | Actes commis par un membre du personnel |
| Fraude externe | Actes commis par un tiers, y compris cyberfraude |
| Pratiques RH et sécurité du travail | Contentieux social, accidents, discrimination |
| Clients, produits et pratiques commerciales | Défaut de conseil, produit inadapté, manquement déontologique |
| Dommages aux actifs physiques | Catastrophe naturelle, vandalisme, incendie |
| Interruption d'activité et pannes de systèmes | Indisponibilité informatique, défaillance d'infrastructure |
| Exécution, livraison et gestion des processus | Erreur de traitement, défaut de documentation, litige fournisseur |
La septième catégorie concentre à elle seule la majorité des événements en nombre, et la plus faible part en montant. Les catégories 1 et 4 concentrent l'inverse : peu d'événements, des montants extrêmes.
Les trois lignes de défense
Première ligne — les opérationnels. Ils prennent le risque et le gèrent. Ce sont eux qui exécutent les contrôles de premier niveau. Le risque leur appartient.
Deuxième ligne — le contrôle et la conformité. Elle définit le cadre, anime la méthode, challenge les évaluations de la première ligne et rend compte de manière indépendante. Elle ne gère pas le risque à la place de la première ligne.
Troisième ligne — l'audit interne. Elle fournit une assurance indépendante sur l'efficacité des deux premières. Elle n'a aucun rôle opérationnel.
La confusion à éviter
Les trois lignes sont trois rôles, pas trois niveaux hiérarchiques ni trois services.
Le glissement le plus fréquent : une deuxième ligne qui remplit elle-même les auto-évaluations de risque parce que la première ligne « n'a pas le temps ». Le résultat est une évaluation détachée de la réalité opérationnelle, que personne ne reconnaît comme sienne — et qui ne produira donc aucune action.
Le signal d'alerte est simple : si l'on demande à un manager opérationnel quels sont ses trois principaux risques et qu'il faut consulter le registre pour répondre, l'appropriation n'a pas eu lieu.
À retenir
- Une taxonomie sert à agréger et comparer, pas à décrire
- Trois lignes = trois rôles, jamais trois niveaux hiérarchiques
- La deuxième ligne challenge ; elle ne fait pas le travail de la première