A la veille des 33e Rencontres du risk management de l’Amrae, son président François Beaume décrypte les nouveaux risques qui assaillent les entreprises et la manière dont elles tentent d’y faire face dans un monde en plein bouleversement. Après une formation en biologie moléculaire, François Beaume s’est orienté vers la gestion des risques en entreprise. Passé par Dalkia et Bureau Veritas, le nouveau président de l’Amrae est senior Vice President, Risks & Insurance de Sonepar, leader mondial de la distribution BtoB, des solutions et des services électriques. 

Vous avez choisi comme titre de cette édition des Rencontres de l'Amrae « L’Odyssée des risques », une formulation littéraire qui renvoie à la mythologie grecque et définit « un voyage mouvementé, semé d'incidents variés et d'aventures ». Pourquoi ce titre ?

François Beaume : L’Odyssée, c’est un voyage, un parcours. Cette édition sera la 33e, c’est cette continuité que nous avons voulu aussi marquer. Le moment historique dans lequel nous nous trouvons est un moment riche en péripéties inédites que peu avaient vraiment anticipées, comme la guerre des « tarifs » de l’administration US, par exemple. Des nouveaux risques donc, potentiellement des opportunités aussi pour certaines entreprises, souvent un mix des deux. Et il faut s’y préparer, s’organiser comme pour une Odyssée…
Notre association est née dans un monde plutôt stable, plus statique. Aujourd’hui, il est mouvementé. Les lignes bougent dans tous les sens, l’imprévu devient la règle. Cela suppose de revisiter nos stratégies et de requestionner l’efficacité de nos dispositifs, sachant que l’objectif final du risk management, c’est de permettre à l’entreprise d’atteindre ses objectifs, donc de garder la maîtrise et le cap.

Comment se traduisent ces changements dans les entreprises et comment avez-vous vu les sociétés se transformer ces dernières années ?

François Beaume : La question des risques est beaucoup plus intégrée à la stratégie et au pilotage des entreprises, très clairement. Il y a des différences, mais globalement la thématique des risques est de plus en plus structurée dans les entreprises. Tous les Comex n’ont pas en leur sein un risk manager, mais celui-ci rapporte le plus souvent à un membre du Comex.

Le premier élan avait été donné il y a près de vingt ans. Le métier et la fonction de risk manager s’est institutionnalisée dans les sociétés cotées à partir de 2008 : une directive européenne transposée en droit français impose aux entreprises cotées d’avoir un suivi de leurs risques dans un comité spécialisé. Les entreprises du CAC40 et puis toutes celles du SBF120, ont adapté leur gouvernance.

Ce mouvement a percolé plus vite dans les entreprises qui avaient une exposition particulière, des métiers risqués, des géographies compliquées, un contexte spécifique qui expliquent qu’elles se sont structurées plus vite que les autres. Mais aujourd’hui, tout le monde a vécu la crise Covid. Et tout le monde est désormais soumis aux soubresauts de la géopolitique, d’une manière ou d’une autre et avec plus ou moins d’acuité.

Des sujets réglementaires – de plus en plus nombreux, notamment en Europe – ont aussi exigé plus de transparence et de formalisation sur les mécanismes d’identification, d’évaluation et de gestion des risques dans les organisations. La CSRD renforce cette dynamique, par exemple. 

De manière plus globale, les entreprises ont fait le constat que le monde est devenu plus compliqué, avec une brutale accélération des changements. Il faut structurer tout un tas de choses pour être capable de capter ce qui est pertinent. Il faut être beaucoup plus agile et réactif car les changements arrivent plus vite, plus souvent, et avec des magnitudes plus fortes.

De plus en plus de PME et d’ETI ont rejoint votre association, comment sont-elles affectées par ces bouleversements ?

