La maîtrise des risques des ETI et PME : état des lieux et perspectives

BM&A et Altares, expert de l’information sur les entreprises, ont récemment publié les résultats de leur étude “ETI et PME : Maîtrise des risques, où en êtes-vous ?” réalisée avec le soutien de Middlenext, auprès de 100 dirigeants : directeurs généraux, directeurs financiers, directeurs des risques et du contrôle interne, de PME et ETI cotées (56%) et non cotées (44%)¹.

En s’intéressant au sujet de la maîtrise des risques au sein des sociétés interrogées, BM&A et Altares ont voulu comprendre les démarches enclenchées et évaluer leur niveau de maturité. Quels leviers activent les entreprises pour avancer ? Quels sont les dispositifs en place ? Pour quelle valeur ajoutée et avec quels facteurs clés de succès ?

Déployer un dispositif de maîtrise des risques ne fait plus débat

Pour la quasi-totalité des entreprises interrogées par BM&A et Altares, la question du déploiement d’une politique de contrôle interne sonne comme une évidence : 96% d’entre elles déclarent en effet avoir un dispositif de maîtrise des risques ou prévoient d’en mettre un en place prochainement. 

Pour autant, à peine 1/4 d’entre elles se sent hors-risque, jugeant satisfaisants les dispositifs de contrôle interne déjà en place. Plus préoccupant encore, l’indice de confiance dans le renforcement des dispositifs est de 8% seulement. Des chiffres qui traduisent la jeunesse de cette problématique dans nombre d’entreprises françaises qui ne disposent, au départ, ni de l’expertise, ni du temps, ni de la culture interne requis.

Comme le souligne un directeur général du secteur de l’industrie d’une société cotée interrogé : « Il n’y a pas de hiérarchie des risques. Les failles finissent toujours par se traduire financièrement mais c’est le risque réputationnel qui est le plus important pour nous, car les conséquences sur le business peuvent être plus durables. »

Après le besoin, l’envie

Pour 70% des dirigeants, la mise en mouvement a été initiée par un besoin d’accompagnement de la croissance (organique, externe, développement international, changement d’actionnaire). Pour 2/3 d’entre eux, il s’agissait aussi d’une réponse aux exigences réglementaires : introduction en bourse, Sapin 2, RGPD, RSE… La prise de conscience vient donc rarement d’un accident ou d’une crise.

En termes de maturité, on observe d’ailleurs une dichotomie claire entre entreprises cotées et non cotées, les premières étant plus avancées en matière de contrôle interne, et également plus exigeantes avec elles-mêmes, notamment du fait de la transparence attendue de la part des émetteurs sur leurs dispositifs de maîtrise des risques. 

Dans ce contexte, la position de la direction est déterminante. Selon les personnes interrogées, le « tone of the top » constitue soit le principal frein de la structuration et du déploiement d’une démarche de contrôle interne, soit au contraire son atout maître en fédérant les différentes fonctions, en arbitrant la feuille de route et en insufflant cette culture du contrôle interne animée par un chef d’orchestre ad hoc (le contrôleur interne).

De fait, adopter cet état d’esprit, c’est aussi se donner l’opportunité de voir les leviers potentiels des contraintes réglementaires. Si bien que les sujets réglementaires tels que Sapin 2, RSE, devoirs de vigilance sont mieux maîtrisés et déployés au sein des entités dont le contrôle interne est jugé satisfaisant. 

Après l’envie, la volonté

“Nous avons fait le choix du maintien des expertises techniques au sein des fonctions, et avons pensé le contrôleur interne comme une fonction agile chargée de l’animation entre les métiers”, explique un directeur administratif et financier du secteur de l’industrie interrogé.

En effet, il ne faut pas confondre chef d’orchestre et homme-orchestre. La maîtrise des risques doit d’abord être portée par les opérationnels. Le contrôleur interne a un rôle d’animation transverse, il s’assure de la priorisation, de la cohérence et de la proportionnalité des réponses apportées, avec une vision à 360 degrés.

Avec la bonne organisation viennent les bons outils : les sociétés les plus avancées disposent à 90% de codes de conduite, de référentiels de risques, de procédures. Elles les intègrent dans leurs systèmes d’information, et les utilisent avec des solutions technologiques ad hoc, avec analyse de données comptables et évaluations des tiers en premier lieu.

La maîtrise des risques, vecteur de création de valeur

Les bénéfices du dispositif se manifestent en termes de performance, de sécurité et de confiance : au-delà de la question de la croissance, s’intéresser à la maîtrise des risques, c’est évidemment s’offrir plus de sérénité grâce à une meilleure définition des responsabilités (pour 65% des entreprises l’ayant mis en place) et une meilleure prévention des erreurs (58%) mais aussi une amélioration de la confiance des parties prenantes externe (41%) et davantage de sécurité pour les collaborateurs (30%).

À contrario, les risques perçus d’un contrôle interne faible sont d’abord financiers (57%) et réputationnels (55%).

Tandis que le contrôle interne est encore souvent considéré comme un sujet de direction financière, les gains réalisés sont donc avant tout opérationnels via l’amélioration constatée de l’efficacité de la chaîne de valeur et la réponse aux attentes des parties prenantes. 

Retrouvez l’étude intégrale, avec de nombreux témoignages de directeurs généraux, directeurs financiers et directeurs des risques et du contrôle interne ainsi que l’œil de nos experts. 

¹ Pour ce premier opus, 100 dirigeants de sociétés PME ou ETI dont le CA se situe entre 10 millions et 3 milliards d’euros, ont été interrogés au cours du printemps 2023 par BM&A, Altares et Middlenext directement.