Que sont les indicateurs de risque ?
Les indicateurs clés de risque, ou KRI (Key Risk Indicator), permettent de déterminer le niveau de risque d’une entreprise face à une certaine menace ou un certain événement qui peut se produire et l’impacter. L’indicateur de risque doit être défini sur la base de l’appétit pour le risque de l’entreprise.
Quelle est la finalité des indicateurs de risque ?
La finalité du KRI doit être d’alerter le gestionnaire de risques d’un changement dans la tendance de la menace, afin que des actions puissent être entreprises pour la traiter ou la prévenir.
Sur la base d’une carte des risques de l’entreprise, complète et régulièrement mise à jour, les indicateurs de risque doivent servir à alerter lorsqu’un risque varie en dehors des limites acceptables.
Les cartes des risques contiennent généralement des dizaines de menaces considérées, qui affectent tous les secteurs de la compagnie. Sur cette carte, les principaux risques pour l’entreprise doivent être identifiés. Chacun des risques clés doit avoir un indicateur de risque défini.
Il serait possible d’avoir un KRI pour chaque menace identifiée sur la carte des risques de l’entreprise, mais étant donné que le nombre est généralement élevé, nous pourrions perdre de vue les principaux risques pour l’entreprise et compromettre la finalité des KRI.
Comment définir les indicateurs de risque ?
Le KRI ou indicateur de risque peut être défini de différentes manières, en fonction de l’aspect le plus pertinent de la menace. La grande majorité des méthodologies d’analyse des risques sont fondées sur l’évaluation de la probabilité d’occurrence de la menace et de l’impact qu’elle peut avoir sur l’entreprise lorsqu’elle se concrétise. Les KRI peuvent donc être définis sur la base de ces deux aspects :
- La probabilité, afin de mesurer les changements dans le calcul de la probabilité, car l’entreprise voudra probablement éviter à tout prix que l’événement se produise, par exemple en cas de non-conformités légales.
- L’impact, afin de mesurer les changements dans la valeur de l’impact de la menace. Cet aspect est utilisé lorsque l’entreprise ne peut pas se permettre de laisser la menace dégrader ses processus d’activité, par exemple en cas de catastrophes naturelles.
- Une autre possibilité consiste à définir le KRI directement en fonction de la valeur du risque de la menace. Elle est utilisée lorsque l’on cherche à la fois à l’éviter et à éviter son impact, par exemple dans le cas de cyberattaques contre des systèmes informatiques.
- Pour terminer, le KRI peut être associé à l’efficacité des mesures, des sauvegardes ou des contrôles mis en place par l’entreprise pour empêcher les menaces de se concrétiser ou pour contrer leurs effets une fois qu’elles se produisent. Un changement dans le niveau d’efficacité de ces mesures pourrait exposer l’entreprise à la menace.
Chaque KRI devrait avoir au moins un seuil d’alerte inclus dans sa définition, de sorte que, si ce seuil est dépassé, par excès ou par défaut selon le cas, ou simplement s’il est atteint, le gestionnaire de risques sache que la situation doit être analysée et que, à la suite de cette analyse, il peut s’avérer nécessaire d’entamer des actions concernant les contrôles liés à la menace.
Le KRI peut avoir plus d’un seuil lorsque l’on souhaite mesurer une situation intermédiaire marquée par l’appétit pour le risque, entre l’exposition au risque et le contrôle excessif du risque, en raison du gaspillage de ressources que cette situation pourrait entraîner.
Pour que l’ensemble des KRI définis fonctionne, il n’est pas seulement nécessaire d’établir ce qui doit être mesuré par rapport à la menace et aux seuils associés. Il faut désigner au moins un responsable et préciser une périodicité de mesure et la source d’information.
La tâche du responsable de risques est de s’assurer que toutes les données dans chaque période de mesure déterminée sont disponibles et d’analyser les valeurs en cas de dépassement des seuils définis.
Cartes des risques de GlobalSuite®
Chez GlobalSuite Solutions, nous offrons les conseils et le soutien nécessaires à la mise en œuvre de A à Z d’une carte des risques de l’entreprise qui fournit à la compagnie des informations sur sa situation en ce qui concerne les risques susceptibles d’avoir un impact sur l’atteinte des objectifs de l’entreprise. Dans le cadre du projet, les risques clés pour l’entreprise sont identifiés et des indicateurs de risque sont proposés pour vous aider dans la gestion des risques.
En outre, nous disposons du logiciel GlobalSuite® Risk Management, entièrement développé par notre équipe, qui permet la mise en œuvre, la gestion et la maintenance de la carte des risques dans tous les types d’entreprises et de secteurs. Disposer d’un logiciel qui vous aide à automatiser la gestion de ce système apportera de multiples avantages à votre compagnie lorsqu’elle travaillera à la mise en œuvre de la gestion des risques dans votre entreprise.
