Étiquette : Risk management

Quels seront les sujets à l’ordre du jour des CA en 2023 ?


 

L’article paru aujourd’hui dans Harvard Law School Forum a été publié par Carey Oven, associée directrice nationale du Center for Board Effectiveness et Chief Talent Officer, Caroline Schoenecker,  directrice de l’expérience et Robert Lamm, conseiller principal indépendant.

Cette publication montre clairement ce qui fera l’objet des sujets à l’ordre du jour des conseils d’administration pour les années à venir. J’ai utilisé l’outil de traduction Google pour présenter le texte en français lequel a subi de multiples ajustements.

Les CA sont toujours intéressés par les nouvelles préoccupations en matière de gouvernance.

Bonne lecture !

The 2023 board agenda

 

8 Tipps für ein erfolgreiches Meeting | Nordantech

 

Introduction

Plus les choses changent…

L’ordre du jour du conseil d’administration s’est d’abord concentré sur les « sujets brûlants » de l’année à venir en janvier 2018. [1]   Regarder cette publication cinq ans plus tard est instructif ; il nous rappelle que même si de nombreux nouveaux sujets sont susceptibles d’être à l’ordre du jour du conseil en 2023, certains sujets continuent d’être au premier plan des considérations du conseil, même si les détails ont changé à certains égards.

Bien sûr, de nombreuses questions ont été ajoutées à l’ordre du jour du conseil depuis 2018 et resteront des priorités en 2023. Les nouvelles questions les plus importantes concernent peut-être le rôle de la société dans la société en général. Ce sujet a fait l’objet d’une attention particulière en 2019, lorsque la Business Roundtable a publié sa « Déclaration sur l’objet de la société » [2] menant à des discussions sur la question de savoir si les sociétés ont des obligations envers des groupes autres que les actionnaires, tels que les employés, les clients, les fournisseurs et les communautés dans lesquelles elles opèrent. Parmi les autres préoccupations sociétales qui ont eu un impact sur les salles de conseil, citons une myriade d’événements qui peuvent avoir contribué à l’orientation plus large de DE&I, ce qui a conduit les entreprises et leurs conseils d’administration à se demander s’ils offrent des environnements de travail équitables et inclusifs, et la pandémie de COVID-19, qui continue d’avoir un impact sur les entreprises en ce qui concerne des questions telles que la santé et le bien-être des employés et la nature fondamentale du travail et du lieu de travail.

Nous discutons ci-dessous de certains des sujets critiques qui sont restés relativement constants au cours des cinq dernières années, ainsi que des sujets nouveaux et émergents qui seront probablement à l’ordre du jour du conseil en 2023.

Composition et compétences du conseil

En 2023 comme en 2018, la composition du conseil est un domaine d’intérêt principal pour les conseils. De plus, certaines des questions que les conseils d’administration aborderont probablement en 2023 ont également des implications importantes pour la composition du conseil d’administration.

La cybersécurité est l’une de ces questions. Cela reste une préoccupation majeure pour les entreprises et leurs conseils d’administration, et de nombreux conseils d’administration ont envisagé l’opportunité d’ajouter des administrateurs possédant une gamme de compétences allant de l’expertise en cyberrisque à la maîtrise générale de la technologie. Ce sujet a été abordé en 2022 dans les propositions de la Securities and Exchange Commission (SEC) qui imposeraient de nouvelles exigences de divulgation concernant la cybersécurité, y compris « si un membre du… conseil d’administration possède une expertise en cybersécurité et, le cas échéant, la nature de cette expertise ». [3] Un certain nombre de commentaires soumis à la SEC sur cette proposition remettent en question la nécessité et l’opportunité de cette exigence, notant qu’il n’est pas possible d’ajouter un « expert » sur chaque sujet que les conseils doivent aborder et que d’autres administrateurs peuvent se fier indûment sur un « expert » sur un sujet donné.

Cependant, que cette exigence soit adoptée telle qu’elle a été proposée, retirée de la règle finale ou quelque chose entre les deux, les conseils d’administration resteront presque certainement concentrés sur la présence d’un ou plusieurs membres ayant un certain degré d’expérience ou de connaissances en technologie.

D’autres domaines d’intérêt du conseil en développement ont également des répercussions sur la composition du conseil. Les données suggèrent que les entreprises ne cherchent plus à limiter les recherches de nouveaux membres du conseil d’administration aux personnes qui occupent ou ont déjà occupé le poste de directeur général. [4]   De plus en plus, les conseils d’administration recherchent des administrateurs ayant de l’expérience dans les domaines où leurs entreprises ont les plus grands besoins ; les entreprises en contact direct avec les consommateurs peuvent chercher à ajouter des administrateurs ayant une expérience en marketing ; les entreprises ayant des opportunités de stratégie en matière de capital humain peuvent envisager d’ajouter des administrateurs qui ont servi comme CHRO ou dans des fonctions similaires ; et les entreprises ayant des activités internationales peuvent envisager d’ajouter des administrateurs ayant une formation en géopolitique.

