Gestion des risques et contrôle interne des sociétés cotées

Transcription

Aon Global Risk Consulting
Gestion des risques et contrôle interne
des sociétés cotées
De la gouvernance à la communication
Etude réalisée par Aon Global Risk Consulting en association
avec NYSE Euronext et l’Institut Français des Administrateurs
09/10
6ème édition
Préface
Aon Global Risk Consulting et NYSE Euronext réalisent depuis 2004 un bilan comparatif annuel de la communication sur les risques des sociétés cotées dans leur chapitre «Facteurs de risques». Un exercice complété depuis
l’année dernière par un panorama de leurs pratiques en matière de gestion des risques et par le positionnement
des administrateurs sur ces sujets.
Cette sixième édition s’enrichit en outre de l’étude des pratiques de communication et de gestion des risques des
banques et assureurs cotés. Historiquement soumis à des cadres réglementaires plus contraignants que les corporates, leurs dispositifs sont mieux aboutis mais ils se traduisent par une communication exclusivement centrée
sur les risques liés à leur cœur de métier, formatée par Bâle 2 et dans une moindre mesure par Solvabilité 2.
Si l’exercice de communication sur les risques des corporates a pu connaître une relative stabilisation des pratiques ces dernières années, des évolutions semblent néanmoins se profiler. En effet, à l’occasion de la publication
en octobre 2009 de la mise à jour du guide d’élaboration des documents de référence, l’Autorité des Marchés
Financiers (AMF) soulève la question du foisonnement et du morcellement de l’information sur les risques, due par
les sociétés au titre de leurs différentes obligations de publication. Ce faisant, l’AMF souligne un facteur que l’édition 09-10 de l’étude révèle, à savoir que l’enjeu auquel sont désormais confrontés les émetteurs n’est plus exclusivement celui de la pertinence ou de l’exhaustivité de l’information fournie – un palier étant constaté depuis deux
ans – mais également celui de la capacité d’orchestrer, depuis le chapitre «Facteurs de risques», l’ensemble des
données relatives aux risques. Le modèle de maturité dans ce domaine se complète donc d’un nouveau volet,
reflétant l’aptitude des sociétés à embrasser les différentes exigences de communication sur les risques (chapitre
«Facteurs de risques», annexes financières, Rapport du Président, rapport financier semestriel…) pour fournir au
marché non seulement une vision cohérente d’ensemble, mais également une analyse dynamique et prospective. Ces évolutions seront plus faciles pour les émetteurs d’ores et déjà dotés de dispositifs de gestion des risques
structurés et transverses, à même de fournir une vue décloisonnée et synthétique de la matière «risques».
De plus, cet exercice de communication, qui a pu ces dernières années se teinter d’une certaine monotonie, semble être revalorisé par les impacts de la crise, révélant ainsi un caractère réactif et évolutif. Si les sociétés y voyaient
jusque-là une contrainte réglementaire qui, dans le meilleur des cas, les incitait à structurer leurs dispositifs, elles le
considèrent désormais comme une opportunité de rassurer les investisseurs. Ce contexte difficile, couplé aux évolutions réglementaires (loi DDAC du 3 juillet 2008 et ordonnance du 8 décembre 2008 transposant la 8ème directive européenne), redonne sens et valeur aux impératifs de communication, ainsi qu’à leurs sous-jacents que sont
les démarches globales de gestion des risques. En effet, en confiant aux administrateurs un rôle de plus en plus
prégnant dans le suivi de ces processus, ces réglementations ont engendré de nouvelles exigences en matière
de gestion des risques et de contrôle interne. Néanmoins, l’analyse des impacts de ces textes montre qu’un bilan
est encore prématuré, la communication ainsi que les pratiques des sociétés n’ayant connu que quelques ajustements. Ce constat s’explique par le temps d’adaptation nécessaire aux sociétés, mais également par leur attente
des interprétations et clarifications du régulateur quant à certaines dispositions de ces lois.
Aon Global Risk Consulting remercie vivement NYSE Euronext de sa confiance, l’IFA pour son soutien, ainsi que
les entreprises et administrateurs pour leur participation à cette sixième étude.
.
Gilles Proust
Directeur
Marc Azouz
Directeur associé, FIRM
3
Sommaire
Gouvernance des risques des corporates et des institutions
financières : bilan des pratiques et implication
des administrateurs
p.12
.................................................................................................................................................................
• Gestion des risques et contrôle interne des sociétés corporates
• Gestion des risques et contrôle interne des banques et assureurs
• Gestion des risques et contrôle interne : rôle et attentes des administrateurs
Communication sur les risques et leur gestion :
analyse comparative des pratiques et enquête d’opinion
................................................................................................................................................................
p. 25
• Un foisonnement des réglementations rendant l’information sur les risques
omniprésente mais fragmentée
• Analyse de la communication sur les risques des corporates
• Communication sur les risques des banques et des assureurs cotés
au sein du chapitre «Facteurs de risques»
Annexe - Résultats de l’analyse des documents
de référence : corporates, banques et assureurs
.................................................................................................................................................................
4
p. 44
Gestion des risques et contrôle interne :
contexte réglementaire
La communication sur les risques
Le chapitre « Facteurs de risques »
Depuis 2001, l’Autorité des Marchés Financiers
(AMF) demande aux émetteurs de communiquer sur leurs risques dans le document de
référence. Une déclinaison de l’information
en cinq rubriques - risques financiers, risques
juridiques, risques industriels et liés à l’environnement, autres risques, et assurances et couverture des risques - a de surcroît été préconisée en 2003.
L’entrée en vigueur, le 1er juillet 2005, de la directive européenne sur le prospectus a entraîné
des évolutions : l’AMF a mis à jour, en 2006, ses
recommandations et les a proposées comme
interprétation de l’information due au titre de la
réglementation européenne. Suite aux ajustements ainsi effectués, l’inclusion de la rubrique
«Autres risques» devient facultative et l’application des recommandations sur les assurances est désormais laissée à la libre initiative des émetteurs.
Dans un souci d’adaptation des obligations
réglementaires pour les sociétés les plus petites, c’est-à-dire celles dont la capitalisation
boursière est inférieure à un milliard d’euros,
l’AMF a publié en janvier 2008 - sur la base
des recommandations d’un groupe de travail
qu’elle avait mandaté - un guide du document
de référence spécifique aux valeurs petites et
moyennes. Il remplace, pour ces capitalisations, les précédentes recommandations et
allège leurs obligations, à la fois en termes
de présentation et de contenu. La rubrique
«Facteurs de risques» peut ainsi être remplacée par une version simplifiée, ne faisant mention que des risques «pertinents et significatifs»
identifiés par l’émetteur et devant surtout mettre en exergue les risques financiers (change,
taux, action et liquidité).
Souhaitant rappeler les éléments généraux
nécessaires à une bonne rédaction du chapitre «Facteurs de risques», l’AMF a publié le 29
octobre 2009 une mise à jour du guide d’élaboration des documents de référence qui annule
et remplace le guide publié le 30 janvier 2006.
Dans cette nouvelle recommandation, l’AMF
semble prendre note des difficultés liées au morcellement de l’information exigée sur les risques
et ouvre la voie à une harmonisation croissante. Le risque de crédit, jusqu’alors exigé au titre
d’IFRS 7 (voir ci-dessous) fait ainsi son entrée
dans le chapitre «Facteurs de risques». Plus largement, les risques financiers feront l’objet d’un
traitement qui se rapproche de celui exigé par
IFRS 7. Les renvois sont également encadrés
de manière plus spécifique. Ces recommandations, ne portant pas sur les documents de
référence 2008, ne sont pas prises en compte dans cette étude.
Le rapport semestriel
Depuis le premier semestre 2008, les émetteurs
sont tenus au titre de l’article 5 de la directive
Transparence de publier un rapport financier
semestriel incluant une rubrique sur les «principaux risques et principales incertitudes pour
les six mois restants de l’année». Le régulateur
introduit ainsi une nouveauté prospective en
demandant aux sociétés de se prononcer sur
leurs risques «à venir» et non seulement sur
leurs risques potentiels ou avérés.
Les annexes financières
Au-delà du chapitre «Facteurs de risques», certaines normes comptables viennent renforcer
le corpus réglementaire lié aux risques.
La norme «IFRS 7 – Instruments financiers :
informations à fournir» est d’application obligatoire pour tous les exercices ouverts à compter
du 1er janvier 2007. Elle régit les informations à
fournir sur «la nature et l’ampleur des risques
découlant des instruments financiers […] ainsi
que la manière dont l’entité gère ces risques».
Des informations spécifiques sont ainsi à communiquer au titre des risques de crédit, de liquidité, de taux et de change.
La norme IAS 36 se concentre, quant à elle,
sur les méthodes de dépréciation d’actifs.
Contrairement à l’amortissement qui s’opère
sur un horizon certain, les enregistrements de
dépréciation sont une forme de risque (pertes
de valeur sur actifs incorporels à durée de vie
illimitée : certaines marques, relations contractuelles, goodwill…).
La norme IAS 37 régit, entre autres, les critères
d’estimation financière et les bases d’évaluation
appliqués aux passifs éventuels. Ces derniers
s’apparentent à des risques puisqu’ils constituent des obligations potentielles à l’égard d’un
tiers qui ne sont ni probables ni certaines à la
date de clôture de l’exercice, ou des obligations
probables à l’égard d’un tiers pour lesquelles
la sortie de ressources ne l’est pas.
5
Pratiques de gestion des risques et de contrôle interne
Sociétés corporates
Dans le cadre de la Loi de Sécurité Financière
(LSF) du 1er août 2003, le Président du Conseil
d’Administration des sociétés faisant appel
public à l’épargne doit rendre compte, dans
un rapport, des procédures de contrôle interne mises en place par la société. Constatant
l’absence de référentiel unanimement admis
dans le domaine, l’AMF a créé un groupe de
place qui a publié en mai 2006 un cadre de
référence ainsi qu’un guide d’application afférent, destinés à accompagner les émetteurs
dans la rédaction de ce rapport. Ce cadre
positionne l’analyse et la gestion des risques
comme une des composantes fondamentales du contrôle interne, notamment au travers
d’un questionnaire relatif à l’analyse et à la maîtrise des risques. L’adoption de la loi DDAC (1)
du 3 juillet 2008 donne une assise réglementaire aux recommandations de l’AMF et à son
cadre de référence, puisque le Président du
Conseil doit rendre compte dans un rapport,
dorénavant approuvé par le Conseil d’Administration, non seulement des procédures de
contrôle interne, mais également de celles de
gestion des risques.
La 8ème directive européenne, transposée en
droit français par l’ordonnance du 8 décembre 2008, va en outre plus loin : le Président du
Conseil chargé, par la LSF, de s’assurer de la
simple existence des procédures de contrôle
interne, devra désormais s’engager sur l’efficacité des systèmes de gestion des risques et de
contrôle interne. Par ailleurs, les sociétés sont
tenues, quelle que soit leur taille de capitalisation, de se doter d’un Comité d’Audit.
Cette situation n’est pas encore parfaitement
stabilisée. Les deux nouvelles lois devront
être davantage précisées et définies par le
régulateur. Une réflexion est à mener sur les
notions de «suivi de l’efficacité des systèmes de gestion des risques et de contrôle
(1)
interne», d’«indépendance», de «responsabilité des administrateurs», de «responsabilité du Comité d’Audit»… L’AMF vient de mettre en place un groupe de travail qui devra se
prononcer sur ces questions. En attendant,
l’Institut Français des Administrateurs (IFA)
vient de publier, à travers son groupe de travail «Comités d’Audit et auditeurs externes»
50 recommandations pour éclairer la mise en
œuvre de l’ordonnance du 8 décembre 2008.
Ces recommandations se regroupent autour
de cinq thèmes, dont le contrôle interne et la
gestion des risques.
Banques et assureurs
A la différence du cadre de référence des sociétés corporates, les banques sont soumises à
une réglementation contraignante de leur dispositif de contrôle interne. Le règlement du
CRBF 97-02 (Comité de la Réglementation
Bancaire et Financière) définit un cadre strict
dans ce domaine, commun à tous les établissements de crédit et entreprises d’investissement. La directive Bâle 2 qui dépasse
la simple problématique du contrôle interne
contribue, néanmoins, à renforcer et à uniformiser ces pratiques. Le pilier 2 prolonge en
effet le CRBF 97-02 en introduisant une exigence d’analyse détaillée des risques et des
procédures de suivi et de contrôle tout en prévoyant un dialogue à ce sujet entre les institutions bancaires et leur superviseur.
Les assureurs sont, quant à eux, soumis aux
recommandations de l’Autorité de Contrôle des
Assurances et des Mutuelles (ACAM) en matière de contrôle interne. Ce cadre s’apparente
à celui des corporates avec quelques spécificités liées à leur cœur de métier. La directive
Solvabilité 2, qui entrera en vigueur en 2012,
imposera, via son deuxième pilier, un cadre
renforcé pour les pratiques de gestion des risques et de contrôle interne.
Loi portant diverses dispositions d’adaptation du droit des sociétés au droit communautaire.
6
Méthodologie
Les résultats présentés dans cette étude
s’appuient sur une analyse croisée
de différentes sources d’information :
revues documentaires, enquêtes
d’opinion et entretiens qualitatifs.
Analyse comparative des
documents de référence
et des informations
réglementées des
corporates, banques
et assureurs cotés
Tout d’abord, l’analyse des documents publics
suivants d’un échantillon de sociétés cotées a
été réalisée :
Composition de l’échantillon
• pour 100 sociétés corporates cotées du SBF
250 : analyse des documents de référence
(chapitre «Facteurs de risques» et annexes
financières), des Rapports du Président sur
le contrôle interne et la gestion des risques
et des rapports financiers semestriels,
• pour les 6 banques et 6 assureurs cotés :
revue des documents de référence (chapitres «Facteurs de risques») et des Rapports
du Président sur le contrôle interne et la gestion des risques,
• pour 51 sociétés corporates cotées au
FTSE UK : analyse des documents de référence (chapitres «Facteurs de risques») et
des Rapports du Président sur le contrôle
interne et la gestion des risques.
L’échantillon composé de 100 sociétés corporates cotées du SBF 250 est représentatif des
répartitions par taille de capitalisation et par secteur d’activité de cet indice de référence :
Répartition de l’échantillon corporates
par capitalisation
20 %
27 %
CAC40
NEXT20
MID100
11 %
SMALL90
42 %
En parallèle, les résultats de trois enquêtes d’opinion ont été exploités :
• l’une portant sur la communication financière
sur les risques et réalisée auprès des sociétés corporates du SBF 250,
• la deuxième portant sur les pratiques organisationnelles de gestion des risques et de
contrôle interne, réalisée auprès de sociétés
corporates cotées,
• la dernière portant sur les problématiques
de gestion des risques, a été réalisée auprès
des administrateurs adhérents de l’Institut
Français des Administrateurs (IFA).
Enfin, deux entretiens qualitatifs ciblés ont été
menés auprès d’administrateurs afin de recueillir
leur point de vue sur la gestion des risques et
le contrôle interne.
Dans un souci de lisibilité, les indices CAC Next20,
CAC Mid100 et CAC Small90 sont désignés dans
l’étude par NEXT20, MID100 et SMALL90(1).
(1)
Répartition de l’échantillon corporates
par secteur
Loisirs/Médias
22 %
11 %
9%
Energie/
Matières premières/
Utilités
Services
17 %
25 %
16 %
Technologies de
l'information
Industrie
Biens de consommation/
Retail
L’analyse a été étendue cette année à un échantillon de 6 banques et de 6 assureurs cotés.
Une comparaison a également été menée avec
51 sociétés corporates cotées au FTSE UK.
CAC 40©, CAC Next 20©, CAC Mid 100© et CAC Small 90© sont des marques déposées par NYSE Euronext.
7
Méthodologie d’analyse
Corporates
Banques et assureurs
Analyse des chapitres «Facteurs de risques»
La qualité de la présentation du chapitre
«Facteurs de risques» de l’exercice 2008 et
des informations qui y sont délivrées est évaluée sur la base de 41 critères établis à partir des recommandations de l’AMF contenues
dans le guide de préparation du document de
référence 2006.
Les chapitres «Facteurs de risques» des banques et des compagnies d’assurance cotées
ont été évalués à partir de la même grille que les
corporates, à l’exception de la rubrique «risques
financiers». Dans le but de rendre compte des
problématiques propres aux institutions financières(1), ces risques ont été appréciés à partir de critères spécifiques (tels que les risques
de crédit, de marché, de gestion actif-passif...)
et tenant compte de leur cadre réglementaire particulier (Bâle 2) et des bonnes pratiques
observées sur le marché.
Analyse des Rapports du Président sur le
contrôle interne et la gestion des risques
L’analyse des Rapports du Président sur le
contrôle interne et la gestion des risques a
