PLAN DU COURS Outils de traitement des risques Dynamique de réduction des risques Prochain cours : Les SIGR Gestion de crise

PLAN DU COURS Outils de traitement des risques Rappel sur le choix des instruments Instruments de réduction Instruments de transfert Impacts des deux types d’instruments Gestion des risques spéculatifs La gestion des risques a pour objectif soit d’empêcher la survenance de sinistre (réduction des risques), soit de prévoir les financements pour les risques inévitables (financement des risques). Je vais vous passer en revue les principaux instruments de gestion des risques.

IV Outils de traitement des risques 1 IV Outils de traitement des risques 1. Rappel sur le choix des instruments Se référer à la liste des instruments évoqués Recenser ceux qui s’appliquent aux risques identifiés Analyser les principaux coûts et avantages des différents instruments Décrire les principales caractéristiques et différences des instruments Définir les moyens de leur mise en œuvre Imaginer les moyens de leur mise en œuvre dans les situations concrètes de vulnérabilités de l’entreprise en matière de dommages. Attention : les contraintes légales et réglementaires viennent restreindre le champ des options ouvertes au gestionnaire de risques dans des situations particulières. Par exemple, l’installation des systèmes d’extinction automatiques. Il faut donc se renseigner sur toutes les obligations qui pèsent sur l’organisation et de veiller à ce que l’organisation soit en conformité avec la législation.

IV Outils de traitement des risques Prévention Protection Transfert Rétention En général, une mesure de protection des risques s’accompagne au moins d’une mesure de financement car la protection ne réduit pas à zéro la probabilité de pertes qui peut être couverte par une mesure de financement tel qu’une assurance. Possibilité d’associer les deux types d’instruments Choisir la combinaison la plus fiable et économique

Evitement ou suppression IV Outils de traitement des risques 2. Instruments de réduction : prévention Agir sur les causes F  ou PREVENTION F = 0 Evitement ou suppression Réduire les risques consiste à agir sur l’un ou l’autre des paramètres qui en déterminent le poids financier à savoir la fréquence et la gravité ou encore à améliorer sa prévisibilité (réduction de l’incertitude). La prévention a pour objectif de réduire la fréquence des sinistres, leur probabilité de survenance. F=0 Si la prévention est totalement efficace, l’organisation aura totalement éliminé le risque pour elle. Pour arriver à cet état, deux instruments sont utilisables : Évitement / suppression Il s’agit d’éliminer complètement la possibilité d’une perte. Lorsque le risque financier est trop lourd, qu’il empêche tout profit, et menace la survie de l’entreprise, il faut soit renoncer au projet, soit trouver un nouveau procédé industriel éliminant le risque identifié, soit changer de matériau…L’entreprise renonce alors totalement à prendre le risque. Toutefois, dans bien des cas, cet instrument n’est pas applicable car l’organisation ne peut pas renoncer à son projet ou à son activité.

responsabilité financière et légale IV Outils de traitement des risques 2. Instruments de réduction : prévention F = 0 Transfert contractuel pour réduction « cédant » « acceptant » Transfert contractuel Il s’agit d’un transfert de la responsabilité légale et financière d’un risque. L’organisation qui accepte de se voir transférer le risque est alors responsable légalement et financièrement des pertes que l’organisation qui a effectué le transfert aurait pu endurer. L’objet de risque est transféré physiquement à une autre entité juridique. C’est une nouvelle entité qui réalise l’opération. L’organisation peut retirer les profits de la poursuite de l’opération sans en assumer directement le risque. C’est le fournisseur ou sous-traitant qui en a la responsabilité. Le transfert s’applique dans la limite des termes du contrat de transfert. Cette forme de transfert est à distinguer du transfert pour financement des risques dans lequel le transfert est limité à un financement déterminé dû par la partie « acceptante » à la partie « cédante » dans le cas de la réalisation d’un risque. responsabilité financière et légale

Formations, sensibilisations IV Outils de traitement des risques 2. Instruments de réduction : prévention F > 0 Formations, sensibilisations Référentiels de sécurité F > 0 Il s’agit de toutes les mesures de réduction de la fréquence qui ne parviennent pas à éliminer le risque complètement. Quelques exemples : Renforcement des mesures de sécurité contre l’intrusion Action de formation à la conduite défensive pour les conducteurs Séminaires de sensibilisation à la sécurité du SI…

