ERM : COSO, ISO 31000 et appétit pour le risque

Sciences actuarielles · Master 1

Cadres COSO ERM et ISO 31000, appétit, tolérance et capacité de risque en entreprise.

Introduction

La gestion des risques d'entreprise (ERM) vise à intégrer la gestion des risques à la stratégie et à la performance. Deux référentiels dominent : COSO ERM (2017) et la norme ISO 31000 (2018). Le premier est organisé en composantes, la seconde en principes, cadre et processus.

Un concept central est l'appétit pour le risque : le niveau et le type de risque que l'organisation accepte de prendre pour atteindre ses objectifs. Il se décline en tolérance (écart acceptable par rapport aux objectifs) et se compare à la capacité de risque (limite au-delà de laquelle la survie est menacée).

Ce deck présente les deux cadres, leurs différences et la manière de formuler et suivre appétit et tolérance, avec des exemples d'assureurs, de caisses de pensions et d'entreprises industrielles suisses.

Objectifs d'apprentissage

Décrire les cinq composantes de COSO ERM 2017
Résumer les principes, le cadre et le processus d'ISO 31000
Distinguer appétit, tolérance et capacité de risque
Formuler un énoncé d'appétit mesurable avec indicateurs et limites

Concepts clés

COSO ERM 2017: Le référentiel comporte cinq composantes : gouvernance et culture, stratégie et fixation des objectifs, performance, revue et révision, information, communication et reporting. Il relie explicitement le risque à la création de valeur.
ISO 31000:2018: Norme de lignes directrices, non certifiable, articulée en principes (intégré, structuré, dynamique, etc.), cadre (leadership, intégration, amélioration) et processus (établir le contexte, apprécier, traiter, surveiller, communiquer).
Appétit, tolérance, capacité: L'appétit exprime le niveau de risque recherché ; la tolérance fixe l'écart acceptable sur un objectif ; la capacité de risque est la limite physique ou réglementaire. L'appétit doit rester inférieur à la capacité.
Traduction opérationnelle: L'appétit est décliné en indicateurs et limites : ratio de solvabilité cible, perte annuelle maximale, concentration par contrepartie. Le dépassement déclenche une remontée au conseil d'administration.

Conclusion

COSO et ISO 31000 offrent des structures complémentaires : COSO insiste sur la stratégie et la culture, ISO sur le processus. L'appétit, la tolérance et la capacité sont les paramètres qui rendent l'ERM pilotable.

Un bon énoncé d'appétit est chiffré, relié aux indicateurs de solvabilité et assorti de seuils d'escalade.

Cartes

Que signifie ERM ?: Enterprise Risk Management, gestion des risques d'entreprise.
Combien de composantes compte COSO ERM 2017 ?: Cinq : gouvernance et culture ; stratégie et objectifs ; performance ; revue et révision ; information et reporting.
ISO 31000 est-elle certifiable ?: Non, c'est une norme de lignes directrices.
Quelles sont les étapes du processus ISO 31000 ?: Contexte, appréciation (identification, analyse, évaluation), traitement, surveillance et revue, communication.
Qu'est-ce que l'appétit pour le risque ?: Le niveau et le type de risque que l'organisation accepte de prendre pour atteindre ses objectifs.
Qu'est-ce que la tolérance au risque ?: L'écart acceptable par rapport à un objectif.
Qu'est-ce que la capacité de risque ?: Le niveau maximal de risque que l'organisation peut supporter sans compromettre sa survie ou ses obligations.
Quelle relation entre appétit et capacité ?: L'appétit doit rester inférieur à la capacité, avec une marge.
Donnez un exemple d'indicateur d'appétit pour un assureur.: Ratio SST cible minimal ou perte maximale annuelle.

Glossaire

ERM: Approche intégrée de gestion des risques alignée sur la stratégie.
COSO ERM: Cadre américain à cinq composantes.
ISO 31000: Norme internationale de lignes directrices pour la gestion des risques.
Appétit pour le risque: Niveau de risque recherché pour la stratégie.
Tolérance au risque: Écart acceptable autour de l'objectif.
Capacité de risque: Limite au-delà de laquelle la survie est menacée.