[Gestion des risques] Le risk manager, un allié précieux de la direction achats

Les missions du risk manager

Le gestionnaire de risques assure tout ou partie du risk management. Selon le référentiel métier de l'AMRAE, cette fonction recouvre l'appréciation, la maîtrise et le financement du risque. Mais aussi la gestion des événements non assurés ou non assurables, des sinistres et des situations de crise. En amont, c'est le risk manager qui définit les missions et la structure du dispositif de gestion de risques dont il assure le pilotage. Il travaille également à la diffusion de la culture du risque dans l'entreprise. Cette fonction très transversale est généralement rattachée en N-2 à la direction générale de l'entreprise. Elle dépend très souvent directement de la direction financière. Dans certains cas, le risk manager peut être rattaché au secrétariat général ou à la direction juridique.

À l'origine, la fonction s'est construite autour de professionnels de l'assurance et la prévention (AP) en charge de transférer le risque aux assureurs. Puis, au fil des années est apparu un profil orienté entreprise risk management (ERM) qui intervient en amont dans l'identification et la qualification des risques. "La porosité entre les deux fonctions continue et nous constatons qu'un nombre croissant de risk managers possède les deux profils, analyse François Malan. Cela a du sens car pour bien assurer, il faut d'abord bien connaître les risques. Par ailleurs, certaines entreprises ne peuvent pas, pour des raisons financières, avoir une personne qui fait de l'AP et une autre qui fait de l'ERM." Selon le dernier baromètre publié par l'association, 39% des risk managers ont la double facette AP et ERM, contre 31% il y a deux ans.

Au quotidien, le risk manager surveille une vaste palette de menaces. Les principales sont les risques opérationnels, de fraude, environnementaux et de sécurité. Mais ce terrain de jeux a beaucoup évolué depuis deux ans avec l'essor de nouveaux risques liés au digital. "La principale actualité du métier, c'est la cybersécurité, affirme Stéphane Romano. Tous les secteurs d'activité et toutes les entreprises sont concernés." Malwares, ­ransomwares, fraudes au ­président... "Les attaques sont toujours plus nombreuses et coordonnées, confirme François Malan. On a affaire à une criminalité organisée." La menace est d'autant plus élevée que le risque de cybercriminalité peut se doubler d'un risque de réputation, par exemple dans le cas d'un piratage des données clients.

Généralement issu d'un cursus en gestion, droit ou ingénierie, le risk manager a très souvent un profil senior. "C'est un métier que l'on apprend avec le temps", estime François Malan. "C'est une personne qui doit maîtriser ses sujets et être crédible auprès de la direction générale. Cela raréfie les profils", confirme Stéphane Romano. Toutefois, le développement des départements gestion des risques au sein des grands comptes pousse au recrutement de profils juniors issus de formations dédiées (Sorbonne, Enass...).