1

Gestion des risques: de la recherche appliquée à des solutions du

marché

Solange Ghernaouti-Hélie

Cycle de conférences SEDGE – Security in digital environnements HEC – UNIL

Jeudi 5 mars 2009 En cette période d’incertitude importante, les organisations doivent gérer des situations de plus en plus complexes dans un environnement en forte évolution. Une approche uniquement intuitive de la gestion des risques n’est plus suffisante au regard du besoin d’optimiser les investissements en matière de sécurité. Un difficile équilibre est à trouver entre le coût du risque et de sa réduction pour une assurance raisonnable et durable de la réalisation des objectifs des organisations. Difficile aujourd’hui d’aborder la question de la gestion des risques dans le contexte économique et financier que nous connaissons, de l’ampleur des turbulences engendrées par la crise économique que nous traversons du fait non pas d’une mauvaise gestion des risques mais d’une absence de gestion des risques. Le principal problème de la crise financière actuelle est que les financiers ont cru qu'ils pouvaient générer plus de profits en croyant peut être que les risques étaient sous contrôle. Toutefois en risk management, rechercher plus de profit consiste également à prendre plus de risques.... On peut dès lors s’autoriser à dire que la crise actuelle illustre surtout la faillite de la non gestion des risques ! Du pourquoi, ou du comment en sommes nous arrivés là ; ne sont pas au débat de ce soir. Mais comment ignorer dans la dimension planétaire, le rôle de l’information, de la valeur de l’information, de la pertinence des processus de décision, de l’implication des technologies de l’information et de la communication? La crise financière que nous traversons, ne serait-elle pas à imputer pour une bonne part, à un défaut de gouvernance mondiale de la gestion du risque financier ? Or c’est bien de cela qu’il s’agit ce soir : • Comment apprécier les risques réellement encourus, distinguer ce qui est potentiel, ce qui peut advenir à ce qui se produit réellement, de l’effort à consentir pour ne pas mettre en péril l’organisation ? Interrogeons-nous sur la valeur à accorder à des ressources pour les préserver dans une optique de développement durable par une sécurité appropriée, sans syndrome sécuritaire, ni aveuglement laxiste. Un risque peut ne pas se matérialiser en catastrophe. Toutefois, la composante probabiliste du risque, nous oblige à gérer l’incertitude. Incertitude à pouvoir préserver sur le long terme, les ressources nécessaires à la compétitivité et pérennité des organisations. Cette notion de continuité dans le temps, qui nous renvoie à celle du développement durable pour préserver les générations futures, pourrait être une réponse naturelle et prophylactique au type de crise profonde que nous vivons et qui nous oblige à réinventer la confiance et à dégager les moyens nécessaires et suffisants pour la construire. L’occasion peut-être, de remettre en cause : • notre manière de réaliser la sécurité des valeurs matérielles, immatérielles et des personnes ; • notre façon d’anticiper, de déceler les signaux avant coureurs, de prévoir et de réagir si les stratégies d’évitement ne sont pas efficaces. Osons un regard neuf pour repenser la gestion des risques et la sécurité de tous les acteurs et composantes de l’entreprise, redonnons un sens à l’intégration et à la cohérence globale.

