Le lexique du risque et de la conformité.

L'analyse de scénarios examine l'impact de situations hypothétiques précises — pandémie, cyberattaque, défaillance d'un fournisseur — sur le profil de risque et les opérations d'une organisation. Contrairement aux mesures statistiques, elle est narrative et prospective, ce qui en fait un outil central de la résilience opérationnelle, de la continuité d'activité et de l'évaluation des risques émergents.

L'appétence au risque est le niveau et le type de risque qu'une organisation accepte de prendre pour atteindre ses objectifs ; elle est fixée par le conseil et exprimée par des limites et des tolérances. Elle traduit la stratégie en bornes qui guident les décisions quotidiennes et signalent quand une exposition doit être escaladée.

L'audit interne est la fonction d'assurance indépendante qui évalue l'efficacité des processus de gouvernance, de gestion des risques et de contrôle d'une organisation. Troisième ligne du modèle des trois lignes, il rend compte au conseil et au comité d'audit et apporte une contestation objective, distincte des métiers et des fonctions de risque.

Bâle III est le cadre réglementaire international du Comité de Bâle sur le contrôle bancaire, qui renforce les exigences de fonds propres, de levier et de liquidité des banques après la crise de 2008. Il élève la quantité et la qualité des fonds propres, introduit des ratios de liquidité (LCR et NSFR) et comprend les réformes dites « Basel III endgame » qui affinent les exigences de capital pour les risques de crédit, opérationnel et de marché.

Le NIST Cybersecurity Framework est un ensemble volontaire de normes et de bonnes pratiques de gestion du cyber-risque, organisé autour des fonctions Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Largement adopté dans tous les secteurs, il fournit un langage commun pour évaluer et améliorer la posture de cybersécurité.

Le capital de solvabilité requis est le montant de fonds propres qu'un assureur soumis à Solvabilité II doit détenir pour absorber une perte bicentennale sur un an. Il peut être calculé par la formule standard du régulateur ou par un modèle interne approuvé de l'assureur ; passer en dessous déclenche une intervention prudentielle croissante.

Le modèle CECL (pertes de crédit attendues sur la durée de vie) est le modèle de perte de crédit des principes comptables américains (ASC 326) qui impose aux établissements de provisionner dès l'origine les pertes attendues sur toute la durée de vie d'un actif financier, à partir de prévisions prospectives. Il a remplacé la méthode des pertes avérées, qui ne reconnaissait les pertes qu'une fois devenues probables.

Un chemin d'attaque est l'enchaînement d'étapes — à travers actifs, identités, permissions et connexions réseau — par lequel un attaquant pourrait progresser d'un point d'entrée initial vers une cible de grande valeur. Analyser les chemins d'attaque permet aux défenseurs de repérer et de couper les quelques maillons qui bloqueraient de nombreuses routes vers leurs systèmes les plus critiques, ce qui est bien plus efficace que de corriger des vulnérabilités isolément.

La contestation effective est l'analyse critique d'un modèle par des parties objectives et compétentes, indépendantes de son développement, disposant de l'autorité et de l'intérêt nécessaires pour s'y opposer. C'est le principe de SR 11-7 qui rend la validation véritablement utile plutôt que formelle.

La continuité d'activité est la capacité d'une organisation à continuer d'assurer ses opérations critiques pendant et après une interruption. Un plan de continuité documente les personnes, processus, technologies et objectifs de reprise nécessaires pour rester dans des seuils acceptables d'indisponibilité et de perte de données lors d'événements sévères.

Un contrôle est un processus, une politique ou une mesure technique qui réduit la probabilité ou l'impact d'un risque. Les contrôles se classent en préventifs, détectifs ou correctifs, et leur conception ainsi que leur efficacité opérationnelle sont testées lors des audits et des évaluations de conformité telles que SOC 2.

Le référentiel COSO de gestion des risques d'entreprise est un modèle largement utilisé qui intègre la gestion des risques à la stratégie et à la performance, à travers cinq composantes et vingt principes. Il aide les organisations à ancrer la réflexion sur le risque dans la gouvernance, la définition des objectifs et la décision, plutôt que d'en faire un exercice de conformité isolé.

CPS 230 est la norme prudentielle de l'APRA sur la gestion du risque opérationnel, la continuité d'activité et la gestion des prestataires, en vigueur depuis juillet 2025. Elle impose aux banques, assureurs et fonds de pension australiens d'identifier leurs opérations critiques, de fixer des niveaux de tolérance aux interruptions approuvés par le conseil, et de gérer le risque des tiers et des quatrièmes rangs.