Technologie et cyberrisque

Il y a cinq ans, la discussion sur les risques technologiques se concentrait presque entièrement sur les risques associés aux nouvelles technologies, tels que les risques perturbateurs et les problèmes éthiques associés à l’utilisation de l’intelligence artificielle (IA) ; Le « piratage » a été mentionné, mais il ne semble pas avoir été un sujet de préoccupation majeure.

Alors que les risques, les défis et les opportunités associés aux perturbations et à l’utilisation de l’IA restent à l’ordre du jour du conseil d’administration, la discussion s’est clairement déplacée vers la cybersécurité, reflétant peut-être l’augmentation du nombre et de la gravité des cyberattaques ainsi que le plus grand degré de confiance désormais placé sur les infrastructures numériques. Comme indiqué ci-dessus, la cybersécurité est devenue suffisamment importante pour générer des propositions de la SEC qui élargiraient considérablement les divulgations sur le sujet, y compris la mesure dans laquelle le conseil s’appuie sur des employés et/ou des conseillers externes pour l’aider à s’acquitter de ses fonctions de surveillance en matière de cybersécurité, comment souvent, le conseil discute de la cybersécurité et si le conseil comprend des personnes ayant une expertise en cybersécurité. Le conseil d’administration devra peut-être participer aux discussions sur l’infrastructure et l’architecture technologique plus large compte tenu des implications sur les risques, l’innovation, les implications éthiques potentielles et les contrôles. Même en l’absence d’exigences de la SEC, les investisseurs continueront probablement à s’attendre à ce que les conseils d’administration traitent les risques de cybersécurité et divulguent comment les conseils d’administration le font.

Stratégie et risque

Bien que certains sujets à l’ordre du jour des conseils d’administration de 2018 se soient estompés et que de nouveaux points soient apparus, la stratégie et le risque sont des éléments pérennes en tête de l’ordre du jour du conseil, au sens figuré sinon au sens littéral. En fait, l’expérience montre que les conseils d’administration se concentrent encore plus sur la supervision des stratégies de leurs entreprises. Il est révolu le temps où les conseils d’administration et les membres supérieurs de la direction organisaient une retraite stratégique annuelle, mais se concentraient rarement, voire jamais, sur la stratégie jusqu’à la prochaine retraite. Aujourd’hui, les conseils d’administration discutent régulièrement d’un aspect de la stratégie au plus, sinon à toutes les réunions, en posant des questions telles que celles-ci : « Quelles mesures avons-nous prises pour mettre en œuvre notre stratégie ? » « Où en sommes-nous dans le processus de mise en œuvre ? » « Notre stratégie s’avère-t-elle viable ? “A-t-elle besoin d’être peaufinée, de subir des ajustements importants, ou d’être abandonné ? « Avons-nous besoin de pivoter compte tenu des risques associés à certains objectifs stratégiques ? » Et ainsi de suite.

La surveillance des risques demeure également un point prioritaire à l’ordre du jour des conseils d’administration, d’autant plus que le nombre et la gravité des risques semblent augmenter de jour en jour. Par exemple, en 2018, peu d’entreprises, voire aucune, n’avaient prévu les risques d’une pandémie mondiale, les perturbations qu’elle entraînerait dans les chaînes d’approvisionnement mondiales, les défis économiques actuels et les domaines prioritaires du capital humain tels que la santé au travail, le bien-être et les risques culturels globaux.

En raison de la prolifération de nouveaux risques, les conseils d’administration — et les comités d’audit — peuvent vouloir réexaminer les programmes de risque d’entreprise de leurs entreprises pour déterminer si ces programmes traitent de nouveaux risques et ne deviennent pas un simple processus de « cocher la case ». Pour surveiller efficacement ces risques, les comités d’audit devraient recevoir un tableau de bord des risques les plus importants pour s’assurer que de nouveaux risques sont ajoutés et pour faciliter la compréhension de la façon dont les vulnérabilités aux risques spécifiques et les niveaux d’impact changent d’un trimestre à l’autre.

