Ces dernières semaines, un investisseur commanditaire (LP) vous a demandé votre politique de gestion des risques. Vous avez promis de la lui envoyer. Vous n’en avez pas.
C’est généralement ainsi que tout commence. Si c’est ce qui vous amène ici, vous êtes loin d’être un cas isolé. La plupart des fonds dont les encours sont inférieurs à quelques centaines de millions n’ont pas de politique de gestion des risques écrite avant qu’une personne extérieure à la société de gestion ne la réclame.
La demande arrive presque toujours lors de la due diligence opérationnelle et ne vous vise généralement pas en particulier. Les investisseurs institutionnels la font à tout le monde, et les questionnaires inspirés du cadre de due diligence d’ILPA élargissent progressivement les éléments qu’un fonds doit pouvoir présenter.
Le document à produire est donc plus court et moins intimidant que vous ne l’imaginez. En revanche, le modèle que vous trouverez en faisant une recherche vous orientera dans la mauvaise direction. C’est le problème le plus agaçant, et la principale raison d’être de ce guide.
Ce qu’est réellement une politique de gestion des risques
Une fois débarrassé du vocabulaire des référentiels, le document répond à quatre questions.
Qu’est-ce qui pourrait mal tourner ici ? Parmi ces risques, lesquels sommes-nous prêts à accepter ? Qui décide et qui agit ? Et que se passe-t-il lorsqu’un de ces risques se concrétise ?
C’est tout. Huit à quinze pages dans la plupart des cas. Si vous dépassez les trente pages, vous avez probablement confondu ce document avec autre chose.
Trois précisions sur ce qu’il n’est pas, car la confusion est fréquente.
Ce n’est pas un registre des risques. Le registre est une liste évolutive d’expositions précises, chacune associée à un responsable et à un état de suivi. La politique définit les règles de fonctionnement de ce registre. À terme, vous aurez besoin des deux, mais commencez par la politique.
Ce n’est pas un manuel de conformité. La conformité porte sur les règles qui vous sont imposées de l’extérieur. La gestion des risques porte sur les expositions que vous avez choisi d’assumer. Le problème est différent, le document aussi.
Et ce n’est pas un document destiné à impressionner qui que ce soit. Je soulignerais ce point si je le pouvais. Les meilleures politiques de gestion des risques que j’ai lues sont ternes, précises et parfois un peu maladroites, parce que leur auteur cherchait à décrire ce que la société ferait réellement, plutôt que ce qui semblerait défendable en réunion.
Pourquoi vous la rédigez compte plus qu’il n’y paraît
Prenez le temps d’examiner l’élément déclencheur, car il détermine le contenu du document.
Les fonds en arrivent généralement là pour quatre raisons. Un LP l’a demandée lors de la due diligence opérationnelle (ODD), ce qui est de très loin le cas le plus fréquent. Une banque ou un administrateur de fonds veut la consulter avant de poursuivre. Un régulateur l’exige, si vous entrez dans un périmètre réglementaire, ce qui n’est pas le cas de la plupart des fonds de capital-risque et des fonds crypto ; j’y reviendrai. Ou un incident s’est produit, et il faut désormais une politique.
Cette dernière raison est la pire et, malheureusement, elle n’a rien de rare. Les politiques rédigées après un incident sont presque toujours trop centrées sur ce qui vient de se produire et aveugles à ce qui ne s’est pas encore produit. Si vous rédigez ce document après un mauvais trimestre, imposez-vous de consacrer davantage de temps aux risques qui ne se sont pas concrétisés qu’à celui qui s’est matérialisé.
Le problème de tous les modèles que vous trouverez
Voici ce qui vous fera gagner quinze jours.
Cherchez un modèle de politique de gestion des risques et vous en trouverez beaucoup. ISO 31000. COSO. Le document que votre fournisseur de solutions GRC préféré propose gratuitement ce mois-ci. Soyons justes : ces documents sont de qualité, et leurs auteurs savaient ce qu’ils faisaient.
Mais ils reposent tous sur la même hypothèse, qui ne s’applique pas à votre situation.
Ils supposent que vos risques se trouvent au sein de votre propre organisation.
C’est parfaitement logique, puisqu’ils ont été conçus pour des entreprises. Les risques d’un industriel concernent sa chaîne d’approvisionnement, son usine, son personnel et ses données. Des éléments qu’il possède et dirige. Les référentiels les répartissent en risques opérationnels, financiers, stratégiques, de conformité et de réputation. Pour une entreprise de trois mille salariés, ce découpage est tout à fait pertinent.
Regardez maintenant votre société de gestion.
Supposons que vous soyez onze. Vous avez investi deux cents millions dans trente-huit entreprises en portefeuille. Votre risque opérationnel interne est réel, mais limité : une petite équipe, quelques systèmes, des virements, une poignée de conflits d’intérêts à gérer.