Agir sur les conséquences G  ou PROTECTION IV Outils de traitement des risques 2. Instruments de réduction : protection Agir sur les conséquences G  ou PROTECTION Ségrégation (protection passive) par séparation par duplication La protection a pour objet de réduire la gravité d’un risque, notamment le montant total d’un sinistre. Réduire les perte de revenus et permettre la poursuite de l’exploitation, totale ou partielle. La protection consiste surtout en des mesures prises avant la survenance des sinistres. On distingue la protection passive de protection active : La ségrégation des risques consiste à appliquer la maxime « ne pas mettre tous ses œufs dans le même panier ». Elle consiste à découper un grand objet de risque en plusieurs objets c’est-à-dire à s’organiser de telle manière qu’un seul incident dommageable ne puisse avoir de conséquences simultanément sur l’ensemble des activités d’une organisation. On diminue l’impact d’un péril donné sur l’organisation en mettant à sa disposition des ressources en remplacement de celles endommagées dans un sinistre. Par exemple : une organisation pourrait occuper différents bâtiments sur différents sites, faire circuler ses camions de livraison sur différents itinéraires, disposer de plusieurs stocks de pièces détachées pour ses machines, avoir plusieurs fournisseurs pour ses achats externes, mettre en sécurité dans un local distinct des doubles de documents importants. Grâce à cette ségrégation, aucun péril envisageable ne pourrait réduire à néant, en une fois, l’ensemble des bâtiments, détruire tous les documents… La ségrégation des risques peut revêtir deux formes différentes : la séparation et la duplication : La séparation consiste à disperser sur plusieurs sites une même activité. Par exemple : répartir les stocks sur plusieurs entrepôts. La séparation des risques suppose que l’ensemble des parties séparées est, à tout moment, individuellement nécessaire au fonctionnement normal de l’entreprise. Inconvénient de cet instrument : la séparation d’une entité en plusieurs petites impliquent parfois un surinvestissement et des surcoûts de production. La duplication correspond au cas où on met en place des capacités excédentaires qui ne serviront qu’en cas de sinistre. Le cas le plus fréquent et le plus connu est celui du back-up en informatique : on met en place une doublure opérationnelle du site principal. On parle de système de redondance. Inconvénient de cet instrument : la mise en place de ce type d’instrument constitue un surinvestissement pour la sécurité. Utiliser un itinéraire de déviation pour les routiers serait une ségrégation, en fait une séparation si l’itinéraire était utilisé régulièrement, une duplication si l’itinéraire était mis en œuvre qu’en cas d’incident sur la voie principale.

IV Outils de traitement des risques 2 IV Outils de traitement des risques 2. Instruments de réduction : protection Ségrégation par séparation ►Disperser sur plusieurs sites une même activité Inconvénient : surinvestissement et surcoûts de production Accroissement de la fréquence La séparation consiste à disperser sur plusieurs sites une même activité. C’est un bon moyen quand une organisation peut encore atteindre ses objectifs avec une partie seulement de ses ressources. Si un sinistre frappe une des unités, celles qui demeurent en état permettent de produire les quantités et qualités nécessaires à l’organisation. L’ensemble des sites reste opérationnel. La séparation des risques suppose que l’ensemble des parties séparées est, à tout moment, individuellement nécessaire au fonctionnement normal de l’entreprise Par exemple : répartir les stocks sur plusieurs entrepôts. Inconvénient de cet instrument : la séparation d’une entité en plusieurs petites impliquent parfois un surinvestissement et des surcoûts de production. Et quand on utilise deux entrepôts au lieu d’un, les risques liés à l’exploitation sont doublés.

IV Outils de traitement des risques 2 IV Outils de traitement des risques 2. Instruments de réduction : protection Ségrégation par duplication ► capacités en « stand by » (ex : sites de secours) Inconvénient : surinvestissement La duplication correspond à la mise en place d’une véritable « unité fantôme », double de l’unité existante et qui demeure en « stand by » ou en réserve. C’est seulement en cas de disparition ou d’arrêt de l’unité principale, que l’unité de secours est activée. On utilise ce type d’instrument qui coûte cher quand l’organisation dépend de cette activité de telle façon que les coûts de mise en place et d’entretien soient compensés par les pertes potentielles en cas d’arrêt. Au cas où on met en place des capacités excédentaires qui ne serviront qu’en cas de sinistre. Le cas le plus fréquent et le plus connu est celui du back-up en informatique : on met en place une doublure opérationnelle du site principal. On parle de système de redondance. Inconvénient de cet instrument : la mise en place de ce type d’instrument constitue un surinvestissement pour la sécurité. Utiliser un itinéraire de déviation pour les routiers serait une ségrégation, en fait une séparation si l’itinéraire était utilisé régulièrement, une duplication si l’itinéraire était mis en œuvre qu’en cas d’incident sur la voie principale.

