Renforcez votre résilience organisationnelle par une gestion du risque multidisciplinaire

Dans un contexte de polycrise, la résilience organisationnelle devient de plus en plus incontournable. Comme bon nombre d’organisations le constatent aujourd’hui, les avantages de la résilience vont au-delà de la réduction des perturbations, des pannes et des coûts en temps de crise : ils englobent aussi des débouchés stratégiques.

La résilience, c’est d’abord et avant tout une bonne gestion des risques. Non seulement la détermination et la gestion proactive des risques améliorent la résilience globale et l’intervention de crise, mais elles réduisent aussi la probabilité qu’une crise survienne, tout en accroissant la capacité de votre organisation à y répondre.

Cela dit, compte tenu de la volatilité des dernières années, nous avons été surpris de constater que certains répondants canadiens à notre Sondage mondial sur la gestion de crise et la résilience ne prévoient pas d’investir dans certains domaines essentiels à la gestion des risques. Par exemple, 19 % d’entre eux n’investiront pas dans la surveillance des menaces et 10 % ne consacreront pas de fonds à la résilience de la chaîne d’approvisionnement. Il s’agit d’une statistique particulièrement préoccupante compte tenu de la mosaïque réglementaire de laquelle émergent constamment de nouveaux règlements, comme le Pilier Deux qui oblige les organisations à revoir fréquemment leur profil de risque.

Les dirigeants du Canada peuvent renforcer leur résilience organisationnelle en supprimant les obstacles et en adoptant une approche multidisciplinaire de gestion des risques. Voici des recommandations pour les aider à y arriver : (1) intégrer les programmes de gestion de crise et de gestion des risques; (2) améliorer l’analyse prospective; (3) mettre en place un processus de surveillance et de signalement des risques et (4) améliorer la compréhension de la situation en temps de crise.

Quatre recommandations pratiques pour une gestion des risques plus efficace

Un constat revient souvent : les programmes de gestion de crise et de gestion des risques sont très peu intégrés, voire pas du tout. Il est important d’y voir, puisqu’un programme de gestion de crise efficace est un outil essentiel d’atténuation des risques.

Mais comment les organisations peuvent-elles s’y prendre pour intégrer ces programmes?

La première étape consiste à utiliser deux facteurs de tolérance à l’égard de la gestion des risques, soit la probabilité et l’incidence, pour déterminer ce qui constitue une crise. Autrement dit, quelle est la probabilité qu’un risque donné se matérialise, et quelle en serait l’incidence? Votre entreprise peut ensuite utiliser ces mêmes facteurs pour signaler ces risques. En cas de crise, vous pourrez ainsi communiquer rapidement et efficacement les risques aux échelons supérieurs et déterminer quelles mesures préventives et de rétablissement privilégier ainsi que les montants à y consacrer.

Les entreprises devraient également avoir des scénarios permettant de quantifier les risques résiduels, qu’elles utiliseront dans le cadre d’exercices. Votre programme de gestion des risques devrait comporter des scénarios en ordre de priorité parmi lesquels vous choisirez pour faire une mise en situation avec votre équipe de gestion de crise. Même s’il est impossible de prévoir toutes les situations pouvant survenir, l’intégration de vos programmes est essentielle pour vous permettre d’intervenir de façon agile, peu importe le contexte.

Les programmes de gestion des risques mettent souvent l’accent sur le court terme. En effet, les entreprises ont tendance à se concentrer sur les problèmes auxquels elles sont confrontées dans l’immédiat, au détriment de ceux qui pourraient survenir dans un trimestre ou deux. Dans bien des cas, elles négligent de comprendre ce qui les attend à plus long terme et qui pourrait avoir une incidence notable sur leur stratégie d’affaires, particulièrement du point de vue du cadre réglementaire.

Les entreprises doivent améliorer leur analyse prospective afin de limiter les risques et de saisir de nouveaux débouchés. L’IA générative en est un parfait exemple : les dirigeants qui ont suivi en amont le développement de cette technologie disposent maintenant d’un avantage concurrentiel non négligeable.

