GRC, ERM, IRM, ORM : s'y retrouver dans les acronymes

Pourquoi cette prolifération

La question n'est pas théorique. Adopter un vocabulaire nouveau conduit souvent à réécrire une politique, reparamétrer un outil, reformer des équipes. Autant d'efforts justifiés si la substance change ; coûteux et démobilisateurs dans le cas contraire.

ERM : le point de référence

La gestion des risques d'entreprise (Enterprise Risk Management, ERM) désigne une approche structurée et transversale : identifier, évaluer et traiter les risques susceptibles d'affecter l'atteinte des objectifs de l'organisation, en intégrant cette réflexion aux décisions, de la stratégie aux opérations.

Deux caractéristiques la définissent. Elle est rattachée aux objectifs — un risque n'existe que par rapport à ce que l'organisation cherche à accomplir. Et elle est transversale — elle vise une vue d'ensemble, non l'addition de préoccupations locales. C'est le concept de référence, et il n'a pas été rendu obsolète par ses successeurs annoncés.

IRM et Connected Risk : des nuances plus que des ruptures

La gestion intégrée des risques (Integrated Risk Management, IRM) se présente comme une approche holistique, couvrant toutes les fonctions et tous les niveaux, opposée à une gestion en silos. À la lecture, la différence avec l'ERM correctement mise en œuvre est ténue : l'ERM prétendait déjà à cette transversalité. L'IRM se distingue surtout par son insistance sur l'outillage et l'intégration technologique.

Le Connected Risk apporte une idée plus spécifique et réellement utile : les risques ne sont pas isolés, ils s'influencent mutuellement, avec des effets systémiques et en cascade. Une défaillance informatique déclenche un risque opérationnel, qui devient réglementaire, puis réputationnel.

Cette idée mérite-t-elle un référentiel distinct ? Cela se discute. Elle mérite en revanche d'être intégrée à toute cartographie sérieuse.

ORM, TPRM, SRM : des déclinaisons thématiques

Une seconde famille de sigles désigne non pas des méthodes concurrentes, mais des domaines d'application :

• ORM (Operational Risk Management) — les risques liés aux processus, aux personnes, aux systèmes et aux événements externes.
• TPRM (Third Party Risk Management) — les risques liés aux prestataires et à la chaîne de sous-traitance.
• SRM (Strategic Risk Management) — les risques pesant sur les choix stratégiques et le modèle d'activité.
• S'y ajoutent le risque de crédit, le risque cyber, le risque projet, et d'autres encore.

Ces domaines bénéficient légitimement d'une attention dédiée, parfois de référentiels et d'outils propres — la réglementation elle-même impose ce découpage sur certains sujets. Le danger apparaît lorsque cette spécialisation devient cloisonnement : chaque domaine évalue son périmètre selon sa propre échelle, et personne ne consolide.

Le test qui compte vraiment

Plutôt que de trancher un débat de vocabulaire, mieux vaut évaluer le dispositif à ses résultats. Trois questions suffisent :

• Existe-t-il une probabilité acceptable d'atteindre nos objectifs, compte tenu des risques encourus ?
• Nos décisions sont-elles éclairées — les décideurs disposent-ils, au moment de décider, d'une information utile sur les risques ?
• Prenons-nous le bon niveau des bons risques, conformément aux orientations du conseil ?

Un dispositif qui répond correctement à ces trois questions est efficace, quel que soit le sigle qui figure en couverture de la politique. Un dispositif qui n'y répond pas ne sera pas sauvé par un changement d'appellation.

Quel vocabulaire pour une entité régulée luxembourgeoise ?

La réponse est ici plus simple qu'ailleurs : le vocabulaire de référence est celui du cadre réglementaire applicable, non celui des offres du marché. La Commission de Surveillance du Secteur Financier (CSSF) et les textes européens parlent de gestion des risques, de fonction de gestion des risques, de dispositif de contrôle interne, de gouvernance interne. Ce sont ces notions qu'un superviseur examinera, et dans ces termes qu'il faudra démontrer la cohérence du dispositif.

Rien n'interdit d'utiliser un outil positionné sur le segment IRM, ni de s'inspirer de la logique du Connected Risk. Mais la politique interne, la cartographie et le reporting réglementaire gagnent à rester dans la terminologie officielle — et à expliciter, le cas échéant, la correspondance avec le vocabulaire de l'outil retenu.

L'approche ARCAD

ARCAD raisonne à partir des objectifs, des risques et des obligations de l'organisation, puis retient le vocabulaire qui sert la clarté — celui du cadre applicable en priorité. La valeur d'un dispositif ne tient pas au référentiel invoqué, mais à sa capacité à éclairer les décisions et à résister à l'examen d'un superviseur.