IV Outils de traitement des risques 2 IV Outils de traitement des risques 2. Instruments de réduction : protection Protection active Gestion de crise Protection active Il s’agit de mesures mise en place avant tout sinistre mais qui doit être activée manuellement ou automatiquement lors de la survenance de l’évènement.

IV Outils de traitement des risques 3. Instruments de financement Instruments de rétention Instrument de transfert -> Pour financer les risques résiduels (notamment) Les instruments de financement sont l’ensemble des moyens auxquels on peut recourir pour financer les pertes résiduelles qui subsistent malgré la mise en œuvre des instruments de réduction. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.

Instruments de rétention IV Outils de traitement des risques 3. Instruments de financement : rétention Instruments de rétention Traitement courant Provisions Emprunt Captive Rétention forcée # Rétention volontaire La rétention est l’ensemble des instruments utilisés pour générer le financement des pertes en interne c’est-à-dire par l’organisation elle-même ou une entité appartenant à la même famille financière. Il existe plusieurs formes de rétention : Traitement courant : c’est le financement des pertes sur la trésorerie courante traitée comme charges de l’exercice Provisions non financées :c’est la constitution d’une provision non financée, ou provision fictive, au passif du bilan. Les coûts sont comptabilisés, hors fiscalité, pour tenir compte d’une perte potentielle sans mettre en place un financement spécifique Provisions financées : c’est la constitution d’une provision au passif du bilan avec sa contrepartie à l’actif sous forme d’actifs monétaires aisément mobilisables Recours à l’emprunt : mise en place d’une ligne de crédit spécifique pour financer la perte, lorsqu’elle survient. Captive : c’est l’utilisation d’un assureur filiale du groupe (captive) auprès du quel sont souscrits les contrats d’assurance Dans la pratique, on constate qu’il est rare qu’une entreprise accepte de pratiquer une rétention supérieure à 5 ou 10 % de son bénéfice. Il y a deux cas de rétention : Rétention forcée Situation exemple : le péril qui provoque le sinistre n’est pas assurable Rétention volontaire Situation exemple : les dommages résultent d’une vulnérabilité que l’organisation a choisie de conserver et non de transférer. Les sinistres pris individuellement ont des conséquences limitées à un montant tel qu’ils sont largement dans les limites de rétention de l’organisation. La sinistralité se présente de telle façon qu’il est peu vraisemblable qu’un nombre important de sinistres se trouvent concentrés sur une courte période, ce qui pourrait dépasser la capacité de rétention pour la période.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : rétention Traitement courant Méthode simple et économique Attention à la disponibilité des fonds Davantage pour des frais récurrents L’appel à la trésorerie courante est une méthode simple et économique à mettre en œuvre. Il suffit d’attendre que les sinistres se réalisent. Seulement, la garantie de la disponibilité de fonds au moment voulu n’est pas absolue, surtout pour des sinistres importants. Les dépenses courantes peuvent s’appliquer à la partie récurrente des sinistres tels que les dommages d’une importante flotte automobile, les frais de nettoyage d’un parking, la remise en état du matériel endommagé… Le degré de prévisibilité est un facteur important dans ce choix d’instrument.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : rétention Provisions Non financées Sous forme de charge courante pas de contrepartie à l’actif en trésorerie Financées Sous forme de dotation annuelle contrepartie à l’actif en trésorerie Il s’agit d’une ligne comptable ajoutée aux charges de la période considérée pour tenir compte des sinistres qui devront être rattachés à la période. Un exemple typique de la provision non financée est le cas du compte « clients » pour lequel chaque organisation connaît assez bien le niveau normal de recouvrement des créances. Cette méthode consiste à reconnaître par avance que la société va subir une perte, ceci est reflété à la fois dans la trésorerie prévisionnelle et le budget prévisionnel : une partie du compte client n’est pas transformée en trésorerie. En revanche, à l’actif, il n’y a pas de fonds en contrepartie de cette « provision fictive ». Par contre, la provision financée apparaît au passif du bilan de l’entreprise (comme s’il s’agissait d’une dette à payer un jour) avec sa contrepartie monétaire à l’actif en trésorerie, obligations ou autres actifs circulants. Par exemple, une clinique peut constituer une provision financée pour assister les praticiens dans le cas d’une poursuite au titre de leur responsabilité civile professionnelle.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : rétention Emprunts Remboursement sur ses fonds propres Captives Financées par la même famille économique On peut penser que le recours à l’emprunt et la captive ne sont pas des instruments de rétention. Dans le cas de l’emprunt, en réalité, le groupe utilise une de ses lignes de crédit. La conséquence est la réduction de sa capacité à emprunter pour d’autres projets. En outre, il devra bien rembourser, ensuite, sur ses propres bénéfices, générés en interne. Dans le cas de la captive, il ne faut pas oublier que les partenaires en cause font partie de la même famille économique. Il n’y a donc pas de transfert de financement du risque à une entité économique étrangère.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : rétention Zoom sur les captives Société d’assurance fondée par une entreprise qui en détient le capital social dans le but de procurer des couvertures d’assurances à cette entreprise La captive n’accepte de souscrire des garanties qu’au profit de sa maison mère et de ses filiales. Elle permet de couvrir tous les évènements aléatoires qui ne sont pas supportables par l’entreprise et que le marché de l’assurance ne couvre pas. Parmi les risques potentiellement lourds pour l’entreprise et dont la réalisation sans secours d’un financement extérieur mettrait en jeu sa survie, on peut retrouver : Pollution et dommages à l’environnement Retrait ou rappel de produits défectueux Détérioration d’image Responsabilité civile produit Certains évènements naturels Certains risques économiques et/ou politiques

