Le défi
La plupart des incidents liés au risque opérationnel étant internes, la plupart des entreprises gardent leur pratique de gestion du risque opérationnel confidentielle. Il n’existe donc pas beaucoup de moyens pour les entreprises d’évaluer leur pratique par rapport à leurs pairs.
Notre vaste expérience en conseil en gestion des risques pour le secteur financier nous a permis de comparer le niveau de maturité de la gestion du risque opérationnel de cette grande compagnie d’assurance à celui de ses pairs.
Cette mission exigeait une grande transparence de la part du CRO et de son équipe, afin de partager avec nous les détails des rapports sur les risques, la méthodologie des cadres et sa mise en œuvre dans l’ensemble de l’entreprise.
Comprendre le client
Comme pour tout exercice de benchmarking, la première étape a consisté à comprendre en profondeur les pratiques du client, sa méthode, ses forces et ses faiblesses. Après les avoir rencontrés pour leur expliquer notre mission, nous avons pris le temps d’examiner tous les documents relatifs aux risques : les politiques et procédures, la structure de reporting et son contenu, les dispositions en matière de gouvernance, etc. Nous avons eu plusieurs réunions avec le client pour bien comprendre comment celui-ci déployait la gestion du risque opérationnel dans son entreprise.
Méthodologie et rapports de benchmarking
Pour l’exercice d’analyse comparative, nous avons utilisé un questionnaire propriétaire de 70 questions, réparties en 7 composantes du cadre de gestion des risques. Chaque composante comprenait une dizaine de questions visant à évaluer le niveau de maturité de la pratique de gestion des risques.
Nous avons qualifié les réponses aux questions selon un système de notation simple : oui (2), non (0) et partiellement (1). Nous avons évalué de manière indépendante - sur la base de notre examen de la pratique du client - les réponses à chacune de ces questions, et l’entreprise s’est également évaluée elle-même.
Ensuite, nous avons discuté des réponses à chaque question afin de mettre en évidence les différences et de confronter les points de vue. Après plusieurs réunions, nous sommes parvenus à un consensus sur la quasi-totalité des réponses.
Rapports
Enfin, nous avons remis au comité des risques du conseil d’administration un rapport synthétique soulignant les forces du cadre de gestion des risques ainsi que certains points à améliorer. Nous avons utilisé ces points d’amélioration pour élaborer des recommandations à l’intention de l’équipe.
Cet exercice d’analyse comparative s’est avéré être une excellente occasion pour une équipe de gestion des risques performante de mettre en évidence ses points forts, sur la base d’une évaluation objective réalisée par un prestataire externe. La mission et les conclusions ont conforté le conseil d’administration dans l’idée que la trajectoire suivie par l’équipe de gestion des risques pour améliorer sa pratique de gestion du risque opérationnel était solide et validée par des experts.
Après la présentation de nos résultats et de nos recommandations au comité des risques du conseil d’administration, le CRO a présenté son plan d’activité pluriannuel visant à développer et à renforcer la gestion des risques au sein de l’entreprise, en tenant compte explicitement de toutes nos recommandations.