Questions relatives au lieu de travail et à la main-d’œuvre

Dès septembre 2020, il a été reconnu que les stratégies de main-d’œuvre devenaient aussi importantes que les stratégies commerciales pour les conseils d’administration :

‘Les événements liés à la pandémie… ont propulsé la gestion des effectifs au premier plan des programmes des conseils d’administration. Dans de nombreux cas, une réflexion tardive de la stratégie commerciale et technologique, la gestion de la main-d’œuvre est désormais une priorité majeure, sur un pied d’égalité avec d’autres domaines clés sur lesquels le conseil d’administration se concentre. [5]

Bien que la pandémie de COVID-19 ait pu précipiter l’attention du conseil sur les questions de main-d’œuvre, d’autres préoccupations ont renforcé la nécessité d’une plus grande attention du conseil sur le sujet :

‘… [Les commissions commencent à reconnaître que l’agence est passée des employeurs aux travailleurs ; la main-d’œuvre recherche un travail plus significatif, une plus grande concentration sur le bien-être avec des considérations telles qu’une plus grande flexibilité de temps et de lieu, et des modèles d’emploi et des parcours de carrière plus personnalisés et agiles. Selon le Bureau of Labor Statistics des États-Unis, 47,8 millions de personnes aux États-Unis ont quitté leur emploi en 2021, le plus grand nombre enregistré… depuis au moins 2001. Dans ce qui a été surnommé ‘la grande démission’, les démissions ont représenté 69,3 % du total des séparations en 2021. » [6]

Les exigences réglementaires ont également amené les conseils à se concentrer sur les questions liées au lieu de travail. Fin 2020, la SEC a adopté de nouvelles exigences de divulgation relatives aux ressources en capital humain. [7] Et la SEC a indiqué que davantage d’exigences de divulgation à ce sujet sont susceptibles d’être imposées à court terme.

Quelles qu’en soient les causes, les conseils d’administration se sont beaucoup plus concentrés sur les lieux de travail et les effectifs de leurs entreprises que par le passé, lorsque les questions relatives aux employés étaient autrefois considérées comme relevant principalement, sinon exclusivement, de la timonerie de la direction.

Changement climatique

Alors que les impacts du changement climatique sont devenus plus apparents ces dernières années, les investisseurs — principalement de nombreux grands investisseurs institutionnels — ont de plus en plus pressé les entreprises de prêter attention au changement climatique, souvent en cherchant à s’engager à réduire les émissions ou à prendre d’autres mesures concrètes. Associée à cette pression, on s’attend à ce que les conseils d’administration élargissent leur surveillance pour examiner le rôle de leurs entreprises dans le changement climatique, et voir comment ce rôle devrait changer. Dans certains cas, les investisseurs ont poussé à redoubler d’efforts pour atteindre la ‘durabilité’, c’est-à-dire s’assurer que les activités de l’entreprise peuvent rester viables et se développer ; dans d’autres, l’objectif est plus large : s’attaquer au changement climatique sur une base plus large.

Bien sûr, il existe de nombreuses réglementations entourant le changement climatique à tous les niveaux de gouvernement – local, étatique et fédéral. Cependant, jusqu’à relativement récemment, cela ne semblait pas être une priorité de l’ordre du jour de la SEC. Cela a commencé à changer à la fin de 2020, alors que des commissaires individuels ont prononcé des discours ou d’autres déclarations publiques sur l’importance de la divulgation du changement climatique, et le personnel de la SEC a intensifié son examen des divulgations, ou, dans certains cas, de l’absence de divulgation, concernant le changement climatique et son impact sur le présent et l’avenir de l’entreprise. Plus récemment, en 2022, la SEC a proposé des exigences de divulgation étendues dans ce domaine, y compris des divulgations concernant les émissions, la surveillance du conseil d’administration et d’autres questions. Les propositions ont reçu plus de 14 000 commentaires, ce qui pourrait être un record, et l’adoption de règles définitives sur le sujet peut entraîner des litiges contestant la règle. Dans l’intervalle, cependant, de nombreux conseils s’intéressent à la question et y prêteront certainement plus d’attention en 2023.

Le rôle de l’entreprise dans la société

Peut-être qu’aucun sujet commercial n’a suscité autant de controverse ces dernières années que le rôle de l’entreprise dans la société. La déclaration de la table ronde des entreprises de 2019 évoquée ci-dessus a peut-être suscité des conversations entre les parties prenantes, ce qui a accru les attentes des entreprises d’aujourd’hui. Par exemple, parmi les 10 principales conclusions du baromètre de la confiance Edelman 2022 figurait que ‘les entreprises doivent intensifier leurs efforts sur les questions de société’, ‘le leadership sociétal est désormais une fonction essentielle des entreprises’ et ‘les entreprises doivent montrer la voie pour briser le cycle de la méfiance. .’ [8]Certaines entreprises ont répondu à ces attentes en s’exprimant ouvertement sur les questions sociales, tandis que d’autres ont fait l’objet de critiques de la part des clients et des salariés. Il est important que les conseils d’administration travaillent avec la direction pour s’assurer qu’ils discutent et, dans certains cas, ont une politique sur la façon dont, le cas échéant, l’entreprise s’exprimera publiquement sur ces sujets sensibles, en d’autres termes, quelle que soit la position de l’entreprise sur la responsabilité sociale, son conseil d’administration doit être attentif au sujet et guider la direction en conséquence.