Instrument de transfert contractuel IV Outils de traitement des risques 3. Instruments de financement : transfert Instrument de transfert contractuel Le « receveur » s’engage Fonds dédiés à des dommages précis sur des actifs précis pour des montants précis Contrat écrit Sécurité = solidité financière du « receveur » Le transfert permet de générer des fonds externes pour financer ces risques. Les instruments de transfert ont en commun trois caractéristiques essentielles : Le « receveur » s’engage à verser des fonds en cas de survenance de l’évènement garanti sans que le cédant ne s’engage à rembourser immédiatement après, ces sommes (il y a donc bien financement externe des pertes) Les fonds ne sont versés que pour la survenance de certains périls affectant certains objets de risques, pour des montants définis à l’avance, le tout étant clairement énoncé par écrit dans un contrat définissant avec précision les conditions d’intervention de la protection La sécurité financière dépend de la solidité financière du « receveur », de sa bonne volonté au moment du sinistre et de l’existence de moyens légaux pour le forcer à remplir ses obligations. Tout repose sur l’engagement du « receveur » qui est le fondement légal de l’accord.

Instrument de transfert contractuel IV Outils de traitement des risques 3. Instruments de financement : transfert Instrument de transfert contractuel Transfert contractuel à un non assureur Achat de couvertures d’assurance Les deux instruments de financement des risques par transfert auxquels peut recourir une organisation sont : L’achat de couverture d’assurance auprès d’un assureur totalement extérieur du groupe Le transfert à des entités autres que des sociétés d’assurance par un accord contractuel de protection. Certaines entreprises et collectivités territoriales achètent leurs couvertures auprès de mutuelles.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : transfert Transfert contractuel à un non assureur Transfert de la responsabilité financière Cocontractant (ou receveur) doit être solvable Si défaut du receveur, la perte redevient à la charge du cédant La différence fondamentale entre la réduction par transfert et le financement par transfert est que dans ce second cas le « cédant » conserve la totale responsabilité légale du sinistre. Cette protection n’est valable que selon les termes et conditions du contrat et si le cocontractant est solvable : si le « receveur » ne remplit pas ses obligations, la perte revient intégralement à la charge du « cédant ». Le non paiement peut résulter d’une faillite du receveur ou d’une contestation sur l’étendue du contrat par le receveur (dans ce cas le litige se règlera devant le tribunal). Quoi qu’il en soit, le cédant devra trouver d’autres sources de fonds pour compenser la perte.

