Une dévaluation brutale, un conteneur bloqué au port, un fournisseur unique défaillant, une cyberattaque ou un contrôle fiscal mal préparé : la plupart des crises que nous voyons dans les entreprises algériennes n'étaient pas imprévisibles. Elles n'avaient simplement pas été anticipées. La gestion des risques entreprise consiste précisément à identifier ces menaces, et les opportunités, avant qu'elles ne se matérialisent, puis à décider en conscience de ce que l'on accepte, réduit, transfère ou refuse.
Pour un dirigeant, ce n'est ni un exercice de conformité ni une affaire de spécialistes. C'est un outil de pilotage qui protège la valeur et sécurise la croissance. Ce guide présente les référentiels de référence, le processus, la cartographie, l'appétence au risque, le contrôle interne et une feuille de route concrète, avec le regard que nous avons forgé chez Hodemia Consulting en Europe, dans le Golfe et en Algérie.
Les entreprises algériennes évoluent dans un contexte où plusieurs familles de risques se cumulent :
Le retrait de l'Algérie de la liste grise du GAFI, le 19 juin 2026, ne réduit pas la pression. Banques correspondantes, investisseurs étrangers et grands donneurs d'ordre demandent désormais des preuves : politique de gestion des risques, cartographie, dispositif de contrôle. Une entreprise incapable de les produire paie plus cher ses financements, ou perd des marchés. La qualité de la gestion des risques est aussi un pilier de la bonne gouvernance, comme nous l'expliquons dans notre guide sur la gouvernance d'entreprise en Algérie.
Deux référentiels internationaux structurent la pratique :
Inutile de choisir : nous recommandons souvent ISO 31000 pour la méthode et COSO pour le dialogue avec le conseil.
La cartographie des risques positionne chaque risque sur une matrice probabilité-impact, souvent en quatre ou cinq niveaux. Son intérêt n'est pas la beauté du graphique, mais la discussion qu'elle provoque : pourquoi la direction financière juge-t-elle le risque de change critique quand la direction commerciale l'estime modéré ? Une cartographie utile tient sur une page pour le conseil, avec un top 10 des risques majeurs, et se décline par direction pour le pilotage opérationnel.
Deux écueils reviennent dans nos missions. Le premier : une cartographie trop générique, copiée d'un modèle, où l'on retrouve « risque pays » ou « risque économique » sans lien avec les objectifs réels de l'entreprise. Le second : une cartographie figée, produite une fois pour un auditeur ou un bailleur de fonds, puis oubliée dans un tiroir. Une cartographie vivante est revue après chaque incident significatif, chaque acquisition ou chaque changement réglementaire majeur.
L'appétence au risque est la quantité et le type de risque que l'entreprise accepte de prendre pour atteindre ses objectifs. Elle est fixée par le conseil d'administration et formulée en quelques déclarations claires. La tolérance la traduit en seuils mesurables. Exemples :
| Domaine | Déclaration d'appétence | Seuil de tolérance |
|---|---|---|
| Conformité | Aucune appétence pour la violation délibérée de la loi | Zéro sanction pour manquement LCB-FT |
| Approvisionnement | Appétence faible pour la dépendance fournisseur | Aucun fournisseur au-delà de 30 % des achats |
| Croissance | Appétence modérée pour les nouveaux marchés | Investissement plafonné à un pourcentage des fonds propres |
Sans appétence formalisée, chaque décision se prend au cas par cas, selon la sensibilité de chacun.
Le contrôle interne regroupe les politiques, procédures et contrôles qui ramènent les risques à un niveau acceptable : séparation des tâches, double signature, rapprochements, habilitations informatiques, revue des fournisseurs. Pour les banques et établissements financiers, le règlement de la Banque d'Algérie n° 11-08 du 28 novembre 2011 en fixe le cadre : contrôle des opérations et des procédures internes, organisation comptable, systèmes de mesure et de surveillance des risques, contrôle de la conformité et information des organes dirigeants. Pour les autres entreprises, ce texte constitue une source d'inspiration utile, même s'il ne s'impose pas à elles.
Mis à jour par l'Institut des auditeurs internes (IIA) en juillet 2020, ce modèle clarifie qui fait quoi :
Dans beaucoup d'entreprises algériennes, ces rôles se confondent : le contrôleur de gestion fait office de risk manager et l'audit interne réalise des contrôles de premier niveau. Clarifier les rôles est souvent le premier gain. Un diagnostic de conformité permet d'objectiver ces chevauchements et de prioriser les corrections.
Le conseil d'administration fixe l'appétence au risque, valide la cartographie des risques majeurs et s'assure, souvent via un comité d'audit ou des risques, que le dispositif fonctionne. La direction générale en est responsable au quotidien : elle désigne les propriétaires de risques, alloue les moyens et arbitre. Son exemplarité est décisive : si le DG contourne lui-même les procédures, aucun dispositif ne tiendra.
Les KRI sont des signaux d'alerte avancés, distincts des indicateurs de performance. Quelques exemples :
Chaque KRI doit être associé à un seuil d'alerte cohérent avec la tolérance au risque et à une action prédéfinie.
Dans le Golfe, nous avons vu des groupes familiaux franchir ces étapes en dix-huit à vingt-quatre mois. La clé n'est pas le logiciel, mais l'implication réelle du conseil.
La gestion des risques entreprise n'est pas une contrainte de plus : c'est la capacité à décider plus vite et plus sûrement dans un environnement incertain. Un processus clair, une cartographie partagée, une appétence au risque formalisée, un contrôle interne organisé selon les trois lignes et quelques indicateurs bien choisis suffisent à changer la donne. Commencez modestement, mais commencez maintenant : la prochaine crise ne préviendra pas.