ERM : risque opérationnel, incidents et continuité

Sciences actuarielles · Master 1

Risque opérationnel : taxonomie de Bâle, collecte d'incidents, scénarios et continuité.

Introduction

Le risque opérationnel est le risque de perte résultant de processus, de personnes, de systèmes inadéquats ou défaillants, ou d'événements externes. Il comprend le risque juridique mais exclut en général le risque stratégique et de réputation. Il est transversal à toutes les activités d'une assurance, d'une banque ou d'une industrie.

La taxonomie de Bâle distingue sept catégories d'événements, de la fraude interne aux défaillances de processus. Les entreprises collectent leurs incidents, réalisent des auto-évaluations des risques et des contrôles (RCSA) et simulent des scénarios extrêmes, comme une panne informatique prolongée ou une cyberattaque.

Le deck présente ces méthodes, la quantification par fréquence-sévérité et l'importance des plans de continuité d'activité.

Objectifs d'apprentissage

Définir le risque opérationnel et ses frontières
Citer les sept catégories d'événements de Bâle
Décrire la collecte d'incidents et le RCSA
Concevoir un scénario extrême et un plan de continuité

Concepts clés

Définition: Perte due à des processus inadéquats, des personnes, des systèmes ou des événements externes. Les causes sont classées en processus, personnes, systèmes et externe.
Taxonomie de Bâle: Sept catégories : fraude interne, fraude externe, pratiques en matière d'emploi et sécurité sur le lieu de travail, clients, produits et pratiques commerciales, dommages aux actifs corporels, interruption d'activité et défaillance des systèmes, exécution, livraison et gestion des processus.
Collecte et auto-évaluation: Une base d'incidents enregistre date, montant, cause et catégorie. Le RCSA fait évaluer par les métiers les risques et l'efficacité des contrôles. Les seuils de déclaration sont fixés pour éviter la sous-déclaration.
Scénarios et continuité: Les scénarios extrêmes estiment des pertes rares (cyberattaque, perte d'un site). La quantification combine fréquence et sévérité. Le plan de continuité d'activité définit les processus critiques, les délais de reprise (RTO) et la perte de données tolérable (RPO).

Conclusion

Le risque opérationnel est difficile à mesurer mais incontournable. Une taxonomie claire, des incidents bien enregistrés, des scénarios plausibles et un plan de continuité testé forment le socle.

Il faut aussi relier ces éléments à l'appétit pour le risque et au reporting au conseil d'administration.

Cartes

Définissez le risque opérationnel.: Risque de perte lié à des processus, personnes ou systèmes inadéquats ou à des événements externes.
Combien de catégories d'événements compte la taxonomie de Bâle ?: Sept.
Donnez trois catégories de la taxonomie de Bâle.: Fraude interne, fraude externe, interruption d'activité et défaillance des systèmes.
Qu'est-ce que le RCSA ?: L'auto-évaluation des risques et des contrôles par les métiers.
Pourquoi une base d'incidents est-elle utile ?: Pour mesurer fréquence et sévérité et identifier les causes récurrentes.
Que signifie RTO ?: Recovery Time Objective, délai maximal acceptable de reprise d'un processus.
Que signifie RPO ?: Recovery Point Objective, perte de données maximale tolérable.
Pourquoi des scénarios extrêmes ?: Parce que les événements rares sont mal couverts par l'historique.
Exemple de transfert d'un risque opérationnel ?: Assurance cyber ou externalisation avec garanties contractuelles.

Glossaire

Risque opérationnel: Perte due aux processus, personnes, systèmes ou événements externes.
RCSA: Auto-évaluation des risques et contrôles.
Base d'incidents: Registre des événements opérationnels.
Plan de continuité: Plan pour maintenir ou rétablir les activités critiques.
RTO: Délai maximal visé pour redémarrer un processus.
Cyber-risque: Risque lié aux attaques informatiques.