été menée au moyen d’une grille de notation
conçue en fonction du questionnaire relatif à
la gestion des risques du Cadre de Référence
(mai 2006). Cette analyse se focalise exclusivement sur la place de la gestion des risques
au sein du contrôle interne.
Analyse des rapports financiers semestriels
Depuis le premier semestre 2008, les sociétés cotées publient un rapport couvrant les six
premiers mois de chaque exercice et incluant
une description des «principaux risques et principales incertitudes pour les six mois restants
de l’année».
Les rapports semestriels 2008 et 2009 de
l’échantillon de 100 sociétés corporates cotées
ont été évalués et comparés grâce à une grille
composée de 5 rubriques et 21 critères, élaborée sur la base de l’article 5 de la directive
Transparence.
Analyse des informations dues au titre des normes comptables IFRS 7, IAS 36 et IAS 37
Les sociétés cotées communiquent des informations comptables au titre d’IFRS 7 – Instruments
financiers : informations à fournir, d’IAS 36 –
Dépréciation d’actifs et d’IAS 37 - Provisions,
passifs éventuels et actifs éventuels.
L’étude s’attache à l’analyse de ces informations fortement liées aux risques. Trois grilles
ont été bâties à partir des dispositions contenues dans les normes.
(1) Dans
8
Les Rapports du Président sur le contrôle interne et la gestion des risques des banques ont
fait l’objet d’une grille d’évaluation spécifique
constituée à partir du Règlement n° 97-02 du
21 février 1997 relatif au contrôle interne des
établissements de crédit et des entreprises
d’investissement (CRBF 97-02).
Une mise en perspective : les sociétés
cotées britanniques
Les documents de référence (chapitres
«Facteurs de risques») et les Rapports du
Président sur le contrôle interne et la gestion
des risques de 51 sociétés cotées au FTSE UK
ont été analysés avec la même grille que celle
utilisée pour les sociétés françaises. Dans la
mesure où les exigences réglementaires de
communication ne sont pas identiques, les
comparaisons présentées sont exclusivement
qualitatives.
Pour l’ensemble de ces analyses, une échelle
de notation similaire a été appliquée :
0 : point non traité
1 : point abordé sans toutefois répondre
pleinement à la réglementation
2 : point traité conformément
à la réglementation
3 : point traité au-delà du niveau requis
le cadre de cette étude, le vocable « institutions financières » désigne à la fois les banques et les assureurs.
Enquêtes d’opinion
Deux questionnaires adressés aux sociétés
cotées du SBF 250
Deux questionnaires ont été adressés aux sociétés du SBF 250. Le premier porte sur les pratiques organisationnelles et méthodologiques en
matière de gestion des risques et de contrôle interne, et le second sur la perception des
sociétés quant à l’exercice de communication sur les risques, le tout regroupant 43 thématiques. Le nombre de réponses obtenues
est de 53.
Un questionnaire adressé aux administrateurs
des sociétés cotées adhérents de l’IFA
Avec le soutien de l’IFA, une autre enquête a
été réalisée auprès d’administrateurs afin de
recueillir leur perception quant aux dernières
évolutions réglementaires et à leurs responsabilités en matière de gestion des risques et
de contrôle interne. Cette enquête a totalisé
32 réponses.
Typologie des interlocuteurs
sur la préparation du chapitre
«Facteurs de risques»
Typologie des interlocuteurs sur la gestion
des risques et le contrôle interne
Direction financière
Directions Audit / Contrôle Interne
35 %
46 %
Direction de la communication financière / Relations investisseurs
Direction des risques et audit interne
27 %
17 %
Directions Audit / Contrôle interne
Direction des risques
15 %
13 %
Direction juridique
Direction des risques
13 %
12 % 8 %
Autres
Direction générale
11 %
8%
Direction juridique
7%
Répartition des administrateurs répondants
au questionnaire par Comité
60
56 %
44 %
44 %
40
22 %
20
13 %
0
Comité des Comité des
Comité
Comptes Nominations des Risques
ou d'Audit
et des
Rémunérations
Autres
Comités
Aucun
Comité
Répartition des administrateurs répondants
au questionnaire par secteur
60
53 %
40
28 %
20
19 %
9%
9%
3%
0
Industrie
Biens de
consommation/
Retail
Energie/
Matières
premières/
Utilités
Services
Loisirs/
Médias
Technologie
de
l'information
9
Composition de l’échantillon au 28/10/09
Corporates
CAC40
ACCOR
AIR LIQUIDE
ALCATEL-LUCENT
ALSTOM
CAP GEMINI
CARREFOUR
DANONE
EADS
EDF
ESSILOR
FRANCE TELECOM
GDF SUEZ
LAFARGE
L’OREAL
LVMH
MICHELIN
PEUGEOT
PPR
RENAULT
SANOFI-AVENTIS
SCHNEIDER ELECTRIC
TECHNIP
TOTAL
VALLOUREC
VEOLIA ENVIRONNEMENT
VINCI
VIVENDI
NEXT20
AIR FRANCE - KLM
CASINO GUICHARD
DASSAULT SYSTEMES
HERMES INTL
NEOPOST
NEXANS
PUBLICIS GROUPE SA
SAFRAN
SODEXO
TF1
THALES
MID100
ADP
ALTEN
ALTRAN
AREVA
ATOS ORIGIN
BIC
BOLLORE
BONDUELLE
10
BOURBON
CARBONE LORRAINE
CEGEDIM
CIMENTS FRANCAIS
CLUB MEDITERRANEE
EUTELSAT
FAURECIA
FIMALAC
GENERALE DE SANTE
GUERBET
HAVAS
ILIAD
IMERYS
JC DECAUX SA
KAUFMAN & BROAD
LAURENT-PERRIER
METROPOLE TV
NEXITY
NICOX
NORBERT DENTRESSANGLE
PAGESJAUNES
PIERRE VACANCES
PLASTIC OMNIUM
RALLYE
REMY COINTREAU
RHODIA
RUBIS
SEB
SOPRA GROUP
SPERIAN PROTECTION
STALLERGENES
THOMSON
UBISOFT ENTERTAINMENT
VALEO
PARROT
PHARMAGEST INTERACTIVE
RADIALL
SAMSE
THERMADOR GROUPE
TOUPARGEL GROUPE
Banques
CAC40
BNP PARIBAS
CREDIT AGRICOLE
DEXIA
SOCIETE GENERALE
NEXT20
NATIXIS
AUTRE
CIC
SMALL90
ALES GROUPE
AVENIR TELECOM
AVIATION LATECOERE
CS Communication et Systèmes
ETAM DEVELOPPEMENT
EURO DISNEY
EXEL INDUSTRIES
GL EVENTS
GROUPE PARTOUCHE
HI-MEDIA
HIGH CO
GAMELOFT
INTER PARFUMS
NEXTRADIOTV
Assurances
CAC40
AXA
NEXT20
CNP ASSURANCES
MID100
APRIL GROUP
EULER
SCOR
AUTRE
PARIS RE
Gouvernance des risques
des corporates et des institutions
financières : bilan des pratiques
et implication des administrateurs
12
Gouvernance des risques des corporates
et des institutions financières : bilan des
pratiques et implication des administrateurs
Les évolutions réglementaires récentes et le contexte économique actuel ont contribué à la montée
en puissance des problématiques de gestion des risques et de bonne gouvernance au sein des
sociétés cotées. L’analyse des Rapports du Président des émetteurs de l’échantillon ainsi qu’une
enquête d’opinion sur leurs pratiques organisationnelles mettent en évidence la structuration
continue des dispositifs mis en place par les corporates, face à des pratiques plus abouties et encadrées
des institutions financières, banques et assureurs.
Le rôle des administrateurs en matière de gestion des risques, étudié par un questionnaire spécifique
et des entretiens qualitatifs, est, quant à lui, renforcé et a vocation à s’accentuer lorsque les récentes
évolutions réglementaires seront pleinement assimilées par les sociétés.
Gestion des risques
et contrôle interne
des sociétés corporates
L’édition 2008 - 2009 de cette étude a
révélé une structuration croissante de
la gestion des risques et du contrôle
interne au sein des sociétés, malgré un
relatif manque d’interaction entre ces
dispositifs.
L’analyse comparée des Rapports du
Président sur le contrôle interne et la
gestion des risques d’un échantillon de 100
sociétés cotées et des réponses obtenues
à un questionnaire sur les pratiques de
gestion des risques, envoyé aux sociétés
du SBF 250, permet de prolonger,
cette année, l’examen des tendances.
L’organisation et le développement des
dispositifs continuent de croître mais de
profondes évolutions restent encore à
venir, notamment suite à l’application des
récentes réglementations. Une fois passé
le nécessaire temps d’adaptation et
clarifiées certaines de leurs dispositions,
des changements plus significatifs vont
probablement émerger.
Malgré les réductions de coûts liées
à la crise, des sociétés de plus en plus
outillées en matière de gestion
des risques et de contrôle interne
Existence d’une fonction Chief Risk Officer
(CRO)
100
La mise en place de dispositifs structurés
de gestion des risques et de contrôle interne a été renforcée par le contexte de crise
financière. Malgré des politiques de réduction drastique des coûts, les investissements
et les efforts liés à la définition et l’organisation des processus de gestion des risques ne
semblent pas avoir été affectés. Les sociétés
ont, au contraire, décidé de mettre l’accent
sur ces problématiques, sans doute afin de
rassurer le marché et leurs actionnaires dans
un environnement économique difficile.
Ainsi, la part des sociétés qui se sont dotées
de structures exclusivement dédiées à la gestion des risques est passée de 67 % à 72 %.
La fonction de Chief Risk Officer (CRO) qui
correspond, suivant la politique de l’entreprise, à une fonction de Directeur des Risques
ou à un rôle plus transverse regroupant à la
fois les risques, le contrôle interne et parfois
même l’audit interne a connu un réel essor
entre 2008 et 2009. Plus de la moitié des
sociétés ayant répondu au questionnaire ont
procédé à la nomination d’un CRO, contre
29 % seulement en 2008.
45 %
71 %
50
Non
Oui
55 %
29 %
0
2009
2008
13
L’analyse des Rapports du Président sur le
contrôle interne et la gestion des risques confirme cette tendance. En effet, l’ensemble des
points d’évaluation liés à la structuration des
processus ont vu leur moyenne augmenter
entre 2008 et 2009.
et de plans de continuité d’activité (PCA), bien
que très développée par les sociétés, fait l’objet
d’une communication réduite dans les documents publiés, notamment le chapitre «Facteurs
de risques». Si 68 % des sociétés déclarent
s’être dotées de plans de gestion de crise,
Rapports du Président sur le contrôle interne et la gestion des risques
2,5
2007
2008
2,0
2009
1,98
1,83
1,81
1,83
1,9
1,64
1,56
1,54
1,54
1,5
1,38
1,36
1,38
1,13
1,0
0,65
0,5
0,38
0,0
Existence
d'une partie
gestion des risques
Principes
généraux
de gestion
des risques
Identification /
analyse des
principaux
risques
La quasi-totalité des émetteurs de l’échantillon (90 %) ont mis en place des dispositifs matures et 12 % parmi eux font preuve
d’un avancement important : éléments organisationnels, typologie homogène, critères de
recensement…
Alors que 82 % des entreprises ont déployé
des processus d’identification et d’analyse des
risques majeurs, elles sont 72 % à disposer
de procédures de gestion des risques abouties. Une part largement supérieure aux 56 %
de 2008, qui s’explique principalement par les
conséquences de la loi DDAC du 3 juillet 2008.
Afin de rédiger le Rapport du Président désormais élargi à la gestion des risques, un nombre croissant de sociétés a choisi d’aborder
les procédures de gestion des risques. Cette
amélioration est cependant à nuancer car elle
est la résultante d’un double effet : une partie
des sociétés avait déjà mis en place les procédures mais ne les communiquaient pas
de manière satisfaisante, alors qu’une autre
partie a dû se structurer davantage en interne pour répondre aux nouvelles exigences
réglementaires.
Parmi ces processus de gestion des risques,
la mise en place de plans de gestion de crise
14
Procédures
de gestion
des risques
Surveillance
des risques
et de leur gestion
elles ne sont que 24 % à les mentionner dans
leur chapitre «Facteurs de risques». Un écart
encore plus important dans le cas des plans
de continuité d’activité, mis en place par 73 %
des entreprises mais communiqués par 24,5 %
seulement de l’échantillon, sachant que 39 %
d’entre eux se limitent aux plans liés aux systèmes d’information.
Le suivi, le contrôle et la mise à jour des dispositifs font toujours l’objet d’une attention
significative de la part des émetteurs. En effet,
70 % d’entre eux déclarent mettre à jour régulièrement leur cartographie des risques, contre
58 % seulement en 2008.
Conséquence directe de cette structuration croissante, les sociétés semblent plutôt
confiantes quant à leur capacité à gérer leurs
risques. Ainsi l’étude Global Risk Management
Survey 2009 publiée par Aon Global montre que la perception par les sociétés de leur
capacité à gérer leurs dix risques majeurs s’est
paradoxalement plutôt renforcée entre 2007
et 2009. Cette évolution est sans doute à rapprocher de la généralisation et montée en puissance des approches de gestion globale des
risques dans les entreprises. Néanmoins ces
dernières n’appréhendent pas de la même
manière leur capacité à gérer tous les types
de risques : si les risques matériels et financiers leur semblent relativement bien analysés
et dans une certaine mesure circonscrits, les risques intangibles - tels que la perte d’image - et
fortement exogènes - tels que des changements
réglementaires défavorables - leur paraissent
particulièrement difficiles à traiter.
Impact de la loi DDAC du 3 juillet 2008 :
dans l’attente de synergies renforcées
entre gestion des risques et contrôle
interne
L’application de la loi DDAC du 3 juillet 2008
qui prévoit que le Rapport du Président sur
le contrôle interne, devenu collégial, rende
également compte des procédures de gestion des risques, peut entraîner à terme des
évolutions significatives dans la manière dont
les sociétés agencent gestion des risques et
contrôle interne.
Si les entreprises ont déjà initié une certaine
convergence de ces deux démarches, le phénomène ne s’est pas pour autant accéléré suite
à cette dernière évolution réglementaire.
En effet, compte tenu du nécessaire temps
d’adaptation pour satisfaire aux exigences
d’une nouvelle loi, les changements commencent à peine à poindre. La part de sociétés
déclarant dans le questionnaire établir une collaboration étroite entre la gestion des risques,
le contrôle interne et l’audit interne a timidement évolué de 33 % à 38 %. Il est à ce titre
intéressant de relever que quasiment la moitié des sociétés interrogées (45 %) déclarent
que la loi du 3 juillet a entraîné de nouvelles
demandes en interne concernant la gestion
des risques. Les sociétés se trouvent donc,
en quelque sorte, au milieu du gué : l’impact
de la loi existe aujourd’hui en interne, entraînant des évolutions de fond, mais ces dernières n’ont pas encore abouti à de véritables
changements pouvant être retranscrits dans les
Rapports. Par ailleurs, les sociétés ne semblent
pas aujourd’hui prêtes à favoriser les synergies entre ces démarches via la création d’une
structure les regroupant : le pourcentage d’entreprises dotées d’un département commun
abritant gestion des risques, contrôle interne
et audit est ainsi stabilisé à 33 %.
Cependant, des changements davantage marqués ont été relevés dans un domaine plus
aisément et immédiatement évolutif, à savoir
la structure même des Rapports du Président
sur le contrôle interne. Ainsi, si la moyenne
obtenue par les sociétés pour l’inclusion d’une
partie spécifique «gestion des risques» était
de 0,65 en 2008, elle est de 1,13 en 2009,
soit une progression de 42 %. Cette tendance est confirmée par le jeu des renvois, que
les sociétés réalisent désormais entre les différents documents. Alors que l’AMF recommande fortement depuis plusieurs années de réaliser un renvoi du Rapport du Président vers le
chapitre «Facteurs de risques», et que seules
41 % des sociétés se prêtaient au jeu en 2008,
elles sont 66 % à mettre en œuvre cette pratique en 2009. Similairement, la part d’émetteurs
prenant l’initiative de réaliser le renvoi inverse,
à savoir du Rapport vers le chapitre, a également augmenté de 13 % à 25 %.
Impact de l’ordonnance du 8 décembre
2008 : une montée en puissance
progressive du Comité d’Audit
L’ordonnance du 8 décembre 2008 transposant en droit français la 8ème directive européenne est également de nature à impacter les pratiques des sociétés en matière de gestion des
risques et de contrôle interne.
Le caractère obligatoire du Comité d’Audit ou
«Comité spécialisé» dont l’une des missions
est le suivi de l’efficacité des systèmes de gestion des risques et de contrôle interne renforce le niveau d’exigence dans ce domaine et
contribue indirectement à structurer davantage les démarches. Les problématiques de
gestion des risques et de contrôle interne ne
sont plus l’apanage des seules équipes opérationnelles puisque les administrateurs, via
le Comité d’Audit, sont désormais chargés
de s’assurer que les risques font l’objet d’un
inventaire et d’une évaluation et que les procédures de contrôle interne sont en place et
contribuent à réduire ces risques. Leur implication et responsabilisation croissantes sur ces
problématiques ne peuvent qu’entraîner une
évolution des pratiques.
Ainsi, la part des sociétés ayant mis en place
un processus de gestion des risques suite à
une demande formulée par le Comité d’Audit
est passée de 14 % à 32 %, un pourcentage
sans doute amené à continuer de progresser
dans les mois prochains.
De plus, 64 % des répondants au questionnaire déclarent que l’organe en charge du suivi
du processus d’identification et d’analyse des
risques au sein de leur société est le Comité
d’Audit.
Au-delà d’une structuration croissante des processus, l’ordonnance du 8 décembre 2008 va
progressivement entraîner, comme l’ont souligné certaines des sociétés interrogées, une
attention renforcée au reporting réalisé (délai,
contenu …) et un accroissement du flux d’information circulant entre le management et les
administrateurs.
L’impact combiné de la loi du 3 juillet 2008 et
de l’ordonnance du 8 décembre 2008 est donc
porteur de nombreuses évolutions structurelles
quant à l’impulsion et l’organisation de la gestion des risques, ainsi qu’à ses synergies avec le
contrôle interne. Ces profondes mutations sont
en cours et 57 % des entreprises interrogées
affirment que la rédaction de leur Rapport du
Président a été influencée par ces deux dernières évolutions réglementaires. Cette influence
se limite, surtout, à l’heure actuelle, à de simples agencements (ajout d’une partie spécifique «gestion des risques» ou mention du suivi
de l’efficacité des systèmes de gestion des risques et de contrôle interne parmi les missions