Il est également essentiel de noter que le rôle de la société dans la société est sans doute un défi unique pour les conseils, car, contrairement aux autres questions abordées ci-dessus, il n’a pas été considéré comme une partie essentielle du rôle du conseil jusqu’à très récemment. Les entreprises traitent depuis longtemps les problèmes des employés et de la main-d’œuvre, même si leurs conseils d’administration ont largement laissé ces problèmes à la direction. De même, les entreprises ont longuement réfléchi aux aspects de la durabilité ; par exemple, les entreprises de ressources naturelles ont dû tenir compte de l’épuisement des ressources, et les entreprises opérant dans des zones sujettes à des conditions météorologiques violentes ou sismiques ont pesé ces problèmes pendant de nombreuses années. En revanche, la responsabilité sociale, qui est étroitement liée à l’activisme social, est un phénomène relativement récent qui peut présenter des défis uniques pour les conseils d’administration.

Enfin, le conseil lui-même

Les sujets abordés ci-dessus ne représentent qu’un échantillon de ce qui apparaîtra probablement à l’ordre du jour des conseils d’administration en 2023. Il y a beaucoup, beaucoup plus de sujets qui pourraient être discutés, y compris de nombreux sujets pérennes ainsi que de nombreux nouveaux.

En d’autres termes, les conseils ont beaucoup à faire. Et bien que les statistiques indiquent que le temps que les administrateurs consacrent aux affaires du conseil augmente, il y a une limite au temps qu’ils peuvent y consacrer. En conséquence, il semble qu’un autre point à l’ordre du jour du conseil d’administration de 2023 sera l’efficacité du conseil lui-même. Les conseils d’administration cherchent à développer et à améliorer des moyens de faire les choses plus efficacement, allant d’une plus grande utilisation des soi-disant ‘programmes de consentement’ à l’optimisation des rôles des comités, ou éventuellement à la formation de comités supplémentaires, pour s’acquitter de la myriade de responsabilités du conseil.

Attentes pour l’avenir

Il semble certain que les responsabilités des conseils d’administration continueront d’augmenter, peut-être à un rythme rapide, et que peu de sujets auxquels les conseils d’administration seront confrontés disparaîtront ou deviendront plus faciles à gérer. Cependant, il y a lieu d’être optimiste. Au fil des décennies, et certainement au cours des cinq dernières années, les conseils d’administration ont démontré qu’ils sont remarquablement résilients et capables de relever des défis que personne n’avait anticipés. En fait, nous pouvons regarder en arrière dans cinq ans et nous demander pourquoi nous étions inquiets.

Notes de fin

1  Debbie McCormack et Bob Lamm, ‘The 2018 boardroom agenda—Dealing with challenges old and new’, Deloitte, janvier 2018. (retourner)

2 Business Roundtable, ‘Business Roundtable redéfinit l’objectif d’une société pour promouvoir ‘une économie qui sert tous les Américains’’, communiqué de presse, 19 août 2019. (retourner)

3 Securities and Exchange Commission (SEC), ‘Gestion des risques de cybersécurité, stratégie, gouvernance et divulgation des incidents’, 9 mars 2022. (retourner)

4 Spencer Stuart,  2022 US Spencer Stuart 2022 Board Index .(retourner)

5 Erica Volini, Steve Hatfield et Jeff Schwartz, ‘La main-d’œuvre occupe le devant de la scène : l’évolution du rôle du conseil’, Deloitte, septembre 2020. (retourner)

6 Michael Stephan et al., ‘Prioritizing human capital—modern challenges and the board’s role’, Deloitte, novembre 2022. (retourner)

7 SEC, ‘Modernisation de la réglementation SK Items 101, 103, and 105’, 26 août 2020. (retourner)

8  Edelman, ‘The Trust 10’ du  Baromètre Edelman Trust 2022(retourner)

Gestion des risques d’entreprise (GRE) et rôle de surveillance du conseil d’administration : Comment bien faire ?


 

Aujourd’hui, je vous propose la lecture d’un article publié par Maria Castañón Moats*, Paul DeNicola, Stephen G. Parker de la firme PricewaterhouseCoopers, et paru sur le Forum de la Harvard Law School on Corporate Governance.

Les administrateurs sont de plus en plus impliqués dans les activités de surveillance, d’évaluation et de gestion des risques d’entreprises (GRE).

Les auteurs présentent une approche empirique très utile pour aider les administrateurs à s’acquitter de leurs responsabilités eu égard aux risques.

L’article fait le tour des moyens utilisés par les conseils d’administration pour se prémunir des risques organisationnels. L’article est assez long, mais il est très complet.

