Le risk management, on en parle certes beaucoup et plus que jamais...

Il faut bien voir que rentabilité, risque et capitalisme sont des notions parfaitement imbriquées. Gérer les risques est donc inhérent à tout type de management et c’est une préoccupation logique pour tout manager. Au fond, puisqu’on considère que les investisseurs attendent une rémunération qui dépend d’une prime de risque, garder la maîtrise des risques c’est garder la possibilité d’investir. Ne pas maîtriser ses risques, c’est se condamner à rendre, un jour ou l’autre, l’argent aux actionnaires et c’est se condamner à enclencher des processus catastrophiques. Nous sommes donc bien au cœur d’une problématique fondamentale. Malgré cela, on peut se poser quelques questions que je vais vous livrer.

Première interrogation : A-t-on oublié que risque et rentabilité sont indissociablement liés et donc que gérer les risques c’est créer de la valeur ?
Lorsque j’ouvre un manuel de finance, on m’explique que la décision financière se prend dans une problématique risque / rentabilité. Et, en effet, nous apprenons tous à nos étudiants que le choix financier se situe toujours dans une problématique risque / rentabilité. Or, lorsque l’on regarde ce qui se passe en pratique depuis quelque temps, il y a de quoi se demander si ces basiques n’ont pas été oubliés. N’ont-ils pas été oubliés par les dirigeants, en premier lieu, notamment ceux qui ont cru qu’on pouvait croître par l’endettement ? Ces basiques n’ont-ils pas été mis au second plan par les investisseurs ? N’assistons-nous pas à un mouvement de balancier, le risque étant sous-estimé au profit de l’attrait de la rentabilité, puis celle-ci considérée frileusement, le risque accaparant toute l’attention, parfois au-delà du raisonnable ? Tout le monde entend parler des fameux 15% paraît-il exigés par les investisseurs. Ces 15% n’étaient-ils pas valables pour certaines entreprises où le risque était très important vu la phase de démarrage où elles se trouvaient ou devaient-ils être généralisés à tout le monde, à des entreprises moins risquées ? Ces basiques n’ont-ils pas été oubliés par les managers et les contrôleurs de gestion eux-mêmes ? Les contrôleurs de gestion sont passés du contrôle budgétaire à quelque chose qu’ils appellent le pilotage de la performance. La création de valeur soit, mais qu’est-ce que le pilotage de la performance ? C’est quelque chose de multidimensionnel : ce n’est pas seulement le pilotage par la rentabilité. C’est le suivi des performances techniques, physiques et autres. En contrôle de gestion, la dernière mode est le balance scorecard ou BSC : on vous explique qu’il y quatre dimensions à la performance donc que celle-ci se représente en quatre cadrans que toute entreprise doit équilibrer si elle veut gérer de façon complète ses performances. Regardez donc où est le risque dans le Balance Scorecard : il n’y est pas ! Dans les écrits de Kaplan et autres, il y a cinq lignes… C’est donc la première interrogation : on s’aperçoit que les acteurs, peut-être en parlant un peu vite de la création de valeur ont oublié que gérer les risques c’est créer de la valeur. Dès le moment où on a affaire à des investisseurs pour qui le coût du capital dépend du risque couru, du risque perçu, le gérer, c’est créer de la valeur.

Deuxième interrogation : Qu’est-ce que le risk management ? et qui sont les risk managers ?
Si on consulte l’Encyclopédie de gestion à l’article risk management, on y lit que “ la conception du risk management diffère souvent d’une entreprise à l’autre et évolue dans le temps ”. La définition de la fonction de risk manager apparaît comme un sujet en soit. Tout le monde est d’accord pour aller dans ce sens-là. C’est une conception qui a évolué puisqu’on utilisait initialement un critère relativement clair qui était la gestion des assurances de l’entreprise puis, on s’est aperçu que les risques n’étaient pas seulement des événements négatifs. Les risques sont des processus, des enclenchements… On s’est rendu compte avec la théorie financière que risque et rentabilité étaient deux faces d’un même problème. Donc, lorsqu’on parle de gestion des risques, on ne parle pas que des sinistres et l’assurance n’est qu’une façon de les gérer : on a besoin d’une fonction qui les appréhende, qui soit capable de les cartographier, qui soit capable d’aider les managers à les identifier, à les gérer, à prendre des décisions, à les financer… On se trouve donc devant une évolution séduisante mais qui pose des questions au point qu’on se demande si le risk management n’est pas une fonction appelée à évoluer et à se rapprocher d’autres fonctions. Le grand classique, c’est l’audit : on nous dit que le risk management et l’audit ont vocation à se rapprocher, comme on l’a vu récemment dans la presse. Peut-être, si on considère que l’audit est une fonction tournée vers les éléments plutôt désagréables qu’il faut éviter… Mais, les processus du risk management et de l’audit sont-ils les mêmes ? La logique, les temps, les cycles sont-ils les mêmes ?
A propos d’audit, on a vu récemment le rôle décevant des comités d’audit. Qui était le président du comité d’audit d’Enron ? C’était le Professeur Jaedicke, doyen de Stanford, célèbre professeur de comptabilité dont le curriculum vitae dit qu’il était supérieur à tout autre pour démêler les problèmes comptables complexes.

Troisième interrogation : Ne voit-on pas de façon étriquée le contrôle interne ?
Est-ce le contrôle des opérations de routines qui, au fond, sont faites par ceux qui n’ont pas de pouvoir de décision ? Ou est-ce, comme l’a développé le COSO, le contrôle de ceux qui ont des droits de décision ? Là aussi, on peut s’inquiéter lorsqu’on entend des analystes dire : “ J’ai assisté aux présentations de Enron. Je n’y comprenais rien mais je ne voulais pas le dire pour ne pas passer pour un idiot. ”

Quatrième interrogation : Comment gérer les risques avec les nouvelles formes d’organisation ?
Deux dernières questions me sont venues à l’esprit. Au fond, le risque n’est pas quelque chose de simple. C’est sûrement un processus. Ce ne sont pas des événements ponctuels. Ca se gère à plusieurs… Qu’en est-il avec les nouvelles formes d’organisation ? On voit les entreprises confier à des transactions externes ou à des partenariats, des opérations qui relèvent de la hiérarchie stricte. Alors que devient le contrôle interne dans tout ça ? On voit bien que c’est un concept loin d’être simple et qui a besoin d’être précisé.

Cinquième interrogation : Risk management et développement durable : qu’est ce que cela signifie ?
J’en arrive à ma dernière question. J’ai vu dans les sondages auprès des risk managers qu’ils aimeraient développer une approche plus tournée vers le développement durable. Qu’est-ce que cela veut dire ? Déjà, si le risk management est tourné vers les seuls actionnaires, tout n’est pas forcément simple mais on dispose au moins d’un critère de référence : la richesse de l’actionnaire. Mais s’il est tourné vers le développement durable et les stakeholders ou parties prenantes, cela devient encore plus délicat.

Par Henri Bouquin, Directeur du crefige