Gestion des risques dans les entreprises Agro Rouen, le 17 juin 2009

1. Gestion des risques dans les entreprises AgroRouen, le 17 juin 2009

2. Sommaire • Introduction & Définitions • Retour sur l’enquête sur la gestion des risques dans le secteur Agro français • Focus méthodologique sur la cartographie des risques • Questions … Réponses … Echanges …

3. Introduction & Définitions

4. Introduction DEFINITION Quelle définition des « risques » adoptons nous ? • « Le risque est la menace qu'un événement, une action ou une inaction affecte : • la capacité de l'entreprise à atteindre ses objectifs • ses principaux actifs (actifs corporels, incorporels, financiers, humains….) » • Les risques à couvrir peuvent trouver leur origine à trois niveaux : • Menaces exogènes • Défaillances majeures d’un processus ou domaine d’activité de l’entreprise (système d’information, modes opératoires en place, hommes en place) • Survenance d’un événement non anticipé dans le fonctionnement opérationnel de l’entreprise. RISQUE Cause(s) Aléa, événement Conséquence(s) (Impacts)

5. Introduction DEFINITION Le Management des Risques défini par la Federation of European Risk Management Association (F.E.R.M.A.) : • Le management des risques fait partie intégrante de la mise en oeuvre de la stratégie de toute organisation, c’est le « processus par lequel les organisations traitent méthodiquement les risques qui s'attachent à leurs activités, considérées individuellement ou bien dans leur ensemble, et recherche ainsi des bénéfices durables  » • « Il est constitué par un ensemble de concepts, démarches et outils, qui se concrétisent par un processus continu et itératif visant successivement, à identifier et analyser les risques (stratégiques et opérationnels), les évaluer et les hiérarchiser, à envisager les moyens de les maîtriser, à les suivre et les contrôler et enfin, à capitaliser le savoir-faire et l’expérience acquis dans ce domaine »

6. La gestion des risques : une actualité à interpréter avec bon sens • Selon l’AMRAE, la gestion des risques est une méthode qui consiste à : • apprécier (analyse, identification, description, hiérarchisation), • évaluer (estimation de la menace, opportunité de la prise de risque), • traiter (prévention, réduction de la fréquence et de l’intensité, arbitrage entre le transfert et l’auto-assurance), • suivre (variations, émergence de nouveaux risques), ses risques, quels qu’ils soient. • Cette méthode ne peut pleinement s’appliquer que par la mise en place d’une organisation spécifique.

7. La gestion des risques : une actualité à interpréter avec bon sens • La pression réglementaire s’accentue régulièrement et surtout pour les sociétés cotées : • 4ème et 7ème directives transposées par la loi du 3 juillet 2008 : • « … rendre compte des procédures de gestion des risques mises en œuvre » • selon l’AMF, 53% des rapports 2007 mentionnaient l’existence d’une cartographie des risques, à comparer à 43% en 2006. • 8ème directive transposée par l’ordonnance du 8 décembre 2008 • elle vise entre autres les principes de constitution et le rôle du Comité d’Audit : • article 14 : obligation de Comités d’Audit dans les sociétés dont les titres sont admis à la négociation sur un marché réglementé, en assurant notamment le suivi de l’efficacité des systèmes de contrôle interne et de gestion des risques. ainsi que les contributions attendues des commissaires aux comptes : • article 13 : les Commissaires aux Comptes « portent à la connaissance du Comité d’Audit les faiblesses significatives du contrôle interne, pour ce qui concerne les procédures relatives à l’élaboration et au traitement de l’information comptable et financière ». • Ces dispositions des articles 13 et 14 « entrent en vigueur à l’expiration d’un délai de huit mois qui suit la clôture du premier exercice ouvert à compter du 1er janvier 2008 au cours duquel un mandat au sein de l’organe d’administration ou de surveillance vient à échéance ».

8. La gestion des risques : une actualité à interpréter avec bon sens • Mais la gestion des risques est surtout un enjeu des directions générales parce qu’elle doit leur permettre : • d’organiser certaines remontées du « terrain », • d’obtenir un diagnostic fiable des forces et des faiblesses de l’entreprise, • de mettre en œuvre des plans d’action permettant de réduire les risques, et de faire chaque fois que possible l’inventaire des dispositifs (assurance, externalisation, contrôle interne, …) permettant de maîtriser les risques majeurs identifiés, • d’instaurer une culture de gestion et de contrôle efficace des activités, • et plus généralement une condition essentielle au développement des entreprises • A titre d’illustration, Standard& Poor’s a initié fin 2008 la prise en compte de la gestion des risques des entreprises dans ses notations autour de deux thèmes à ce stade : • la culture de la gestion du risque • la gestion des risques stratégiques. • Nombre de certifications exigent par ailleurs que des analyses de risques soient réalisées (SAS 70, certifications agro alimentaires…).