Afin d’aider les lecteurs, j’en ai une adaptation en utilisant l’outil de traduction de Google, et en faisant une adaptation soignée.

Bonne lecture !

Risk oversight and the board: navigating the evolving terrain

 

Nous vivons à une époque d’événements imprévus qui engendrent des risques, notamment des conflits géographiques et des événements si imprévisibles qu’ils  ne sont sur le radar de personne – une pandémie mondiale aux conséquences économiques et sociales de grande envergure. Bien qu’une entreprise ne puisse pas toujours anticiper ce qui pourrait arriver, une surveillance rigoureuse des risques par le conseil d’administration peut aider l’entreprise à réagir avec plus de rigueur et d’agilité. Le nombre et les types de risques que le conseil surveille continuent d’augmenter, même si leur nature change. Certains deviennent plus probables à mesure que les entreprises sont plus interconnectées. Certains sont susceptibles d’avoir un impact sur un certain domaine de l’entreprise. D’autres pourraient avoir de graves répercussions sur l’ensemble des opérations.

Ces dernières années ont renforcé la nécessité de reconnaître l’occurrence d’événements qui semblaient autrefois être improbables. Comment les organisations et leurs conseils d’administration peuvent-ils utiliser cette leçon pour améliorer leurs processus de surveillance des risques ? Garder un esprit ouvert, mais sceptique, en constitue une grande partie. Compte tenu de l’expérience collective de la plupart des conseils d’administration, et du fait que les administrateurs siègent en dehors de la gestion quotidienne de l’entreprise, ils sont bien placés pour apporter cette ouverture d’esprit et cette volonté d’explorer divers scénarios. Adopter une vision à long terme des risques, alignée sur le plan stratégique au niveau du conseil d’administration, permet à la direction de l’entreprise de se concentrer sur la gestion quotidienne de ces risques.

L’évolution de la GRE

La gestion des risques d’entreprise (GRE) a toujours consisté à identifier et à gérer les principaux risques pour l’organisation. Cela n’a pas changé. Les intrants, la méthodologie, les résultats et le processus global l’ont été, parce qu’ils le devaient. Comme illustré ci-dessous, il existe plusieurs moteurs de l’évolution des processus de GRE et de surveillance des risques.

 

Le lien entre stratégie et risque

Les grands investisseurs institutionnels ont fait pression pour obtenir plus d’informations sur la façon dont la déclaration d’intention d’une entreprise est liée à sa stratégie et à son succès à long terme. Avec cette attention externe croissante sur la stratégie, les conseils d’administration doivent comprendre comment la mission de leur entreprise a un impact sur ses processus pour  identifier les risques et déterminer l’appétit pour le risque de l’entreprise. Les risques et l’appétit pour le risque de l’entreprise doivent être considérés non seulement du point de vue de l’entreprise, mais aussi du point de vue des actionnaires et des autres parties prenantes (par exemple, les employés, les clients, les fournisseurs, les communautés et les régulateurs).

Prenons les risques GRE pour illustrer cela. Pour de nombreuses entreprises, ces risques étaient déjà sur leur radar, quelque part. Mais l’attention récente des grands investisseurs institutionnels, combinée à une augmentation des propositions d’actionnaires demandant la divulgation, a mis ces risques au premier plan. Les grands investisseurs institutionnels suggèrent que les risques GRE pourraient avoir un impact sur la valeur durable à long terme de l’entreprise. Par exemple, l’entreprise dépend peut-être de l’eau comme ressource clé. En raison des changements climatiques, l’approvisionnement en eau pourrait devenir un enjeu, ce qui finira par affecter la valeur à long terme de l’entreprise. Les entreprises se concentrent désormais davantage sur l’identification des risques GRE matériels de ce type, sur le suivi et la surveillance de ces risques, et sur la communication de leurs efforts aux actionnaires et aux autres parties prenantes.

Le conseil doit se concentrer sur les principaux risques commerciaux qui font l’objet d’un suivi et d’une surveillance actifs à tous les niveaux, y compris au niveau du conseil. Ils peuvent ajouter une valeur réelle en prenant du recul et en se demandant quels risques ne seraient pas pleinement soupesés.

Marge d’amélioration dans les discussions GRE

Seuls 62 % des administrateurs déclarent que leur conseil d’administration discute de la GRE dans le cadre de la discussion sur la gestion des risques d’entreprise

Source : PwC, Sondage annuel 2021 auprès des administrateurs de sociétés, octobre 2021.

Pour en savoir plus sur la GRE, lisez Préserver la confiance : le rôle du conseil d’administration dans l’intégration de la GRE.

 

Tout d’abord : la composition du conseil d’administration

La surveillance des risques relève de l’entière responsabilité du conseil d’administration.

