Contribution à l’analyse critique de la norme de contrôle. : Le cas des risques opérationnels dans le secteur financier : de la normativité à l’effectivité

Risk Management Regulation : the case study of Operational Risk Management in Financial Services, form normativity to effectivity

• Auteur / Autrice : Nicolas Dufour
• Direction : Laurent Cappelletti
• Type : Thèse de doctorat
• Discipline(s) : Comptabilité, contrôle, audit
• Date : Soutenance le 04/03/2015
• Etablissement(s) : Paris, CNAM
• Ecole(s) doctorale(s) : École doctorale Abbé Grégoire (Paris)
• Partenaire(s) de recherche : Laboratoire : Laboratoire interdisciplinaire de recherche en sciences de l'action (Paris)
• Jury : Président / Présidente : Yvon Pesqueux
• Jury : Examinateurs / Examinatrices : Laurent Cappelletti, Abdel Bencheikh
• Jury : Rapporteur / Rapporteuse : Olivier de La Villarmois, Véronique Zardet

Mots clés

Mots clés contrôlés

Assurance

Banques

Gestion du risque

Mots clés libres

Gestion des risques

Risques opérationnels

Politique de risque

Banque

Assurance

Risk Management

Operational risks

Risk policy

Banking

Insurance

Résumé

L'objet du présent projet de thèse porte sur l'analyse critique des normes de contrôle du risque opérationnel. Il s'agit de mettre en lumière la manière dont le Risk Management mobilise les parties prenantes des organisations pour créer et animer une culture du risque opérationnel. L'approche retenue est la triangulation méthodologique combinant deux recherche-action réalisées au sein d'un établissement bancaire et d'une compagnie d'assurance ainsi que des entretiens semi-directifs et une analyse de contenu sur un ensemble de documents internes à chacun des cas étudiés. Les résultats de la recherche font état de la nécessité de traduire les normes de contrôle prudentiel dans l'organisation et de structurer les nombreux contrôles pour mettre en œuvre une politique de risque effective.Les récentes évolutions règlementaires dans le domaine bancaire et en assurance (Bâle 2 et Bâle 2.5, Bâle 3, Solvabilité 2) tendent à renforcer les dispositifs de contrôle interne et de Risk Management ainsi que la communication d'informations sur ces dispositifs pour une meilleure maîtrise des risques. Ainsi, le règlement CRBF 97-02 parle de filière risque opérationnel, la directive à venir Solvabilité II évoque dans son pilier 2 la nécessité de développer un contrôle interne et un Risk Management tournés vers la prise en compte du risque dans l'organisation et non seulement comme un sujet de provisionnement de fonds propres.Cependant ces efforts n'empêchent pas la survenance et la médiatisation de scandales financiers dont l'ampleur est à la hauteur des montants financiers traités. Ainsi, de nombreux établissements financiers sont touchés par le risque opérationnel. Ce risque est avant tout un risque organisationnel, contingent du facteur humain et prenant de multiples formes (les catégories baloises du risque opérationnel en sont une illustration). Les exemples de survenance de risque opérationnel sont nombreux : les cas de JP Morgan, d'UBS, de Société Générale, de Barclays, de HSBC, de Goldman Sachs en attestent. Toutefois, le risque opérationnel n'est pas seulement le fait de banques de financement et d'investissement et n'est pas uniquement un risque extrême par ses conséquences. Il concerne également les banques de détails et les sociétés d'assurance et est le plus souvent un risque de fréquence et de faible impact (fraudes aux moyens de paiement et fraude à l'assurance par exemple). La réglementation prudentielle comprend un ensemble de normes tendant à inciter les établissements financiers à mieux prendre en compte cette catégorie encore émergente et mal connue de risque (les risques de marchés ou de crédits faisant l'objet de davantage d'études).Nous décrivons et analysons l'influence de ces évolutions normatives sur les dispositifs internes de maîtrise du risque opérationnel (Risk Management opérationnel, contrôle interne) et nous interrogeons la manière dont les établissements financiers structurent leur contrôle des risques, plus particulièrement en ce qui concerne l'effectivité de ces dispositifs. Afin d'éviter de développer des contrôles manquant d'effectivité, il devient essentiel de situer cette régulation prudentielle dans une perspective de structuration des contrôles et de traduction/compréhension de la norme de contrôle.

The aim of this thesis is to bring to light the way the Risk management mobilizes the stakeholders of organizations to create and lead a culture of the operational risk.Our research approach is the methodological triangulation, combining two action-research case studies, arising within a banking institution and within an insurance company, as well as semi-directive interviews and an analysis of contents on a set of internal documents in each of the studied cases. The research results state the necessity of translating the standards of prudential control in the organization and of structuring the numerous controls to implement an effective risk mastering policy.The recent statutory evolutions in the banking and insurance sectors (Basel 2 and Basel 2.5, Basel 3, Solvency II) tend to strengthen systems of internal control and Risk Management as well as the communication of information over these devices for a better control of the risks. So, the regulation CRBF 97-02 speaks about operational risk systems, the directive to come Solvency II evokes in its pillar 2 the necessity of developing an internal control and a Risk Management turned to the consideration of the organizational risks.However these efforts do not prevent the emergence and the mediatization of financial scandals the scale of which is as high as the financial handled amounts. So, numerous financial institutions are affected by the operational risk. This risk is before any an organizational risk, a contingent of the human factor and taking multiple forms (the Basel categories of the operational risk).There are numerous examples of extremes operational risks: the cases of JP Morgan, UBS, Société Générale, Barclays, Goldman Sachs give evidence of it. However, the operational risk is not only the fact of corporate and investment banking and is not only an extreme risk by its consequences and in low probability. It also concerns retail banks and insurance companies and is most of the time a risk of frequency and low impact (frauds in payment activities, and fraud in life and non-life the insurance for instance). The prudential regulation include a set of standards tending to incite financial institutions to take into account better this category still emergent and badly known by risk (markets risks or credits risks have being the object of more studies).We describe the influence of these normative evolutions on the internal devices of the operational risk (Operational Risk Management, Internal Control) and we question the sense given by establishments to the information onto the control of the risks, more particularly as regards the effectiveness of these devices. To avoid an informative overload regarding control, it becomes essential to place this prudent regulation in perspective of structuring of the controls and the translation / understanding of the risk control standards.