Gestion des risques en entreprise : le guide complet pour les dirigeants algériens

Une dévaluation brutale, un conteneur bloqué au port, un fournisseur unique défaillant, une cyberattaque ou un contrôle fiscal mal préparé : la plupart des crises que nous voyons dans les entreprises algériennes n'étaient pas imprévisibles. Elles n'avaient simplement pas été anticipées. La gestion des risques entreprise consiste précisément à identifier ces menaces, et les opportunités, avant qu'elles ne se matérialisent, puis à décider en conscience de ce que l'on accepte, réduit, transfère ou refuse.

Pour un dirigeant, ce n'est ni un exercice de conformité ni une affaire de spécialistes. C'est un outil de pilotage qui protège la valeur et sécurise la croissance. Ce guide présente les référentiels de référence, le processus, la cartographie, l'appétence au risque, le contrôle interne et une feuille de route concrète, avec le regard que nous avons forgé chez Hodemia Consulting en Europe, dans le Golfe et en Algérie.

1. Pourquoi la gestion des risques entreprise est devenue incontournable en Algérie

Un environnement exigeant

Les entreprises algériennes évoluent dans un contexte où plusieurs familles de risques se cumulent :

• Risque réglementaire : évolutions fréquentes des règles fiscales, douanières, de commerce extérieur et sectorielles, qu'il faut suivre et appliquer sans délai ;
• Risque de change : variation du dinar, accès aux devises et délais de domiciliation pèsent sur les importateurs comme sur les exportateurs ;
• Risque d'approvisionnement : dépendance aux intrants importés, délais logistiques, encadrement des importations ;
• Risque de réputation : une affaire relayée sur les réseaux sociaux peut ruiner en quelques jours une image bâtie en vingt ans ;
• Risque cyber : rançongiciels, fraude au président, fuite de données, d'autant plus sensible depuis la loi n° 25-11 sur la protection des données personnelles ;
• Risque de non-conformité : LCB-FT au titre de la loi n° 05-01 modifiée, corruption au titre de la loi n° 06-01, obligations sectorielles.

Des partenaires plus exigeants

Le retrait de l'Algérie de la liste grise du GAFI, le 19 juin 2026, ne réduit pas la pression. Banques correspondantes, investisseurs étrangers et grands donneurs d'ordre demandent désormais des preuves : politique de gestion des risques, cartographie, dispositif de contrôle. Une entreprise incapable de les produire paie plus cher ses financements, ou perd des marchés. La qualité de la gestion des risques est aussi un pilier de la bonne gouvernance, comme nous l'expliquons dans notre guide sur la gouvernance d'entreprise en Algérie.

2. Les référentiels et le processus de gestion des risques

Deux référentiels complémentaires

Deux référentiels internationaux structurent la pratique :

• ISO 31000:2018 (lignes directrices sur le management du risque) : un texte court et universel articulé autour de principes, d'un cadre organisationnel et d'un processus. Il convient à toute organisation, quelle que soit sa taille ;
• COSO ERM 2017 (« Enterprise Risk Management – Integrating with Strategy and Performance ») : cinq composantes et vingt principes qui relient le risque à la stratégie, à la performance et à la gouvernance.

Inutile de choisir : nous recommandons souvent ISO 31000 pour la méthode et COSO pour le dialogue avec le conseil.

Les quatre étapes du processus

1. Identification : ateliers avec les directions, analyse des incidents passés, revue des objectifs stratégiques. La bonne question n'est pas « qu'est-ce qui peut mal tourner ? » mais « qu'est-ce qui peut nous empêcher d'atteindre nos objectifs ? » ;
2. Évaluation : cotation de chaque risque en probabilité et en impact (financier, opérationnel, réglementaire, réputationnel), d'abord en risque brut, puis en risque net après prise en compte des contrôles existants ;
3. Traitement : éviter, réduire, transférer (assurance, clauses contractuelles) ou accepter, avec un plan d'action, un responsable et une échéance ;
4. Suivi : revue périodique, indicateurs, remontée des incidents et mise à jour au moins annuelle.

3. Cartographie des risques, appétence et tolérance

La cartographie, outil de dialogue

La cartographie des risques positionne chaque risque sur une matrice probabilité-impact, souvent en quatre ou cinq niveaux. Son intérêt n'est pas la beauté du graphique, mais la discussion qu'elle provoque : pourquoi la direction financière juge-t-elle le risque de change critique quand la direction commerciale l'estime modéré ? Une cartographie utile tient sur une page pour le conseil, avec un top 10 des risques majeurs, et se décline par direction pour le pilotage opérationnel.

Deux écueils reviennent dans nos missions. Le premier : une cartographie trop générique, copiée d'un modèle, où l'on retrouve « risque pays » ou « risque économique » sans lien avec les objectifs réels de l'entreprise. Le second : une cartographie figée, produite une fois pour un auditeur ou un bailleur de fonds, puis oubliée dans un tiroir. Une cartographie vivante est revue après chaque incident significatif, chaque acquisition ou chaque changement réglementaire majeur.