9. Retour sur l’enquête sur la gestion des risques dans le secteur Agro français

10. Gestion des risques dans les entreprises agro alimentaires La gestion des risques Les entreprises agro sont plutôt sensibles à la gestion des risques.

11. Gestion des risques dans les entreprises agro alimentaires La gestion des risques Les principales motivations autour de la gestion des risques touchent à la maîtrise des aléas opérationnels et des évolutions des organisation et des marchés pour les coopératives.

12. Gestion des risques dans les entreprises agro alimentaires La gestion des risques

13. Gestion des risques dans les entreprises agro alimentaires La gestion des risques La difficulté de cerner les coûts de la maîtrise des risques

14. Gestion des risques dans les entreprises agro alimentaires La gestion des risques L’identification des risques

15. Gestion des risques dans les entreprises agro alimentaires La gestion des risques Une évolution des risques

16. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux achats et aux matières premières

17. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux achats et aux matières premières Dans la mesure où la volatilité des prix sur les matières premières constitue un risque pour votre organisation, celui-ci est qualifié d’élevé ou de très élevé.

18. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux achats et aux matières premières La sensibilité de votre rentabilité au risque de prix sur les matières premières a-t-elle été mesurée ?

19. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux achats et aux matières premières Les différents moyens de la maîtrise des risques

20. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux achats et aux matières premières Les différents moyens de la maîtrise des risques

21. Gestion des risques dans les entreprises agro alimentaires La gestion des risques et développement durable La stratégie de votre entreprise intègre t elle une composante développement durable ?

22. Gestion des risques dans les entreprises agro alimentaires La gestion des risques et développement durable Avez-vous réalisé une évaluation de votre impact environnemental ?

23. Gestion des risques dans les entreprises agro alimentaires La gestion des risques et développement durable Les principales contraintes associées au développement durable

24. Gestion des risques dans les entreprises agro alimentaires La gestion des risques et développement durable Motivations

25. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux partenariats et à la croissance externe Objectifs de développements

26. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux partenariats et à la croissance externe

27. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux partenariats et à la croissance externe Maitrise des opérations de partenariats et de croissance externe

28. Gestion des risques dans les entreprises agro alimentaires La gestion des risques liés aux systèmes d’information

29. Focus méthodologique sur la cartographie des risques

30. Introduction La gestion des risques Principes généraux de la gestion des risques

31. Cadrage : sélection des thèmes, cycles et interlocuteurs • L ’étape de cadrage consiste à déterminer avec précision, en accord avec la direction de projet : • les thématiques ou processus à aborder, et celles ou ceux à ne pas aborder, pour mener les entretiens d’identification des risques, • les personnes qui feront l’objet d’entretiens d’identification des risques. • Cette étape a pour but de fixer le « terrain de jeu », et d’imprimer un caractère officiel à l’agenda du projet au sein de l’entreprise.

32. Identification des risques au sein des processus • Cette étape vise l’identification des risques, et uniquement celle-ci, au moyen d’entretiens, avec les interlocuteurs sélectionnés, devant idéalement se dérouler en 3 étapes : • discussion ouverte, et libre sur l’environnement de la personne interviewée et les objectifs de l’organisation, afin de calibrer les niveaux de risque envisageables, • discussion semi dirigée, à l’appui du référentiel Mazars des risques (R²M), utilisé non pas comme un questionnaire mais comme un référentiel de thématiques par processus, qu’il convient a minima d’aborder, • réflexion sur les risques théoriques ou hautement improbables qui pourraient survenir, à la façon d’un brainstorming. • Par ailleurs et afin d’éviter les redondances, un regroupement des risques pouvant l’être sera également réalisé. • A l’issue de cette étape des risques, non évalués auront été identifiés.

33. Evaluation et hiérarchisation des risques • Cette étape vise à coter les risques identifiés lors de l’étape précédente, à l’issue de laquelle, des risques auront été • identifiés, qualifiés et homogénéisés sur la forme (restitution sous forme de matrice) et sur le fond (en fusionnant les risques les plus proches en termes de sens). • Partant du travail de recensement, sera opérée une distribution des risques, à tous ceux à même de les évaluer, qu’ils soient parmi ceux qui les ont identifiés, ou pas, afin que chacun puisse coter, suivant deux dimensions, chacun des risques qui leur sera attribué.

34. Evaluation et hiérarchisation des risques Evaluation et hiérarchisation des risques • Les deux dimensions à évaluer sur une échelle chiffrée sont la gravité potentielle du risque, et la probabilité d’occurrence du risque, ou comme variante le niveau de maîtrise du risque par l’organisation. Gravité Probabilité Niveau de maîtrise De façon optionnelle, certaines entreprises souhaitent imprimer une 3ème composante qui est le degré de maîtrise par l’entreprise du risque considéré, sur une échelle de 1 à 3, par exemple et qui permet de pondérer le risque.

