Les questions auxquelles un chief risk officer devrait savoir répondre avant qu’un risque se matérialise, dans les premières heures, devant le conseil et le régulateur, dans le retour d’expérience, et dans le travail plus lent de reconstruction de la crédibilité des modèles, de la fonction et du siège.
En bref
- Le siège est finalement jugé sur le risque qui se matérialise, et l’essentiel de ce qui décide ce jugement est réglé avant l’événement : si les lignes d’information et les chemins d’escalade existent, et si le CRO a réfléchi à cette semaine avant qu’elle n’arrive.
- Dans les premières heures, le CRO détient trois choses : l’information sur laquelle l’institution agit, l’escalade vers ceux qui doivent décider, et la trace qui sera lue ensuite.
- Le conseil et le régulateur sont informés pendant l’événement, à leur altitude, par le siège — et non laissés à l’apprendre par les chiffres ou la presse.
- Un retour d’expérience sans boucs émissaires et avec des conséquences est le seul qui améliore l’événement suivant. Avec des boucs émissaires, il apprend à l’institution à cacher ; sans conséquences, il ne lui apprend rien.
- La crédibilité se reconstruit en trois lieux — les modèles qui n’ont rien vu, la fonction qui les faisait tourner, et le dirigeant qui signait les rapports — et la position du CRO ensuite dépend de ce qu’on le voie conduire les trois.
Sur cette page
Le siège du chief risk officer est finalement jugé sur le risque qui se matérialise. Tout ce qui précède — le mandat, les salles, le veto — est une préparation à la semaine où une limite est franchie, un modèle se trompe, une contrepartie fait défaut ou une opération s’arrête, et où l’institution se tourne vers la seconde ligne pour l’information sur laquelle elle agira. L’essentiel de ce qui décide cette semaine est réglé avant qu’elle n’arrive.
Les questions ci-dessous suivent l’événement dans l’ordre : avant, dans les premières heures, devant le conseil et le régulateur, dans le retour d’expérience, et dans la reconstruction. Chacune est une question à laquelle un CRO devrait savoir répondre pour sa propre institution — non dans l’abstrait, mais avec un nom, un chemin ou une décision. Une question sans réponse aujourd’hui est celle qui sera posée ensuite.
Avant : ce qui existe#
- Quelles lignes d’information atteignent le siège en premier quand une limite est franchie, qu’une sortie de modèle bouge ou qu’une contrepartie s’affaiblit — et ont-elles servi, ou seulement été dessinées ?
- Qui peut escalader vers le CRO sans demander la permission de sa propre ligne, et chacun dans la seconde ligne sait-il qu’il le peut ?
- Quel est le chemin d’escalade du siège vers le directeur général, le président du comité des risques et le régulateur, et chacun d’eux sait-il ce qu’il entendra du CRO et quand ?
- Quels risques le siège a-t-il déjà signalés comme insuffisamment modélisés, et où cela est-il écrit ?
- Le CRO a-t-il réfléchi aux premières heures de l’événement le plus probable, ou seulement du dernier ?
Les premières heures : l’information, l’escalade, la trace#
- Que sait réellement le siège, que croit-il, et que ne sait-il pas encore — et cette distinction est-elle énoncée chaque fois que le CRO parle ?
- Qui a été informé, dans quel ordre, et quelqu’un qui doit décider l’a-t-il été après quelqu’un qui voulait seulement savoir ?
- Existe-t-il une trace unique de ce que le siège savait et quand, tenue au fil des heures plutôt que reconstituée ensuite ?
- Quelles décisions reviennent au CRO, lesquelles au directeur général, et lesquelles au seul conseil — et le CRO ne porte-t-il que les premières ?
- Que fait le CRO pour que la seconde ligne continue de travailler sur le reste du portefeuille pendant que l’événement absorbe l’attention ?
Le siège est finalement jugé sur le risque qui se matérialise, et l’essentiel de ce qui décide ce jugement est réglé avant l’événement.
Le siège est finalement jugé sur le risque qui se matérialise, et l’essentiel de ce qui décide ce jugement est réglé avant l’événement. Les premières heures révèlent si ce fut le cas.
Le conseil et le régulateur pendant l’événement#
- Le président du comité des risques a-t-il entendu le CRO directement, à l’altitude du comité — l’exposition, le jugement, ce qui est fait — plutôt que par le récit de la direction ?
- Le régulateur a-t-il entendu le siège avant d’entendre les chiffres, la presse ou une contrepartie ?
- Le conseil et le régulateur reçoivent-ils la même vérité, dite à chacun comme il peut s’en servir — le jugement à l’un, la preuve et la trace à l’autre ?
- Qu’a dit le CRO ne pas encore savoir, et cela a-t-il été dit aux deux salles dans les mêmes termes ?
- Qui tient la trace de ce que chaque salle a appris et quand ?
Le retour d’expérience : sans boucs émissaires, avec des conséquences#
- Le retour d’expérience demande-t-il ce que l’institution a fait, ou qui l’a fait — et chacun dans la salle sait-il lequel ?