du Comité d’Audit) traduisant certaines évolutions de fond. Des évolutions limitées qui reflètent le nécessaire temps d’«incubation» des
changements demandés, mais également peutêtre une certaine difficulté à cerner les attentes du législateur. Le relatif statu quo constaté
risque ainsi de perdurer jusqu’à l’assimilation
des récentes publications de l’IFA destinées à
éclairer la mise en œuvre de l’ordonnance du
8 décembre 2008, et des conclusions du groupe de travail mis en place par le Collège de
l’AMF (prévues pour mi-2010) chargé de proposer des adaptations du cadre de référence
de 2006 sur les procédures de contrôle interne
et de gestion des risques. Les sociétés pourront ainsi disposer d’une interprétation claire de
ces nouveaux textes réglementaires.
Impact de la loi du 3 juillet 2008
et de la 8ème directive sur la rédaction
des Rapports du Président
Oui
43 %
57 %
Non
15
Gestion des risques
et contrôle interne des
banques et assureurs
A la différence des sociétés corporates dont
les dispositifs de contrôle interne et de gestion
des risques sont soumis à un cadre de référence «basé sur des principes généraux et non
sur des règles contraignantes», les banques et
les assureurs voient leurs pratiques organisationnelles davantage encadrées. Le dispositif
de contrôle interne des banques est strictement réglementé par le règlement n° 97-02 du
21 février 1997 relatif au contrôle interne des
établissements de crédit et des entreprises
d’investissement (CRBF 97-02) et la directive Bâle 2, entraînant des dispositifs structurés et aboutis. Les compagnies d’assurance
sont, quant à elles, soumises aux exigences de
l’ACAM (Autorité de Contrôle des Assurances
et des Mutuelles) en matière de contrôle interne. Par ailleurs, elles devront se conformer progressivement aux réformes de Solvabilité 2 qui
seront mises en œuvre en 2012. Le deuxième
pilier de la directive prévoit notamment une évaluation des procédures de gestion des risques
par l’Autorité de Contrôle. Ainsi, les pratiques
des assureurs tendront à terme vers davantage d’uniformité et de maturité. Une grille spécifique a été bâtie pour analyser les rapports des
banques en incorporant les dispositions réglementaires du règlement CRBF 97-02.
Les banques : une réglementation
contraignante se traduisant par
des pratiques abouties et structurées
Contrairement au cadre de référence de l’AMF,
reposant sur de simples recommandations, le
règlement n° 97-02 relatif au contrôle interne
des établissements de crédit et des entreprises
d’investissement est de nature contraignante.
Ce caractère obligatoire se reflète dans les pratiques des institutions bancaires en matière de
gestion des risques et de contrôle interne. Les
Rapports du Président révèlent ainsi des pratiques plus abouties et uniformisées.
La structuration des dispositifs de contrôle
interne et de gestion des risques a atteint un
niveau élevé de maturité. L’analyse des rapports démontre en effet que 100 % des banques cotées respectent le principe imposé par
le CRBF 97-02 de la séparation des fonctions
entre le contrôle interne et l’audit interne, une
pratique en cours de développement chez les
corporates. Par souci de conformité, les banques font toutes la distinction entre le contrôle
16
Comparaison corporates - banques - assureurs : Rapports du Président
2,5
2,20
2,0
1,83
2,00
1,83
1,83
1,80
2,00
2,00
1,94
1,83
1,81
1,57
1,5
1,40
1,22
1,13
1,0
Corporates
0,5
Banques
Assureurs
0,0
Forme et
présentation
générale de la
rubrique
Définition du
périmètre de
contrôle interne
Principes généraux
de gestion
des risques
permanent et le contrôle périodique au sein
d’un paragraphe spécifique. Certaines décrivent même un stade plus poussé de structuration interne en détaillant chaque niveau de
contrôle et son rattachement hiérarchique. Elles
sont 66 % à préciser ainsi les prérogatives de
l’Inspection Générale du Groupe. En dépit d’un
nombre d’entités juridiques bien plus important
que chez les corporates, le périmètre d’application du contrôle interne fait l’objet d’une délimitation plus claire et exhaustive chez les banques
(moyenne de 1,83 pour les institutions bancaires contre 1,22 pour les corporates).
Les banques mettent en place des dispositifs
de gestion des risques et de contrôle interne
très développés et détaillés. Contrairement au
cadre de référence de l’AMF auquel se réfèrent les corporates, la réglementation applicable aux banques précise clairement les risques
devant faire l’objet de procédures spécifiques.
Ainsi, les Rapports du Président des banques
fournissent une description poussée de cellesci. Si 84 % des banques détaillent chacun de
leurs risques propres dans une sous-rubrique
spécifique, nombreux sont les corporates qui
se limitent encore aux procédures comptables
Identification
et analyse
des principaux
risques
Moyenne
et financières. Une grande partie d’entre elles
(66 %) vont même jusqu’à mentionner leur
cadre conceptuel de tolérance et de limite pour
chaque risque. En outre, l’intégralité de l’échantillon bancaire se conforme au CRBF 97-02
en s’assurant également du respect et de la
mise en œuvre effective des procédures, et
non de leur seule existence. Concernant la
surveillance du système de contrôle interne
et de gestion des risques, 100 % des banques vérifient que leur dispositif est régulièrement mis à jour et que son efficacité est satisfaisante. Une banque se distingue même en
livrant des détails sur la fréquence et les procédures de mise à jour.
que ce rapport inclut désormais la gestion des
risques. Comme pour les corporates, l’impact
de l’ordonnance du 8 décembre 2008 se limite,
pour l’instant, à préciser la gestion des risques
parmi les missions du Comité d’Audit.
Gestion des risques et contrôle interne - banques
2,5
2,2
2,2
2,0
2
1,8
2
1,9
1,8
1,8
1,7
1,5
Cependant, les banques n’abordent pas toutes
les problématiques avec le même souci d’exhaustivité. Certains sujets font l’objet d’un traitement moins abouti. Ainsi, seules 50 % des
institutions bancaires décrivent correctement la
remontée des informations des opérationnels
vers le Conseil d’Administration ou la Direction
Générale, et une seule décrit précisément l’organisation du flux d’information et sa fréquence. Pourtant conduites par le CRBF 97-02 à
constituer un système de limites aux risques,
les banques se cantonnent à un niveau d’information souvent descriptif à ce sujet. Aucune
ne communique sur le respect ou non de ces
limites et les moyens de contrôle mis en place.
En outre, les différents niveaux du dispositif de
contrôle interne ne sont pas décrits exhaustivement. Compte tenu des caractéristiques
des dispositifs de contrôle interne et de gestion des risques déployés, les banques livrent
plus de détails sur le contrôle exercé par la hiérarchie et l’Audit Interne que par chaque collaborateur au niveau de ses opérations propres.
Elles sont très peu à mentionner l’auto-évaluation comme moyen de suivi et d’amélioration du système de contrôle interne, alors que
cette pratique est largement répandue chez
les corporates.
Les synergies entre la gestion des risques et
le contrôle interne sont très développées au
sein des banques. De fait, 84 % d’entre elles
répondent aux exigences de la loi DDAC du
3 juillet 2008 en traitant clairement les problématiques de gestion des risques dans leur
Rapport du Président. Deux banques précisent explicitement que l’intitulé du rapport a
changé en vertu de la loi du 3 juillet 2008 et
1,0
0,5
0,0
Forme
Définition
et présentation du périmètre
générale
du contrôle
de la rubrique
interne
Principes
généraux
de gestion
des risques
Identification
Procédures
Respect des Communication Surveillance
et analyse
de gestion
procédures sur les risques et des risques
des principaux des principaux
de gestion
les procédures
et des
risques
risques
des principaux
de gestion
procédures
risques
des risques
de gestion
des risques
Moyenne
générale
contrôle interne
Les assureurs : des degrés divers
d’avancement dans la mise en place
de pratiques anticipant Solvabilité 2
Les pratiques assurantielles en matière de gestion des risques et de contrôle interne sont
régies par l’ACAM. Le cadre qu’elle a mis en
place n’étant pas aussi contraignant et précis
que le CRBF 97-02, les Rapports du Président
des assureurs se rapprochent plus de ceux des
corporates et sont globalement moins détaillés
que ceux des banques. Cependant, face aux
risques spécifiques de leur activité et dans l’attente des évolutions organisationnelles qu’introduiront les piliers 2 et 3 de Solvabilité 2 en
2012, leurs dispositifs sont souvent plus structurés et uniformisés. Un groupe de tête commence déjà à décrire des pratiques abouties
qui traduisent une volonté de conformité par
anticipation.
La structuration des assureurs en matière de
gestion des risques est satisfaisante, mais
moins poussée que celle des banques. Ils
sont tout de même 84 % à mentionner leur
17
référentiel de contrôle interne, comme le cadre
de référence de l’AMF ou le COSO. Par ailleurs,
100 % des assureurs précisent avoir adopté la
charte AFEP-MEDEF qui contribue à uniformiser les pratiques de gouvernance. De plus, les
assureurs parviennent à décrire efficacement
le périmètre d’application de leur dispositif de
contrôle interne, et obtiennent une moyenne de
1,4 contre 1,2 chez les corporates.
Le déploiement du processus de contrôle interne et de gestion des risques est disparate au
sein de l’échantillon assurantiel, ce qui traduit un
niveau de maturité encore hétéroclite et moins
harmonisé que celui des banques, du fait des
degrés différents d’évolution et d’adaptation
réglementaires.
Les compagnies d’assurance livrent un niveau
d’information suffisant et égal à celui des banques pour certains critères. Ainsi, les objectifs du
dispositif sont correctement formalisés (moyenne de 2,2) dans tous les rapports analysés. En
outre, les processus d’identification et d’analyse des risques font l’objet d’un très bon rendu
chez tous les assureurs, d’où une moyenne élevée de 2. Deux assureurs se démarquent même
par des informations qualitatives sur la méthodologie retenue pour établir la cartographie des
risques. De plus, la surveillance des dispositifs
est bien structurée et décrite (moyenne de 2,2).
Ces résultats témoignent de pratiques organisationnelles historiquement plus développées et
intégrées chez les assureurs que chez les corporates, la notion de risque étant au cœur de
leur activité. En revanche, le décalage avec les
banques se fait nettement ressentir pour décrire
précisément les procédures de contrôle interne et de gestion des risques. Si la note obtenue à ce critère est bonne (1,8), elle recouvre
d’importantes disparités. Une seule compagnie d’assurance décrit ses procédures risque
par risque (contre quatre chez les banques), et
trois se limitent aux seules procédures comptables ou liées aux systèmes d’information.
Sans contrainte réglementaire aussi détaillée
que les banques à ce sujet, les assureurs livrent
un niveau de détail inférieur et témoignent ainsi
de pratiques moins abouties.
Les synergies entre gestion des risques et
contrôle interne représentent bien le niveau
de maturité des assureurs, qui se situe entre
celui des banques et celui des corporates. En
effet, une seule compagnie d’assurance n’inclut pas les problématiques de gestion des
risques dans son Rapport du Président. Les
18
pratiques de gestion des risques de l’échantillon assurantiel semblent globalement structurées mais une certaine marge de progression
demeure ainsi que d’importantes disparités.
Ainsi, 60 % des assureurs (contre 100 % chez
les banques) précisent que le Comité d’Audit
est en charge de la gestion des risques. Mais,
ceux qui le font témoignent déjà d’une grande
maturité. Deux assureurs précisent notamment
que le Comité d’Audit a examiné le Rapport
du Président avant qu’il ne soit soumis à une
approbation collégiale. Un assureur se distingue
également en précisant que le Comité d’Audit
a augmenté la fréquence de revue des risques
financiers depuis l’avènement de la crise. Face
aux évolutions réglementaires à venir, il semble finalement que deux tendances se soient
dégagées. Certains assureurs, caractérisés
par un niveau avancé en matière de gestion
des risques et de contrôle interne, sont capables d’anticiper les réformes de Solvabilité 2.
Ce groupe de tête annonce ainsi la tendance
qui devrait prévaloir avec la mise en œuvre de
la directive en 2012.
Gestion des risques et contrôle interne - assureurs
2,5
2,2
2,2
2,0
1,5
2
1,8
1,8
1,8
1,66
1,4
1,0
0,5
0,0
Forme
Définition
et présentation
du périmètre
générale
du contrôle interne
de la rubrique
Principes
généraux
de gestion
des risques
Identification
et analyse
des principaux
risques
Procédures
de gestion
des principaux
risques
Surveillance
des risques
et des
procédures
de gestion
des risques
Moyenne
générale
contrôle interne
Gestion des risques
et contrôle interne :
rôle et attentes des
administrateurs
Un contexte général de renforcement
des exigences en matière de gouvernance
des risques
Le rôle des administrateurs en matière de gestion des risques et de contrôle interne a vocation
à être renforcé au cours des prochaines années.
La crise financière, née au cœur du système
bancaire connu pour ses dispositifs de gestion
des risques extrêmement développés et aboutis, a notamment conduit à des réflexions sur
la nécessité de compléter les processus existants par une vision des risques consolidée et
plus large, à laquelle les administrateurs peuvent significativement contribuer.
Aussi un certain nombre d’initiatives se concrétisent-elles dans ce domaine, confirmant ainsi
la tendance amorcée. Dans le cadre de l’intégration de l’ERM (Enterprise Risk Management)
dans le rating des sociétés corporates, Standard
& Poor’s a publié le 22 juillet 2009 un Progress
Report dans lequel l’agence de notation crédit communique la liste des questions posées
aux sociétés afin d’évaluer la maturité de leurs
dispositifs de gestion des risques. Parmi sept
questions, deux impliquent directement les
Conseils d’Administration et le top management : «Comment une perte liée à un risque
majeur impacte-t-elle les primes de résultat
du top management ainsi que les prévisions
budgétaires ?», «Quelles discussions liées à
la gestion des risques et conduisant à la prise
de décisions stratégiques ont été menées au
niveau du Conseil d’Administration ou du top
management ?»
Ces nouvelles dimensions du rating des corporates ne peuvent être analysées en dehors du
contexte actuel de bouleversements réglementaires. En effet, deux réglementations majeures sont récemment entrées en vigueur dans
ce domaine en France, à savoir la loi DDAC
du 3 juillet 2008 qui prévoit que le Rapport du
Président sur le contrôle interne, désormais collégial, rende également compte des procédures de gestion des risques mises en place par
la société et l’ordonnance du 8 décembre 2008
transposant la 8ème directive en droit français
et qui rend obligatoire la mise en place d’un
«Comité spécialisé», dont une des missions est
le suivi de l’efficacité des systèmes de gestion
des risques et de contrôle interne.
Les évolutions dans ce domaine ne sont sans
doute pas terminées, et de nombreux signaux
forts émanent outre-Atlantique de la SEC (US
Securities and Exchange Commission). Si les
règles de gouvernance du New York Stock
Exchange prévoient déjà une discussion des
politiques de gestion et d’évaluation des risques au sein des Comités d’Audit des sociétés cotées, le Trésor Américain (US Treasury
Department) envisage en outre des réformes
qui exigeraient de la part des Comités des
Rémunérations des institutions financières
cotées de prendre en compte la robustesse et la solidité de la gestion des risques dans
la politique de rémunération des dirigeants.
En outre, les dernières déclarations de Mary
Schapiro, Présidente de la SEC, vont encore plus loin, en évoquant de potentielles nouvelles réglementations visant à obtenir plus
de transparence sur la surveillance et le suivi
des pratiques de gestion des risques de toutes les sociétés cotées (institutions financières et corporates).
Cet environnement en pleine évolution plaide
pour réitérer, dans le cadre de cette 6ème édition, une analyse sur le rôle et les responsabilités des administrateurs en matière de gestion
des risques et de contrôle interne, en combinant les résultats quantitatifs d’une enquête
d’opinion réalisée via l’IFA auprès de certains
de ses adhérents, et des entretiens qualitatifs
avec un panel administrateurs.
Panel d’administrateurs
Dans le cadre de cette étude, deux administrateurs ont accepté de livrer leur point
de vue sur la gestion des risques et le
contrôle interne.
Jean Peyrot
M. Jean Peyrot est
administrateur représentant l’Etat au sein
du Conseil d’Administration d’Air France. Il est également
membre du Comité d’Audit. Entre 1991
et 2004, il a été contrôleur d’Etat au sein
d’Air France et a participé à l’ouverture
de capital et à la privatisation.
Guylaine Saucier
Mme Guylaine Saucier
fait partie du Conseil
d’Administration de
nombreuses grandes entreprises, dont Petro-Canada, Axa
Assurances Inc., la Banque de Montréal,
Areva (Présidente du Comité d’Audit) et
Danone. En 2004, elle s’est vu décerner le titre de Fellow de l’Institut des
Administrateurs de Sociétés et le 25ème
Prix de gestion de l’Université McGill en
2005.
19
Gestion des risques et contrôle interne :
des outils synthétiques et structurés
comme pré-requis à une implication
pertinente du Conseil
Rôle du Conseil d’Administration
en matière de gestion des risques
et de contrôle interne
100
88 %
50
41 %
19 %
13 %
0
Promotion
Définition Surveillance
et suivi
et alerte
Autres
Si la mise en place de processus de gestion
des risques et de contrôle interne relève de
