L'appétit pour le risque (on parle aussi d'appétence au risque) est la quantité et le type de risque qu'une organisation est prête à prendre pour atteindre ses objectifs. Il est approuvé par la direction ou le conseil d'administration, il s'exprime par catégorie de risque et il sert d'étalon : chaque risque résiduel lui est comparé pour décider s'il est accepté ou s'il faut le traiter.
Il va presque toujours de pair avec deux autres notions avec lesquelles on le confond. La tolérance est la marge admise au-delà de l'appétit, pendant un temps limité et avec une justification. La capacité est le maximum que l'organisation peut supporter sans mettre en danger sa continuité.
Appétit, tolérance et capacité : un exemple
Prenons une usine de vis équipée d'une machine qui a déjà quelques années. À 100 vis par heure, la machine travaille sans forcer, tombe rarement en panne et la production couvre la demande. C'est l'appétit pour le risque : le niveau avec lequel l'entreprise est à l'aise.
Si la demande augmente, l'entreprise peut pousser la machine à 150 vis par heure. La probabilité de panne augmente nettement, mais on l'accepte le temps d'une campagne précise et sous surveillance. On est au-delà de l'appétit et dans la tolérance. À 200 vis par heure, la machine est à sa limite et une panne pourrait arrêter l'usine pendant des semaines : on touche la capacité, et la plupart des entreprises renoncent à ces commandes plutôt que de prendre le risque.
Descendre à 60 vis par heure n'est pas non plus une bonne idée. Le risque de panne disparaît presque, mais l'entreprise ne peut plus honorer ses commandes. Un appétit trop faible a lui aussi un coût, et c'est pourquoi l'objectif n'est jamais de ramener tous les risques à zéro.
Le vocabulaire du management du risque de l'ISO, le Guide ISO 73:2009, définit l'appétit pour le risque comme la quantité et le type de risque qu'une organisation est prête à rechercher ou à conserver. Le référentiel COSO ERM de 2017 le formule de façon proche : les types et la quantité de risque, dans les grandes lignes, qu'une entité accepte dans sa recherche de valeur.
Pour la tolérance, c'est moins clair. Le COSO la définit comme les limites de variation acceptable de la performance par rapport à un objectif, alors que le Guide ISO 73 parle de la disposition à supporter le risque après son traitement. À notre avis, peu importe la définition retenue, pourvu que votre méthode dise laquelle elle utilise et que tous les services l'appliquent de la même manière. Un comité des risques qui mélange les deux finit par débattre de mots plutôt que de risques.
Comment rédiger une déclaration d'appétit pour le risque
L'appétit pour le risque est formalisé dans une déclaration approuvée par l'organe de gouvernance. La forme la plus utile consiste à fixer, pour chaque catégorie de risque, un niveau (très faible, faible, modéré, élevé) et au moins un indicateur assorti d'une limite. Le niveau donne la direction, l'indicateur permet de trancher.
| Catégorie | Appétit | Comment on le mesure |
|---|---|---|
| Conformité réglementaire | Très faible | Aucune sanction définitive. Aucune non-conformité ouverte plus de 90 jours après sa détection. |
| Cybersécurité | Faible | Aucun risque résiduel au-dessus de 12 sur une matrice 5 × 5. Vulnérabilités critiques corrigées en moins de 30 jours. |
| Continuité d'activité | Faible | Aucun processus critique arrêté au-delà de son délai de reprise approuvé. |
| Crédit | Modéré | Pertes sur impayés inférieures à 1,5 % du chiffre d'affaires annuel. |
| Nouveaux produits | Élevé | Jusqu'à 10 % de l'investissement annuel dans des projets qui peuvent ne pas aboutir. |
Les chiffres du tableau sont un exemple ; ceux de chaque organisation découlent de sa stratégie, de sa réglementation et de sa situation financière. Ce qui se retrouve partout, en revanche, c'est la forme. Une déclaration qui se contente de dire « nous avons un faible appétit pour le risque » n'aide à rien décider, car personne ne peut vérifier si un risque donné est dedans ou dehors.
