Le métier de Risk-Manager est-il fait pour vous ?

Caroline AUBRY est une experte en gestion des risques.

Elle est Maître de Conférences et nous fait partager aujourd’hui sa connaissance d’un métier encore peu connu, et qui peut être pour vous une véritable opportunité de carrière: Celui de « Risk Manager ».

Ce que vous devez savoir sur la Fonction Risk Manager

Les rôles des Risk Managers sont divers.

Certains Risk Managers ont ce que j’appelle un rôle « d’opérateur » de la gestion des risques.

Ils font eux-même et/ou font mettre en place par les opérationnels l’étape de la démarche de gestion des risques qui consiste à identifier les risques passés, présents et émergents, les évaluer, les quantifier, les prioriser et réaliser des cartographies.

Ils animent la démarche de gestion des risques.

Mais ils n’ont pas d’activité de gouvernance.

Leurs missions sont centrées sur les opérationnels ; leurs interlocuteurs privilégiés sont les directeurs de filiales, les correspondants risques dans les usines, établissements… Ils ont un positionnement local ;

D’autres Risk Managers dans des entreprises pionnières ont des missions plus proches de la mise en place de l’Enterprise-Risk-Management (ERM). Ils ont un rôle que j’appelle « d’architecte » de la gestion des risques.

En plus des missions du Risk Manager opérateur (identification-évaluation-quantification-priorisation-cartographie), ils élaborent une stratégie de définition des risques majeurs qui intervient au tout début de la démarche de gestion des risques. En fin de processus, ils ont une mission d’analyse, de suivi et d’apprentissage des risques.

Ils initient la démarche et la supervisent.

Ils ont une activité de gouvernance mais elle est minimale, centrée sur le reporting des risques, avec peu de référence à la stratégie de l’entreprise.

Leurs missions sont dirigées vers la direction générale ou le président directeur général et/ou leur équipe (Risk Managers répartis par zone géographique, filiale ou division). Ils ont un positionnement global. Mais sans véritable mission de gouvernance, ils ne sont pas encore le pilote ou le chef d’orchestre de la gestion des risques.

Leur rôle varie également en fonction de leur place dans l’organisation.

Dans les organisations centralisées, ils ont un rôle de fournisseurs des informations à la direction générale ; dans les organisations décentralisées, ils ont davantage un rôle d’assistance du management local et de coordinateur/intégrateur des informations pour la direction générale.

D’une manière générale, leur place dans l’organisation leur confère une faible autorité : ils ont des difficultés à se faire entendre de la direction générale, à accéder au terrain et à conquérir un territoire autonome par rapport aux autres fonctions et notamment à l’audit interne. La Fonction Risk Manager est à construire pour accroître l’influence des Risk Managers sur la décision. Le challenge est passionnant !

Le profil demandé pour la Fonction Risk Manager 

Trois compétences principales ressortent:

Le Risk Manager est de plus en plus un spécialiste qui fonde son expertise sur sa formation et son expérience.

Pendant longtemps, l’absence de référence à des compétences techniques montrait qu’aucun Risk Manager ne se voyait pas comme un spécialiste, insistant même sur la nécessité d’être un généraliste. Ceci n’est pas surprenant. Les premières formations initiales supérieurs en gestion des risques n’apparaissent qu’à la fin des années quatre-vingt-dix et la majorité des premiers Risk Managers n’ont occupé ni de poste de Risk Manager, ni de poste en lien avec la gestion des risques.

La tendance actuelle est à la spécialisation des Risk Managers, avec une plus forte attente en compétences techniques :

– sur les plans financiers, juridiques, réglementaires et conformité ;

– sur la connaissance des normes ;

– sur la maîtrise des outils et techniques de contrôle ;

– sur la bonne compréhension des environnements budgétaires et comptables.

Il lui est demandé de comprendre les différents environnements, leur jargon, leurs codes et contraintes.

La Fonction Risk Manager suppose d’être aussi à l’aise avec les problématiques de systèmes d’information, que celles de l’environnement de gouvernance, de la finance, du droit, des thématiques de contrôle interne ; ou aussi à l’aise avec des exigences commerciales que des logiques propres aux mondes de la production et des back office.