la responsabilité de la Direction Générale et
des équipes opérationnelles, les administrateurs ont, quant à eux, un rôle à jouer pour
développer et appuyer ces pratiques au sein
des sociétés.
Ainsi, 87,5 % des administrateurs interrogés
voient leur principale valeur ajoutée dans la
surveillance et l’alerte. Une part qui s’explique surtout par l’impact de la 8ème directive dont la transposition en droit français a
entériné le suivi de l’efficacité des systèmes
de gestion des risques et de contrôle interne, au titre des missions du Comité.
Quel que soit leur degré d’implication dans la
surveillance et le suivi de ces systèmes, les
membres des Conseils d’Administration préfèrent se limiter à une obligation de moyens
et refusent de s’engager sur le résultat. En
effet, leur rôle premier de supervision est
déjà fortement contraint par le temps et les
ressources dont ils disposent pour achever
cet objectif, un administrateur ne passant
en moyenne que quelques heures par mois
dans une salle du Conseil. Mais surtout, ils
soulignent le fait que la direction opérationnelle de la société revient, avant tout, au
management.
Le rôle de promotion, pourtant essentiel, n’est
cité que par 18,8 % des administrateurs. Ce
pourcentage reflète le degré de maturité élevé
atteint par les sociétés en termes d’organisation et de structuration de leurs dispositifs de gestion des risques, ne faisant ainsi
plus une priorité de ce rôle. En effet, 61 %
des membres des Conseils d’Administration interrogés déclarent que leurs sociétés
ont mis en place des processus globaux et
récurrents de gestion des risques, une part
qui atteint 75 % pour le déploiement d’exercices de cartographie des risques. Ces chiffres sont par ailleurs nettement confirmés par
l’enquête auprès des sociétés, dont 88 %
affirment être dotées d’un processus d’identification et de gestion des risques.
Si les projets d’identification et d’évaluation des risques sont largement encouragés
et généralisés, les membres des Conseils
d’Administration font état de certaines difficultés pour exploiter leurs résultats, parfois
trop détaillés, et regrettent ainsi que la granularité ne soit pas toujours pertinente. Ces
20
analyses restent des outils précieux mais leur
format doit converger avec les contraintes
de temps des administrateurs, afin que ces
derniers puissent pleinement en tirer profit
en analysant et assimilant l’ensemble des
données fournies. Aussi cette source d’informations abondante gagnerait-elle à être
complétée par une vision d’ensemble de
l’exposition aux risques de la société. Les
administrateurs souhaitent surtout disposer
d’une analyse structurée et représentative,
assimilable à un tableau de bord regroupant
et hiérarchisant les risques, et également à
même de dresser des tendances et évolutions. Pour ce faire, les administrateurs
plaident pour une revue régulière (tous les
trois mois par exemple) des résultats de la
cartographie. Cette mise à jour trimestrielle n’a par ailleurs de sens que si elle donne
lieu à un échange en Conseil, afin d’éviter
les écueils d’une disparité des compréhensions et d’une divergence de points de vue
entre administrateurs et équipe dirigeante
opérationnelle.
Les administrateurs s’impliquent de manière contrastée dans la définition, la mise en
place et le suivi des processus de gestion
des risques et de contrôle interne. Alors que
27 % s’intéressent peu à ces sujets, ils sont
33 % à considérer que leur niveau d’implication est plutôt élevé. Ce dernier pourcentage sera sans doute amené à augmenter
progressivement au regard des dernières
évolutions réglementaires.
Conseil d’Administration
et communication financière :
un rôle nouveau et renforcé
Mais l’intérêt porté par les membres des
Conseils d’Administration aux sujets de gestion des risques et de contrôle interne n’implique pas à lui seul un suivi adéquat des processus. La composition du Conseil et de ses
Comités est essentielle, plaçant la question
des compétences au cœur du dispositif, et
les administrateurs s’accordent pour affirmer
que l’efficacité d’un Conseil est étroitement
liée à l’existence d’expertises complémentaires, à la fois techniques (dont la gestion
des risques) et opérationnelles.
Degré d’implication des administrateurs
dans les processus de gestion des risques
Degré d'implication élevé
27 %
33 %
Degré d'implication moyen
Degré d'implication faible
40 %
«Il faut beaucoup d’humilité pour être membre d’un Conseil d’Administration. Un administrateur ne dispose ni du temps, ni des ressources du management pour gérer tous les
problèmes de la société. Il a un rôle primordial de supervision mais ne peut prétendre
remplacer la Direction Générale.»
Guylaine Saucier
«Les cartographies des risques détaillées représentent une source d’information très riche
pour les administrateurs. Mais ces derniers ne
peuvent les interpréter et les exploiter sans
une vision d’ensemble structurée et représentative de l’exposition de la société aux
risques.»
Guylaine Saucier
«Une gestion dynamique des risques passant
par la mise à jour régulière des résultats de la
cartographie des risques est indispensable
pour assurer un suivi efficace des risques et
de l’exposition générale de la société. L’analyse
des priorités d’aujourd’hui doit être complétée par l’examen des évolutions de demain.»
Guylaine Saucier
La communication financière est restée, pendant longtemps, l’apanage des équipes de
management. En effet, d’une part, les Conseils
d’Administration, via leurs Comités d’Audit,
se limitent au contrôle légal et à la validation
des comptes. D’autre part, les Disclosure
Committees, ou «Comités de communication» à l’anglo-saxonne, sont composés dans
la majorité des cas d’opérationnels. Leurs principaux objectifs sont de s’assurer que les procédures mises en oeuvre par la société sont
conçues de façon à garantir que l’information
communiquée est déposée dans les délais
impartis mais également de s’assurer que
cette information est transmise à la Direction
Générale pour une prise de décision adéquate.
Ces opérationnels sont souvent membres du
Comité Exécutif et sont assistés d’auditeurs
externes. Les administrateurs, quant à eux, font
très rarement partie de ces Comités.
Cependant, les dernières évolutions réglementaires modifient cette configuration et favorisent un rôle accru des administrateurs dans
l’exercice de communication financière sur les
risques des sociétés cotées. La loi DDAC du
3 juillet 2008 prévoit en effet que le Rapport
du Président sur le contrôle interne devienne collégial, ce qui implique la responsabilité
de l’ensemble du Conseil d’Administration et
non plus seulement de son Président quant
à l’information qui y est publiée. En outre, le
Rapport doit rendre compte dorénavant des
procédures de gestion des risques mises en
place par la société. Les administrateurs se
retrouvent désormais partie prenante du processus de communication sur les dispositifs
de contrôle interne et de gestion des risques,
et ils redoutent le manque de temps nécessaire à l’analyse de ce document hautement
important. En effet, beaucoup de sociétés
ont choisi de compléter la séance du Conseil
d’Administration traditionnellement consacrée à la validation des comptes annuels par
l’examen du Rapport du Président. Force est
de constater que l’efficacité d’une telle pratique peut se révéler mitigée, ce regroupement
se faisant souvent au détriment de l’analyse
approfondie du Rapport et de sa discussion
par l’ensemble des administrateurs.
L’ordonnance du 8 décembre 2008, en rendant obligatoire la mise en place d’un «Comité
spécialisé» dont une des missions est le suivi
de l’efficacité des systèmes de gestion des
risques et de contrôle interne peut avoir également un impact indirect sur l’implication des
21
administrateurs, qui peuvent désormais souhaiter légitimement donner leur point de vue
sur l’information concernant ces dispositifs à
la fois dans le Rapport du Président et dans
le chapitre «Facteurs de risques».
Impact des dernières réglementations
sur le rôle des administrateurs :
des évolutions encore floues
mais une responsabilité croissante
des Conseils d’Administration
La plupart des administrateurs pensent qu’un
investissement plus poussé dans le processus
de communication financière sur les risques ne
peut être que positif et enrichissant. Ils apporteraient un point de vue extérieur à un exercice particulièrement stratégique quant à l’image véhiculée par la société auprès du marché.
Mais, tant que le Conseil d’Administration ne
disposera pas d’une vision claire des risques de
la société, sa contribution en matière de communication sera de fait restreinte. Une communication sur les risques de qualité et pertinente est donc étroitement liée à une bonne
communication en interne, et en particulier aux
flux d’information entre Direction Générale et
Conseil d’Administration.
Les deux dernières évolutions réglementaires majeures dans le domaine de la gestion
des risques et du contrôle interne, à savoir la
loi DDAC du 3 juillet 2008 et l’ordonnance du
8 décembre 2008 transposant la 8ème directive
européenne en droit français sont de nature à
modifier profondément le rôle des administrateurs, même si leur impact est, pour l’instant,
peu visible au sein des sociétés. Ainsi, 72 % des
administrateurs interrogés considèrent que la
loi du 3 juillet 2008 entérinant la collégialité des
Rapports du Président sur le contrôle interne et
la gestion des risques n’a pas modifié leur implication dans la production/validation de ce rapport. Ils sont, en outre, 81 % à affirmer que la
transposition de la 8ème directive en droit français n’a pas encore eu d’impact dans l’exercice quotidien de leur mandat.
«Les membres du Conseil d’Administration
font bénéficier la société de leur point de vue
externe. Ils tirent de leurs expériences variées
une connaissance qui ne peut qu’enrichir l’exercice de communication financière sur les
risques.»
Guylaine Saucier
«Concernant le Rapport du Président sur le
contrôle interne et la gestion des risques, le
rôle d’un administrateur est triple :
- s’assurer que tous les éléments indiqués dans
le Rapport ont été évoqués au préalable durant
les différentes séances du Comité d’Audit,
- examiner l’évolution du Rapport d’une année
sur l’autre,
- s’assurer qu’il ne contient aucune affirmation
excessive de nature à faire penser qu’un risque est totalement maîtrisé alors que ce n’est
pas le cas.»
Jean Peyrot
La relative stabilité des pratiques reflétée par ces
pourcentages s’explique par le temps nécessaire à l’assimilation et l’application correcte de
ces textes, et en particulier de l’ordonnance du
8 décembre. Cette dernière est applicable «à
l’expiration d’un délai de huit mois qui suit la clôture du 1er exercice ouvert à compter du 1er janvier 2009 au cours duquel un mandat au sein
de l’organe d’administration ou de surveillance
vient à échéance», soit au plus tôt le 1er septembre 2009 et au plus tard le 1er septembre
2010. Mais la part très faible (19 %) des administrateurs affirmant avoir subi un impact dans
l’exercice quotidien de leur mandat suite à la
transposition de la 8ème directive en droit français s’explique par le caractère flou de certaines
obligations, au premier rang desquelles figure
l’expression «suivi de l’efficacité des systèmes
de gestion des risques et de contrôle interne».
Les sociétés peinent aujourd’hui à interpréter
et donc appliquer cette exigence. Il faudra sans
doute attendre les conclusions à mi-2010 du
Groupe de travail mis en place par l’AMF - à la
fois pour préciser les notions d’«indépendance»
et de «suivi de l’efficacité» et pour réfléchir à la
composition des Comités d’Audit - pour pouvoir constater une application plus massive de
cette ordonnance.
Les sociétés ont pour l’instant surtout appliqué
la partie claire et univoque de ce texte, à savoir
la création obligatoire d’un «Comité spécialisé» ayant pour principales missions d’assurer
22
Impact des nouvelles réglementations
sur le rôle d’administrateur
100
72 %
81 %
50
Non
Oui
28 %
19 %
0
Loi du
3 juillet 2008
8ème directive
le suivi du processus d’élaboration de l’information financière, le contrôle légal des comptes et de l’indépendance des auditeurs légaux
et l’efficacité des systèmes de gestion des risques et de contrôle interne.
Différentes écoles semblent se dégager dans ce
domaine. En effet, si 25 % des administrateurs
interrogés déclarent que leurs sociétés ont mis
en place un «Comité des Risques» distinct du
«Comité d’Audit», ils sont 63 % à avoir vu les
prérogatives d’un Comité d’Audit déjà existant
s’élargir à la gestion des risques.
Les deux administrateurs interviewés ne sont
d’ailleurs pas favorables à la création d’un Comité
distinct. Ils estiment que le lien entre la gestion
des risques et l’audit interne est si fort que les
deux dispositifs ne sauraient être séparés. La
mise en place d’un «Comité des Risques» ne
ferait que créer des «doublons», les mêmes informations étant débattues dans les deux Comités,
sans compter la restitution faite ultérieurement
au Conseil d’Administration.
Concernant le suivi de l’efficacité des systèmes
de gestion des risques et de contrôle interne,
les difficultés des sociétés à interpréter cette
notion se reflètent dans le relatif éclatement des
approches envisagées pour mener à bien cette
mission.
Une grande partie des administrateurs (38 %)
met en avant le rôle accru que devra jouer l’Audit
Interne pour assurer le suivi des dispositifs,
notamment parce qu’il apporte un éclairage sur
les principales zones de faiblesse et constitue
un lien permanent entre le management et le
Conseil d’Administration.
Mais l’implication directe dans le suivi du système est citée par 34 % des administrateurs,
qui sont par ailleurs 22 % à plaider pour une
revue externe des systèmes mis en place estimant que le rôle de l’Audit Interne peut être
complété et renforcé par des appuis ponctuels de la part de cabinets externes. Ces derniers peuvent amener à la fois un point de vue
extérieur et un benchmark des meilleures pratiques du marché.
Création d’un «Comité spécialisé»
suite à l’ordonnance du 8 décembre 2008
12,5 %
28 %
25 %
62,5 %
Elargissement des prérogatives
d'un Comité d'Audit déjà existant
à la gestion des risques
Mise en place
d'un Comité d'Audit
Moyens de suivi de l’efficacité des systèmes
de contrôle interne et de gestion des risques
34 %
38 %
22 %
19 %
20
«Le programme et le dimensionnement de
l’Audit Interne sont des éléments clés pour
assurer le suivi de l’efficacité des systèmes de
gestion des risques et de contrôle interne.»
Jean Peyrot
«Je ne suis pas favorable à une distinction des
responsabilités entre le Comité d’Audit et le
reste du Conseil d’Administration ni à la création de statuts différents suivant l’appartenance à tel ou tel Comité.»
Jean Peyrot
Mise en place
d'un Comité des Risques
40
lui confèrent une responsabilité à part. Quel
que soit le point de vue défendu, il est évident
que la responsabilité des administrateurs en
général, membres ou non du Comité d’Audit,
est mise en avant par les dernières évolutions
réglementaires.
«Pour l’instant, l’évaluation de l’efficacité du
contrôle interne et la définition des indicateurs
permettant d’en rendre compte posent des
questions de méthodologie.»
Jean Peyrot
«Les dernières évolutions réglementaires ne
remettent pas en cause la responsabilité collégiale du Conseil d’Administration et ce, malgré la délégation du travail sur les risques à un
Comité spécialisé. On parle beaucoup du rôle
du Comité d’Audit, mais en bout de ligne c’est
le rôle du Conseil d’Administration.»
Guylaine Saucier
0
Implication
Audit
directe dans interne
le processus
de gestion des risques
Revue
externe
Autres
La transposition de la 8ème directive européenne en droit français pose enfin la question de la
responsabilité juridique du Conseil d’Administration et du Comité d’Audit en particulier. Les
points de vue divergent sur cette question :
si certains pensent que le Conseil ne saurait
se «décharger» de ses responsabilités sur un
organe, certes officialisé, mais qui n’est in fine
que sa propre émanation, d’autres considèrent
que les missions précises qui lui sont attribuées
23
Communication sur les risques
et leur gestion : analyse comparative
des pratiques et enquête d’opinion
25
Communication sur les risques
et leur gestion : analyse comparative
des pratiques et enquête d’opinion
L’analyse de diverses publications en matière de gestion des risques, au sein ou hors du
document de référence, révèle des disparités significatives entre les sociétés corporates, les
banques et les assureurs. Si certaines différences sont structurelles et dues pour partie au fait
que les institutions financières sont soumises à des réglementations très spécifiques impliquant
des dispositifs éprouvés de gestion des risques, d’autres - plus conjoncturelles - relèvent
notamment de stratégies de communication divergentes dans un contexte économique
difficile qui a redonné une certaine acuité à l’exercice de communication sur les risques.
Un foisonnement des
réglementations rendant
l’information sur les risques
omniprésente mais
fragmentée
Depuis 2001, le cadre de la communication
sur les risques s’est progressivement constitué par la superposition de nombreux textes
et interventions du législateur et du régulateur. Aujourd’hui, pour satisfaire aux diverses
exigences réglementaires dans ce domaine,
les sociétés sont tenues de communiquer sur
leurs risques et sur leurs pratiques de gestion
et de suivi de ces risques (cartographie, procédures de contrôle interne, plans d’action…)
dans un corpus documentaire varié : chapitre
«Facteurs de risques», Rapport du Président
sur le contrôle interne et la gestion des risques,
rapports financiers semestriels... Par ailleurs,
