Gestion des risques d’entreprise (ERM) : définition et mise en place d’un système

Un système de gestion des risques d'entreprise est l'ensemble des politiques, rôles, processus et outils grâce auxquels une organisation identifie, évalue, traite et surveille tous ses risques selon un même référentiel, en les reliant à sa stratégie. En anglais, on parle d'ERM (Enterprise Risk Management). Le mot qui compte, c'est « tous » : les risques financiers, opérationnels, technologiques, liés aux tiers ou de conformité entrent dans le même registre et se mesurent à la même aune.

À l'inverse, beaucoup d'entreprises fonctionnent en silos : chaque direction tient sa propre liste dans son propre tableur. La sécurité note de 1 à 5, la finance en euros et la conformité avec des couleurs. Chaque liste a du sens prise isolément, mais personne ne peut répondre à la question du conseil d'administration : quels sont les dix risques les plus graves de l'entreprise, et restent-ils dans les limites de ce que nous sommes prêts à accepter ?

Les briques d'un système de gestion des risques d'entreprise

Il n'existe pas de modèle unique, mais tous les systèmes qui fonctionnent comportent ces briques, et ils échouent en général à cause de celle qui manque :

• Gouvernance et appétence au risque. Qui décide quel risque est acceptable, et où se situe la limite. Sans appétence au risque validée par la direction, le système mesure mais n'aide pas à décider.
• Taxonomie. Les catégories dans lesquelles chaque risque est classé, pour qu'un même problème porte le même nom dans toutes les directions. Nous l'expliquons dans taxonomie des risques.
• Méthodologie commune. Les mêmes échelles de probabilité et d'impact pour tous, et la même matrice des risques pour représenter le résultat.
• Registre avec propriétaires. Chaque risque confié à un responsable nommément désigné, pas à un département.
• Contrôles et indicateurs. Ce qui est fait pour réduire chaque risque et comment savoir à temps qu'il s'aggrave, avec des indicateurs de risque (KRI).
• Reporting à la direction. Un rapport périodique qui compare le risque inhérent et le risque résiduel et indique ce qui a changé depuis la dernière fois.

ISO 31000 ou COSO ERM : quel référentiel choisir

Presque tous les systèmes s'appuient sur l'un de ces deux cadres. Aucun n'est certifiable et aucun n'est obligatoire en soi : ce sont des guides. Ce qui change, c'est l'approche.

Notre recommandation : si vous travaillez déjà avec des normes ISO (27001, 22301, 37301), partez de l'ISO 31000, vous partagerez le vocabulaire et la structure. Si la demande vient du conseil ou du comité d'audit et que la priorité est d'arrimer le risque aux objectifs métier, COSO ERM convient mieux. Les deux ne s'excluent pas : de nombreuses organisations utilisent le processus de l'ISO 31000 et le langage de gouvernance du COSO.

Ce qu'exige la réglementation en Espagne

Pour la plupart des entreprises, le système est volontaire, mais il est exigé dans certains cas :

• Sociétés cotées. Le Code de bonne gouvernance de la CNMV recommande une politique de contrôle et de gestion des risques couvrant les risques financiers et non financiers et fixant le niveau de risque acceptable (recommandation 45), ainsi qu'une fonction interne de contrôle et de gestion des risques supervisée par le comité d'audit (recommandation 46). Il s'applique selon le principe « appliquer ou expliquer ».
• Assureurs. La directive Solvabilité II impose à son article 44 un système de gestion des risques efficace.
• Entités financières. Le règlement DORA exige un cadre de gestion du risque lié aux TIC (article 6), qui doit s'intégrer au système global de gestion des risques.

Comment le mettre en place, étape par étape

1. S'accorder sur l'appétence et la gouvernance. Qui porte le système, quel comité le revoit et à quelle fréquence, et quel niveau de risque est acceptable.
2. Définir la taxonomie et la méthodologie. Catégories, échelles avec des définitions concrètes et matrice. C'est l'étape la plus débattue, et celle qui fait gagner le plus de temps ensuite.
3. Dresser une première cartographie avec les risques majeurs. Commencez par les vingt ou trente risques qui préoccupent réellement la direction, pas par un inventaire de quatre cents.
4. Affecter contrôles, propriétaires et indicateurs. Chaque risque au-dessus de l'appétence a besoin d'un plan avec un responsable et une échéance.
5. Rendre compte et recommencer. Un rapport périodique à la direction et une revue qui part de ce qui a changé.

L'erreur que nous voyons le plus souvent consiste à commencer par l'étape trois : un grand atelier pour inventorier les risques sans avoir d'abord validé l'échelle. Résultat : un registre énorme que personne ne peut comparer et qui est abandonné dès la deuxième revue.

Tableur ou outil de gestion des risques

Un petit système peut démarrer sous Excel, et pour cela vous disposez de notre modèle de matrice des risques. Le problème survient quand plusieurs directions alimentent le registre : versions concurrentes, échelles que chacun interprète à sa façon et rapport consolidé à monter à la main avant chaque comité.

C'est le moment de passer à un logiciel de gestion des risques d'entreprise. Dans GlobalSuite® Risk Management, la méthodologie est déjà chargée (ISO 31000, COSO ERM ou la vôtre), chaque direction évalue ses risques avec la même échelle, et la carte de chaleur, les KRI et le rapport à la direction sont produits automatiquement, avec une simulation Monte-Carlo si vous voulez chiffrer en euros.

Contenu revu en octobre 2026.