Coût total du risque : mesurer l’exposition au-delà des pertes
Le coût total du risque, souvent désigné par le sigle TCOR, élargit l’analyse au-delà des sinistres déclarés et des primes d’assurance. Il aide les dirigeants à comparer le coût de la protection avec les pertes financières que l’organisation pourrait subir.
Cette approche est utile lorsque plusieurs options semblent comparables sur le papier, mais exposent l’entreprise à des conséquences différentes. Une décision d’arbitrage devient alors plus solide si elle tient compte des coûts visibles, des effets indirects et des occasions abandonnées.
Les composantes du coût total du risque
Le périmètre varie selon l’organisation, car les activités, les contrats et les méthodes comptables ne sont pas identiques. Le calcul peut néanmoins réunir les pertes conservées, les dépenses d’assurance, les frais de gestion et certains coûts d’opportunité.
Les pertes conservées comprennent les montants supportés directement après un incident, notamment les franchises et les dommages non couverts. Les dépenses d’administration incluent le travail nécessaire pour prévenir les événements, gérer les réclamations et suivre les contrôles.
Selon Aon, l’analyse du coût total du risque peut donner une vue plus complète des dépenses associées aux différentes composantes du risque. Cette lecture devient pertinente lorsqu’une direction hésite entre renforcer la prévention, modifier une couverture ou accepter une exposition résiduelle.
Catégories de coûts à examiner :
- Pertes retenues et franchises après sinistre
- Primes, frais de courtage et garanties d’assurance
- Ressources mobilisées pour la prévention et la gestion
- Retards, interruptions et occasions commerciales perdues
Une lecture qui dépend du périmètre choisi
Une entreprise industrielle peut inclure les dégâts matériels, les arrêts de production et les frais d’expertise dans son analyse. Une société numérique examinera plutôt l’interruption de service, la réponse à un incident cyber et les coûts liés aux prestataires.
Le tableau ci-dessous distingue des catégories courantes sans leur attribuer de montants universels. Les méthodes de calcul doivent préciser les règles retenues afin que les comparaisons restent cohérentes d’une période à l’autre.
Principales catégories de coûts :
| Catégorie | Exemples | Question de gestion |
|---|---|---|
| Pertes retenues | Franchise, dommage non couvert | Quelle part reste à la charge de l’entreprise ? |
| Assurance | Prime, garanties, frais associés | La couverture correspond-elle aux expositions prioritaires ? |
| Gestion administrative | Expertise, suivi des dossiers, contrôles | Les efforts sont-ils proportionnés au risque traité ? |
| Coûts indirects | Retard, interruption, perte d’activité | Quels effets dépassent le montant du sinistre ? |
Calculer le coût total du risque sans fausse précision
Définir une méthode de calcul comparable
Une fois les catégories identifiées, la difficulté consiste à éviter les doubles comptes et les estimations présentées comme des certitudes. Le coût brut peut être rapproché des ressources de couverture pour éclairer le coût net supporté par l’organisation.
Une formule de travail peut additionner les pertes conservées, les primes, les frais de prévention et de gestion, puis les coûts indirects retenus. Elle doit préciser les périodes, les unités de mesure et les hypothèses, notamment lorsque les conséquences ne sont pas immédiatement chiffrables.
Le coût du risque net peut être analysé comme le coût brut diminué des ressources allouées aux stratégies de couverture. Cette lecture ne signifie pas que toute assurance rembourse intégralement les pertes : exclusions, franchises et plafonds doivent rester visibles.
Étapes de calcul à documenter :
- Délimiter les risques, les activités et la période analysés
- Rassembler les données de sinistralité, de couverture et de gestion
- Identifier les coûts indirects sans les compter deux fois
- Présenter séparément hypothèses, limites et coûts estimés
Comparer les options plutôt que chercher un chiffre parfait
Selon Marsh, une évaluation du coût du risque peut également tenir compte de la volatilité des frais associés au risque. Pour un comité, cette perspective rappelle qu’un coût moyen ne révèle pas toujours l’ampleur des scénarios défavorables.
Une direction peut comparer une assurance plus étendue avec une prévention renforcée et une rétention plus importante. Le bon choix dépend des capacités financières, de la continuité attendue et du niveau de perte que l’organisation peut absorber.
Les catégories ci-dessous montrent comment relier une mesure à une décision, plutôt que de produire un tableau de chiffres sans conséquence opérationnelle. Les seuils précis doivent être fixés à partir des données et des tolérances propres à chaque organisation.
Mesures utiles pour arbitrer :
| Indicateur | Ce qu’il éclaire | Décision possible |
|---|---|---|
| Sinistralité | Fréquence et nature des événements observés | Renforcer les mesures de prévention ciblées |
| Part conservée | Montants supportés après couverture | Réviser franchises ou réserves financières |
| Coût de gestion | Ressources mobilisées pour traiter les risques | Simplifier les processus ou clarifier les responsabilités |
| Interruptions d’activité | Effets opérationnels et pertes indirectes | Prioriser la continuité et les solutions de secours |
Faire du coût du risque une aide à la décision
Relier les coûts aux objectifs de l’entreprise
Le TCOR devient une véritable aide à la décision lorsque ses résultats sont rapprochés des objectifs, des tolérances et des conséquences possibles. Une prime moins élevée n’est pas automatiquement avantageuse si elle s’accompagne d’une exposition que l’entreprise ne peut absorber.