des informations comptables liées à ces problématiques sont également à produire dans
les annexes financières pour l’information due
au titre d’IFRS 7, d’IAS 36 et d’IAS 37.
De fait, l’information exigée est morcelée, fragmentée entre différents supports, voire au sein
d’un même document. Dans sa récente mise
à jour du guide d’élaboration des documents
de référence publiée le 29 octobre 2009, l’AMF
prend acte des difficultés suscitées par la multiplication des sources documentaires en matière de gestion des risques. Elle ouvre notamment la voie à davantage de correspondances
entre les différents supports en encourageant
une pratique encadrée de renvois. Dès lors,
ces derniers ne dispensent pas d’une présentation synthétique au sein des «Facteurs
26
de risques», et doivent être suffisamment précis pour permettre au lecteur de trouver l’information facilement.
De telles difficultés ont été révélées par l’analyse des documents publiés par l’échantillon
au titre de l’exercice 2008. Remplir les obligations de communication sur la notion de «risque» tout en permettant au marché d’appréhender globalement l’ensemble des menaces
et des opportunités d’une société relève d’un
exercice sensible, nécessitant à la fois exhaustivité et arbitrage. Pour surmonter ces difficultés et garantir une cohérence et pertinence
de l’information délivrée, les entreprises ont
développé des approches différentes, que ce
soit au sein même du document de référence ou entre le document de référence et les
autres rapports.
Un large recours aux renvois au sein
du document de référence
Concernant le morcellement de l’information
au sein du document de référence, deux écoles semblent se distinguer : si certaines sociétés sont adeptes de la redite d’informations,
d’autres penchent plutôt pour les renvois ; une
troisième catégorie va jusqu’à pratiquer un équilibre subtil entre répétitions et renvois.
Cependant, dans un souci de clarté et de lisibilité, la pratique des renvois est la plus courante.
Certaines sociétés affichent même clairement
leur volonté de «faciliter la lecture du document et [d’]en réduire le nombre de pages».
Ainsi, 66 % des sociétés ayant répondu au
questionnaire affirment utiliser la méthode des
renvois (une pratique qui se vérifie dans 84 %
des documents de référence analysés) alors
qu’elles ne sont que 34 % à avoir recours aux
répétitions ou à une pratique mixte entre renvois et répétitions.
Cette politique des renvois révèle souvent un
souci de regroupement de l’information sur
les risques, notamment au sein du chapitre
«Facteurs de risques», faisant de ce dernier le
réceptacle incontournable de tout élément relatif
aux risques. Ainsi, dans 44 % des documents
de référence analysés, les renvois sont réalisés
de manière complémentaire vers d’autres parties du document de référence (annexes financières, rapport sur le développement durable…)
afin de compléter l’information manquante.
Le croisement entre le niveau d’information
communiqué au sein du chapitre «Facteurs de
risques» et la stratégie de renvois permet de distinguer des typologies de chapitres, non sans
lien avec le niveau d’avancement en matière de
pratiques de gestion des risques et de communication sur les risques. A titre d’illustration, les
sociétés livrant peu d’informations et opérant
peu de renvois laissent ainsi souvent apparaître qu’elles ne possèdent ni les outils en amont
leur permettant d’organiser la gestion des risques ni ceux en aval leur permettant de communiquer sur le dispositif et ses résultats : les
petites capitalisations relèvent majoritairement
de cette catégorie. Les capitalisations moyennes sont dans une situation intermédiaire : si
leurs dispositifs de gestion des risques sont
généralement en place, certaines d’entre-elles
se heurtent à l’exercice même de communication, en combinant un recours important
aux renvois et un faible niveau d’informations.
D’autres, en dupliquant au sein du chapitre
certains éléments, déjà présents par ailleurs
dans le document de référence, laissent plutôt apparaître un déficit de transversalité et des
difficultés à opérer des liens entre l’ensemble
des éléments communiqués ainsi qu’entre les
différentes entités touchant de près ou de loin
à la dimension «risques». Seules les grandes
capitalisations parviennent majoritairement à
livrer une quantité importante d’informations à
partir du chapitre «Facteurs de risques» et à le
compléter de manière ponctuelle et ciblée par
le jeu des renvois, soulignant ainsi leur recul et
leur capacité analytique et organisationnelle à
décloisonner les informations relatives aux risques, quel que soit leur emplacement dans le
document de référence.
Matrice « Typologie de chapitres / profil de sociétés »
Renvois réalisés à partir du chapitre
"Facteurs de risques”
+
Type de chapitre
Profil de société
"Coquille vide”
GR
"Conformité
réglementaire”
Type de chapitre
Profil de société
+ COM -
GR
- COM -
Type de chapitre
Profil de société
Type de chapitre
Profil de société
"Pilier-pivot”
++ COM ++
GR
"Auto-porteur”
GR
+ COM +
+
Qualité et exhaustivité de l'information du chapitre "Facteurs de risques”
GR
Niveau d'avancement en gestion des risques
COM Niveau d'avancement en communication
27
Des liens resserrés entre le document
de référence et les autres publications
Les connexions du document de référence avec
d’autres publications - notamment Rapport du
des risques et rapport financier semestriel sont croissantes.
Conséquence directe de l’entrée en vigueur
de la loi DDAC du 3 juillet 2008, les renvois du
Rapport du Président sur le contrôle interne,
appelé désormais rapport du Président sur le
contrôle interne et la gestion des risques, vers
le chapitre «Facteurs de risques» ont augmenté significativement entre 2008 et 2009 : si en
2008, 41 % des sociétés effectuaient déjà ce
renvoi fortement recommandé par l’AMF, elles
sont 66 % à s’y conformer cette année. Le renvoi dans le sens inverse, du chapitre «Facteurs
de risques» vers le Rapport a également été renforcé : la part des sociétés le réalisant est passée de 13 % en 2008 à 25 % en 2009.
Si cette tendance ne reflète pas encore une
réelle synergie entre les processus, elle traduit
Des émetteurs inquiets face
aux risques d’erreur d’interprétation
de la réglementation
Si 62 % des sociétés déclarent ne pas rencontrer de difficultés particulières à gérer le morcellement de l’information sur le risque grâce
aux renvois et aux répétitions, elles soulignent
toutefois que cet exercice demande effectivement une «bonne coordination des intervenants en interne» et la mise en œuvre d’«une
collaboration des services concernés en amont
du document de référence et du Rapport du
des risques».
Les 38 % d’entreprises restantes considèrent, quant à elles, les solutions de renvois et
de répétition peu satisfaisantes. Elles estiment
ne pas réussir à communiquer «une vue claire et synthétique des risques» et mettent en
avant «la charge de travail supplémentaire difficilement absorbable» surtout pour les sociétés de taille réduite.
Interactions entre les documents de communication financière sur les risques
25 %
66 %
Document de référence
Chapitre
"facteurs de risques”
Annexes
(IFRS 7, IAS 36, IAS 37)
Rapport du Président
sur le contrôle interne et la gestion des risques
Procédures de contrôle interne et de gestion des risques
84 %
Renvois réalisés par une minorité de sociétés
77 %
Rapports financiers semestriels
Renvois réalisés par une majorité de sociétés
Principaux risques et principales incertitudes
restants pour le second semestre
%
Part de sociétés qui réalisent le renvoi
néanmoins des interactions croissantes, au
sein d’une démarche de gouvernance globale, entre dispositifs de gestion des risques et
de contrôle interne.
Une part très importante des sociétés (77 %)
renvoie du rapport financier semestriel et
notamment du paragraphe concernant les
«principaux risques et principales incertitudes
restants pour le second semestre» vers le document de référence. A l’inverse, aucune société n’incite dans son document de référence à
consulter la mise à jour du chapitre «Facteurs
de risques» que peut constituer ce paragraphe du rapport financier semestriel.
28
Qu’elles rencontrent ou non des difficultés dans
la gestion du morcellement de l’information, les
sociétés font toutes état de leur inquiétude face
aux nouvelles réglementations, jugées parfois
comme trop théoriques et imprécises. Les sociétés craignent principalement de mal interpréter
ces textes et de se retrouver ainsi en situation
de non-conformité réglementaire en matière de
communication sur les risques.
Analyse de
la communication sur
les risques des corporates
La communication sur les risques dans
les chapitres «Facteurs de risques»
L’étude des chapitres «Facteurs de
risques» et d’autres publications au
titre de l’information réglementée
ou comptable (rapports financiers
semestriels, IFRS 7, IAS 36 et IAS
37) de 100 sociétés du SBF 250
met en évidence des niveaux de
communication hétérogènes. Si
chaque exercice est aujourd’hui
relativement bien maîtrisé par
l’ensemble de l’échantillon, seules
quelques sociétés établissent des
connexions entre les différents
supports d’information permettant
ainsi d’appréhender la notion de
risques dans toute sa globalité.
En 2008, les sociétés cotées ont atteint un
point d’équilibre entre les recommandations
de l’AMF en termes de communication financière sur les risques et leurs propres exigences
quant au degré d’information qu’elles souhaitent communiquer au marché. En 2009, cette
tendance se confirme, avec une évolution de
l’échantillon similaire à celle de l’année précédente : 5 % de progression entre 2008 et
2009 et 4,7 % entre 2007 et 2008. Même si les
émetteurs s’améliorent chaque année - deux
sociétés ont dépassé la barre de la moyenne
de 2 en 2009, alors qu’aucune ne l’avait encore
fait en 2008 et 31 % des émetteurs ont une
moyenne supérieure à 1,5 - cette progression
reste désormais à la marge.
Confirmation du caractère éprouvé et mature
de cet exercice de style
La légère amélioration constatée s’explique
par une double tendance : d’une part les dispersions au sein de chaque indice s’amenuisent et d’autre part le SMALL90, toujours en
retrait, se rapproche des autres capitalisations
en termes de performance.
L’homogénéisation la plus importante a lieu
surtout au sein des petites et moyennes sociétés, marquées traditionnellement par une grande disparité de la qualité de l’information délivrée dans le chapitre «Facteurs de risques».
Le MID100 passe ainsi d’une dispersion de
24,3 % à 19,7 % et le SMALL90 de 34,6 %
à 28 %. Ce rapprochement entre sociétés de
même indice donne ainsi lieu à un nivellement
par le haut des performances avec une augmentation généralisée des moyennes de chaque capitalisation.
Les sociétés du SMALL90, largement en dessous des autres indices en termes de qualité de l’information délivrée en 2008, progressent de manière spectaculaire cette année.
Elles évoluent presque trois fois plus en 2009
qu’en 2008 (+11,4 % de progression contre
+4 %). Un effet de rattrapage comparable,
mais dans une moindre mesure, à l’évolution
du MID100 en 2007 (+33 % de progression),
ayant entraîné à l’époque le décrochage des
petites capitalisations.
La quasi-stabilisation de la moyenne depuis
deux ans, combinée au double effet de rattrapage évoqué ci-dessus confirme l’atteinte d’un palier en matière de communication
sur les risques. Les sociétés se rapprochent
de plus en plus les unes des autres et un seuil
commence à se dessiner de manière claire. Ce
constat d’essoufflement pourrait être remis en
cause par l’application des dernières évolutions
réglementaires (loi du 3 juillet 2008 et dans une
moindre mesure, 8ème directive), susceptibles
de creuser de nouveau certains écarts.
Evolution 2008-2009 - Chapitre «Facteurs de risques»
Moyennes 2009
Moyennes 2008
Moyenne
1,5
1
0,5
0
10 %
20 %
30 %
40 %
Dispersion
SMALL90
MID100
NEXT20
CAC40
29
Les risques juridiques et financiers toujours
les mieux traités
significativement à la qualité de l’information sur
les risques financiers. Les émetteurs mettent
en effet l’accent sur les analyses de sensibilité (hypothèses, méthodes de calcul et résultats) et font des renvois du chapitre «Facteurs
de risques» vers les annexes où sont livrées
ces informations détaillées dues au titre d’IFRS 7.
Le contexte actuel de crise conduit également les sociétés à se concentrer sur ce
type de risques et à donner des détails plus
fournis dans le cadre de la communication
financière afin de rassurer les marchés sur
leur capacité à les gérer.
Les émetteurs continuent de rencontrer, en
revanche, des difficultés à communiquer de
manière satisfaisante sur les risques industriels
et liés à l’environnement et sur les assurances.
Les moyennes (1,26 et 1,14) sont relativement
plus basses que celles des autres rubriques
et la progression sur les trois derniers exercices est également moindre.
Cette tendance s’explique par les difficultés
persistantes des émetteurs à obtenir, en interne, les informations concernant le risque industriel et lié à l’environnement.
Présentation des résultats par type de risque
Croissance 2007-2009 (CAGR)
8%
6%
4%
2%
0%
0,7
0,9
1,1
1,3
1,5
1,7
Moyenne 2009
30
80
64 %
60
40
20
14 %
14 %
14 %
9%
0
Financiers
Juridiques
Industriels Assurances
et
environnementaux
Autres
Environ un quart des entreprises (24 %) ont
néanmoins bien assimilé l’exercice et atteignent une moyenne égale ou supérieure à 2.
Ce groupe de tête réunit à la fois des sociétés ayant développé des bonnes pratiques en
matière de communication sur les risques industriels et liés à l’environnement (souvent de grandes capitalisations du secteur Energie/Matières
premières/Utilités) et des sociétés non concernées par ce type de risque, mais prenant soin
de le préciser.
La rubrique «Assurances» est, quant à elle, légèrement mieux traitée que l’année précédente.
L’amélioration de la communication sur des éléments comme les captives est contrebalancée
par la diminution de la volumétrie d’informations
fournie par certaines sociétés. Trois ans après
l’assouplissement des exigences de l’AMF dans
ce domaine, certaines sociétés amorcent un
retrait en fournissant moins de détails chiffrés
sur les polices d’assurance souscrites.
10 %
0,5
Difficultés de centralisation de l’information
par risque
Nombre de sociétés ayant évoqué ce type de risques
au titre de l'information la plus difficile à recueillir
Les risques juridiques et les risques financiers
restent les rubriques les mieux traitées avec des
moyennes respectives de 1,60 et 1,49. Leur
évolution agrégée sur les trois derniers exercices est également très importante.
En 2009, la qualité de la communication sur les
risques juridiques est renforcée par une description plus détaillée des litiges ainsi que de
leurs conséquences financières. Cette progression s’explique à la fois par une amélioration
de forme, due à une meilleure utilisation des
renvois, et de fond puisque certaines sociétés passent d’une simple mention des amendes au détail des provisions pour litiges. Les
sociétés continuent donc de livrer une information qualitative comme quantitative toujours
plus complète sur les risques juridiques, 28 %
d’entre elles ont même une moyenne supérieure ou égale à 2.
Les risques financiers sont, quant à eux, globalement mieux traités grâce à une recrudescence des détails fournis sur les études de sensibilité liées aux risques de change et de taux (les
moyennes respectives passent de 1,44 à 1,58
et de 1,40 à 1,48). Cette amélioration s’explique par l’impact de la norme IFRS 7 qui, trois
ans après sa première application, contribue
Présentation générale
Assurances
Risques industriels et
liés à l'environnement
Risques juridiques
Risques financiers
1,9
Les points faibles demeurent la hiérarchisation et la quantification des risques
La première porte sur le degré relativement
important d’assimilation de l’exercice par les
sociétés et sur leur capacité à répondre de
manière formelle aux exigences de l’AMF, puisque la forme des chapitres «Facteurs de risques» est de plus en plus aboutie. Non seulement les sociétés maîtrisent la présentation
formelle des risques au sein de chaque rubrique définie par l’AMF, mais elles sont également capables de mettre en exergue des risques propres à leur secteur d’activité, leur taille,
leur marché… Ainsi, 80 % des sociétés communiquent de manière satisfaisante sur des risques spécifiques à leur activité et 89 % d’entre elles décrivent leurs risques en précisant
les liens avec l’activité. Les deux points d’évaluation «Présentation des risques en lien avec
l’activité» et «Structure et présentation des risques» cumulent à la fois les moyennes les plus
élevées (1,53) et l’évolution la plus forte sur les
trois derniers exercices. Cette relative aisance des émetteurs dans l’exercice d’information sur les risques peut néanmoins conduire à l’écueil d’une communication trop stable
et figée, comme en témoignent les 62,4 % de
sociétés qui se limitent à mettre à jour les données chiffrées de leur chapitre «Facteurs de risques» entre 2008 et 2009.
Par ailleurs, les sociétés de l’échantillon sont
toujours caractérisées par des pratiques insuffisantes de hiérarchisation et de quantification de leurs risques. Le point d’évaluation
«Hiérarchisation et quantification des risques»
obtient de nouveau la moyenne la plus basse
(0,86). Parmi les sociétés interrogées dans le
cadre de notre enquête d’opinion, 75 % déclarent rencontrer des difficultés à quantifier les
risques, mais elles ne sont que 19 % à pointer le même problème dans le cas de la hiérarchisation. En effet, si la grande majorité des
entreprises sont dotées de dispositifs d’identification et d’analyse des risques et sont en
mesure de hiérarchiser leurs risques, elles ne
souhaitent pas pour autant communiquer sur