 

 

Il est essentiel de disposer de compétences et d’expériences diverses au sein du conseil d’administration pour comprendre le large éventail de risques auxquels une entreprise peut être confrontée. Il est important d’avoir des membres du conseil d’administration ayant une grande expertise dans l’industrie et qui peuvent aider à anticiper ce qui va arriver. D’un autre côté, il est également important d’avoir de nouvelles perspectives, qu’il s’agisse de nouveaux administrateurs, de personnes ayant de l’expérience dans différents secteurs ou de compétences différentes, pour voir le risque sous différents angles. Les administrateurs qui ont une expertise spécifique en gestion des risques peuvent également apporter une réelle valeur ajoutée.

Composition et diversité du conseil

Comment décririez-vous l’importance des aptitudes, compétences ou qualités suivantes au sein de votre conseil ?

La diversité du conseil peut également avoir une incidence sur la surveillance des risques. En fait, 76 % des répondants à notre sondage annuel 2021 sur les administrateurs de sociétés ont convenu que la diversité au sein du conseil améliore la stratégie/la surveillance des risques et peut réduire le risque de passer à côté de risques clés.

Une fois que les administrateurs ont évalué la composition du conseil, et constaté qu’ils disposent des compétences adéquates au sein du conseil pour superviser efficacement les risques, il s’agit ensuite de comprendre comment l’entreprise identifie et gère ces risques.

La diversité du conseil a une incidence sur la surveillance

76 % des administrateurs déclarent que la diversité au sein du conseil améliore la stratégie/la surveillance des risques

Source : PwC, Sondage annuel 2021 auprès des administrateurs de sociétés, octobre 2021.

Comprendre et maximiser la GRE

La gestion des risques d’entreprise (GRE) signifie différentes choses pour différentes personnes. Certaines entreprises utilisent simplement la GRE pour identifier, hiérarchiser et signaler les risques, protégeant ainsi la valeur. Les meilleures entreprises utilisent également la GRE pour prendre des décisions plus éclairées et améliorer leurs performances stratégiques, financières et opérationnelles, ce qui génère de la valeur. Mais, il faut du travail et de l’adhésion à tous les niveaux pour que cela se produise.

Qu’est-ce que la GRE ? (et ce qu’elle n’est pas)

La GRE est l’ensemble des capacités, de la culture, des processus et des pratiques qui aident les entreprises à prendre de meilleures décisions face à l’incertitude. Il donne aux employés un cadre et des politiques pour les aider à comprendre, identifier, évaluer, gérer et surveiller les risques afin que l’entreprise puisse atteindre ses objectifs. Elle est plus utile lorsqu’elle est intégrée à la planification stratégique et à la prise de décision.

Les meilleures entreprises utilisent également la GRE pour prendre des décisions plus éclairées et ainsi améliorer leurs performances stratégiques, financières et opérationnelles, ce qui génère de la valeur.

La simple évaluation des risques (identification et hiérarchisation des principaux risques) ne relève pas de la GRE. Si une entreprise s’arrête là, elle peut connaître le risque, mais ne pas le gérer activement. Cela ne veut pas dire que l’identification et l’évaluation des risques ne sont pas un élément clé de la maximisation de la valeur de la GRE pour l’entreprise. La recherche de risques nécessite non seulement de comprendre les inducteurs de valeur de l’organisation, mais également les risques (et les opportunités) qui peuvent survenir lorsque ces inducteurs de valeur changent. La GRE peut être un outil pour aider les organisations à considérer les avantages potentiels des décisions associées à chaque risque spécifique. Par exemple, de nombreuses organisations ont changé leurs modèles d’affaires à la suite de la pandémie de COVID-19, en adoptant une politique de main-d’œuvre à distance et en offrant aux clients d’autres manières d’interagir avec eux, ouvrant ainsi de nouveaux canaux de distribution.

Les conseils d’administration et les hauts dirigeants doivent regarder au-delà de ce trimestre ou de cette année pour élaborer la bonne stratégie et prendre les bons paris. Il est peu probable que la GRE et la haute direction prédisent le prochain événement « cygne noir ». Mais une GRE robuste peut mettre en lumière une technologie disruptive : nouveaux concurrents, problèmes environnementaux ou sociaux et changements dans les réglementations, l’économie ou le paysage politique. L’évaluation continue des risques de l’entreprise doit englober les risques émergents pour aider l’entreprise à se concentrer sur les risques futurs afin d’identifier tout impact stratégique.

Il est également important de garder à l’esprit que la surveillance des risques ne signifie pas d’éviter tous les risques. Pour avoir une stratégie réussie, les entreprises doivent prendre des risques. Correctement effectuée, la GRE identifie les principaux risques qui pourraient faire obstacle et s’assure qu’ils sont (a) communiqués aux parties prenantes qui ont besoin de savoir, et (b) gérés de manière appropriée. Mais, la GRE etant différente dans chaque entreprise, comment les administrateurs peuvent-ils savoir si cela fonctionne dans leur entreprise ?

