La base de pertes qui sert à quelque chose
Le seuil de collecte
Trop haut, on ne capte que les événements graves — et l'on perd les signaux précurseurs. Trop bas, on collecte des milliers de lignes que personne n'analyse.
La règle pratique : un seuil qui produit entre 50 et 300 événements par an pour l'entité. En dessous, l'échantillon est trop faible pour révéler des tendances ; au-dessus, l'analyse cause racine devient impraticable.
Le seuil se fixe en montant, mais il doit s'accompagner de trois exceptions collectées quel que soit le montant :
- Tout événement impliquant une fraude, même de 50 € ;
- Tout événement ayant entraîné une réclamation client ;
- Tout événement ayant nécessité une notification réglementaire.
Les quasi-incidents
Un quasi-incident — un événement qui aurait pu causer une perte mais ne l'a pas fait — porte exactement la même information causale qu'une perte avérée, sans le coût.
Ils sont pourtant rarement collectés, pour une raison culturelle : les déclarer expose une faiblesse sans qu'aucun dommage ne l'ait rendue publique. Une organisation qui collecte peu de quasi-incidents n'a pas moins de failles : elle a moins de confiance.
Les six champs indispensables
| Champ | Pourquoi |
|---|---|
| Date de survenance et date de détection | L'écart entre les deux mesure la capacité de détection |
| Montant brut et montant net de récupération | L'assurance et les récupérations modifient l'analyse |
| Catégorie Bâle | Reporting réglementaire et comparaison externe |
| Cause racine | La seule information qui permette d'agir |
| Contrôle défaillant | Relie la perte à la RCSA |
| Action corrective et son statut | Ferme la boucle |
L'écart entre survenance et détection est le champ le plus négligé et l'un des plus instructifs. Une fraude détectée après onze mois et une fraude détectée en deux jours ne posent pas le même problème, même à montant identique.
La cause racine
Une cause racine exploitable répond à la question « que devons-nous changer ? ». Comparez :
- « Erreur humaine » — aucune action possible, les humains continueront de faire des erreurs.
- « Le contrôle de second niveau n'est exécuté que sur les opérations supérieures à 100 k€, et l'erreur portait sur une opération de 80 k€ » — le seuil est le problème, il se change.
La méthode des cinq pourquoi suffit dans la grande majorité des cas. Elle prend dix minutes et transforme une base de pertes en dispositif d'amélioration.
À retenir
- Un seuil trop haut masque les signaux faibles, trop bas noie l'analyse
- Les quasi-incidents valent autant que les pertes avérées
- Sans cause racine, la collecte est un exercice comptable