35. Présentation d’une première cartographie pour prise de décision • Cette étape va être l’occasion d’effectuer une restitution des résultats, en fonction de l’option qu’aura retenue le Groupe : • soit de façon « brute », c’est-à-dire de présenter les résultats tels quels, retraités des incohérences manifestes, mais sans analyse préalable, • soit de façon plus « filtrée », c’est-à-dire après revue par le comité de projet, ou les évaluateurs eux-mêmes, pour donner un caractère vraisemblable aux cotations et ne retenir et n’évoquer que les risques pertinents et significatifs. • La présentation des résultats se faisant, quelle que soit l’option retenue, sous forme de graphe, intégrant le positionnement et le poids de chaque risque. • Le but étant de permettre au management du Groupe de décider, et d’acter formellement que tel risque sera traité, et que tel autre sera délibérément laissé tel quel, pour telle ou telle raison.

36. Présentation d’une première cartographie pour prise de décision

37. Présentation d’une première cartographie pour prise de décision Risques présentés sous trois tranches de criticité, avec une représentation pondérée des risques, la taille de la bulle étant un facteur du rapport « nombre de personnes ayant identifié le risque / racine carré de l’écart type de la criticité »

38. Détermination et affectation des plans d’action • Cette étape vise, après avoir arrêté les risques devant faire l’objet d’un traitement, à déterminer dans quelles conditions ce traitement doit être opéré, c’est-à-dire quels travaux doivent être menés, par qui, dans quels délais et dans quelles conditions. • Pour ce faire, soit sur proposition du pilotage du projet, soit sur proposition des identificateurs et évaluateurs de risque, un propriétaire de risque ou risk owner sera proposé pour chaque risque, et dont le rôle sera de mettre en œuvre et de suivre un plan d’action visant à une réduction, ou un anéantissement du risque visé. • Pour ce faire nous proposons généralement de rattacher à chaque risque une fiche de risque, de sorte pour chacun d’entre eux, le Groupe soit en mesure de produire : • une ou plusieurs tâches à réaliser pour réduire le risque, • un propriétaire de risque, • un délai, ou une date d’achèvement, • un ou plusieurs indicateurs, d’avancement et / ou d’achèvement du risque, permettant d’affirmer sans hésitation que le plan d’actions est achevé, ou pas. Ces informations peuvent bien évidemment être complétées, mais représentent le minimum qu’il est nécessaire de réaliser pour mener cette tâche.

39. Suivi de la réalisation des plans d’action • Le suivi de la réalisation consiste en l’assurance que les plans d’action définis lors de l’étape précédente se déroulent comme prévu, ou que tout dérapage est identifié suffisamment tôt pour que l’organisation puisse le cas échéant s’adapter ou changer ses plans. • Il s’agira à ce stade de : • s’assurer que la réalisation des plans d’action est conforme aux attentes, telles que formalisées, et que le calendrier dessiné par la somme des plans d’action est respecté de façon satisfaisante, • aider par tous moyens, les personnes en charge de la réalisation des plans d’action, en apportant un soutien méthodologique, permettant au responsable d’atteindre l’objectif fixé dans le cadre du plan d’action, et de faire vivre l’ensemble du dispositif dans la durée. • enfin, informer dès qu’il en aura connaissance, des impossibilités ou des retards que le projet pourrait prendre au regard de la réalisation des plans d’action, et de proposer chaque fois que cela sera possible des moyens de contournement de la difficulté rencontrée.

40. Retour d’expérience • Le retour d’expérience est l’analyse critique sur les actions mises en œuvre dans le cadre de l’analyse des risques réalisée. • Elle permet notamment : • de percevoir si les plans d’action mis en place ont une efficacité sur les risques envisagés, et plus généralement de porter une opinion ex post sur la pertinence des plans d’action mis en œuvre. • Cette analyse est bien évidemment un subtil mélange d’observation et de subjectivité du propriétaire de risque, qui sera à même de produire un avis sur l’utilité du dispositif mis en place. • de dégrader la cotation des risques jugés maîtrisés, si les audits réalisés révélaient une maîtrise insuffisante. • A l’issue d’une première cartographie, cette phase consistera notamment à recadrer la méthode et à intégrer au processus de cartographie des risques tous les aménagements permettant de parfaire le dispositif et de le rendre plus efficace.

41. En conclusion ... • La gestion des risques doit rester : • un des outils de la Direction Générale, alliant simplicité, conformité, caractère évolutif et compatibilité ; • le processus lié à l’ensemble des acteurs de l’entreprise, caractérisé par un juste milieu entre bon sens paysan et expertise centrée sur l’essentiel et permettant à nos entreprises de transformer certains risques en avantages, • Cet exercice exige toutefois quelques efforts !