Ce type d’analyse prospective peut également avoir une incidence directe sur les bénéfices. Par exemple, lorsque des marchandises fabriquées par recours au travail forcé sont bloquées à la douane, le propriétaire de ces marchandises essuiera des pertes financières, notamment sous forme de radiations ou recours juridiques. Même si les entreprises canadiennes connaissent la législation canadienne sur l’esclavage moderne, nombre d’entre elles ne considèrent pas la transformation du cadre réglementaire comme un risque élevé ou immédiat qui nécessite une intervention.

Quel est le point de départ d’un programme de gestion des risques? La première étape consiste à élargir vos horizons en vérifiant les nouveaux développements dans le secteur qui cadrent avec le profil de votre organisation. Les entreprises peuvent déterminer quelles sont les avancées technologiques et réglementaires les plus pertinentes (selon le lieu, le secteur d’activité et la taille de celui-ci, entre autres), en faire le suivi et les inclure dans leurs rapports à la haute direction et au conseil d’administration.

Le but de l’exercice est d’encourager le dialogue, dans les hautes sphères de votre organisation, sur les risques futurs et leurs répercussions éventuelles sur la stratégie d’affaires.

À la lumière de tout ce qui précède, il n’est pas surprenant de constater que seulement 30 % des répondants canadiens à notre sondage estiment que la composante d’évaluation des risques et des menaces de leur programme de résilience est optimisée, intégrée ou novatrice. Où est donc le problème? Beaucoup d’entreprises font rapport sur les risques après coup (par exemple, dans leurs évaluations annuelles qui portent sur le risque d’exécution) et ont de la difficulté à définir les mesures, à signaler en temps réel les principaux indicateurs de risque (PIR) et à en informer les échelons supérieurs.

Les entreprises doivent avoir une référence en ce qui a trait aux risques et aux niveaux de tolérance pour savoir ce qui a mal tourné. Votre organisation dispose-t-elle de suffisamment de données sur les processus (délais de livraison, volumes d’appels, pannes, taux d’absentéisme, etc.) pour être en mesure de donner l’alerte lorsqu’il y a des signes précurseurs de risques élevés?

En plus de déterminer les risques potentiels et les contrôles et processus à mettre en place pour faire le suivi des PIR, les entreprises doivent définir les éléments déclencheurs et leurs protocoles de signalement. Pour ce faire, elles doivent collaborer avec d’autres entités – y compris les concurrents – pour améliorer la gestion des risques qui les guettent et renforcer la résilience globale du secteur et de leur écosystème.

La collaboration est source d’immense valeur. Elle crée des débouchés d’affaires et permet de résoudre d’importants problèmes sociaux.

Durant une crise, les dirigeants doivent être en mesure d’obtenir rapidement des renseignements exacts, particulièrement sur la nature de la situation, pour prendre des décisions le plus vite possible. Mais ce n’est pas chose facile : 36 % des répondants canadiens à notre sondage ont indiqué que cela avait été un défi durant la plus grave perturbation les ayant touchés au cours des deux dernières années.

Lorsqu’ils comprennent bien la situation, les dirigeants peuvent dresser un portrait commun de la crise : Quels sont les risques? Quelle est notre position par rapport à nos employés, à nos ressources, à notre technologie, à notre chaîne d’approvisionnement?

Une bonne compréhension de la situation facilite le signalement des risques et leur communication aux échelons supérieurs, permettant ainsi à l’équipe de crise de se préparer à agir. Les entreprises doivent cependant s’assurer que tous les processus demeurent en place et en fonction durant la crise. Certains logiciels sophistiqués peuvent vous être d’une grande aide, mais il existe également des solutions simples, comme enregistrer un document sur un lecteur partagé et charger l’équipe de gestion de crise de le garder à jour tout au long de la crise.

Lorsqu’on ne fait pas front commun, les conséquences peuvent être désastreuses. Durant la pandémie, nous avons pu constater ce qui arrive en l’absence d’une vision commune sur la gestion de crise : les autorités sanitaires donnaient différentes directives, laissant les gens perplexes quant aux mesures à respecter. En pleine crise, des décisions, actions et communications malavisées peuvent engendrer d’importantes conséquences sur la réputation et le fonctionnement.