Repérer les risques émergents et s’y préparer dans un monde en profonde mutation

À l’instar de la crise financière de 2008, la pandémie de COVID-19 a incité beaucoup d’organisations à revoir leur approche à l’égard du risque. En parallèle avec le profond bouleversement qu’ils ont causé, les événements de l’année ont permis de confirmer la pertinence des principes de gestion stratégique des risques.

Au cours de la pandémie, bien des organisations ont constaté des lacunes dans leurs stratégies de gestion des risques. Pour les gestionnaires de risques, ces faiblesses peuvent représenter une occasion de réexaminer leur approche et d’augmenter leurs capacités de détection et d’atténuation des risques émergents à l’avenir. La prochaine grande menace pour une entreprise pourrait prendre la forme, entre autres, de changements politique, de conflits géopolitiques, d’une instabilité des marchés financiers, de catastrophes naturelles ou de perturbations du secteur.

Le mandat premier du gestionnaire de risques demeure de déterminer les risques naissants et de s’y préparer. En anticipant les risques, en créant une base solide pour y remédier et les atténuer, les organisations peuvent accroître leur résilience sur le plan opérationnel afin de mieux composer avec les répercussions potentielles. Elles doivent pour ce faire être déterminées à mener à bien le processus et un changement culturel. Suivez ces trois étapes pour aider votre organisation à se préparer à l’inconnu.

Adopter un processus officiel d’évaluation des risques avant d’y être forcé

Les organisations qui se dotent d’un processus officiel de gestion des risques sont plus résilientes que celles qui suivent une approche improvisée et réactive. L’évaluation des risques dépend du degré de maturité. Cela nécessite, en premier lieu, la compréhension de ce qu’est la gestion des risques de même qu’un engagement à cet égard au sein du conseil d’administration, ainsi que des rapports cohérents et réguliers sur les risques, à l’échelle de l’organisation. Le dernier rapport d’information sur l’indice de maturité à l’égard du risque d’Aon a même noté une plus grande volatilité du cours de l’action dans le cas des organisations ayant des pratiques de gestion des risques moins évoluées¹.

À l’engagement du conseil d’administration et aux rapports cohérents et réguliers à l’échelle de l’organisation doivent se greffer des données et analyses. Il incombe aux gestionnaires de risques de trouver des données sur les menaces potentielles au-delà des groupes sectoriels. Toutes les données doivent être traitées dans le cadre d’un processus officiel de collecte et d’examen relevant d’une structure de gouvernance composée de décideurs.

Dans tout processus exhaustif d’évaluation des risques, les principaux intervenants doivent participer à l’élaboration des stratégies et à l’établissement des politiques. Les conseils d’administration et les groupes de travail interfonctionnels peuvent transmettre de l’information susceptible de révéler des risques qui, autrement, auraient été négligés.

De nombreuses organisations ont recours à la prise de décisions fondées sur le risque, mais il leur manque souvent un processus d’évaluation et de classement des risques émergents. Un processus constructif de remise en question peut aider les décideurs à adopter une perspective plus large et à voir au-delà des risques opérationnels courants. Un processus robuste reposera sur les questions suivantes :

• Ce risque est-il pertinent pour l’entreprise?
• Quelles sont les répercussions financières et opérationnelles possibles pour l’organisation?
• Quels sont les paramètres à utiliser pour évaluer ce risque?
• Dans quelle situation une organisation devrait-elle s’inquiéter de ce risque?
• L’organisation devrait-elle prévenir ou atténuer ce risque?
• Notre organisation est-elle en bonne position pour repérer de nouveaux risques potentiels?

Ces questions du processus de remise en question peuvent aider à quantifier le risque, à déterminer s’il doit être conservé ou transféré, et à démontrer la valeur globale de votre stratégie de gestion du risque.

Surveiller de près la chaîne d’approvisionnement

Assurez-vous de bien comprendre votre chaîne d’approvisionnement pour ne pas être pris au dépourvu par les événements mondiaux. Surveillez les risques émergents dans toutes les régions géographiques où s’exercent des activités de votre chaîne d’approvisionnement.

La pandémie a montré que les crises de santé publique peuvent se répercuter sur la chaîne d’approvisionnement et avoir de graves répercussions sur le rendement des entreprises de certains secteurs. Les gestionnaires de risques peuvent se servir d’outils perfectionnés, comme la modélisation de la chaîne d’approvisionnement, pour cerner les faiblesses et les possibilités de créer des redondances.

Grâce à la modélisation de la chaîne d’approvisionnement, les organisations peuvent explorer en profondeur des données détaillées pour déterminer les aspects particuliers les plus exposés de leur chaîne d’approvisionnement.

Il peut être difficile d’atténuer les nouvelles menaces qui pèsent sur les chaînes d’approvisionnement, car les entreprises ont dépensé des millions, voire des milliards, pour construire l’infrastructure nécessaire à ces stratégies d’approvisionnement. La prévention reste la meilleure façon de lutter contre une menace, mais l’atténuation peut se révéler plus rentable. Souvent, les organisations optent pour l’atténuation plutôt que pour la prévention des risques émergents associés à la chaîne d’approvisionnement parce qu’elles adaptent lentement leurs processus de production, au fil du temps, à coup de dépenses en immobilisations.

Intégrer la réflexion sur les risques dans l’ensemble de l’organisation

Si vous voulez repérer les risques émergents assez vite pour y réagir, l’évaluation des risques doit se faire en continu, non pas uniquement comme un processus annuel.

Des programmes de gestion des risques alignés sur les objectifs organisationnels et établis par consensus entre les principaux intervenants contribueront à protéger le bien-être opérationnel et financier de l’organisation, et pourraient même conférer des avantages stratégiques et concurrentiels.

L’intégration étroite de la gestion des risques repose sur la culture de l’organisation. Un gestionnaire de risques doit faciliter cette intégration en déterminant les paramètres clés et en donnant une formation pertinente pour l’organisation. Par exemple, si une organisation fait face à une menace à la cybersécurité, les employés doivent apprendre à reconnaître une cyberattaque et à la signaler au personnel compétent. Les mesures et la formation dépendent de la culture de l’organisation, et le gestionnaire de risques doit être en mesure d’explorer et d’expérimenter des méthodes pour favoriser davantage de réflexion sur les menaces potentielles. Dans toute grande organisation, il peut être utile de confier à un seul cadre la détermination des risques émergents et la préparation connexe.

Ces étapes peuvent aider les gestionnaires de risques et leurs équipes à découvrir et à atténuer les risques émergents pour leur organisation. Il faut du temps et des efforts pour instaurer un meilleur processus d’évaluation, axé sur les menaces susceptibles de nuire à la chaîne d’approvisionnement, et concrétiser l’engagement à intégrer la gestion des risques à la culture d’une organisation. Ceux qui y consacrent les efforts nécessaires pourront affronter notre avenir incertain avec une plus grande tranquillité d’esprit.

^{1. Aon, Risk Maturity Index Insight Report, octobre 2017}