François Beaume : Nous avons observé à travers l’association, un accroissement significatif du nombre de risk managers issus d’entreprises de taille intermédiaire. C’est extrêmement positif, car l’enjeu est de protéger l’ensemble du tissu économique national. C’est aussi la mission de notre association qui s’est beaucoup développée dans les régions. Nous proposons des outils, notamment le site dédié www.macartodesrisques.fr pour qu’une PME ou une ETI puisse faire sa propre cartographie des risques, gratuitement et de façon anonyme et sécurisée. La sécurité des grandes entreprises, c’est aussi celle de ses fournisseurs et de ses partenaires. Nous avons aussi conclu un partenariat avec le Medef pour le déployer. On a développé également un outil identique pour les collectivités avec le site lesrisquesdemacollectivite.fr. Pour une raison de plus en plus évidente :  la résilience d’une entreprise, petite ou grande, est aussi liée à la résilience du territoire dans lequel elle est implantée. Nous observons une capillarité des risques et des impacts dans le tissu économique local. On voit bien, par exemple qu’un hôpital ou une institution locale peut-être touchée par la cybercriminalité. 

Vous venez de publier votre premier baromètre du risque géopolitique en entreprise. Comment font-elles face ?

François Beaume : Le monde d’aujourd’hui se caractérise par la vitesse de son évolution et par des paramètres de plus en plus complexes et imbriqués qui touchent toutes les géographies. La géopolitique qui était hier l’apanage des Etats, a désormais des impacts majeurs sur les entreprises. Très peu d’entre elles ont en leur sein une organisation dédiée à la gestion de ces risques. Nous avons donc structuré une Commission géopolitique et réalisé ce premier baromètre pour répondre à cette urgence. 92% des répondants mettent désormais le risque géopolitique à l’ordre du jour de leurs instances de gouvernance. Elles ont donc besoin d’être accompagnées (seuls 5% ont suivi une formation sur le sujet au cours des 12 derniers mois) par des soutiens externes, des spécialistes pays ou de zone régionale, des experts en géopolitique, en relations internationales, en assurances crédit… Des gens avec des compétences très pointues, capables de restituer dans un format intelligible, pratique et actionnable des analyses et des solutions adaptées. 26% des répondants disposent déjà d’un budget dédié au suivi du risque géopolitique.

Les entreprises ont aussi pris des décisions fortes pour réduire l’impact de ces risques sur leur chaîne de valeur : plus de la moitié ont déjà commencé à diversifier leurs fournisseurs, 29% constituent des stocks stratégiques, 24% mettent en place des plans de continuité ou d’urgence…

Enfin, les entreprises se sont aussi retournées vers leur assureur : 43% ont souscrit des polices « kidnapping et rançons » par exemple et 34% des contrats qui couvrent des « violences politiques et terrorisme »…

Les risques liés au réchauffement climatique et à la cybercriminalité sont aussi tout en haut des préoccupations des entreprises. Sont-elles mieux préparées ?

François Beaume : Ces risques ont davantage de prévisibilité et sont identités et traités depuis plus longtemps. Les grandes entreprises sont désormais dans une logique de suivi. Elles disposent des informations et des compétences nécessaires. Mais nous avons constaté que ce n’était toujours pas le cas des entreprises plus petites. Nous avons donc sur le sujet du risque climatique engagé un partenariat avec l’Ademe et avec la Direction Générale des Entreprises et on a conçu un site internet en accès libre macarto-Climat.fr, qui permet à une entreprise mais aussi à une collectivité de faire son analyse d’exposition au risque climatique et de trouver des solutions adaptées pour les atténuer et s’adapter.

Vous avez évoqué l’importance des assureurs dans ce contexte. Le monde de l’assurance évolue-t-il assez vite face à la multiplication des risques et des impacts ?

François Beaume : A notre sens, le secteur de l’assurance n’évolue pas assez vite pour ce monde changeant. Un certain nombre de secteurs sont en très grande difficulté sur le plan assurantiel, comme ceux de l’industrie de la transformation du bois, des transports publics de voyageurs, de l’agroalimentaire, ou encore du traitement des déchets. Autant de secteurs jugés « exposés » ou « très fortement exposés » sur lesquels les assureurs ne valorisent pas à la juste mesure les efforts de prévention faits par de nombreux acteurs. Les assureurs ont tendance à plaquer une approche sectorielle plutôt que faire du cas par cas. Nous souhaitons qu’ils valorisent davantage les démarches de prévention dans la formalisation de leurs offres, notamment pour les PME.