Le règlement sur la résilience opérationnelle numérique est le texte européen qui fixe des exigences uniformes de sécurité et de résilience des systèmes TIC des entités financières. Il couvre la gestion du risque TIC, la déclaration d'incidents, les tests de résilience et la supervision des prestataires TIC tiers critiques, avec une application depuis janvier 2025.

L'EPSS est un modèle ouvert, fondé sur les données, qui estime la probabilité qu'une vulnérabilité donnée soit exploitée à court terme, exprimée en pourcentage. Utilisé aux côtés de la sévérité CVSS et du catalogue KEV, il aide les équipes à concentrer la remédiation sur la faible fraction de vulnérabilités réellement susceptibles d'être attaquées, plutôt que de traiter toutes les « critiques » de la même manière.

FAIR est le principal standard ouvert de quantification du cyber-risque et du risque opérationnel en termes financiers. Il décompose un risque en fréquence des événements de perte et ampleur des pertes, exprime ces facteurs sous forme de plages calibrées et exécute une simulation de Monte-Carlo pour produire une distribution de perte annualisée — le cyber-risque peut ainsi être hiérarchisé en euros aux côtés de tous les autres risques d'entreprise.

La revue fondamentale du portefeuille de négociation est la refonte, par le Comité de Bâle, des exigences de fonds propres au titre du risque de marché. Elle remplace la VaR par l'Expected Shortfall, durcit la frontière entre portefeuille de négociation et portefeuille bancaire, et propose une approche standard fondée sur les sensibilités aux côtés d'une approche par modèles internes soumise à agrément, avec des charges pour les facteurs de risque non modélisables.

La gestion continue de l'exposition aux menaces (CTEM) est un programme de découverte, de priorisation et de réduction continues de la surface d'attaque exploitable d'une organisation. Plutôt qu'un scan périodique, elle corrèle inventaire des actifs, vulnérabilités, identités et signaux d'exploitabilité pour déterminer quelles expositions pourraient réellement être atteintes et utilisées — et vérifie que la remédiation réduit effectivement le risque.

La gouvernance de l'IA est le cadre de politiques, de contrôles et de supervision qui maintient les systèmes d'IA sûrs, équitables, explicables et conformes. Pour les entreprises réglementées, elle étend la gestion du risque de modèle aux risques propres à l'IA — dérive, biais, hallucination, autonomie — en s'appuyant sur des cadres tels que le NIST AI RMF, ISO/IEC 42001 et le règlement européen sur l'IA.

La gouvernance, la gestion des risques et la conformité forment une approche intégrée alignant les structures de gouvernance, la gestion des risques et la conformité réglementaire d'une organisation. Une plateforme GRC unifie registres de risques, contrôles, politiques, audits et obligations afin que ces trois disciplines se renforcent mutuellement au lieu de fonctionner en silos.

IFRS 17 est la norme comptable mondiale relative aux contrats d'assurance, en vigueur depuis 2023, qui évalue les passifs d'assurance en valeur actuelle et étale le profit sur la période de couverture via la marge sur services contractuels. Elle a remplacé les pratiques hétérogènes tolérées par IFRS 4, rendant les états financiers des assureurs bien plus comparables.

IFRS 9 est la norme comptable internationale relative aux instruments financiers ; sa section dépréciation introduit un modèle prospectif de pertes de crédit attendues, étagé selon l'évolution du risque de crédit. C'est l'équivalent international de la norme américaine CECL, les deux différant toutefois dans leurs mécanismes, comme l'étagement entre pertes à 12 mois et pertes à maturité propre à IFRS 9.

Un indicateur clé de risque est une mesure qui alerte tôt d'une exposition croissante, par exemple une hausse des transactions en échec ou un contrôle approchant son seuil. Les ICR sont suivis au regard de limites définies afin que les équipes agissent avant qu'un risque ne se matérialise en perte ou en manquement.

L'ingénierie de détection est la discipline consistant à construire, tester et affiner les règles et analyses qui transforment la télémétrie de sécurité brute en alertes pertinentes. La pratique moderne traite les détections comme du contenu versionné — souvent exprimé dans un format portable tel que Sigma — avec un harnais de tests, une couverture MITRE ATT&CK mesurée et un cycle d'affinage pour maîtriser les faux positifs.

