Qu’est-ce que la culture risque ?
La culture risque est l’un des concepts les plus discutés mais souvent les moins compris dans les établissements financiers.
Elle désigne l’ensemble des valeurs, comportements et pratiques partagées qui influencent la manière dont les collaborateurs identifient, évaluent, partagent et gèrent les risques au quotidien.
Autrement dit, c’est le lien vivant entre la gouvernance et le terrain, entre les principes formels de gestion des risques et les comportements concrets observés dans les décisions quotidiennes.
Une politique de risque, un cadre d’appétit au risque ou un dispositif de contrôle interne n’ont de sens que si les équipes les intègrent dans leur logique d’action.
La BCE, dans son Draft Guide on Governance and Risk Culture publié en juillet 2024, résume cette idée par quatre leviers :
- le « tone from the top » – l’exemplarité des dirigeants
- le dialogue et la diversité des points de vue
- la clarté des responsabilités et des conséquences
- l’alignement des incitations sur la maîtrise des risques
Ces quatre dimensions ne sont pas nouvelles, mais la BCE en fait désormais une attente de supervision explicite.
Pourquoi la culture risque est devenue stratégique
Les crises récentes des Silicon Valley Bank, Credit Suisse, ou encore Signature Bank, ont rappelé une évidence : les défaillances bancaires ne résultent pas uniquement d’un manque de procédures, d’outils ou de contrôles, mais aussi d’une insuffisante culture du risque.
Dans ces situations, les régulateurs ont mis en lumière un déficit de vigilance collective, une faible capacité de remise en question des décisions stratégiques et des mécanismes d’incitation trop axés sur le court terme
C’est pour prévenir ces dérives que la BCE a fait de la culture du risque une véritable priorité, imposant des mesures correctrices de gouvernance et de gestion des risques à près de 74 % des établissements significatifs
Une culture de risque forte :
- renforce la résilience organisationnelle,
- améliore la détection des signaux faibles,
- et aligne la prise de risque avec la stratégie à long terme.
Autrement dit, elle n’est pas un supplément d’âme, mais une condition de pérennité.
Comment la mettre en œuvre concrètement
- Définir : formuler, sur le même modèle que le Risk Appetite Statement, une Risk Culture Statement, claire et la traduire dans un code de conduite ;
- Incarner : assurer une cohérence entre discours et comportement managérial (cf. tone from the top) ;
- Piloter : suivre des indicateurs culturels (taux de remontée, enquêtes internes, fréquence des alertes…) ;
- Intégrer : relier culture et politique RH (rémunération, promotion, formation…) ;
- Évaluer : organiser une revue annuelle de la culture du risque par le conseil d’administration ou le comité des risques.
Les institutions les plus avancées mettent en place de véritables “Culture Dashboards”, qui agrègent indicateurs quantitatifs (signalements, formations suivies…) et qualitatifs (perception, challenge, collaboration…).
Quelques exemples de mise en application
Chez ING , la banque néerlandaise a développé un dispositif baptisé Speak Up & Challenge, intégré à son “Orange Code”, son référentiel de valeurs internes. L’objectif est d’encourager la liberté de parole et la diversité des points de vue dans les comités et équipes opérationnelles.
BNP Paribas favorise également la culture du « Speak up », favorisant la prise de parole, qui est, selon la banque, un levier fondamental pour garantir un environnement de travail sécurisé. A noter que le Groupe avait lancé en 2010 la Risk Academy, présentée comme une structure ouverte mise à disposition du Groupe associant ses métiers et fonctions, et sponsorisée par le Comité Exécutif de la Banque. Entre la sanction OFAC de 2010, celle de la BCE en 2024, et celle datant de quelques jours à NY, le dispositif mériterait surement d’être légèrement musclé…
Dans le Groupe BPCE , c’est par la formation qu’est essentiellement faite la promotion de la culture risques, notamment autour de la Risk Academy, qui regroupe un ensemble de certifications et de formations, ou encore de la Compliance Academy qui propose un nombre important de formations complémentaires. Fait intéressant également, le Groupe propose une « Eval’ CultuRisques » qui permet d’évaluer le niveau de culture risques de l’ensemble des établissements du Groupe !
Enfin, côté néobanque, Revolut a mis en place le système KARMA, que je vous invite à (re)découvrir dans l’un de mes posts précédents.
De la conformité à la conscience du risque : une évolution culturelle incontournable
Le superviseur français avait déjà prévu dans le RACI un paragraphe sur les principes généraux de gouvernance, avec notamment un focus sur la description de la politique de « culture du risque » déployée au sein des établissements. Celle-ci doit présenter notamment les procédures de communication, les programmes de formation du personnel sur le profil de risque et leur responsabilité en matière de gestion des risques.
La supervision européenne entre elle peut-être dans une nouvelle ère, celle de la supervision du comportement.
Les régulateurs ne se contenteront plus de vérifier la conformité d’un dispositif, mais cherchent à savoir comment les décisions sont réellement prises, quel est le niveau de maturité des équipes, comment la culture est appréhendée…
Les établissements qui réussiront cette transformation seront ceux capables de mesurer, piloter et faire vivre leur culture du risque et pas seulement comme un pur exercice de conformité…