Gestion des risques d'entreprise : un cadre systématique

Un risque logé dans un coin de l'entreprise peut sembler inoffensif jusqu'à ce qu'il rencontre un risque logé dans un autre coin. Le crédit se resserre, la liquidité s'amenuise, les opérations craquent — soudain vous ne gérez plus trois petits problèmes, vous en gérez un seul, énorme.

Le management des risques d'entreprise (ERM) est la tentative de cartographier ces connexions délibérément : un inventaire unique des expositions, un langage commun, un appétit explicite, et un reporting qui atteint des personnes capables de dire non.

Barings et Enron sont enseignés comme des fables morales ; ce sont aussi des schémas de câblage — des contrôles existaient par morceaux, personne ne voyait le circuit dans son ensemble.

Pour la finance régulée, l'ERM est un prérequis incontournable. Pour les entreprises crypto qui mélangent effet de levier, code et garde d'actifs, s'en dispenser n'est pas « aller vite » — c'est voler à l'aveugle avec l'argent des autres.

Le COSO (mise à jour de 2017) est la présentation manuel classique : gouvernance, stratégie, performance, revue et reporting formant une boucle — pas une checklist en cinq étapes qu'on classe une fois par an.

• Gouvernance et culture — mandat du conseil, ton donné par la direction, incitations qui ne récompensent pas le fait de cacher les mauvaises nouvelles.
• Stratégie et objectifs — appétit pour le risque écrit noir sur blanc ; objectifs de croissance qui ne contredisent pas les garde-fous de capital et de liquidité.
• Performance — identifier, évaluer, prioriser ; répondre en acceptant, évitant, réduisant ou transférant le risque.
• Revue et révision — nouveaux produits, nouvelles attaques, nouveaux régulateurs : la carte doit être mise à jour.
• Information et reporting — des escalades qui arrivent alors qu'il reste encore une marge pour agir.

Première ligne — les desks et les équipes qui font tourner l'activité. Ils portent le risque et les contrôles de premier niveau : limites, réconciliations, habitudes de revue de code.

Deuxième ligne — risque et conformité, avec une ligne hiérarchique capable de contester la première ligne sans se soucier de la réserve de bonus du trimestre.

Troisième ligne — l'audit interne, qui rapporte au comité d'audit. Il vérifie sur le terrain si les deux premières lignes fonctionnent réellement.

Quand la deuxième ligne est absente, ou qu'elle rapporte au sein de l'organisation de trading, il ne s'agit pas d'une nuance subtile de gouvernance — c'est un angle mort avec un budget. Plusieurs déroutes crypto n'étaient que de banals problèmes de concentration et d'effet de levier qu'une deuxième ligne opérationnelle aurait signalés tôt.

Marché — les prix évoluent contre vous : taux, forex, actions, matières premières, valorisations de jetons.

Crédit — quelqu'un ne paie pas : prêts, OTC, contrepartie sur une plateforme, créance douteuse sur un livre de prêts.

Opérationnel — les personnes, les processus, les systèmes : bugs, fraude, gestion des clés, pannes. Bâle a formalisé le capital exigé pour les banques ; l'intuition s'applique partout ailleurs.

Liquidité — vous ne pouvez pas vous financer ou sortir d'une position sans faire bouger le marché contre vous.

Conformité — les règles que vous enfreignez coûtent des amendes, des licences et de la réputation. En crypto, le corpus réglementaire reste une cible mouvante — ce qui accroît la surface de conformité, pas l'inverse.

Bâle est la façon dont les régulateurs traduisent l'ERM en chiffres minimaux pour les banques : coussins de CET1, planchers de levier, règles de liquidité LCR/NSFR. Vous ne déposerez peut-être jamais un rapport Bâle ; ces idées s'infiltrent tout de même dans la façon dont les prime brokers et les prêteurs se comportent envers vous.

La crypto non adossée détenue sur les bilans bancaires a été traitée sévèrement dans les recommandations internationales — pensez à des pondérations de risque très élevées. Cela pousse l'activité vers des canaux non bancaires et change qui peut porter ce risque.

Leçon personnelle à en tirer : calibrez l'effet de levier sur la liquidité, gardez un coussin, connaissez votre contrepartie — le même vocabulaire que Bâle, sans le tableur.

Les KRI (indicateurs clés de risque) — choisissez un petit ensemble avec des seuils : pression de retrait, concentration par paire, fréquence des liquidations, objectifs de latence (SLO), obligations réglementaires par juridiction. Un franchissement de seuil déclenche un chemin d'escalade, pas un émoji d'indifférence.

L'appétit pour le risque doit être écrit : ce que nous ne ferons pas avec les actifs des clients, à combien s'élève le risque propriétaire acceptable (zéro), quel niveau de disponibilité nous visons. L'ambiguïté est la porte d'entrée du mélange des fonds.

La culture — les incidents évités de peu font l'objet de retours d'expérience ; « livrer à tout prix » sans canal de contestation finit toujours de la même manière, deux fois.

GaiaEx s'appuie sur un règlement non-custodial et une gestion des clés de type MPC, si bien qu'une grande classe de défaillances du type « une seule base de données, un seul patron » ne peut jamais prendre la même forme. Le risque de marché, le risque contractuel et le risque réglementaire demeurent — ils exigent la même discipline de surveillance que partout ailleurs.