Est-ce que les entreprises vont faire de plus en plus face à des événements qui ne seront plus assurables ?

François Beaume : Mais c’est déjà le cas ! Nous évaluons, sans avoir de chiffre précis, que seuls 20% des risques auxquels une entreprise fait face, sont véritablement assurables. 80% ne le sont pas et sont inhérents à l’entreprise, et intransférables à un assureur. Il faut préciser aussi que les risques assurables ne sont pas tous assurés. Les entreprises font des choix en fonction de leur appétence au risque, de leur marché et des garanties de leur assurance. Cette proportion est à mon sens assez invariante, même quand le marché de l’assurance évolue.

Pour répondre précisément à votre question, je pense que le marché de l’assurance va se recomposer et suivre l’évolution des aléas et des besoins, et du mix de risques auxquels aujourd’hui les entreprises sont confrontées. Le risque géopolitique est assurable dans certaines limites. Est-ce que tout le monde se couvre contre ? Non, bien au contraire, parce que le coût marginal est très élevé. Il y a des couvertures efficaces, actionnables. Nombre de sinistres liés à la géopolitique ont été indemnisés.

Typiquement demain, si on fait un peu de prospective fiction, s’il se passe quelque chose au Groenland, effectivement, il peut y avoir un certain nombre de couvertures de risques qui pourront être activées, des couvertures « risque de guerre » aussi dans certains cas. Si vous êtes exproprié, vous pouvez avoir une couverture. Il faut anticiper : ce n’est pas au moment où ça arrive qu’il faille se poser la question de l’assurance.

Autre cas de figure, si une entreprise était présente en Ukraine avant 2022 et que son usine a été bombardée, ses dommages là seront pris en charge par une police « violence politique et terrorisme ».
Des entreprises protègent aussi leur supply chain en souscrivant une couverture d’assurance « marchandise transportée », on appelle ça « marine cargo ». Il y a dans ces contrats des couvertures de « risque de guerre » en option.

Voyez-vous monter des sujets d'assurances liées aux risques générés par l'IA ?

François Beaume : Oui, absolument. Ces sujets montent car il y a des questions de responsabilité assez fortes. Qui est responsable ? L’éditeur, le fournisseur des outils d’IA ou l’entreprise utilisatrice ? Il y a des discussions avec les assureurs sur ces sujets. Ce n’est pas totalement nouveau mais ça prend plus d’ampleur avec la diffusion plus massive de l’IA et des conséquences que ça peut avoir dans des process industriels, des activités de services, ou dans la conduite autonome.

Propos recueillis par Vincent Giret

Comment travaillent les risk managers ?

« Ils traitent une palette de sujets qui vont du cyber aux risques sur le capital humain en passant par la géopolitique, le climat ou le commerce. Beaucoup de choses dont nous ne sommes pas spécialistes… Il faut se faire sa propre compréhension, puis être capable d’interagir avec des gens qui, eux, sont de vrais experts.

Les risk managers apportent des techniques comme les assurances, la cartographie des risques… Ils s’interfacent avec les autres personnes de l’organisation pour diffuser un certain nombre de principes, une forme de curiosité aussi un peu renouvelée pour ne pas avoir d’a priori sur les risques. Notre expertise, c’est cette application systématique d’une forme de bon sens formalisée dans un système.

Notre fonction, c’est de nous assurer que les risques de l’entreprise sont gérés par ceux qui en sont « propriétaires » au sens opérationnel. Nous n’en gérons qu’une fraction marginale. Notre job, c’est de mettre une organisation en place, des process, des méthodes, des outils, un système pour simplifier qui garantit aux actionnaires, à la gouvernance et aux parties prenantes que l’entreprise analyse, identifie, évalue, anticipe ces risques de façon homogène et le plus systématiquement possible. Avec ce langage commun, nous garantissons à la fois le chemin de route, la fiabilité et la solidité de l’entreprise. Nous la préparons à naviguer dans un monde agité », explique François Beaume.