2

Retenons la simplicité des outils et la complétude des démarches comme principes directeurs de l’efficacité des moyens. Questionnons-nous sur le recours limité à des règlementations, aux meilleures pratiques, ou encore aux notions de conformité à des standards du marché. Combien de fois sommes-nous confrontés au discours de la conformité qui devient un alibi pour une non gestion des risques, de la sécurité ou des responsabilités ? Ce n’est pas parce qu’un système est conforme à une norme, à une loi, qu’il est efficace et répond de manière optimale à un contexte dynamique, c’est probablement nécessaire mais pas suffisant ! En effet, la tentation pourrait être forte, au regard de la complexité du chantier à réaliser de ne pas investir dans la gestion des risques et de la sécurité, par un pilotage adapté, si aucune législation ne l’impose. De plus, respecter des contraintes et mise en conformité ne sont pas synonyme de pilotage!!! Il ne suffit pas. en effet, d’attester d’un degré de conformité ou d’une certification pour que les problèmes disparaissent d’eux-mêmes ! En fait, la recherche de la conformité conduit souvent à occulter la notion de pilotage des risques, pour une gouvernance efficiente. Ainsi, pour se rassurer le plus souvent les démonstrations de conformité ne refléteraient-elles pas l’abandon à des techniciens, dont la compétence n’est pas remise en cause, sur un domaine qui nécessite une gestion de haut niveau ? Est-ce que cela traduit une incapacité réelle, un défaut de moyens, un effet de mode ou simplement une grande difficulté à gérer un problème complexe et multiforme encouragé par des approches commerciales et un contexte favorable ? Pour enfoncer le clou, la gestion des risques ne se limite pas à la gestion de la conformité ; en effet, d’après ses auditeurs, ENRON était conforme avant de sombrer, Lehman Brothers avait une note AA avant de faire faillite, et la distinction entre évasion fiscale et fraude fiscale existe en droit Suisse, mais quid de la pérennité de la place financière Suisse avec un secret bancaire chancelant ? La notion de pérennité me fait penser à nouveau, à la préservation à long terme des ressources et par analogie, à celle de développement durable. Attardons-nous un peu sur la notion de développement durable : Ce qui a changé aujourd’hui c’est la possibilité pour l’Homme de comprendre la gravité de la situation et d’en démontrer les mécanismes, combinée à une capacité technique sans précédent pour analyser et comprendre les éléments du développement durable et leurs interactions. Le développement durable est basé sur la préservation des ressources de la capsule spatiale qu’est notre planète et de leur valeur pour la survie de l’humanité. L’objet est bien de préserver les ressources de l’entreprise, de les faire fructifier, d’apprécier leur valeur relative à leur perte potentielle et de ne pas limiter les critères d’efficacité économique à la seule rentabilité à court terme. Ne pas faire l’économie des moyens de la gestion des risques et de la mise en place de solution de sécurité efficaces et pérennes car nous ne pouvons pas faire l’économie de ces étapes lorsque l’on adresse des problèmes aux conséquences désastreuses, c'est-à-dire définitives puisque relatives aux conditions d’existence et de survie de nos enfants et générations futures ! Ce questionnement sur le développement durable des entreprises renvoie à un débat sur la notion de bonne gouvernance Sans recourir aux définitions que vous pourrez trouver dans vos dictionnaires habituels, qui font référence à des myriades de pratiques relevant de champs d’application très vastes, disons que la gouvernance est un dispositif qui permet de prendre les bonnes décisions au regard d’un environnement spécifique plus ou moins complexe. Les outils associés à une bonne gouvernance sont alors ceux qui soutendent cette capacité à prendre de bonnes décisions, en particulier par la mise en œuvre d’un système de pilotage efficace.

3

Une bonne gouvernance de la gestion des risques permettra de surmonter la difficulté à trouver de manière objective et systémique, un judicieux équilibre entre les principes de précaution élémentaires et la prise de risques maitrisée. Elle permettra d’établir une bonne balance des intérêts pour : • Assurer la pérennité ; • Assurer la flexibilité permettant de réagir rapidement aux inévitables perturbations ; • Eviter l’irréversible ; • Optimiser la performance ; en ayant pris soin d’identifier les ressources et leur valeurs relatives stratégiques qui doivent être préservées. La décision du niveau de protection d’une ressource dépend en effet de la valeur qui lui est accordée. Cette valeur peut varier en fonction des acteurs, selon l’usage, et dans le temps. L’effort à consentir au regard du risque de dégradation dépend de l’arbitrage entre les différentes valeurs du bien. En terme de protection des ressources, on peut, toujours par analogie, faire référence au Sommet de Rio qui nous rappelle qu’« il est nécessaire de l’imiter, d’encadrer ou d’empêcher certaines actions potentiellement dangereuses sans attendre que ce danger soit scientifiquement établi de façon certaine ». Cela pose le fondement du principe de précaution, selon lequel il est préférable de s’abstenir d’agir lorsque les conséquences d’une action peuvent être importantes et irréversibles tout en étant impossibles à prévoir par certitude scientifique. Le principe de précaution ne s’applique donc qu’à des risques potentiels mais incertains supposés graves et irréversibles mais surtout mal identifiés. Cela renvoie à l’incertitude, à la qualité des informations et des décisions…et à des questions : • Comment prendre des décisions dans un contexte d’incertitude ? • A partir de quand considérer que les connaissances sont incertaines ou au contraire suffisamment sûres ? • Comment tenir compte du principe de précaution, parfois de simple bon sens, mais pas toujours, qui privilégie des mesures procédurales de prudence, qui peuvent conduire à empêcher une activité économique différentielle et serait un certain frein à la compétitivité ? • Comment identifier et décrire la probabilité d’occurrence des risques ainsi que les gains potentiels et les éviter alors que les connaissances sont incertaines ? • Comment évaluer la capacité à garantir un risque, au sens d’assurance du terme, permettant la réversibilité ou la compensabilité y compris financière? • Comment distinguer menaces réelles de celles générées par la peur ? Risque réels, peur, rumeurs alarmistes ou escroquerie intellectuelle ??? Dès lors de quels outils un dirigeant et son board peuvent-ils s’appuyer pour prendre, dans un contexte d’incertitude, d’incohérence voire de cacophonie, les bonnes décisions dans le pilotage qu’ils ont mis en place ? • Comment construire des capacités à gérer une grande incertitude – difficulté inhérente à tout exercice de prévision ? A défaut de prétendre maitriser tous ces facteurs d’incertitude, il est possible d’en évaluer les conséquences. Cela suppose de savoir modéliser les effets des évolutions des différents paramètres exogènes et endogènes sur la performance de l’entreprise. Un tel modèle doit être simple et reposer sur quelques facteurs clés mais toujours bâtis à l’aide d’une gouvernance efficace. Bien entendu, cette gouvernance n’omettra pas le principe de prévention. Rappelons que la prévention s’applique lorsque les risques sont clairement identifiés. Il s’agit alors de s’attaquer au problème à la source plutôt que de le corriger après coup alors que le mal est fait.