les résultats de leur cartographie dans le cadre
d’un document public. Ce déficit de hiérarchisation est donc la résultante d’un choix, à
la différence de la quantification pour laquelle
rares sont les sociétés qui disposent des processus et des outils techniques leur permettant de quantifier leurs risques ou tout au moins
une partie d’entre eux.
En dépit d’une moyenne encore faible, l’analyse de l’évolution des pratiques de communication sur la quantification et la hiérarchisation sur
Présentation des résultats par grande étape de l’ERM
Croissance 2007-2009 (CAGR)
8%
6%
4%
2%
0%
0,5
0,7
0,9
1,1
1,3
1,5
1,7
1,9
Moyenne 2009
Structure et présentation des risques
Présentation des risques en lien avec l'activité
Hiérarchisation et quantification des risques
Mesures de suivi et de contrôle des risques
Difficultés rencontrées dans le cadre
de l’élaboration du chapitre
80
Nombre de sociétés ayant évoqué le point
comme la difficulté majeure rencontrée
Au-delà de l’exploitation des résultats par type
de risques, une analyse du chapitre «Facteurs
de risques» via le prisme des grandes étapes
de l’ERM (identification, évaluation et quantification, suivi et contrôle, couverture) permet de
déceler trois tendances majeures.
75 %
60
40
19 %
20
6%
0
0%
Identifier
0%
Hiérarchiser
Quantifier
Présenter
les mesures
de contrôle
Autres
les trois derniers exercices révèle, en revanche,
la progression la plus élevée parmi toutes les
autres étapes de l’ERM (5,85 %). Il semblerait
donc que les sociétés continuent à s’améliorer sur ces deux points, ce qui pourrait conduire à terme à des chapitres «Facteurs de risques» à l’information davantage hiérarchisée
et quantifiée.
La dernière tendance est, quant à elle, la relative stabilité de la description des dispositifs mis
en place par les sociétés pour gérer leurs risques. Si les procédures de suivi et de contrôle
semblent bien présentées par les entreprises
(moyenne de 1,06), l’évolution agrégée de ce
critère sur les trois derniers exercices demeure faible (3,95 %). Des chiffres surprenants au
regard des dernières évolutions réglementaires, notamment la loi DDAC du 3 juillet 2008.
Dans la mesure où le Rapport du Président sur
le contrôle interne porte désormais également
sur la gestion des risques, des synergies visant
à enrichir le chapitre «Facteurs de risques» par
la description des procédures de suivi et de
contrôle auraient pu apparaître. Or, ces interactions restent l’apanage de quelques émetteurs
qui ont su décloisonner les exercices pour procéder à un enrichissement de ce chapitre par la
livraison d’informations poussées et détaillées
sur leurs procédures de gestion.
Couverture et transfert de risques
31
Les annexes financières :
une contribution contrastée
des obligations comptables
à la communication sur les risques
Au-delà du chapitre «Facteurs de risques», le
document de référence contient des informations relatives aux risques, souvent communiquées dans les annexes financières. Ces
données sont dues au titre de différentes normes comptables, notamment IFRS 7, IAS 36
et IAS 37.
Alors que l’information due au titre d’IFRS 7 –
Instruments financiers : informations à fournir
(voir encadré ci-dessous) est clairement identifiée par les émetteurs comme faisant partie
du volet «communication sur les risques», les
données relatives à IAS 36 – Dépréciation d’actifs (voir encadré p.33) et IAS 37 - Provisions,
passifs éventuels et actifs éventuels (voir encadré p.34) ne semblent pas encore considérées
comme telles. Ce constat révèle un relatif cloisonnement entre les exercices et une difficulté
des sociétés à dépasser la conformité comptable pour exploiter, dans le chapitre «Facteurs
de risques», certains des éléments dus au titre
de ces normes.
La récente mise à jour du guide d’élaboration
des documents de référence publiée par l’AMF
le 29 octobre 2009 aménage la présentation
des différents risques et préconise une plus
grande intégration des informations à fournir au sein du chapitre «Facteurs de risques»
avec les exigences comptables. Une tendance qui devrait ainsi se cristalliser dans les prochaines publications à venir.
Venant directement compléter et enrichir les
données fournies dans le chapitre «Facteurs
de risques», les informations sur les risques
financiers dues au titre d’IFRS 7 y sont naturellement intégrées par 84 % des émetteurs qui
font un renvoi de ce chapitre vers les annexes
financières, et notamment vers l’information
due au titre d’IFRS 7.
La norme IFRS 7 augmente les exigences du
régulateur vis-à-vis des entreprises en matière de communication sur leurs risques financiers. D’une part, les catégories de risques classiques demandées dans le chapitre «Facteurs
de risques» doivent être complétées par des
informations sur les hypothèses retenues pour
effectuer les calculs (notamment ceux de sensibilité), ainsi que des éléments qualitatifs et quantitatifs supplémentaires. D’autre part, le risque
de crédit, non exigé par l’AMF jusqu’à la parution de la mise à jour de ses recommandations
en octobre 2009 dans le chapitre «Facteurs de
risques», doit faire l’objet d’un traitement à part
entière au titre d’IFRS 7. Globalement bien traité par les sociétés avec une moyenne de 1,17,
il reste néanmoins en dessous de la moyenne
de la rubrique «Risques financiers» du chapitre «Facteurs de risques».
Risque de crédit
Eléments qualitatifs d'appréciation du risque / Forme et présentation générale
25
24
45
3
23
4
70
Garanties détenues
63
24
11
Qualité du crédit des actifs financiers échus mais non dépréciés
59
65
2
5
29
10
2
Valeur comptable des actifs financiers dont les conditions ont été renégociées
30
4
65
1
Analyse de l'âge des actifs financiers échus mais non dépréciés
31
2
67
Non traité
Des synergies évidentes pour les émetteurs
entre IFRS 7 et le chapitre
Rappel sur la disposition de la norme IFRS 7 - Instruments financiers :
informations à fournir
La norme IFRS 7, adoptée par l’Union Européenne le 11 janvier 2006, est d’application
obligatoire pour tous les exercices ouverts à compter du 1er janvier 2007.
«L’objectif de la norme IFRS 7 est d’imposer aux entités de fournir des informations
dans leurs états financiers, de façon à permettre aux utilisateurs d’évaluer :
(a) l’importance des instruments financiers au regard de la situation financière et de la
performance financière de l’entité,
et
(b) la nature et l’ampleur des risques découlant des instruments financiers auxquels
l’entité est exposée au cours de l’exercice et à la date de clôture, ainsi que la façon
dont l’entité gère ces risques.»
Dans le cadre de cette étude, seule la partie de la norme relative aux risques financiers est analysée : IFRS 7 s’intéresse notamment aux risques de crédit, de liquidité,
et de marché.
32
6
Exposition maximale au rique de crédit
Insuffisant
Satisfaisant
Surperformant
Une approche risques au sein d’IAS 36,
mais peu de connexions avec le chapitre
De même, les moyennes obtenues par les différentes catégories de risques «classiques»
(liquidité, change, taux) sont, globalement,
légèrement inférieures à celles obtenues par
les sociétés dans le cadre de leur chapitre
«Facteurs de risques». La principale difficulté
rencontrée par les sociétés réside dans l’explication des méthodes et hypothèses utilisées pour le calcul des sensibilités, ce qui
constitue la principale nouveauté d’IFRS 7
par rapport aux exigences traditionnelles de
l’AMF. Habitués à un exercice codifié et normé
depuis des années, les émetteurs ont sans
doute besoin d’un temps d’adaptation pour
satisfaire à ces nouvelles exigences. Ces dernières ont, par ailleurs, contribué à améliorer
les moyennes de la rubrique «Risques financiers» des chapitres «Facteurs de risques», le
jeu des renvois ayant permis d’enrichir l’information de ce chapitre.
Comparaison des moyennes : IFRS 7 - “Facteurs de risques”
1,8
Risque de liquidité
1,6
1,4
Risque de taux
Note globale
1,2
Note globale
Risque de change
Risque de change
Risque de crédit
1
Risque de taux
0,8
Notation IFRS 7
Notation "Facteurs de risques”
Rappel sur la disposition de la norme
IAS 36 – Dépréciation d’actifs
L’objectif de la norme IAS 36 est de «prescrire les procédures qu’une entité applique
pour s’assurer que ses actifs sont comptabilisés pour une valeur qui n’excède pas
leur valeur recouvrable. Un actif est comptabilisé pour une valeur qui excède sa valeur
recouvrable si sa valeur comptable excède le montant à recouvrer par son utilisation ou sa vente. Si tel est le cas, l’actif est
déclaré comme s’étant déprécié et la norme
impose que l’entité comptabilise une perte
de valeur. La norme spécifie également
dans quels cas une entité doit reprendre
une perte de valeur et prescrit de fournir
certaines informations.»
Dans le cadre de cette étude, seule la
perte de valeur d’actifs incorporels est
analysée.
Les sociétés maîtrisent globalement l’exercice
de communication sur le risque de dépréciation des actifs incorporels. Elles sont 70 % à
présenter les tests de dépréciation de manière détaillée : description qualitative des tests
et des hypothèses retenues pour la détermination des valeurs recouvrables, présentation
de données chiffrées sur les hypothèses retenues pour la détermination des valeurs recouvrables (notamment les taux d’actualisation)…
Cette part chute légèrement lorsqu’il s’agit de
communiquer clairement sur les résultats de
ces tests (61 %).
Les tests de dépréciation réalisés concernent, le plus souvent, le goodwill. Rares sont
les sociétés qui vont présenter des pertes de
valeur sur d’autres actifs incorporels à durée
de vie illimitée comme certains brevets, logiciels, marques…
Bien que les informations dues au titre d’IAS 36
ne soient pas complètement intégrées dans
la communication sur les risques comme celles dues au titre d’IFRS 7, elles sont présentées, dans la majorité des cas, sous un angle
«risques». Ainsi, 54 % des sociétés réalisent
des analyses de sensibilité plus ou moins
poussées.
Mais, le lien entre le chapitre «Facteurs de risques» et les annexes IAS 36 n’est pas pour
autant automatique. Une seule société renvoie du chapitre «Facteurs de risques» vers
33
les annexes IAS 36 et trois sociétés intègrent,
dans ce chapitre, l’analyse de la dépréciation
des actifs, l’une d’entre elles expliquant qu’elle a sélectionné dans les annexes financières
les données qui pourraient intéresser le lecteur. Une pratique qui pourrait se généraliser
si les émetteurs tentent d’établir davantage
de liens et d’interconnexions entre les informations publiées.
IAS 37 : une exploitation principalement
comptable des informations produites
Rappel sur la disposition de la norme
IAS 37 - Provisions, passifs éventuels
et actifs éventuels
L’objectif de la norme IAS 37 est de «faire
en sorte que les critères de comptabilisation et les bases d’évaluation appliquées
aux provisions, aux passifs éventuels et aux
actifs éventuels soient appropriés et que
les notes fournissent suffisamment d’informations pour permettre aux utilisateurs
de comprendre la nature, l’échéance et le
montant de ces provisions, passifs éventuels et actifs éventuels.»
Dans le cadre de cette étude, seuls seront
traités les passifs éventuels.
Les passifs éventuels décrits sont très fréquemment liés au «Droit individuel à la formation». Peu
de sociétés mentionnent des événements ou
obligations plus spécifiques à leur activité ou à
leur situation sur le marché.
La communication au titre d’IAS 37 est concentrée dans les annexes, une seule société opérant un renvoi du chapitre «Facteurs de risques» vers les annexes sur les passifs éventuels
dans sa partie «Risques juridiques». Le traitement de cette information est encore exclusivement comptable et les sociétés ne la voient
pas comme pouvant faire explicitement partie
de leur communication sur les risques. Mais du
fait de la «proximité comptable» des notions de
provisions et de passifs éventuels, il est possible
que progressivement les entreprises envisagent
d’intégrer les passifs éventuels dans la communication sur leurs risques, tout comme elles le
font pour les provisions pour litiges ou les provisions pour risques environnementaux.
Exploitation des résultats - passifs éventuels
Description du passif éventuel
54
11
31
4
Estimation de l'effet financier
12
63
18
7
Indication des incertitudes relatives au montant ou à l'échéance de toute sortie
65
74
Le passif éventuel correspond à une obligation
potentielle à l’égard d’un tiers qui n’est ni probable ni certaine à la date de clôture de l’exercice ou à une obligation probable à l’égard
d’un tiers pour laquelle la sortie de ressources
ne l’est pas. Les passifs éventuels sont donc
des risques du fait de leur non probabilité de
survenance, ou de la non probabilité de sortie
de ressources liées à leur survenance.
La norme IAS 37 prévoit une communication
à la fois qualitative et quantitative sur les passifs éventuels. Ces deux aspects sont traités
de manière inégale par les sociétés. Elles sont
35 % à fournir des éléments descriptifs très
détaillés sur les passifs (causes, explications,
principaux éléments…) mais cette part chute
à 25 % lorsqu’il s’agit de recenser les entreprises qui donnent une estimation financière précise du passif éventuel. Les 75 % restantes se
contentent de donner quelques éléments chiffrés qui permettent d’appréhender l’impact
potentiel de l’événement.
34
12
Non traité
Insuffisant
Satisfaisant
14
Surperformant
Gestion des risques et contrôle interne des sociétés cotées au FTSE UK
L’analyse des annual financial reports et des corporate governance statements de
51 sociétés cotées au FTSE UK met en évidence des divergences entre les pratiques
françaises et britanniques. Un décalage qui s’explique principalement par les différences de réglementations entre les deux pays.
Le cadre réglementaire de communication britannique est moins contraignant que celui
applicable en France dans la mesure où les typologies de risques (à part pour les risques financiers) ne sont pas définies de manière explicite par le régulateur. En l’absence
de catégories de risques pré établies, les émetteurs britanniques communiquent spontanément sur les risques propres à leur activité. Les sociétés françaises, quant à elles,
ne parviennent à atteindre ce niveau de spécificité que lorsqu’elles ont dépassé l’exercice purement formel de conformité réglementaire.
En revanche, le niveau de détail fourni par risque est moins avancé et plus disparate
pour les entreprises britanniques. Ainsi, les risques juridiques qui font l’objet d’un traitement abouti et mature depuis trois exercices par les sociétés corporates cotées au
SBF 250, sont peu développés par les sociétés cotées au FTSE UK (moyenne de 1,58
vs moyenne de 0,92).
La partie «Assurances» est quasi-inexistante dans les rapports britanniques. Peu de
détails chiffrés sont donnés sur les polices d’assurance, contrairement aux documents
de référence français qui regorgent de précisions sur les franchises, primes et plafonds
de garantie, et ce, malgré une diminution des exigences réglementaires en la matière.
Concernant les risques financiers, l’information délivrée par les émetteurs britanniques
est pertinente mais ne correspond pas toujours aux détails de forme et de fond exigés
par le législateur français. La comparaison se révèle donc particulièrement difficile.
Les procédures de suivi et de contrôle des risques, explicitement exigées dans le texte
de loi britannique à la fois en matière de pratiques et de communication, sont globalement très détaillées avec une moyenne de 2,12 contre une moyenne de 1,49 pour
les émetteurs français. Mais, cette description se fait néanmoins, comme dans les rapports 20-F américains, au détriment de la description du risque et de ses conséquences possibles et s’apparente surtout à une énumération à même de protéger la société
d’un point de vue juridique, plus qu’à un choix de contrôles pertinents permettant une
juste appréciation de l’exposition au risque par le lecteur.
Les rapports des sociétés cotées au FTSE UK sont donc moins formels que les documents de référence français et évitent ainsi l’écueil d’une communication trop stable et
figée qui évolue peu d’un exercice à l’autre. Mais ce manque de formalisme n’est pas
seulement vertueux, il peut s’avérer parfois pénalisant lorsqu’il s’agit d’examiner chaque
risque de manière plus poussée.
Quant aux dernières directives européennes (transposées en France via la loi DDAC du
3 juillet 2008 et l’ordonnance du 8 décembre 2008), elles n’auront aucun impact sur les
documents des sociétés britanniques puisque les différentes réglementations existant
outre-Manche incluent déjà leurs évolutions. Le suivi de l’efficacité des systèmes de gestion des risques et de contrôle interne est, par exemple, déjà mentionné dans le Turnbull
report (révisé en 2005) : «Reviewing the effectiveness of internal control is an essential
part of the board’s responsibilities».
35
Les risques dans les rapports financiers
semestriels : un exercice nouveau,
au caractère dynamique, pratiqué
avec aisance par un tiers des émetteurs
Depuis le premier semestre 2008, les sociétés cotées publient, au titre de l’article 5 de la
directive Transparence, un rapport couvrant les
six premiers mois de chaque exercice et incluant
une description des «principaux risques et principales incertitudes pour les six mois restants
de l’année».
Cette description porte sur les «éléments susceptibles d’avoir une incidence significative sur la
situation financière et les résultats de l’émetteur».
L’AMF préconise un simple renvoi vers le document de référence, s’il n’y a pas eu d’évolution
des facteurs de risques sur le semestre.
Cet exercice représente une réelle nouveauté
pour les sociétés cotées, qui doivent désormais
d’une part adopter une approche dynamique en