L’essentiel de votre exposition se trouve dans trente-huit entreprises que vous ne contrôlez pas, que vous ne pouvez pas diriger et dont, le plus souvent, vous ne pouvez connaître la situation sans interroger quelqu’un.
Remplissez un modèle standard et vous obtiendrez un document soigné, bien structuré, qui décrit peut-être quinze pour cent de vos risques. Et il semblera complet, ce qui est précisément le danger.
| Au sein de la société de gestion | À l’extérieur de la société de gestion | |
| Exemples | Cyberrisque. Personne clé. Erreur de valorisation. Fraude au virement. Comportement du personnel. Conflits d’intérêts. | Défaillance d’une entreprise en portefeuille. Faute d’un fondateur. Exposition aux sanctions. Défaillance d’une contrepartie. Usurpation d’identité. Requalification réglementaire. |
| Qui en a la maîtrise | Vous. | Pas vous. |
| Couverture habituelle de la politique | Approfondie. | Quasi inexistante. |
| Part de l’exposition réelle | Faible. | La majeure partie. |
Rédiger la partie consacrée aux risques internes
Passons à la partie peu gratifiante, mais indispensable. C’est celle qu’un LP lira le plus attentivement : elle mérite donc cet effort.
Personne clé. Que se passe-t-il si un associé gérant (GP) quitte la société, décède ou est révoqué ? Les investisseurs institutionnels posent constamment cette question, et presque personne n’a consigné la réponse. Deux paragraphes suffisent : qui prend le relais, ce qui constitue un événement affectant une personne clé au sens du contrat du fonds (LPA), et ce que fait le fonds dans l’intervalle.
Fraude au virement et contrôles des paiements. Cette rubrique mérite nettement plus de place que les autres, car c’est, de loin, le scénario le plus susceptible de faire perdre de l’argent à un fonds de votre taille.
L’attaque est banale et elle fonctionne. Quelqu’un compromet ou usurpe un compte de messagerie, celui d’un fondateur, d’un avocat, parfois le vôtre, puis envoie de nouvelles instructions pour un virement déjà prévu. Les instructions semblent correctes. Le contexte est exact. Le moment est plausible, parce que l’attaquant lit les échanges depuis un certain temps. L’argent part, et il part vite.
La compromission de messageries professionnelles figure régulièrement parmi les principales catégories de pertes déclarées dans les statistiques annuelles du FBI sur la criminalité sur Internet, et la victime type n’est pas une banque. C’est une organisation à peu près de votre taille, avec des contrôles à peu près semblables aux vôtres, un vendredi après-midi.
Votre politique doit prévoir trois mesures, qui ne coûtent rien. Une double autorisation au-delà d’un seuil que vous fixez. Une vérification par un autre canal pour toute modification des instructions de virement : vous appelez un numéro que vous possédiez déjà, et non celui figurant dans l’e-mail. Et une règle écrite précisant que l’urgence ne justifie jamais de contourner l’une ou l’autre de ces mesures.
Cette troisième mesure compte davantage que les deux autres, car toute l’attaque repose sur l’urgence.
Cybersécurité et données. Adaptez les mesures à votre taille. Un fonds de onze personnes n’a pas besoin de la politique de sécurité de l’information d’une banque : en rédiger une ne ferait que produire un document que personne ne suit. Authentification multifacteur (MFA) partout, protection des terminaux, gestionnaire de mots de passe et règles explicites sur le lieu de stockage des données du fonds et les personnes qui peuvent y accéder.
Valorisation. Qui valorise les positions, sur quelle base et qui vérifie ces valorisations ? Si vous investissez en phase d’amorçage et conservez la valorisation du dernier tour de table, dites-le clairement, sans chercher à l’enjoliver.
Conflits d’intérêts. Investissements personnels, mandats d’administrateur, répartition des investissements entre le fonds et les éventuels véhicules de co-investissement. Une rubrique fastidieuse à rédiger, que le LP examinera ligne par ligne.
Informations significatives non publiques. Si des membres de votre équipe siègent à des conseils d’administration, ils ont accès à certaines informations. Précisez comment elles sont traitées.
Rédiger la partie consacrée aux risques externes, totalement absente des modèles
Passons à la partie qui décrit l’essentiel de vos risques réels et qui ne figure dans aucun des documents standard.
Pour chaque catégorie d’exposition externe, la politique doit préciser quatre éléments. Ce que nous surveillons. À quelle fréquence. Qui agit. Et ce qui déclenche une remontée au niveau supérieur.
Je vais être direct sur le deuxième point, car c’est là que la plupart de ces documents échouent.