4

La prévention ne peut réellement intervenir que si la connaissance des mécanismes en jeu permet d’estimer les dommages et qu’une action de prévention proportionnelle est possible. Rappelons également que la prévention s’inscrit dans le principe de précaution puisqu’elle désigne l’ensemble des dispositions destinées à empêcher des menaces précises dans le court terme ou à réduire et limiter les risques et ses impacts à plus long terme. Adopter des mesures effectives pour prévenir un risque de dommages graves et irréversibles même en l’absence de certitudes. La connaissance de la valeur des ressources est essentielle car elle décide de l’utilité ou non de la prévention et préside à toute démarche de sécurité. Il s’agit de réduire les risques connus par degrés, jusqu’à un état où toute réduction se traduira par des coûts supérieurs aux avantages escomptés. La meilleure politique est inutile si elle reste lettre morte. La faisabilité de sa mise en œuvre est tout aussi importante que ses objectifs. A sécurité, risque, prévention et précaution est associée la peur. Cependant, la peur ne facilite pas la réussite d’une politique de sécurité. Bien que la peur joue un rôle clé largement sous-estimé, évitons les réactions purement émotionnelles ! On connaît, depuis le 11 septembre notamment, une inflation du discours sur la peur à travers les risques qui font écho à d’autres peurs plus générales (criminalité, délinquance, bioterrorisme, pandémies,...). Difficile de dissocier la peur du danger réel. Il est important de saisir l’ambivalence de la peur : à la fois émotion primitive et construction sociale complexe. Elle est impliquée dans bon nombre de comportements : fuite devant des dangers réels, crainte des dangers imaginaires. La peur peut déboucher sur des stratégies d’évitement tout à fait utiles du point de vue de la sécurité provoquant une prise de conscience, un calcul des risques moteurs des démarches de protection et de prévention mais peut également être génératrice de paralysie du développement économique et social de l’entreprise ou de la société. Facteur de trouble mais aussi de régulation, la peur ne se limite pas à une négativité plus ou moins incontrôlable, elle agit comme parasite mais aussi comme un vecteur qui pousse vers le besoin de connaître les bons outils, aidant à la prise de décisions en toute connaissance de cause malgré l’incertitude. N’oublions pas le bénéfice pour certains, d’orchestrer ou d’instrumentaliser la peur pour faire adopter des solutions loin des intérêts de ceux qui sont sensés en profiter ! La peur concerne aussi personnellement le dirigeant au regard de sa responsabilité civile ainsi que celles des pertes financières et d’image de l’entreprise. A cela, il faut s’efforcer de répondre avec discernement et rationalisme. Ce qui nous ramène à l’importance de la détermination de la valeur, à la compréhension de l’environnement à protéger et des relations entre les entités qui le composent, qui commandent elles mêmes à la dynamique de son fonctionnement, et ainsi à la gouvernance de l’ensemble. Il n’y a pas de solution universelle pour répondre à la spécificité de chaque contexte, elle dépendra entre autres: • De la mobilisation collective de tous les acteurs ; • De la mise à disposition de grille de lecture simple, intégrative et fédératrice. Le risque naguère perçu comme un fléau et calamité que l’on ne pouvait que subir tend à devenir une donnée intégrée aux sociétés contemporaines, comme le soulignait déjà Ulrich Beck en 1986, dans son ouvrage de référence « La société du risque». Cette intégration se traduit par une évolution des mentalités et des comportements. C’est une exigence de plus grande sécurité qu’alimente la thématique de la maitrise des risques. La société civile moderne, le citoyen, n’acceptent plus les catastrophes comme une fatalité (accidents nucléaires-Tchernobyl ou chimiques-AZF, construction non-antisismiques,…). Cette intégration, c’est aussi la recherche généralisée des responsabilités lors de situation de crise et c’est enfin l’exigence d’indemnisations dès qu’il y a constatations de pertes ou de dommages.