- Lesquelles des propres hypothèses du siège ont échoué, et le CRO l’a-t-il dit avant quiconque ?
- Que les modèles ne savaient-ils pas, et cela était-il connu avant l’événement ou découvert par lui ?
- Quels contrôles, limites ou chemins d’escalade existaient sur le papier sans fonctionner — et qu’est-ce qui sera différent la prochaine fois, avec un nom et une date ?
- Quelle conséquence en découle, et est-ce un changement de l’institution plutôt qu’un départ qui ne change rien ?
La reconstruction : les modèles, la fonction, le dirigeant#
- Quels modèles n’ont rien vu, qu’y a-t-on changé, et le changement a-t-il été expliqué au comité dans sa langue plutôt que dans celle des modélisateurs ?
- Que fait désormais la seconde ligne autrement, en routine, de manière visible pour la première ligne, plutôt que par une note ?
- Le CRO a-t-il énoncé clairement ce que le siège a manqué, au conseil et au régulateur, avant de défendre ce qu’il a réussi ?
- Quels rapports signés avant l’événement sont désormais relus, et par qui ?
- Qu’a demandé le siège — accès, autorité, ressources — dont l’événement a montré qu’il manquait, et la réponse a-t-elle été consignée ?
La position du CRO ensuite#
- Le siège a-t-il été vu conduire la réponse, le retour d’expérience et la reconstruction — ou seulement y assister ?
- Le directeur général traite-t-il désormais le CRO autrement, et dans quel sens : plus proche comme partenaire, ou plus loin comme contre-pouvoir ?
- Le comité entend-il désormais plus de dissension venue du siège, ou moins ?
- La posture du régulateur envers l’institution a-t-elle bougé, et le CRO sait-il pourquoi ?
- Le CRO serait-il entendu plus tôt la prochaine fois — et sinon, que faut-il changer dans l’architecture du mandat ?
Comment s’en servir#
Travaillez la première section dès maintenant, contre l’événement que l’institution a le plus de chances d’affronter, et répondez à chaque question par un nom, un chemin ou une décision plutôt que par un oui. L’essentiel de ce qui ne va pas y apparaîtra, tant qu’il est encore peu coûteux de le corriger. Gardez les autres sections pour la semaine elle-même et la période qui suit ; un CRO qui les a lues avant l’événement tient le siège autrement pendant. Le mandat du CRO travaille toute la séquence avec des praticiens qui ont tenu le siège à travers un risque matérialisé.
Questions fréquentes
Que doit faire un CRO quand un risque se matérialise ?
Détenir trois choses dans les premières heures : l’information sur laquelle l’institution agit, énoncée comme ce qui est su, cru et pas encore su ; l’escalade vers ceux qui doivent décider, dans le bon ordre ; et la trace de ce que le siège savait et quand, tenue au fil des heures. Puis informer directement le conseil et le régulateur, à leur altitude, avant qu’ils ne l’apprennent par les chiffres.
Qu’est-ce qu’un bon retour d’expérience après un événement de risque ?
Il demande ce que l’institution a fait plutôt que qui l’a fait, et il aboutit à une conséquence qui change l’institution plutôt qu’à un départ qui ne change rien. Le CRO nomme les hypothèses défaillantes du siège avant quiconque, les contrôles qui existaient sur le papier sans fonctionner sont listés avec ce qui sera différent la prochaine fois, et chaque changement porte un nom et une date.
Comment une fonction risques reconstruit-elle sa crédibilité après une perte ?
En trois lieux à la fois : les modèles qui n’ont rien vu sont modifiés et le changement est expliqué au comité dans sa langue ; la seconde ligne change ce qu’elle fait comme une routine visible plutôt que par une note ; et le CRO énonce clairement ce que le siège a manqué, au conseil et au régulateur, avant de défendre ce qu’il a réussi. La crédibilité revient au dirigeant en dernier, et seulement si les trois sont conduits depuis le siège.
Comment un CRO doit-il se préparer à une crise avant qu’elle survienne ?
En s’assurant que les lignes d’information et les chemins d’escalade existent et ont servi plutôt que d’avoir seulement été dessinés ; en disant à l’avance au directeur général, au président du comité des risques et au régulateur ce qu’ils entendront du siège et quand ; en écrivant quels risques le siège considère déjà comme insuffisamment modélisés ; et en réfléchissant aux premières heures de l’événement le plus probable plutôt que du dernier.
Le programme derrière cet article
Travaillez ces sujets avec les praticiens qui les ont écrits.
Le mandat du CRO : diriger la fonction risques
L’art du chief risk officer — l’indépendance avec influence, un appétit au risque réellement utilisé, et les moments où le CRO doit tenir seul.
Voir le programme →Diriger dans la crise : la masterclass du commandement exécutif
Décision, communication et commandement quand l’institution brûle — fondé sur la simulation, pour les équipes dirigeantes et leurs adjoints.
Voir le programme →La surveillance des risques au niveau du conseil : les questions que les administrateurs doivent poser
La surveillance des risques pour non-spécialistes — appétence, modèles, culture et crise — enseignée comme les questions qui révèlent ce que les rapports dissimulent.
Voir le programme →