Appétence et tolérance au risque

L'appétence au risque est la quantité et le type de risque que l'entreprise accepte de prendre pour atteindre ses objectifs. Elle est fixée par le conseil d'administration et formulée en quelques déclarations claires. La tolérance la traduit en seuils mesurables. Exemples :

Sans appétence formalisée, chaque décision se prend au cas par cas, selon la sensibilité de chacun.

4. Contrôle interne et modèle des trois lignes

Le contrôle interne, bras armé de la gestion des risques

Le contrôle interne regroupe les politiques, procédures et contrôles qui ramènent les risques à un niveau acceptable : séparation des tâches, double signature, rapprochements, habilitations informatiques, revue des fournisseurs. Pour les banques et établissements financiers, le règlement de la Banque d'Algérie n° 11-08 du 28 novembre 2011 en fixe le cadre : contrôle des opérations et des procédures internes, organisation comptable, systèmes de mesure et de surveillance des risques, contrôle de la conformité et information des organes dirigeants. Pour les autres entreprises, ce texte constitue une source d'inspiration utile, même s'il ne s'impose pas à elles.

Le modèle des trois lignes

Mis à jour par l'Institut des auditeurs internes (IIA) en juillet 2020, ce modèle clarifie qui fait quoi :

• Première ligne : les opérationnels, propriétaires des risques, qui appliquent les contrôles au quotidien ;
• Deuxième ligne : les fonctions risques, conformité et contrôle permanent, qui fournissent la méthode, conseillent et challengent ;
• Troisième ligne : l'audit interne, qui apporte au conseil une assurance indépendante sur l'ensemble du dispositif.

Dans beaucoup d'entreprises algériennes, ces rôles se confondent : le contrôleur de gestion fait office de risk manager et l'audit interne réalise des contrôles de premier niveau. Clarifier les rôles est souvent le premier gain. Un diagnostic de conformité permet d'objectiver ces chevauchements et de prioriser les corrections.

5. Rôle des dirigeants, indicateurs et feuille de route

Le conseil et la direction générale

Le conseil d'administration fixe l'appétence au risque, valide la cartographie des risques majeurs et s'assure, souvent via un comité d'audit ou des risques, que le dispositif fonctionne. La direction générale en est responsable au quotidien : elle désigne les propriétaires de risques, alloue les moyens et arbitre. Son exemplarité est décisive : si le DG contourne lui-même les procédures, aucun dispositif ne tiendra.

Les indicateurs clés de risque (KRI)

Les KRI sont des signaux d'alerte avancés, distincts des indicateurs de performance. Quelques exemples :

• part du premier fournisseur dans les achats ;
• délai moyen de dédouanement des intrants critiques ;
• position de change ouverte rapportée au résultat ;
• nombre de tentatives d'hameçonnage détectées et taux de clic lors des tests ;
• nombre de dossiers clients à risque élevé non revus dans les délais.

Chaque KRI doit être associé à un seuil d'alerte cohérent avec la tolérance au risque et à une action prédéfinie.

Feuille de route pour une PME

• Mois 1-2 : atelier de direction, identification et cotation des dix principaux risques ;
• Mois 3-4 : désignation d'un propriétaire par risque, plans d'action sur les trois risques prioritaires ;
• Mois 5-6 : quelques KRI simples, revue semestrielle en comité de direction.

Feuille de route pour un groupe

• Phase 1 : politique de gestion des risques validée par le conseil, déclaration d'appétence, nomination d'un risk manager rattaché à la direction générale ;
• Phase 2 : cartographies par filiale et consolidation groupe, méthodologie de cotation commune ;
• Phase 3 : intégration au budget et à la stratégie, tableau de bord de KRI, plan d'audit interne fondé sur les risques.

Dans le Golfe, nous avons vu des groupes familiaux franchir ces étapes en dix-huit à vingt-quatre mois. La clé n'est pas le logiciel, mais l'implication réelle du conseil.

Conclusion : faire de la gestion des risques entreprise un réflexe de direction

La gestion des risques entreprise n'est pas une contrainte de plus : c'est la capacité à décider plus vite et plus sûrement dans un environnement incertain. Un processus clair, une cartographie partagée, une appétence au risque formalisée, un contrôle interne organisé selon les trois lignes et quelques indicateurs bien choisis suffisent à changer la donne. Commencez modestement, mais commencez maintenant : la prochaine crise ne préviendra pas.

Fayçal Lounes

Fondateur de Hodemia Consulting

Près de 20 ans d'expérience internationale en conformité réglementaire, risques et gouvernance (EY à Luxembourg, San Francisco et Londres ; directeur Regulatory & Compliance Services chez KPMG Moyen-Orient). Coach certifié, formateur et enseignant-chercheur.