Selon COSO, le cadre ERM de 2017 relie la gestion des risques à la stratégie et à la performance. Ses cinq composants et vingt principes fournissent une structure de gouvernance, mais ne remplacent pas le jugement nécessaire pour choisir les critères de calcul.
Dans une transformation informatique, par exemple, une économie réalisée en réduisant les tests peut accroître le risque d’interruption ou de défaut. Le coût total aide à rendre ce compromis visible, à condition d’inclure les conséquences opérationnelles et les obligations de conformité.
Questions à poser avant un arbitrage :
- Quelle exposition résiduelle l’entreprise accepte-t-elle réellement ?
- Quelles pertes pourraient compromettre la continuité des activités ?
- Les contrôles et couvertures répondent-ils aux risques prioritaires ?
- Qui valide la décision et quand sera-t-elle réexaminée ?
Intégrer prévention, assurance et résilience
La prévention réduit la probabilité ou la gravité de certains événements, tandis que l’assurance transfère une partie des conséquences financières selon les garanties prévues. Ces leviers se complètent, mais aucun ne supprime l’exposition à lui seul.
Une entreprise qui dépend d’un fournisseur essentiel peut associer une couverture adaptée à des mesures de secours et à des contrôles contractuels. Elle examine alors le prix de l’assurance, les coûts de prévention et la capacité de reprise après une interruption.
Selon ISO 31000, la gestion des risques s’adapte au contexte de l’organisation et s’intègre à ses activités. Cette logique invite à réexaminer les hypothèses lorsque les opérations, les fournisseurs ou les exigences de conformité évoluent.
Selon le règlement européen DORA, les entités financières concernées doivent notamment structurer leur gestion du risque lié aux technologies de l’information et aux prestataires concernés. Pour ces organisations, la résilience numérique fait donc partie des éléments à considérer dans les arbitrages, avec les coûts et les preuves de maîtrise.
Installer un pilotage du risque proportionné
Commencer par des données utiles et traçables
Un dispositif efficace n’exige pas un registre interminable : il demande des données assez fiables pour guider les décisions importantes. Les équipes peuvent commencer par quelques risques directeurs, puis relier chaque mesure à une action ou à un seuil d’escalade.
Dans une transformation SI, les signaux utiles peuvent concerner les incidents, les dérogations de sécurité, les dépendances critiques et la disponibilité des équipes. Leur intérêt dépend de leur fraîcheur, de leur source et de la possibilité de vérifier les décisions prises à partir de ces informations.
Les estimations de coûts indirects méritent une attention particulière, car elles reposent souvent sur des hypothèses opérationnelles. Il est préférable de les présenter comme des scénarios explicités plutôt que comme des montants certains.
Éléments à conserver dans le suivi :
- Risque concerné et périmètre de l’analyse
- Hypothèses de calcul et sources des données
- Responsable, réponse retenue et preuve disponible
- Décision prise et date de réexamen prévue
Faire évoluer les arbitrages avec le contexte
Le coût total du risque n’est pas un chiffre figé : il évolue avec les activités, les garanties, les contrôles et l’environnement de l’entreprise. Une revue périodique permet de repérer les écarts entre les hypothèses initiales et l’exposition réellement observée.
Après un incident, une hausse des réclamations ou un changement de fournisseur, la direction peut réviser ses priorités et ses tolérances. Le journal des décisions évite alors qu’une acceptation temporaire devienne, sans examen, une pratique permanente.
Le résultat recherché est un arbitrage explicite entre coût, protection et continuité, et non la suppression de tout risque. Une mesure utile permet de comprendre ce que l’entreprise paie, ce qu’elle conserve et ce qu’elle choisit de mieux maîtriser.
Source : COSO, « Enterprise Risk Management – Integrating with Strategy and Performance », 2017 ; ISO, « ISO 31000:2018, Management du risque — Lignes directrices », 2018 ; Union européenne, « Règlement (UE) 2022/2554 relatif à la résilience opérationnelle numérique du secteur financier », 2022.
Mieux mesurer le risque, pour décider plus sereinement
Qu'il s'agisse de CVA, de régulation bancaire, de dérivés ou de stratégie d'investissement, chaque repère compris est un pas de plus vers une gestion du risque plus rigoureuse et plus lisible. Aucun modèle ne remplace le jugement professionnel, mais il permet d'aborder chaque décision avec plus de clarté.
Pour aller plus loin
- Croiser plusieurs sources et méthodologies avant de conclure sur un niveau de risque
- Documenter les hypothèses de chaque modèle, jamais les considérer comme acquises
- Suivre les évolutions réglementaires qui peuvent changer le cadre du jour au lendemain
- Revoir régulièrement ses estimations plutôt que de les figer une fois pour toutes