Des formations initiales variées répondent à ce besoin, avec tantôt un objectif de spécialisation dans le domaine financier (Ecole Nationale de l’Assurance ou ENASS à Paris par exemple), tantôt une spécialisation en risques industriels et techniques (IRM-KEDGE à Bordeaux, MRI Mines à Paris, ENSI à Bourges par exemple). Elles mènent principalement à des postes de chargé de gestion des risques et contrôle interne, contrôleur interne, Risk Manager (central ou décentralisé), Risk Manager corporate, chargé de gestion d’assurances, auditeur interne junior, chargé de conformité/compliance officer.

Des formations continues sont peu à peu proposées à des profils à haut potentiel et à capacité à évoluer en transverse dans une organisation : formations de type CEFAR (AMRAE, stratégie de gestion des risques) ou risques et contrôle interne (Université Paris-Dauphine, Certificat FraudRisk Management ; certificat proposé par l’IFACI et ESCP). Certifiantes ou non, elles permettent à des Risk Managers souvent déjà en poste d’acquérir les compétences requises manquantes pour faire face à la grande diversité des missions confiées. Elles permettent aussi d’avoir le niveau de formation et de diplôme suffisant pour se spécialiser dans les fonctions choisies ou à terme devenir responsable du contrôle interne et de la gestion des risques.

L’absence de compétences techniques dans le parcours des Risk Managers change également : c’est de plus en plus d’expérience et de temps nécessaire au long apprentissage de la fonction dont il est question. Ce que confirme ce Risk Manager du secteur assurances : « On voit des cas tous les jours, des incidents toujours différents, des risques toujours plus complexes à analyser. La gestion des risques est avant tout affaire d’expérience et de regard critique acquis au fil des incidents et expériences malheureuses pour l’entreprise. Cette vision n’est pas partagée par tous, on voit parfois des juniors qui pensent apprendre le métier en six mois. Cela est une erreur, il faut prendre le temps, aller au-delà des préjugés, et être vigilant à ce que l’on propose, se méfier des méthodes toutes faites, et rester humble dans l’apport de cette fonction. »

Les premières formations en alternance, IMR-KEDGE à Bordeaux ou MRI Mines à Paris parmi celles citées précédemment, permettent ainsi de voir émerger des profils encore juniors avec déjà une première expérience de la fonction risques en entreprise.

Le Risk Manager doit connaître l’entité, le groupe, ses filiales et activités.

Un Risk Manager sera avant tout apprécié en termes de plus-value pour sa capacité à organiser, à rappeler les contextes, à ne pas oublier d’éléments importants d’organisation pouvant faire perdre sa cohérence à un processus, un projet ou une activité.

Sa connaissance du groupe lui permet également d’accéder à la fois au terrain et de s’en faire entendre et de gagner en crédibilité.

Un passage en interne par les opérations est une valeur ajoutée : comment en effet challenger un contrôleur de gestion, un directeur financier, un directeur des systèmes d’information sans avoir soi-même été confronté à ce qui dysfonctionne ?

Le Risk Manager est un communicant.

Le risque étant par principe un sujet épineux, il va savoir convaincre ; alerter ; former, sensibiliser, faire prendre conscience de l’importance d’un risque ; faire preuve de diplomatie, afin de ne pas froisser des responsables d’activité, dirigeants, managers, opérationnels devant  souvent concilier objectifs opérationnels et enjeux de conformité réglementaire, de maîtrise du risque… ;  faire preuve de pédagogie dans la communication sur les risques, la thématique du risque n’étant pas nécessairement le domaine d’expertise ou de compréhension des opérationnels.

Quelques exemples de parcours

Les étudiants (ou jeunes actifs) qui souhaitent s’insérer dans la filière gestion des risques auront tout intérêt à compléter leur cursus avec une formation spécialisée en gestion des risques. Il en existe aujourd’hui de très nombreuses de niveaux L3, M1 et M2, à l’Université, dans les écoles de commerce et écoles d’ingénieurs… Ils devront ensuite acquérir de l’expérience pour connaître le groupe et ses activités, avoir un bon relationnel pour convaincre la direction générale et accéder au opérationnels et avoir un bon réseau.