Signes indiquant que la direction pourrait améliorer la GRE

Pour en savoir plus sur l’amélioration de la GRE, consultez l’ enquête mondiale sur les risques 2022.

Veiller à ce que la GRE survive aux changements de direction

Si la GRE ne fonctionne qu’au niveau de la direction, elle n’influencera pas le comportement dans toute l’organisation. En fait, certaines entreprises trouvent utile d’évaluer les risques ou de hiérarchiser les risques à différents niveaux. Si vous demandez à différents groupes de personnes de hiérarchiser une poignée de risques clés dans l’entreprise, vous pouvez obtenir des réponses différentes en fonction du domaine de compétence de chacun. Le conseil d’administration et l’équipe de direction peuvent être alignés sur la hiérarchisation des risques, mais les cadres intermédiaires peuvent avoir une hiérarchisation très différente. Il vaut la peine de demander à ceux qui ne font pas partie de la haute direction comment ils pourraient hiérarchiser les risques. Alors, soit que  les cadres intermédiaires obtiennent plus d’informations sur les risques de la part des clients, des fournisseurs et d’autres employés que le processus GRE ne capte pas, soit que l’équipe de direction ne sensibilise pas efficacement les cadres intermédiaires aux principaux risques et à la nécessité de se concentrer sur leur atténuation. Dans tous les cas, ces informations peuvent être très utiles pour comprendre comment l’entreprise s’aligne sur l’identification et la hiérarchisation des risques.

Autres acteurs concernés par la GRE

En plus de la haute direction et du conseil d’administration, de nombreuses entreprises trouvent utile d’inclure des personnes de différents niveaux de l’organisation dans leur processus de GRE. Cela peut être aussi simple que de demander à la direction d’ajouter certains cadres intermédiaires à toutes les entrevues pendant le processus d’évaluation des risques. Lors des mises à jour de la GRE, les administrateurs peuvent demander à la direction s’ils ont envisagé cette approche plus holistique pour identifier et évaluer les risques.

Appétit pour le risque

Nous avons tous lu sur des entreprises qui ont pris des décisions impliquant des niveaux de risque qu’elles ne comprenaient pas entièrement. Également, d’autres organisations craignent de prendre trop peu de risques et de rater des opportunités en termes de performance et de croissance. À la lumière de ce qu’ils voient se produire, il n’est pas rare que les administrateurs se demandent quel niveau de risque l’entreprise doit prendre pour réaliser le plan stratégique .

L’instinct pousse à prendre des risques dans de nombreuses entreprises. La plupart des gens savent comment ils doivent se comporter et quels risques sont acceptables. Mais comment la haute direction et le conseil d’administration peuvent-ils savoir que tout le monde est sur la même longueur d’onde lorsqu’il s’agit de prendre des risques ? Cela revient à tirer parti d’un appétit pour le risque. La direction peut informer les employés du niveau de risque acceptable pour atteindre ses objectifs en déclarant son d’appétit pour le risque. Certaines entreprises voient cela comme un exercice académique qui finit sur une tablette. Mais, lorsqu’il est bien fait, il peut fournir un véritable aperçu des types et de la quantité de risques qui conviennent à l’entreprise, tout en précisant la prise de décision en matière de risque dans l’organisation.

Les déclarations d’appétit pour le risque réussies correspondent à la stratégie et éclairent les décisions commerciales. La déclaration d’appétence au risque comprend des informations quantitatives et qualitatives. Le conseil d’administration revoit annuellement la déclaration d’appétit pour le risque dans le cadre de ses efforts de surveillance de la GRE. Et dans le cadre de rapports réguliers, les conseils d’administration obtiennent une vue consolidée des risques dans l’ensemble de l’organisation afin d’être en mesure d’évaluer l’agrégation des risques par rapport à l’appétit pour le risque.

Qu’est-ce qui fait une bonne déclaration d’appétit pour le risque ?

Une bonne déclaration d’appétit pour le risque peut promouvoir une culture saine et aider à la prise de décision. Cela devient un manuel de l’entreprise pour déterminer le degré d’incertitude acceptable. Il définit les limites du niveau de risque à prendre pour atteindre les objectifs stratégiques et opérationnels. (Ces limites seront différentes pour différents types de risques.) En réalité, plusieurs expressions peuvent être nécessaires pour exprimer le degré de risque adéquat (le plancher) et le degré acceptable (le plafond) pour atteindre les objectifs. En résumé, cela rend la prise de risque plus transparente.

Pour obtenir des exemples, consultez Appétit pour le risque du COSO – Essentiel au succès.
Quel rôle la culture joue-t-elle dans la discussion sur les risques ?