5

En outre, il existe de nos jours, dans l’esprit populaire, une forte demande pour avoir de plus en plus de sécurité, tout en réfutant la réalité de l’incertitude et du risque. L’exigence de sécurité maximale est omniprésente. La pensée scientifique et philosophique des siècles passés a pu laisser croire à la possibilité d’atteindre une sécurité absolue, à l’effacement de l’incertitude et à la maitrise absolue du risque. Aujourd’hui les systèmes informatiques et leur complexité inhérente ont permis de réinventer la peur et ce n’est plus seulement la nature qui engendre les risques ou des catastrophes majeures, c’est la science et la technique ! Nous sommes loin de l’optimisme des scientistes du 19ème siècle ! Pour revenir à mes propos introductifs, certains risques liés aux technologies sont d’autant plus menaçants qu’ils sont mondialisés du fait de l’interdépendance des infrastructures. Ils dépassent les compétences de personnes ou d’institutions isolées qui demandent une certaine coopérations entre acteurs privés et publics au niveau local comme international, générant encore plus de complexité dans la gouvernance de la sécurité. L’évolution culturelle de l’appréhension des risques est perceptible dans son analyse et son traitement qui mettent en exergue la diversité des modes de gestion, qui dépendent eux-mêmes étroitement de sa connaissance et de son évaluation. Le risque devient aussi une opportunité de développement économique et un facteur concurrentiel. Bien sûr, pour les vendeurs de solutions de sécurité informatiques, mais également, par exemple, pour les architectes, urbanistes ou sociétés de BTP invitées à contrer les effets d’un tsunami ou de secousses telluriques potentiels. Ainsi, selon les acteurs et les cadres d’intervention, la représentation du risque prend des dimensions spécifiques par des constructions socio-économiques, par la perception d’une opportunité d’apporter du progrès, du mieux être, de la performance, de la compétitivité et du revenu financier. Bref, la gestion du risque des opportunités. On connaît des approches méthodologiques, déterministes, probabilistes qui apportent peu d’information sur la temporalité des dangers et la gestion de la complexité ou de l’incertain. Certaines méthodes mêlant empirisme et expertise ne permettent pas forcément de disposer d’une bonne gestion de risque et rarement d’une sécurité raisonnable du fait de leur grande complexité et de la difficulté pour les dirigeants d’exploiter ou d'interpréter les résultats issus de telles méthodes. Cela met en lumière le défi de la simplicité et de l’appropriation d’un savoir d’expert par les acteurs de l’entreprise. Alors que, concrètement, la réponse pour une bonne gestion des risques relève d’un quadruple registre de compétence. A savoir : 1 – le registre des techniques et sciences de l’ingénieur ; 2 – le registre réglementaire relevant du droit ; 3 – le registre de la gouvernance et du management ; 4 – le registre assuranciel ; On cherchera à déterminer en premier lieu, le niveau de risque avéré qui serait économiquement et socialement acceptable. C'est-à-dire, le risque auquel on consent d’être exposé compte tenu des avantages escomptés et du degré de confiance dans le mode d’évaluation et de contrôle. C’est le moment de mentionner le courage de certains décideurs qui relèvent le défi de la maîtrise des risques et en prennent la responsabilité dans un contexte économique où les contraintes de performances sont exacerbées… Et où j’ai essayé de vous convaincre, dans ce bref exposé, de la nature complexe du problème. C’est une raison pour entretenir la collaboration et le rapprochement du monde universitaire et de la recherche avec celui de l’entreprise. Les travaux de ces deux mondes s’enrichissent mutuellement. Plus particulièrement, c’est dans le souci de pouvoir répondre aux préoccupations des dirigeants, en leur proposant des instruments de pilotage des risques pour une croissance raisonnable, que s’inscrivent les activités de recherche que je dirige.