Il est aussi préférable que l'appétit varie selon la catégorie. Une entreprise peut n'admettre presque aucun risque de conformité et accepter en même temps une bonne dose d'incertitude en matière d'innovation. Un appétit unique pour tout finit généralement par être trop strict pour certains domaines et trop laxiste pour d'autres.
De l'appétit à la matrice des risques
Pour que l'appétit serve au quotidien, il faut le traduire dans l'échelle utilisée pour évaluer les risques. Sur une matrice probabilité × impact, on trace une ligne d'appétit (en dessous, le niveau de risque acceptable) et une ligne de tolérance. Le risque résiduel de chaque risque tombe dans l'une des trois zones, et c'est ce qui détermine ce que l'on en fait.
- Dans les limites de l'appétit. Le risque est accepté et surveillé. Pas besoin de plan de traitement.
- Entre l'appétit et la tolérance. Il faut un plan de traitement avec un responsable et une échéance, ou une acceptation signée par le propriétaire du risque qui explique pourquoi on le prend.
- Au-delà de la tolérance. Le risque est toujours traité. Si, pour une raison ou une autre, ce n'est pas possible, l'acceptation est décidée par le comité de direction, pas par le service concerné.
Les lignes n'ont pas besoin d'être droites ni identiques pour toutes les catégories. Beaucoup d'organisations sont plus strictes avec les risques à impact très élevé, même lorsque leur probabilité est faible, et le traduisent en abaissant la ligne dans la colonne d'impact 5.
Ce qu'il faut prendre en compte pour le fixer
- La situation financière. Ce que l'organisation peut perdre sans compromettre ses résultats, sa solvabilité ou sa liquidité. C'est presque toujours de là que vient la capacité.
- La stratégie. Une activité en croissance admet plus de risque qu'une activité mature. Les attentes des actionnaires, des clients et des régulateurs comptent aussi.
- Les ressources. Les personnes, les systèmes et les délais disponibles pour gérer le risque pris. Accepter un risque sans moyens pour le surveiller, ce n'est pas de l'appétit, c'est de la négligence.
- La réglementation. Dans certains domaines, l'appétit est déjà fixé : certaines obligations légales n'admettent aucune marge.
Les erreurs qui rendent l'appétit inutile
- Le rédiger puis le ranger. Si personne ne compare les risques à l'appétit au moment de les évaluer, la déclaration n'est qu'un document de plus. Elle doit figurer dans la méthode d'analyse et dans les rapports au comité.
- Ne pas le revoir. L'appétit change quand la stratégie change, quand un nouveau régulateur entre en jeu ou quand l'entreprise grandit. Le plus raisonnable est de le revoir au moins une fois par an, en même temps que le plan stratégique.
- Le fixer sans la direction. Si seul le service des risques le rédige, la direction ne se l'approprie pas et ne l'applique pas quand elle prend des décisions business.
- Ne pas le relier à des indicateurs. Sans indicateurs d'alerte, l'organisation découvre qu'elle a dépassé son appétit une fois que c'est fait.
Comment le surveiller
Le suivi de l'appétit pour le risque passe par des indicateurs de risque (KRI, key risk indicators). Chaque indicateur a des seuils alignés sur ce que vous avez déjà défini : l'orange se déclenche à l'approche de l'appétit, le rouge quand on atteint la tolérance. Le comité voit ainsi la tendance avant que le risque ne se matérialise. Vous trouverez des exemples d'indicateurs dans les quatre types de KRI indispensables dans votre cartographie des risques.
Dans le module de gestion des risques de GlobalSuite®, le niveau acceptable fait partie de la méthode : les risques qui le dépassent apparaissent en rouge sur la carte de chaleur sans avoir à les chercher, et les KRI ont des seuils d'alerte qui préviennent avant de l'atteindre. Si vous voulez le voir avec votre propre déclaration d'appétit, demandez une démo.
Sources : ISO Guide 73:2009, Risk management. Vocabulary et COSO, Enterprise Risk Management: Integrating with Strategy and Performance (2017). L'exemple et les chiffres du tableau sont fictifs. Contenu revu en octobre 2026.