ISO/IEC 27001 est la norme internationale relative au système de management de la sécurité de l'information (SMSI) — un cadre de politiques et de contrôles fondé sur le risque pour protéger l'information. Les organisations peuvent être certifiées de façon indépendante, et la norme est souvent mise en correspondance avec SOC 2 et NIST CSF pour satisfaire plusieurs exigences avec un seul jeu de contrôles.

ISO 31000 est la norme internationale qui fournit principes et lignes directrices de management du risque, applicables à toute organisation. Plutôt que de prescrire des contrôles, elle définit un cadre et un processus — établir le contexte, apprécier, traiter, surveiller et communiquer le risque — adaptables à tout secteur.

La marge sur services contractuels est le profit non acquis intégré à un groupe de contrats d'assurance au sens d'IFRS 17. Elle figure au bilan à la comptabilisation initiale et est reprise en compte de résultat au fur et à mesure que l'assureur fournit la couverture, de sorte que le profit est reconnu dans le temps plutôt qu'immédiatement.

MITRE ATT&CK est une base de connaissances mondialement adoptée des tactiques et techniques adverses observées lors d'attaques réelles, organisée selon les étapes d'une intrusion. Les équipes sécurité s'en servent pour mesurer la couverture de détection, cartographier ce qu'elles voient ou non d'un attaquant, et prioriser de nouveaux contenus de détection sur les techniques les plus pertinentes pour leur modèle de menace.

OCSF est un standard ouvert et neutre de représentation des événements et constats de sécurité dans une structure commune. Normaliser la télémétrie de différents outils sur un modèle aligné OCSF permet d'écrire détections et requêtes une seule fois et de les exécuter sur toutes les sources ; changer d'outil sous-jacent ne casse alors pas les analyses construites au-dessus.

L'évaluation interne des risques et de la solvabilité est l'appréciation prospective, menée par l'assureur lui-même, de tous ses risques matériels et du capital nécessaire pour les couvrir sur son horizon de planification. Requise par Solvabilité II et des régimes similaires, elle relie la gestion des risques à la stratégie et est communiquée au conseil et au régulateur.

La perte annualisée attendue est la perte financière espérée d'un risque sur une période d'un an. En cyber-risque quantitatif, elle se lit sur une distribution de perte FAIR comme la perte annuelle moyenne, généralement rapportée aux côtés de percentiles de queue — par exemple une « mauvaise année » au 95e percentile — qui pèsent souvent davantage pour les décisions de capital et de cyber-assurance.

L'Expected Shortfall, aussi appelée VaR conditionnelle, est la perte moyenne dans la queue de distribution au-delà du seuil de Value at Risk. Parce qu'elle mesure la profondeur de la queue plutôt qu'un point de coupure unique, elle capte mieux les pertes extrêmes que la VaR et constitue la mesure de risque imposée par le cadre de risque de marché FRTB.

La perte en cas de défaut est la part d'une exposition qu'un établissement s'attend à perdre si un emprunteur fait défaut, après prise en compte des sûretés et des recouvrements. Exprimée en pourcentage, elle se combine à la probabilité de défaut et à l'exposition au moment du défaut pour produire une estimation de perte attendue.

La probabilité de défaut est la probabilité estimée qu'un emprunteur ou une contrepartie manque à ses obligations sur un horizon donné. Avec la perte en cas de défaut et l'exposition au moment du défaut, elle constitue l'un des piliers des modèles de perte attendue utilisés pour le provisionnement au titre de CECL et d'IFRS 9 ainsi que pour le capital réglementaire.

La quantification du cyber-risque consiste à exprimer l'exposition cyber en termes financiers — la perte monétaire probable liée aux menaces — plutôt qu'en notations qualitatives rouge-orange-vert. Des méthodes comme FAIR permettent aux responsables sécurité et finance de hiérarchiser les investissements et de comparer le cyber-risque aux autres risques d'entreprise sur une base monétaire commune.

L'auto-évaluation des risques et des contrôles est un processus structuré dans lequel les métiers identifient leurs propres risques, évaluent les contrôles qui les atténuent et apprécient le risque résiduel. Pierre angulaire de la gestion du risque opérationnel, elle alimente le registre des risques et hiérarchise les contrôles à renforcer.

Le règlement européen sur l'IA est la loi complète de l'Union européenne encadrant l'intelligence artificielle par niveaux de risque. Il interdit les usages à risque inacceptable, impose des obligations strictes aux systèmes à risque élevé — dont beaucoup dans le crédit et l'assurance —, fixe des devoirs pour les modèles d'IA à usage général et entre en application par étapes sur plusieurs années.