Les Risk Managers corporate que j’ai interviewé dans le cadre de mon travail de recherche font partie des premiers Risk Managers. Leurs formations initiales sont diverses, sans lien avec la gestion des risques (écoles d’ingénieurs, gestion et économie, droit). Tous se prévalent d’une bonne connaissance de leur groupe – la majorité ont fait toute leur carrière dans l’entreprise ou au moins dix ans de celle-ci – et du sens du relationnel évoqué précédemment. Tous leurs parcours sont différents.

Je prendrai deux exemples :

• Le Risk Manager corporate d’une grande entreprise industrielle du CAC 40 issu du:

business : elle a fait toute sa carrière dans l’entreprise ; a commencé par la R&D au sein de la direction de la production ; passage par l’ingéniérie en Chine où elle a développé une activité d’ingéniérie et des ateliers ; a été directeur industriel au niveau groupe d’une activité ; a été reponsable d’une business unit à l’étranger avant de devenir Risk Manager corporate du groupe ;

• Le Risk Manager corporate d’une grande entreprise de services du CAC 40 issu du:

management opérationnel : il a fait toute sa carrière dans l’entreprise ; est devenu directeur du service presse de l’entreprise puis directeur adjoint des achats et approvisionement avant de devenir Risk Manager corporate du groupe.

D’autres sont passés par la relation clients et le crédit management ; la gestion des risques opérationnels, très orientée Qualité Sécurité Environnement ; le courtage ; l’audit interne ; la conduite de projet ; ou encore le contrôle interne et la direction financière d’une entité.

L’origine du métier de Risk Manager

En une trentaine d’années (1990-2019), le risque est devenu une variable stratégique de la réflexion des entreprises françaises sous l’effet de cinq facteurs : élargissement du domaine du risque ; subjectivité du risque ; transfert des nouveaux risques des assureurs vers les entreprises ; affaires les grandes entreprises françaises ; acteurs-amplificateurs tels que le régulateur/législateur et les médias.

Ces facteurs ont conduit les entreprises françaises à renforcer les systèmes de contrôle interne et de gestion des risques, à mettre en place l’ERM), à créer une fonction gestion des risques que nous appelons Fonction Risk Manager. Le XXI^e siècle l’a consacrée en tant qu’acteur clé de l’organisation.

Pourtant, c’est une fonction diverse aux contours incertains. Elle recouvre notamment des réalités diverses : au sein de cette fonction se cachent, derrière l’appellation de ’risk managers’, des postes qui vont du ‘risk manager’ opérationnel  au sein d’un projet, d’une business unit, d’une usine, d’une entité, d’un établissement au responsable corporate en charge de la gestion des risques en passant par le ‘risk manager’ chargé d’animer la gestion des risques sur une zone géographique, une filiale ou une division. Elle touche également un ensemble de fonctions dédiées au contrôle de l’organisation (contrôle interne, audit interne, conformité, sécurité financière, Hygiène-Sécurité-Environnement). Il n’existe donc pas vraiment de modèle définissable de ce qu’est la Fonction Risk Manager. La Fonction Risk Manager sur laquelle j’ai ciblé mes travaux est la fonction de gestion des risques en tant fonction transverse à celles précitées ; à proximité de la direction générale, mais aussi des opérationnels et autres fonctions transverses (qualité, sécurité, projets, directions financière et comptable, direction commerciale, back-office, systèmes d’informations, ressources humaines), elle est la plus proche de celle de Chief Risk Officer largement reconnue aux Etats-Unis. Cette fonction est récente : les premières Fonctions Risk Managers apparaissent en 2004.

Les perspectives de carrière

La Fonction Risk Manager permet à terme des évolutions sur des postes de responsable contrôle interne, responsable conformité, responsable d’audit interne.

Présentation de l’auteur et de son livre « La Fonction Risk Manager »

Maître de Conférences – 

Sciences de Gestion Laboratoire 

Gouvernance et Contrôle Organisationnel 

IUT Techniques de Commercialisation – 

Université Paul Sabatier Toulouse III