6

Cette conférence est le fruit d’une rencontre et c’est bien d’une rencontre qu’il s’agit ce soir. Rencontre autour d’une même problématique : • Comment intégrer toutes les facettes d’un problème complexe et multiforme, nécessitant des compétences diverses, pour répondre de manière pragmatique aux besoins de pilotage des entreprises ? Rencontre de personnes aux profils différents partageant des valeurs communes et qui se complètent dans les méthodologies de maîtrise des risques et de gouvernance de la sécurité. Rencontre de l’expression d’un besoin réel du marché et d’un savoir-faire théorique et pratique. Les bénéficiaires de cette rencontre sont en premier lieu vous, Mesdames et Messieurs les participants. Je vous remercie chaleureusement de l’intérêt que vous portez à nos travaux et démarches et souhaite que cette manifestation contribue en toute modestie, à répondre à certaines de vos préoccupations et à ouvrir un débat, sur la place accordée à la gestion des risques et à la mise en place de processus et solutions pour les maitriser dans vos pratiques respectives. Les vedettes de cette soirée sont bien sûrs nos conférenciers et partenaires. Je remercie particulièrement Monsieur Dominique Heintz de la société Audemars Piguet, Monsieur Pierre Alain Kart de la Bâloise assurances, pour leurs disponibilités et témoignages. J’adresse mes remerciements à nos partenaires institutionnels: La Bâloise et Oxand Suisse pour leur support financier à cette manifestation. J’en profite pour exprimer ma gratitude envers mon proche collaborateur Igli Tashi et aussi envers Olivier Bernard de la société Oxand avec lesquels nous avons développé une approche d’analyse des risques pour une sécurité raisonnable. Nous avons dénommée cette approche ARBALETS, acronyme de - Analyse des Risques, BALances d’intérêts ET Securité - en clin d’œil à Guillaume Tell qui a dû savoir faire la part des risques encourus au regard du bénéfice escompté. Pour son courage, son audace et sa capacité à maitriser les risques ! S’il était intuitif pour Guillaume Tell de faire « de la gestion de risque avec ses tripes », la référence à notre héros national ne peut pas faire oublier que la question du risk management possède une autre dimension à laquelle sait répondre Arbalets. Il ne s'agit pas d'une recette toute faite relevant du procédé de checklist, mais plutôt d'un cadre méthodologique suffisamment général et simple pour être appliqué à l'ensemble des fonctions/métiers/domaines d'une entreprise et suffisamment détaillé pour permettre une analyse efficace des risques, une détermination adéquate des mesures à prendre pour les traiter et pour favoriser une culture du risque, au sein de l'ensemble de l’entreprise. Arbalets permet de traiter tous les risques, quelque soit leurs natures (risque financier, environnemental, opérationnel, informatique, d’exploitation...) de manière uniforme, intégrée et transversale à toutes les fonctions de l'entreprise. Arbalets apporte un référentiel favorisant le développement d'une culture de gestion de risque et propose des moyens objectifs pour décider d'une sécurité ni trop importante ni trop faible afin d’éviter de surinvestir en sécurité, tout en se protégeant correctement. Cela contribue ainsi à maitriser les budgets sécurité, dont la plupart des enquêtes et analystes prédisent de manière récurrente une augmentation, sans pour autant répondre au besoin d’assurance raisonnable d'efficacité et d’efficience des solutions déployées. La parole est à Monsieur Olivier Bernard d’Oxand Suisse pour présenter la méthode Arbalets. Je vous remercie de votre attention. Professeure Solange Ghernaouti-Hélie, Lausanne.