IV Outils de traitement des risques 3 IV Outils de traitement des risques 3. Instruments de financement : transfert Achat de couvertures d’assurance Forme plus classique et plus sûre de transfert En échange d’une cotisation Plus onéreux, à long terme, que la rétention Indispensable si capacité de rétention faible C’est la forme la plus classique et la plus sûre de transfert pour financement des risques. C’est un contrat par lequel une partie, l’assureur, accepte en échange de l’acquittement d’une cotisation de prendre à sa charge les conséquences financières des sinistres que peut subir l’autre partie, l’assuré, jusqu’à un montant généralement plafonné et dans des conditions précisées au contrat. Le recours à l’assurance est plus onéreux à long terme que la rétention. Mais il est incontournable si les capacités de rétention de l’organisation sont faibles. Rq : les mesures de prévention ne diminuent en rien le niveau des besoins de financement exceptionnel en cas de sinistre. En conséquence, la mise en place de mesures de prévention ne permet pas de baisser la hauteur des couvertures.

Risques non assurables par les professionnels de l’assurance IV Outils de traitement des risques 4. Traitement des risques spéculatifs Risques non assurables par les professionnels de l’assurance Ex du fabricant de jouets L’arbitrage sert à protéger l’organisation contre les effets négatifs de fluctuations sur les prix des matières premières ou transformées qu’elle achète ou vend dans le cours normal de son fonctionnement. Par exemple, un fabricant de jouets envisage d’introduire une nouvelle gamme de poupées pour Noël : Le risque commercial lié au prix, jugé trop élevé par les consommateurs. On peut réaliser un test de clientèle pour vérifier le positionnement du prix Le risque technologique ou de fabrication. Le prix de fabrication se révèle très supérieur à ce qui avait été envisagé. Ceci pourrait être réduit en réalisant des séries limitées avant le lancement commercial. Les prix des matières premières et des composants achetés augmente dans des proportions inattendues. Il est possible d’acheter à l’avance des quantités nécessaires à une période de production pour garantir les prix. Cet achat anticipé met le fabricant à l’abri d’une augmentation des cours. Mai parallèelement cet achat lui impose d’immobiliser des fonds en stocks qu’il aurait pu faire travailler.

V Stratégie de réduction des risques Prendre en compte le contexte Rappel : La valeur d’un risque dépend de Probabilité d’occurrence d’une (ou des) menace (s), fonction du niveau des vulnérabilités Pertinence du scénario de risque Gravité du scénario de risque À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque.

V Stratégie de réduction des risques Définir les objectifs de sécurité Généraux : qui touchent à l’organisation, aux comportements Opérationnels : qui touchent aux fonctions du système Identifier les mesures pour répondre à ces objectifs À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque. Il faut choisir la combinaison la plus fiable et la plus économique pour convaincre les décideurs. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.

V Stratégie de réduction des risques Construire un plan d’action stratégique et opérationnel À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque. Il faut choisir la combinaison la plus fiable et la plus économique pour convaincre les décideurs. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.

V Dynamique de réduction des risques Impact des instruments Chaque fiche projet (mise en place d’une mesure) intègre des indicateurs de coûts et de délais Projet Elaborer la Politique de sécurité des services réseau Objectif La politique de sécurité des services réseau doit permettre d’identifier les services (portable, LAN, Wifi, centre d’hébergement, etc.) et de définir les besoins de sécurité associés. Contenu La politique de sécurité des services réseau est à développer selon les axes suivants : Recenser les « services » (connexions Wifi, sites distants, sites d’hébergement, établissement, téléphonie IP, etc.), Etc.. Coûts de conception 7 j en interne 20 j de conseil Priorité Haute À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque. Il faut choisir la combinaison la plus fiable et la plus économique pour convaincre les décideurs. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.

V Dynamique de réduction des risques Impact des instruments Déterminer l’impact des mesures sur les niveaux de risques Préciser pour chaque mesure : Difficulté de mise en œuvre Efficacité Délai de mise en œuvre Risque résiduel À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque. Il faut choisir la combinaison la plus fiable et la plus économique pour convaincre les décideurs. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.

V Dynamique de réduction des risques Impact des mesures À moins que le risque ne puisse être totalement évité de façon pratique et sûre, toute organisation doit traiter chacun de ses risques majeurs en employant au moins un instrument de réduction et un de financement. En général, il reste au moins un risque résiduel. L’instrument de financement permet de couvrir la partie incompressible du risque. Il faut choisir la combinaison la plus fiable et la plus économique pour convaincre les décideurs. Le financement de chaque type de risque est souvent un dosage entre rétention et transfert. Par exemple, supposons que la clinique ait une couverture les dommages par liquides ou par fumées, assortie d’une franchise de 10 k€ par sinistre. Cette franchise représente sa rétention dans le sinistre, l’excédent est financièrement transféré à l’assureur.