mettant à jour leurs facteurs de risques tous les
six mois, ce qui suppose en amont une revue,
voire une mise à jour plus régulière de la cartographie des risques. D’autre part, l’exercice de
réflexion prospective est accentué pour inclure
dans le champ de la communication financière la notion d’incertitude, conduisant à évoquer
des risques émergents et pas seulement des
risques potentiels ou avérés.
L’examen du contenu des rapports semestriels
2009 montre que la majorité des entreprises
(88 %) tentent de répondre à ces nouvelles exigences. Mais, elles le font de manière contrastée :
si 10 % des sociétés se limitent à un simple renvoi
vers le chapitre «Facteurs de risques» sans explication complémentaire, elles sont 44 % à préciser qu’aucun élément ne vient modifier la description des risques contenue dans le document
de référence ; elles renvoient donc vers le chapitre «Facteurs de risques» ou l’intègrent complètement ou partiellement dans le rapport semestriel. Certaines sociétés parviennent à actualiser
leurs facteurs de risques en intégrant de nouveaux éléments survenus durant les six derniers
mois (22 %), voire même, pour les meilleures pratiques, à se prononcer sur des risques à venir
(13 %). Parmi ces derniers, les plus récurrents
sont l’épidémie, les risques financiers, les risques
concurrentiels suite à des fusions-acquisitions ou
au changement de stratégie d’un concurrent, la
remise en cause des résultats financiers initialement annoncés…
Cette dernière catégorie, capable de se prononcer sur les risques émergents dans le rapport semestriel regroupe les sociétés les plus
matures en matière de communication sur les
36
risques dans les documents de référence. En
effet, les 13% d’émetteurs qui se démarquent
par la qualité de leur présentation des risques
dans les rapports semestriels ont, par ailleurs,
obtenu une moyenne globale de 1,39 pour
leur chapitre «Facteurs de risques», soit une
moyenne plus élevée que celle de l’ensemble
de l’échantillon (1,36). D’ailleurs, 50 % d’entre elles appartiennent au CAC40, indice où
se concentrent les meilleures pratiques en
matière de gestion des risques et de communication financière. Cette part très élevée
ne fait que confirmer ce constat de maturité :
la capacité à se prononcer sur des risques
à venir est notamment liée à la réalisation en
amont d’un chapitre «Facteurs de risques»
structuré et abouti, ainsi qu’à la possibilité de
s’appuyer sur un processus d’identification
des risques documenté et «auditable».
Mais, toutes les sociétés à la pointe en matière de communication sur les risques dans
le document de référence ne mettent pas
en oeuvre les meilleures pratiques identifiées dans les rapports semestriels. Parmi les
dix sociétés détenant la meilleure moyenne
dans le cadre de la notation de leur chapitre
«Facteurs de risques», une seule fait partie
des 13 % d’entreprises communiquant sur les
risques à venir dans les rapports semestriels.
Manque d’adaptation à un exercice nouveau
ou volonté délibérée de la part de certaines
sociétés de faire preuve de prudence dans un
contexte marqué par la crise ? L’évolution de
l’exercice durant les prochaines années permettra peut-être d’éclairer ce point.
L’exercice de communication sur les risques
dans les rapports financiers semestriels est
encore jeune mais les pratiques évoluent rapidement. Une étude comparative des rapports
publiés au premier semestre 2008 et de ceux
publiés au premier semestre 2009 montre que
si seulement 15 % des sociétés actualisaient
les risques de leur document de référence en
2008, elles sont 22 % à le faire en 2009. Une
progression semblable est à noter pour la description des risques à venir, puisque 8% des
entreprises communiquaient sur leurs risques
futurs en 2008, contre 13 % en 2009.
Si les sociétés cotées ont eu besoin de plusieurs années de tâtonnement pour s’approprier l’exercice de communication sur les risques dans les documents de référence, elles
bénéficient aujourd’hui de cet acquis pour la
production de l’information relative aux risques
dans les rapports semestriels. Elles apparaissent désormais en position de s’adapter plus
rapidement à ce nouvel exercice, qui pourrait
ainsi connaître une évolution accélérée des
tendances.
Comparaison des rapports financiers semestriels 2008-2009
50 %
42 %
40 %
40 %
30 %
28 %
2008
23 %
2009
20 %
15 %
12 %
10 %
13 %
10 %
9%
8%
0%
Aucune information
Renvoi vers les
sur les risques
"Facteurs de risques"
sans explication
Pas d'évolution
par rapport
au document
de référence
Actualisation
des risques
du document
de référence
Présentation
des risques
futurs
Communication sur
les risques des banques
et des assureurs cotés au
sein du chapitre «Facteurs
de risques»
Du fait de la nature de leurs activités et des
différentes réglementations (notamment
CRBF 97-02 révisé, Bâle 2, IFRS 7, Solvabilité
1, puis Solvabilité 2…) auxquelles elles sont
soumises, les institutions financières ont mis
en place des processus de gestion des risques structurés et formalisés. Contrairement
aux simples recommandations et cadres de
référence à destination des corporates, l’organisation, les dispositifs de gestion des risques et les contrôles que doivent mettre en
place les banques et les assureurs (y compris les réassureurs) sont normés et codifiés
de manière stricte. Ce niveau de maturité se
reflète naturellement dans leur communication sur les risques.
La quantité d’information livrée mais également
sa qualité sont très différentes entre corporates et institutions financières.
Si les rapports des banques et des assureurs
sont plus fournis, ils se concentrent quasi-exclusivement sur les risques propres à leur activité,
en particulier les risques financiers. Les autres
risques, considérés comme peu stratégiques
et éloignés de leur cœur de métier, font l’objet
d’un traitement plus léger.
Le cadre de communication défini par l’AMF
pour le chapitre «Facteurs de risques» apparaît, à cet égard, comme plus adapté aux corporates qu’aux institutions financières, puisqu’il
est articulé autour de grandes catégories de
risques, pour la plupart éloignées de l’activité
des banques et des assureurs. Ces derniers se
réfèrent donc de manière moins formelle que
les corporates au format AMF et s’attachent, en
revanche, à respecter pleinement les exigences
de Bâle 2 et de Solvabilité 2. Dans sa récente
mise à jour du guide d’élaboration des documents de référence (29 octobre 2009), l’AMF
souligne d’ailleurs les disparités d’activité et de
réglementation au sein des différentes sociétés
cotées, annonçant ainsi une nécessaire mise
en situation de l’évaluation de la communication sur les risques selon les secteurs.
La communication sur les risques financiers est
donc loin d’être comparable entre les corporates et les institutions financières. L’information
présentée par ces dernières est plus détaillée,
développée et surtout quantifiée.
Banques et assureurs :
une communication moins aboutie que les
corporates sur les risques non financiers
Dans le cadre de leur communication sur les
risques, les banques et les compagnies d’assurance produisent des chapitres «Facteurs
de risques» globalement plus fournis que les
sociétés corporates. Avec des développements de 44 pages en moyenne, les banques
donnent une information encore plus détaillée
que les assureurs (25,5 pages), alors que les
corporates sont loin derrière avec 11,4 pages
en moyenne.
Les institutions financières ne se démarquent
pas seulement par la quantité de l’information délivrée mais également par sa qualité de
présentation. Ce critère obtient une moyenne
de 1,5 chez les banques et de 1,8 chez les
assureurs, contre une moyenne de 1,4 chez
les corporates.
Elles parviennent notamment à s’approprier
l’exercice dans la mesure où 83 % des banques et l’intégralité des assureurs nomment
leurs risques de manière spécifique, sans s’arrêter à une simple formulation générique. La
moitié d’entre eux illustrent leurs risques par
la présentation de scénarios.
Si les institutions financières ont une information plus développée que les corporates, elles
sont cependant confrontées à quelques difficultés dans le traitement des risques non liés
à leur activité et à leur cœur de métier.
Ainsi, en matière de communication sur les
risques juridiques, les banques et les assureurs ne parviennent pas à atteindre le niveau
des corporates. Ces derniers témoignent d’un
niveau de maturité très élevé sur ces sujets,
la rubrique «Risques juridiques» étant depuis
trois ans la mieux notée de l’ensemble du chapitre «Facteurs de risques». Cet écart s’explique par la tendance des institutions financières à peu communiquer sur leurs litiges. Il s’agit
là d’un problème de forme puisque les provisions pour litiges, présentes dans le document
de référence, font rarement l’objet de renvois
mais également d’un problème de fond étant
donné l’absence de toute information sur les
37
litiges dans 50 % des documents de référence des banques notés.
Les risques industriels et liés à l’environnement
font l’objet d’un rendu plus dispersé. Alors que
66 % des compagnies d’assurance précisent
que leur activité, avant tout financière, ne les
expose pas à ce type de risques (d’où une
moyenne de 1,3), la plupart des banques ne
mentionnent même pas l’existence du risque.
Elles ne sont d’ailleurs que deux à y faire référence. Concentrées sur les risques financiers, les
institutions bancaires s’attachent peu à décrire
des éléments qu’elles ne jugent pas significatifs
ou susceptibles d’impacter leur activité.
Quant aux dispositifs de couverture assurantielle, ils sont moins bien traités par les institutions
financières que par les corporates. L’allègement
des exigences de l’AMF en matière de communication sur les assurances n’a pas entraîné pour autant une diminution de la qualité de
l’information livrée par les corporates. Ils donnent toujours des détails très chiffrés sur les
plafonds de garantie, les franchises, les primes… Les banques et les assureurs, quant
à eux, communiquent à peine sur leurs polices souscrites et ne donnent aucun élément
quantitatif. Ce sont paradoxalement les assureurs qui obtiennent la moyenne la plus basse
(0,6). Contrairement aux banques, ils communiquent peu sur leur politique générale de couverture, traduisant ainsi une tendance générale observée dans l’ensemble du chapitre
«Facteurs de risques» : les institutions bancaires donnent généralement plus d’information
qualitative que les assureurs.
Le décalage entre institutions financières et
corporates en matière de communication sur
les risques non financiers est significatif, dans
la mesure où les institutions financières présentent des dispositifs de gestion des risques
matures. En effet, compte tenu des réglementations auxquelles elles sont soumises (Bâle 2,
Solvabilité 1, CRBF 97-02…), elles ont développé des systèmes de gestion et de contrôle des
risques très structurés. Elles se démarquent,
d’ailleurs, des corporates par une communication plus complète sur les procédures de suivi
et de contrôle (moyenne de 2,3 pour les banques et de 2,2 pour les assureurs), ainsi que
par une présentation exhaustive de leur processus de gestion des risques, à la fois dans
une partie introductive du chapitre puis déclinée risque par risque.
De fait, ce décalage ne doit pas conduire à
38
conclure que les institutions financières sont
devancées par les corporates, mais plutôt à
constater qu’elles ont choisi de se concentrer
sur les risques qu’elles jugeaient significatifs
par rapport à leur cœur de métier.
Comparaison corporates - banques - assurances : rubriques non financières
2
1,77
1,65
1,5
1,47
1,43
1,28
1,21
1
1,25
1,24
1,14
Corporates
0,97
Banques
0,64
Assurances
0,5
0,36
0
Présentation
générale
Risques
juridiques
La communication des banques sur les
risques financiers : un équilibre à trouver
entre attentes du marché et exigences
de confidentialité en temps de crise
L’analyse des risques financiers montre une
réelle appropriation de l’exercice de communication par les banques. Elles ne se contentent pas d’un niveau d’information générique
mais parviennent à fournir des données caractéristiques qui leur sont propres, notamment
en décrivant les particularités de leur environnement interne de gestion des risques. Elles
sont ainsi 84 % à donner des détails sur leur
cadre conceptuel de tolérance et de limite au
risque (moyenne de 2,17) et à évoquer leur
«appétit au risque».
Au-delà de la spécificité de certains éléments
descriptifs, les institutions bancaires ont atteint
un niveau de maturité très élevé en matière de
communication sur les risques propres à leur
activité, tant au niveau de la quantité de l’information délivrée que de sa qualité. Quelques disparités subsistent entre catégories de risques,
dues essentiellement au degré d’adaptation à
Risques industriels
et liés à
l'environnement
Assurances et
couverture des risques
des contraintes réglementaires plus ou moins
récentes.
Les risques visés par le pilier 1 de la directive
Bâle 2, à savoir les risques de crédit, les risques opérationnels, et les risques de marché
obtiennent les meilleures moyennes.
Le risque de crédit est le mieux noté avec une
qualité globale de l’information qualitative et
quantitative livrée de 2,3 et une moyenne générale de 1,36. Les banques ont eu le temps de
s’approprier l’exercice et parviennent aujourd’hui
à communiquer de manière très structurée et
aboutie sur ce risque, même si la crise financière a montré que des améliorations étaient
encore nécessaires.
Dans ce cadre, les informations générales liées
à l’application de Bâle 2 sont les mieux traitées : cinq banques au sein de l’échantillon de
six décrivent l’approche retenue pour le traitement du risque de crédit (approche standard,
approche notation interne fondation (IRB-F) ou
approche notation interne avancée (IRB-A)).
En outre, elles dressent des matrices d’exposition par probabilité de défaut (PD) ou le taux
de perte en cas de défaut (LGD).
Cependant, les techniques de réduction des risques font l’objet d’une communication moins
aboutie et plus technique : 66 % des banques,
par exemple, ne communiquent pas sur les
sûretés personnelles et réelles permettant de
réduire leurs risques nets. Certaines informations plus précises en matière de gestion du risque de crédit manquent parfois, comme l’unicité de la définition du défaut bâlois, abordée
par une seule institution bancaire.
critères plus poussés concernant les méthodes de valorisation ou le contrôle de cette
valorisation.
De même, les risques opérationnels se caractérisent par un rendu bien structuré pour se
conformer à la directive, mais les précisions
données sont assez variables. Si quatre banques présentent une analyse quantitative, deux
d’entre elles seulement vont jusqu’à communiquer des chiffres absolus et non rapportés
en pourcentages.
Les autres risques, absents du pilier 1 de
Bâle 2, sont décrits de manière moins exhaustive. Pour ces risques, les banques tentent de
livrer un degré de détail suffisant pour garantir
la confiance du marché sans pour autant donner trop d’information. Ainsi, dans le cadre du
risque de liquidité, si la moitié des banques étudiées communiquent correctement sur leurs
méthodes générales de suivi par des indicateurs de liquidité (note moyenne de 1,17) ou
de couverture (1,50), elles ne donnent cependant pas de précisions sur le niveau de leurs
réserves de liquidité ou leur plan de continuité
d’activité pour faire face à un choc.
D’autres risques, moins réglementés, sont
écartés par l’ensemble des banques. Elles
donnent en effet des informations très parcellaires sur les risques stratégiques et de réputation avec des moyennes respectives de 0,33
et 0,83.
Qualité générale de l’information et moyennes des risques financiers - banques
Qualité générale de l'information
Les risques de marché et, du fait des innovations introduites par la directive Bâle 2, les risques opérationnels font également l’objet d’une
attention toute particulière de la part des banques avec une qualité générale de l’information livrée de 2,17. Le traitement concret est
en revanche moins poussé que pour le risque
de crédit, traduisant ainsi, pour les risques opérationnels, une moindre adaptation à des exigences plus récentes.
2,5
Pour les risques de marché, l’information fournie à propos des reclassements de titres entre
trading book et banking book est contrastée. Si
les banques apportent des précisions générales
satisfaisantes sur ces sujets (1,33 en moyenne), elles ne donnent pas de détails sur des
0,5
Moyenne de la rubrique
2,3
2,2
2,2
2,0
2
1,8
1,8
1,5
1,3
1,6
1,5
1,4
1,3
1,1
1,0
1
0,9
0
Gouvernance/
organisation
de la gestion
des risques
Risque
Risques
Risques
de crédit/
de marché
opérationnels
contrepartie (actions, taux
change, crédit, MP)
Risque
de liquidité
Risque
structurel
de taux
Risque
structurel
de change
39
La communication financière des
assureurs : une information plus formelle
mais moins poussée que les banques
Concernant les informations d’actualité particulièrement sensibles, comme celles liées à la
crise, deux tendances semblent se dégager.
La majorité des banques fait en effet le choix
de limiter les détails de leur exposition pour éviter de donner des informations qui pourraient
être mal interprétées par le marché, mais un
petit groupe se démarque par une communication particulièrement fournie et transparente sur ces sujets.
Ainsi, dans le cadre des activités de titrisation,
quatre institutions bancaires sur six n’abordent
pas spécifiquement les «actifs toxiques» (de
type RMBS - Residential Mortgage Backed
Securities - ou CMBS - Commercial Mortgage
Backed Securities). Une minorité fait tout de
même le choix de communiquer sur ce type
d’exposition et fournit d’importantes données
quantitatives.