Presque toutes les politiques de gestion des risques de fonds que j’ai lues contiennent une formule du type « surveillance continue des entreprises en portefeuille ». En pratique, elle signifie : « nous examinerons la situation si quelque chose se présente ». Tout le monde autour de la table le sait. Personne ne le dit à voix haute.
Si votre politique prévoit un examen trimestriel, vous vous engagez sur un délai moyen de détection d’environ quarante-cinq jours, et de quatre-vingt-dix jours dans le pire des cas. Une inscription sur une liste de sanctions survenue pendant la deuxième semaine du trimestre passe inaperçue pendant onze semaines.
Ce risque peut être parfaitement acceptable au regard de votre stratégie et de votre portefeuille. Mais il doit résulter d’une décision, pas d’un accident. Consignez ce délai. Une politique qui dit « continue » pour signifier « occasionnelle » fait très bonne impression, jusqu’au jour où quelqu’un vous demande d’en démontrer l’application.
Les catégories à couvrir, au minimum :
Sanctions et listes de surveillance. Inscriptions visant les entreprises en portefeuille, leurs dirigeants, leurs contreparties ou les juridictions concernées. OFAC et ses homologues publient au fil de l’eau, pas selon votre calendrier.
Médias défavorables. Contentieux, mesures réglementaires, enquêtes journalistiques. Gardez à l’esprit qu’une part non négligeable des informations pertinentes apparaît d’abord dans la presse régionale, dans des langues que votre équipe ne lit pas.
Modifications des registres des entreprises. Transferts de siège, changements de dirigeants, cessions de titres, nouvelles filiales. Dans la crypto, ces changements sont courants. Huit mois après votre virement, une entreprise peut avoir profondément changé.
Antécédents des fondateurs et des dirigeants. Nouveaux contentieux, fonctions non déclarées, anciennes entreprises qui refont surface d’une manière qui vous affecte.
Exposition aux contreparties. La plateforme d’échange, le dépositaire ou le partenaire bancaire dont dépend votre entreprise en portefeuille. Leur défaillance devient votre problème, et vous l’apprendrez généralement tard.
Usurpation d’identité et attaques contre la marque. Faux canaux Telegram, comptes de réseaux sociaux clonés, faux services d’assistance. Ces incidents surviennent entièrement après la réalisation de l’opération et échappent, par définition, à tout processus d’entrée en relation. Ils sont désormais assez fréquents pour figurer dans la politique, plutôt que dans la liste mentale des préoccupations de quelqu’un.
Nous avons expliqué en détail pourquoi toute cette moitié du risque échappe structurellement à la due diligence d’entrée en relation, si vous souhaitez approfondir le sujet.
L’appétence au risque, dans des termes utilisables
C’est le concept que la plupart des guides pour débutants rendent nébuleux. Essayons de rester clairs.
L’appétence au risque revient simplement à se demander : que ferions-nous concrètement ?
Investirions-nous dans une entreprise dont le fondateur a déjà fait l’objet d’une mesure réglementaire ? À quelles conditions, et qui donnerait son accord ?
Conserverions-nous une position dans une entreprise dont la principale contrepartie fait l’objet de sanctions ? Pendant combien de temps ? Qu’est-ce qui déclencherait la sortie ?
À partir de quel niveau de concentration dans une seule juridiction commençons-nous à nous sentir mal à l’aise ?
Consignez les réponses avant de vous retrouver dans cette situation. C’est toute la raison d’être de cette rubrique, et la plupart des guides ne le disent pas assez clairement, à mon sens : la réponse que vous donnerez sous pression, avec des capitaux déjà engagés et un fondateur au téléphone, sera différente de celle que vous donneriez au calme, un mardi, sans rien en jeu.
Vous rédigez ce document pour encadrer vos propres décisions futures, lorsque vous serez plus optimiste qu’aujourd’hui et nettement plus fatigué.
Remontée des alertes et réponse
Restez bref et précis.
Définissez des niveaux de gravité, quel que soit le nom que vous leur donnez. Associez chacun à une fonction précise, plutôt qu’à « l’équipe ». Fixez un délai de réponse pour chaque niveau. Et indiquez clairement ce qui impose une remontée au comité d’investissement (IC) ou aux associés.
Une alerte adressée à un groupe n’est adressée à personne, comme nous l’avons expliqué ailleurs, avec plus de détails qu’il n’en faut vraiment.
Fixez une date de révision de la politique
Une révision annuelle est le minimum. Révisez-la également après tout incident significatif et toute modification importante de la stratégie ou de l’exposition.
Il existe ici un véritable danger qu’il faut nommer. Une politique de gestion des risques rédigée une fois puis jamais réexaminée est sans doute pire qu’une absence de politique, car elle laisse une trace écrite donnant l’impression qu’un contrôle existe alors qu’il n’est pas appliqué.
