De l’appétence aux limites opérationnelles
Le problème de la formulation
« Nous avons une appétence faible au risque opérationnel » ne permet aucune décision. Personne ne peut dire, à partir de cette phrase, s’il faut accepter ou refuser un projet, un prestataire ou un délai.
Une appétence exploitable comporte trois composants : un montant de perte annuelle acceptée, un nombre d’incidents majeurs toléré, et des limites qualitatives sur ce qui n’est jamais acceptable.
La cascade
| Niveau | Formulation | Qui décide |
|---|---|---|
| Conseil | Perte opérationnelle annuelle inférieure à X M€ ; aucun incident affectant plus de Y clients | Conseil |
| Comité des risques | Répartition par ligne métier, seuils d’alerte à 70 % de la limite | Comité |
| Ligne métier | Limites par processus, indicateurs clés avec seuils vert / orange / rouge | Responsable de ligne |
| Terrain | Règles opérationnelles : montant maximal sans double validation, délai maximal de traitement | Manager opérationnel |
Sans cette cascade, la déclaration du conseil reste un document et n’influence aucune décision quotidienne.
Les limites qualitatives
Certaines choses ne se chiffrent pas et doivent néanmoins figurer dans la déclaration :
- aucune activité qui exposerait à une sanction de retrait d’agrément ;
- aucun traitement de données sensibles hors de l’Union sans clause adéquate ;
- aucun prestataire critique sans stratégie de sortie documentée ;
- aucune mise en production sans sauvegarde vérifiée.
Ces limites sont plus efficaces que les seuils chiffrés, parce qu’elles se vérifient objectivement.
Le reporting qui produit des arbitrages
Un rapport de risque opérationnel utile tient en une page et se termine par une demande de décision. Sa structure :
- Les pertes de la période, comparées à la limite ;
- Les indicateurs au rouge, avec l’action déclenchée ;
- Les risques dont le résiduel dépasse l’appétence ;
- Les décisions demandées au comité — deux ou trois, formulées en une phrase chacune.
Le point 4 est ce qui distingue un reporting d’une information. Un comité qui reçoit quarante pages sans demande de décision prend acte, et rien ne change.
À retenir
- Une appétence s’exprime en seuils, jamais en adjectifs
- La cascade relie la déclaration du conseil aux limites de terrain
- Un dépassement doit déclencher une action nommée, pas un commentaire