Concernant les problématiques de solvabilité,
deux banques seulement rendent compte de
manière détaillée du soutien apporté par l’Etat,
et communiquent ainsi sur l’émission de titres
super subordonnés perpétuels souscrits par la
Société de Prises de Participations de l’Etat SPPE (11 décembre 2008).
Dans le cas de l’exposition au risque de contrepartie sur les opérations de marché, cinq banques sur six présentent leur exposition monoline
résultant des rehaussements de crédit souscrits pour améliorer la qualité de crédit de certains instruments. Une seule banque fournit
des données claires en précisant le nom des
assureurs monoline et en présentant une analyse quantitative.
Des moyennes donc plutôt honorables (1,5
pour la titrisation et les «actifs toxiques» et
1,33 pour les expositions monoline) recouvrent en fait des pratiques antagonistes et très
dispersées.
Comme les banques, les assureurs excellent dans la communication sur les risques
financiers.
Mais, ils réservent un meilleur traitement aux
risques les plus stratégiques par rapport à leur
activité. L’information concernant ces risques est
mieux tracée en interne et intéresse tout particulièrement les investisseurs et le marché.
Ainsi, le risque de taux, occupant une position
centrale dans le processus de gestion des risques, liée à la gestion actif-passif, obtient la
moyenne la plus élevée (1,67). L’intégralité des
assureurs cotés présentent dans leur chapitre «Facteurs de risques» une étude de sensibilité. Tous n’adoptent pas le même niveau de
détail : la moitié d’entre eux se contentent de
fournir une analyse chiffrée rapide, alors que
l’autre moitié se distingue par des informations
qualitatives complémentaires ou des données
chiffrées plus précises. La meilleure pratique
observée correspond à une étude séparée des
activités «vie» et «non vie».
Le traitement du risque de crédit est, quant à lui,
moins abouti que celui du risque de taux mais il
demeure satisfaisant (moyenne de 1,46). Tous les
assureurs faisant partie de l’échantillon détaillent
la composition de leur portefeuille d’obligations
ventilé par notation des contreparties (moyenne
de 2,33). En outre, cinq d’entre eux font l’effort
de préciser le montant des créances détenues
sur les réassureurs ou les rétrocessionnaires, et
trois vont même jusqu’à les divulguer en valeurs
absolues et non rapportées en pourcentages.
En revanche, les informations concernant la
couverture du risque de crédit demeurent limitées (moyenne de 0,33) dans la mesure où un
seul assureur fournit des informations qualitatives et quantitatives sur les dérivés de crédit
au sein de son chapitre «Facteurs de risques».
La plupart en font état dans leurs annexes financières mais sans renvoi.
Le risque sur les portefeuilles d’obligations et
d’actions bénéficie lui aussi d’un rendu satisfaisant avec une moyenne de 1,33. La majorité des assureurs (84 %) présentent leur analyse de sensibilité et donnent des précisions sur
la composition de leur portefeuille ou leur politique de placement.
40
Les risques considérés comme moins spécifiques par rapport à leur activité bénéficient, quant
à eux, d’une analyse plus légère. La communication sur le risque de liquidité, certes moins
centrale que pour les banques, est loin d’être
aboutie. Si 66 % des assureurs décrivent un
cadre permanent de gestion du risque ou le cas
échéant le plan adopté en cas de crise (note
de 1,33), peu décrivent leurs techniques précises de gestion.
Répartition des notes - Risques financiers des assureurs
Forme générale / Risques financiers
50 %
50 %
17 %
66 %
17 %
Risque de taux
50 %
17 %
33 %
65
83 %
Risque de crédit
17 %
Risque de change
De même, seuls trois assureurs présentent leur
gestion actif-passif (ALM), une communication
qui, de plus, est partielle (moyenne de 0,72).
Ce risque, pourtant spécifique de leur activité, révèle ici les difficultés sous-jacentes d’organisation et de coordination de l’information.
Sur les trois sociétés concernées, deux seulement dépassent la seule description générale
de l’ALM pour évoquer les méthodes de gestion ou la prise en charge concrète.
Les compagnies d’assurance ne fournissent
pas systématiquement des détails suffisants
pour décrire leurs outils de gestion. Au sein
des assureurs vie, peu se livrent à une analyse
quantitative de leur Embedded Value ou décrivent son mode de calcul, ce qu’ils font pourtant tous dans le reste de leur rapport. Un problème de forme qui pourrait être résolu par le
jeu des renvois.
Les informations relatives au suivi, à la réduction ou à la couverture de chaque risque sont
insuffisantes au niveau de la forme. Si 84 % des
compagnies d’assurance précisent détenir des
instruments dérivés dans leur document de référence, 33 % seulement en font mention à l’intérieur même de leur chapitre «Facteurs de risques». A titre d’exemple, seuls deux assureurs
font mention de techniques de réduction du risque propres au risque de change en évoquant
leurs dérivés de change (moyenne de 0,33),
sans pour autant révéler davantage d’éléments
humains, matériels ou qualitatifs sur leur cadre
spécifique de gestion.
Les assureurs semblent donc se caractériser
par une communication sur les risques légèrement moins aboutie que celle des institutions
bancaires.
67 %
33 %
67 %
33 %
Gestion actif-passif
Risque actions
17 %
66 %
17 %
Embedded Value (vie)
67 %
33 %
Insuffisant
Satisfaisant
Surperformant
Dans le contexte de crise actuelle, les assureurs sont moins exposés médiatiquement que
les banques et par conséquent moins amenés
à communiquer sur des problématiques délicates. Les données relatives aux causes de la
crise sont ainsi absentes de leur communication
sur les risques. Aucun assureur ne fournit, par
exemple, de véritable information sur la détention éventuelle d’«actifs structurés» (RMBS ou
CMBS). Seuls deux d’entre eux précisent la
composition de leur portefeuille en ABS (Asset
Backed Securities) sans donner plus de détails
sur la part d’«actifs structurés».
Le pilier 3 de la réglementation Solvabilité 2
n’étant pas encore complètement défini, les
assureurs ont, pour l’instant, moins de contraintes que les banques en termes de communication sur les risques. Ne disposant donc
pas d’exigences dictées par un équivalent de
Bâle 2, ils se réfèrent de manière plus formelle aux recommandations de l’AMF tout en les
adaptant à leurs spécificités. Toutefois, la disparité de la qualité de l’information fournie sur
les risques propres à leur activité est plus importante que pour les institutions bancaires. Elle
reflète surtout la composition de l’échantillon,
plus diversifié que celui des banques en termes de capitalisation.
41
Le point de vue des émetteurs : une communication marquée
par la crise et par les récentes évolutions réglementaires
L’édition 2008-2009 de l’étude comportait, en
guise de conclusion, une analyse du point de
vue des émetteurs sur les pratiques de communication sur les risques. Réitérer l’exercice
cette année fournit un éclairage intéressant dans
un contexte particulier de crise économique et
d’évolutions réglementaires marquées.
L’exercice de communication sur les risques ne
suscite toujours pas l’unanimité parmi les émetteurs. Il est apprécié par certains et critiqué par
d’autres, mais la part des sociétés qui le jugent
de manière favorable est passée de 53 % à
64 %. Inversement, 24 % des sociétés y portaient un regard critique en 2008 contre seulement 6 % cette année. Malgré cette évolution,
les reproches faits à l’exercice n’ont pas changé. Il est toujours qualifié de «trop formel», «fastidieux», ne permettant pas de rendre compte
de la «réalité des risques»…
Mais les impacts de la crise financière se font
sentir et les entreprises semblent ne plus le considérer comme un simple exercice de conformité. Elles voient désormais dans la communication sur les risques un moyen de présenter au
marché leur capacité à gérer les risques et à
les maîtriser, allant même jusqu’à le considérer
comme un «exercice de prudence à même de
rassurer les investisseurs».
Contrairement à l’année dernière, peu de sociétés mettent en avant son impact favorable sur la
bonne gouvernance, notamment en matière de
structuration du processus de gestion globale
des risques et de contrôle interne. Les sociétés
semblent actuellement tournées vers l’extérieur
et leur but principal est de donner au marché
une image positive.
Les émetteurs continuent de faire état de leurs
inquiétudes quant aux dangers associés à la
communication sur les risques, cette frilosité est
même exacerbée par le contexte économique
actuel. Ainsi, ils sont 15 % à affirmer que la communication sur l’un des risques leur a déjà été
préjudiciable contre 8 % seulement en 2008. Ils
mettent souvent l’accent sur le «risque d’interprétation» des données diffusées et considèrent
que «l’entreprise n’est pas à l’abri d’une interprétation négative ou d’une mauvaise appréciation
de certains éléments du risque par les marchés
financiers ou par les parties prenantes».
La crise financière semble donc avoir doublement impacté l’exercice de communication : si les
sociétés craignent de plus en plus de divulguer
42
des informations confidentielles pouvant être
mal interprétées par le marché financier ou les
médias, ou encore exploitées par la concurrence, elles commencent, par ailleurs, à considérer l’exercice de communication sur les risques comme un véritable atout à savoir manier
pour rassurer les investisseurs dans un contexte économique houleux.
Bien que la légitimité de l’exercice semble renforcée, les sociétés continuent à mettre en
garde contre «l’inflation réglementaire» sur le
thème des risques. Elles sont 25 % à affirmer
que la grande quantité d’informations transmises n’est «certainement utilisée que par très
peu de personnes». Il est donc important de
«se focaliser sur l’essentiel, sur ce qui est vraiment lu par les investisseurs et les analystes».
Un chapitre «Facteurs de risques» trop dense
ne serait finalement que très peu exploité par
le marché. La charge de travail se révèle, en
plus, difficile à absorber par les plus petites
sociétés.
La majorité des émetteurs souhaitent que les
dernières évolutions réglementaires ne contribuent pas à un alourdissement de la tâche en
matière de communication sur les risques et
espèrent, à l’instar de l’allègement des exigences pour les valeurs petites et moyennes, une
prise en compte par l’AMF et ses Groupes de
Place (notamment celui sur l’impact de la 8ème
directive) de leurs remarques sur les difficultés
liées à la communication sur les risques.
Les sociétés manifestent donc des inquiétudes
face à de potentielles nouvelles réglementations qui pourraient entraîner une recrudescence des exigences en matière de communication financière. Malgré ce constat, les évolutions
réglementaires et contextuelles récentes ne
peuvent que redonner un nouveau souffle
à un exercice qui perdait quelque peu de sa
vitalité et visée première. Si les sociétés semblent, dans un contexte de crise, avoir retrouvé l’intérêt initial de la communication sur les
risques, à savoir afficher une certaine transparence sur ses expositions et rassurer les
investisseurs sur la capacité de la société à
les gérer, elles vont également, sous l’impulsion des dernières réglementations, insuffler
à l’exercice une nouvelle dynamique en l’enrichissant par l’expérience et le point de vue
des administrateurs.
Annexe
Résultats de l’analyse
des documents de référence :
corporates, banques et assureurs
44
Chapitre « Facteurs de risques » : résultats détaillés
Mode d’emploi
La répartition des notations obtenues par les sociétés du benchmark sur la
communication sur la gestion des risques est présentée comme suit :
Point traité de manière satisfaisante
par X % des sociétés
Point non traité par X %
des sociétés
Point traité mais de manière
incomplète par X % des sociétés
Point traité au-delà
des exigences par X %
des sociétés
Synthèse des résultats - corporates
Tendance 08-09
+5 %
Note globale
10
2
88
19
2
79
Risques financiers
10
87
3
Risques juridiques
16
69
15
Risques industriels et liés à l'environnement
38
60
2
Assurances et couverture des risques
42
56
2
En %
Insuffisant
Satisfaisant
Surperformant
Synthèse des résultats - banques
83
17
Risques juridiques
67
33
83
17
50
50
Risques financiers
33
67
En %
Insuffisant
Satisfaisant
Surperformant
Synthèse des résultats - assurances
83
17
Risques juridiques
67
33
33
67
83
17
Risques financiers
66
17
17
En %
Insuffisant
Satisfaisant
Surperformant
45
A propos de NYSE Euronext
NYSE Euronext (NYX) est l’un des principaux opérateurs de marchés financiers et fournisseurs de
technologies de négociation innovantes. Sur ses
marchés en Europe et aux Etats-Unis se négocient
des actions, des contrats à terme, des options,
des produits de taux et des ETP (exchange-traded products). Avec un total de plus de 8000 valeurs
cotées, les échanges sur les marchés au comptant de NYSE Euronext - le New York Stock
Exchange, NYSE Euronext, NYSE Amex et NYSE
Alternext, ainsi que NYSE Arca - représentent près
de 40 % des volumes mondiaux, ce qui en fait le
groupe boursier le plus liquide au monde. NYSE
Euronext gère également NYSE Liffe, le premier
marché dérivés en Europe et le deuxième marché
dérivés mondial en valeur des échanges. Le groupe offre une large gamme de produits et de solutions technologiques, de connectivité et de données de marché à travers NYSE Technologies.
NYSE Euronext fait partie de l’indice S&P 500 et
est le seul opérateur boursier appartenant à l’indice S&P 100 et figurant au classement Fortune
500.
Pour plus d’informations : www.nyx.com
Contact : [email protected]
A propos d’Aon Global Risk Consulting
Aon Global Risk Consulting (AGRC) est l’entité de conseil d’Aon
France dédiée à la conception et à la mise en œuvre de solutions innovantes de gestion des risques, de la gouvernance et
organisation à l’identification et hiérarchisation, de la quantification et modélisation au management et traitement des
risques.
L’offre d’AGRC, unique, allie compétences quantitatives de premier plan et compétences organisationnelles pour répondre à
l’ensemble des problématiques risques des groupes internationaux : gestion globale des risques, gestion de crise, continuité
d’activité, contrôle interne, couverture des risques traditionnels
(financiers, assurantiels) et émergents (climat, matières premières, CO2), mise en conformité aux règlementations telles que
Bâle 2 ou Solvabilité 2.
L’équipe AGRC France s’appuie sur un réseau de plus de
1500 consultants dans le monde.
Gouvernance & organisation
Identification et hiérarchisation
Quantification et modélisation
Management & traitement
Le groupe Aon occupe le 1er rang mondial et européen en courtage de réassurances, le 1er rang mondial en gestion de captives et le 1er rang mondial en courtage d’assurances.
Pour plus d’informations : www.aon.fr/agrc
contact : [email protected]
A propos de l’Institut Français des Administrateurs (IFA)
L’Institut Français des Administrateurs (IFA) est l’association professionnelle de référence pour les administrateurs de sociétés de toute taille et de tout secteur. Au travers d’une réflexion sur de nombreux supports, de publications régulières,
d’événements, de séminaires et de réunions d’information, l’IFA contribue à la promotion, l’identification et la définition
des meilleures pratiques de gouvernance en accord avec les exigences du marché (en termes de transparence, de
contrôle…).
Fort de plus de 2000 adhérents exerçant leur mandat dans 4000 sociétés et d’une implantation partout en France, l’IFA
propose un accompagnement au quotidien à tous les administrateurs, qu’ils soient administrateurs indépendants, administrateurs exerçant des fonctions exécutives ou administrateurs représentant l’Etat, le personnel ou les actionnaires salariés. L’IFA associe également à ses activités tous ceux qui souhaitent contribuer à son activité (secrétaires du conseil,
membres de la direction générale ou de directoire…).
L’IFA bénéficie d’un soutien institutionnel de premier ordre et compte aujourd’hui des membres fondateurs et associés
de premier plan qui participent également à la promotion des meilleures pratiques de gouvernance.
Pour plus d’informations : www.ifa-asso.com
46
09/10
6ème édition
Aon Global Risk Consulting est l’entité d’Aon France spécialisée dans la
conception et la mise en œuvre de solutions en gestion des risques.
NYSE Euronext
NYSE Euronext (NYX) est l’un des principaux opérateurs de marchés
financiers et fournisseurs de technologies de négociation innovantes.
IFA
L’institut Français des Administrateurs (IFA) est l’association professionnelle de référence des administrateurs qui œuvre pour la promotion des
meilleures pratiques de gouvernance.
Aon France
Société de courtage en assurances et réassurances immatriculée au Registre Unique des Intermédiaires d’Assurances sous le n° 07 001 560
SA au capital de 46 027 140 euros - 414 572 248 RCS Nanterre - Siège social : 420 rue d’Estienne d’Orves - 92705 Colombes Cedex
Tél. : 33 (0)1 58 75 75 75 - Fax : 33 (0)1 58 75 77 77 - www.aon.fr - N° de TVA intracommunautaire FR 22 414 572 248
Garantie Financière et Assurance de Responsabilité Civile Professionnelle conformes aux articles L 512.7 et L 512.6 du Code des Assurances

Gestion des risques et contrôle interne des sociétés cotées

Transcription

Documents pareils

L`argent circule C`est quoi une banque

Crédit Crédit privé - faircredit.ch GmbH

Quèst-ce quùn conseil dàdministration

aBolir le - ch.indymedia.org

Découvrez le palmarès

Précisions de la Banque Centrale de Tunisie sur la situation des

60 millions de Consommateurs – Les banques moins

offre de stage - Louis Capital Markets

Voir ici. - Association des victimes du Crédit Agricole

Paru en mai 2012 dans le n° 1855 de El Pais Semanal. © Paco