Si un LP ou un contrôleur vous demande ensuite comment vous surveillez les entreprises en portefeuille, que votre politique prévoit un examen trimestriel et que le dernier remonte à quatorze mois, vous devrez expliquer l’écart entre votre procédure déclarée et vos pratiques réelles. Cette discussion est nettement plus difficile que si vous n’aviez jamais rédigé de politique.
Ne prenez donc pas d’engagements que vous n’avez pas l’intention de tenir. Consignez ceux que vous respecterez réellement, même s’ils semblent moins impressionnants.
À quoi ressemble le document terminé
Une douzaine de pages, à peu près. Précises. Ternes. Personne ne prendra plaisir à les lire, et c’est très bien ainsi.
Voici le test que j’appliquerais : une personne arrivée dans la société le lundi pourrait-elle ouvrir ce document et savoir quoi faire lorsqu’une alerte de sanctions concernant une entreprise en portefeuille tombe le jeudi ?
Si oui, il remplit son rôle.
Si la réponse honnête est « elle irait demander à quelqu’un », vous avez seulement un document qui parle de l’existence d’une politique.
Questions fréquentes
Un document qui répond à quatre questions : qu’est-ce qui pourrait mal tourner, quel niveau de risque êtes-vous prêt à accepter, qui décide et que se passe-t-il lorsqu’un risque se concrétise ? Tout le reste, dans les référentiels standard, ne fait que développer ces quatre points.
Plus qu’on ne le pense. Une politique rédigée à la demande d’un LP lors de la due diligence diffère d’une politique rédigée après un incident, ou encore d’une politique devenue nécessaire parce que la taille du fonds ne permet plus de s’en remettre à des décisions informelles. Reconnaître honnêtement l’élément déclencheur permet d’éviter un document générique.
Les modèles traitent correctement la partie interne : risques opérationnels, financiers, liés aux personnes clés et cyberrisques. Mais ils ignorent presque entièrement la partie externe. Or c’est là que se trouve l’essentiel du risque réel d’un fonds : les entreprises dans lesquelles vous investissez, les contreparties avec lesquelles vous traitez et ce qui leur arrive une fois le virement exécuté.
Ce que vous vérifiez avant d’engager des capitaux, ce que vous continuez à vérifier ensuite, à partir de quelles sources, à quelle fréquence, qui examine les résultats et ce qui déclenche une remontée au niveau supérieur. Le tout doit être assez clair pour qu’une nouvelle recrue puisse l’appliquer sans interroger personne.
Dites ce que vous acceptez, ce que vous refusez et où se situe la limite, dans des termes qui permettent d’agir. « Notre appétence au risque est modérée » reste flou. « Nous n’investissons pas lorsqu’un bénéficiaire effectif figure sur une liste de sanctions, et toute information issue de médias défavorables impliquant une fraude est transmise aux associés avant le prochain comité d’investissement » constitue une politique.
Une douzaine de pages environ, précises et ternes. Personne ne prendra plaisir à les lire, et c’est très bien ainsi. Une révision annuelle est le minimum, complétée par une révision après tout incident significatif et toute modification importante de la stratégie ou de l’exposition. La date de révision doit figurer sur le document lui-même, faute de quoi il devient discrètement une fiction.
Pas la partie interne. C’est un travail peu gratifiant que vous seul pouvez faire, et il est bon de se méfier un peu de quiconque prétend le contraire. Une fois la partie externe rédigée, un outil peut en assurer l’exécution : les contrôles, leur répétition et la piste documentaire qui les étaye.
Conclusion
Rédiger une politique de gestion des risques consiste surtout en un travail peu gratifiant qu’aucun prestataire ne peut faire à votre place. Je me méfierais un peu de quiconque prétend le contraire. Les rubriques internes vous appartiennent. La définition de l’appétence au risque vous appartient. Le jugement vous revient entièrement.
Mais une seule ligne du document détermine si la partie externe est réelle ou décorative : l’engagement sur la fréquence. Si la seule mention que vous pouvez honnêtement écrire est « trimestrielle », votre politique décrit un portefeuille que vous examinez quatre fois par an.
C’est pour vous permettre de rédiger cette ligne autrement que nous existons. Beady AI surveille en continu les entreprises en portefeuille, les fondateurs et les contreparties pour détecter les sanctions, les médias défavorables, les changements dans les registres des entreprises et les usurpations d’identité. Chaque signal est relié à sa source. Réservez une session et nous l’appliquerons à vos participations réelles. C’est aussi un moyen efficace de vérifier si la politique que vous vous apprêtez à rédiger est une politique que vous pourrez réellement respecter.