Le risque de modèle est le risque de conséquences défavorables résultant de décisions fondées sur des modèles comportant des erreurs ou utilisés à mauvais escient. Le maîtriser — comme l'énonce SR 11-7 — suppose un développement rigoureux, une validation indépendante, une surveillance continue et une gouvernance adossée à un inventaire complet des modèles.

Le risque opérationnel est le risque de perte résultant de processus internes, de personnes ou de systèmes inadaptés ou défaillants, ou d'événements externes. Il recouvre la fraude, les pannes de systèmes, l'erreur humaine, les manquements juridiques et de conformité et les interruptions, et il est de plus en plus encadré par des régimes de résilience opérationnelle tels que CPS 230 et DORA.

Le risque tiers est l'exposition qu'une organisation hérite de ses fournisseurs, sous-traitants et prestataires, y compris les quatrièmes rangs dont ces prestataires dépendent. Le maîtriser suppose diligence raisonnable, surveillance continue, garanties contractuelles et analyse de concentration — des obligations désormais renforcées par des régimes tels que CPS 230 et DORA.

La simulation de Monte-Carlo estime l'éventail des résultats possibles en exécutant un modèle des milliers ou des millions de fois avec des entrées tirées au hasard. En risque, elle sert à construire des distributions de pertes pour la VaR, à valoriser des dérivés complexes et à projeter capital et provisions dans l'incertitude, en produisant une distribution complète plutôt qu'une estimation ponctuelle.

SOC 2 est un référentiel d'audit de l'AICPA qui rend compte des contrôles d'un prestataire au regard de la sécurité, de la disponibilité, de l'intégrité du traitement, de la confidentialité et de la protection des données. Un rapport de type I apprécie la conception des contrôles à un instant donné, un rapport de type II teste leur efficacité opérationnelle sur une période ; il est largement exigé par les acheteurs grands comptes.

Solvabilité II est le régime prudentiel européen des assureurs, bâti sur trois piliers : exigences de capital fondées sur le risque (pilier 1), gouvernance et évaluation interne des risques et de la solvabilité (pilier 2), information et reporting (pilier 3). Il impose aux assureurs de détenir un capital calibré à un niveau de confiance de 99,5 % à un an, calculé selon la formule standard ou un modèle interne approuvé.

SR 11-7 est l'orientation prudentielle américaine de 2011, émise par la Réserve fédérale et l'OCC, qui définit les attentes en matière de gestion du risque de modèle dans les banques. Elle repose sur trois piliers — développement et usage rigoureux, validation indépendante efficace, gouvernance solide incluant un inventaire des modèles — et s'est imposée comme la référence mondiale de fait en gouvernance des modèles.

Les tests de résistance évaluent le comportement d'un portefeuille, d'un bilan ou d'un établissement dans des scénarios défavorables sévères mais plausibles — krach, récession, choc de taux. Les régulateurs recourent à des tests imposés (comme le CCAR) pour apprécier l'adéquation des fonds propres, tandis que les entreprises conduisent leurs propres scénarios pour comprendre des vulnérabilités que les mesures habituelles peuvent manquer.

La Value at Risk estime la perte maximale qu'un portefeuille devrait subir sur un horizon donné et à un niveau de confiance donné — par exemple, une VaR 1 jour à 99 % de 5 M$ signifie que les pertes ne devraient dépasser 5 M$ qu'environ 1 jour sur 100. Sa faiblesse est qu'elle ne dit rien de la gravité des pertes une fois ce seuil franchi, ce qui explique la préférence croissante des régulateurs pour l'Expected Shortfall.

La validation de modèle regroupe les activités indépendantes vérifiant qu'un modèle est solide et se comporte comme prévu. Au sens de SR 11-7, elle couvre la robustesse conceptuelle, la surveillance continue (comparaisons et vérification des processus) et l'analyse des résultats (backtesting), menées par des parties indépendantes du développement.

Le catalogue KEV est la liste, tenue par l'agence américaine de cybersécurité (CISA), des vulnérabilités confirmées comme activement exploitées. Parce qu'une vulnérabilité figurant au KEV est utilisée par de vrais attaquants, c'est un puissant signal de priorisation : corriger les entrées KEV sur des actifs exposés et critiques compte généralement bien plus que de courir après un score CVSS élevé.