L’appétence au risque fait partie intégrante de la culture d’entreprise. Une culture d’entreprise qui reflète un ton clair, cohérent et éthique au sommet peut favoriser une prise de risque appropriée ainsi qu’une nécessaire transparence. D’un autre côté, si le ton du sommet est celui de la méfiance et de la microgestion, la prise de décision peut être paralysée et conduire à une culture de l’aversion au risque. Et une culture d’entreprise qui fournit des messages mitigés (les actions et les mots ne concordent pas) peut conduire à une prise de risque inappropriée. Des conseils avisés évaluent le leadership, les personnes, la communication, la stratégie, la responsabilité, le renforcement, la gestion des risques et l’infrastructure pour évaluer l’impact du risque sur la culture du risque de l’entreprise.

Voir Pourquoi les conseils d’administration doivent-ils connaître la culture de leur entreprise ? Indice : pour sassurer qu’il s’agit d’un atout, et non d’un handicap, pour plus d’informations sur le rôle du conseil d’administration dans la surveillance de la culture.

 

 

Rapports sur les risques

De nombreuses entreprises utilisent une approche en silo et manuelle pour gérer et signaler les risques. Cela signifie que différentes parties de l’entreprise peuvent signaler les risques au conseil à différentes fréquences, sous différents formats et avec différents domaines d’intérêt. Pour aggraver l’inefficacité de cette approche fragmentée, chaque partie de l’entreprise peut utiliser des systèmes différents, rapportant ainsi différents types de données.

Certaines entreprises préparent des rapports de risques complets en distillant les informations fournies par divers groupes de gestion des risques. Mais une telle approche soulève d’autres défis et le processus lui-même peut être inefficace. De plus en plus d’entreprises utilisent une plate-forme technologique GRC (gouvernance, risques et conformité) pour consolider et rationaliser le processus de reporting des risques.

Le conseil devrait déterminer le type, le niveau et la fréquence des rapports qui lui permettraient de s’acquitter efficacement de ses responsabilités en matière de surveillance des risques. Les principales organisations font rapport trimestriellement au conseil d’administration sur la GRE. Dans le cadre d’une analyse approfondie annuelle du processus global de GRE, la direction peut présenter son processus d’identification et d’évaluation des principaux risques pour l’organisation. Ces principaux risques (généralement entre 10 et 15 risques, pouvant varier en fonction de l’entreprise) et toute modification de ceux-ci feraient partie d’un rapport de prélecture trimestriel cohérent pour le conseil.

Votre entreprise obtient-elle les données dont elle a besoin pour gérer les risques ?

Parmi les participants à l’étude sur les risques mondiaux 2022 de PwC :

38 % ont déclaré que la fonction de risque de leur entreprise ne recherchait pas activement des informations externes pour évaluer et surveiller les risques

Source : PwC, 2022 Global Risk Survey, mai 2022.

Pour chaque risque clé, un cadre supérieur doit être désigné et un plan d’atténuation détaillé. Ce suivi devrait préciser les indicateurs de risque clés (KRI) pour chaque risque surveillé au niveau du conseil. Les KRI peuvent servir de signes avant-coureurs et peuvent être particulièrement utiles pour les administrateurs. Ces mesures peuvent donner aux conseils d’administration une idée de la façon dont la direction analyse l’horizon du risque à la recherche de signaux d’alarme. Les KRI ne prédisent pas l’avenir, mais ils permettent à la direction de surveiller les changements possibles dans l’impact ou la probabilité des risques clés pour aider à minimiser les surprises. Par exemple, une baisse du produit intérieur brut ou une augmentation du chômage peuvent signaler à un détaillant que les ventes de vacances ne seront pas aussi robustes que prévu et qu’il peut être temps d’alléger les stocks ou de réduire les effectifs.

En plus des prélectures trimestrielles récurrentes pour le conseil d’administration, les responsables de la GRE de l’organisation et quelques-uns des responsables des risques peuvent fournir des commentaires lors d’une réunion sur les changements et sur ce qui pourrait émerger. Les questions que le conseil pourrait envisager de poser incluent : (1) y a-t-il des risques qui ne figurent pas sur la liste des principaux risques et qui pourraient apparaître subséquemment? (2) Que se passe-t-il si deux risques ou plus interagissent ? Il peut être plus utile de considérer ceux pour lesquels la probabilité semble faible, mais dont l’impact serait critique.

Il est essentiel de comprendre que des discussions régulières avec la direction sur les risques sont impératives. Les rapports de la direction et/ou les discussions avec le conseil d’administration doivent, au minimum, identifier les risques les plus critiques pour l’entreprise, l’impact possible et la probabilité de ces risques, l’identification des responsables des risques et la situation eu égard aux activités d’atténuation.

Structure du conseil et pratiques de surveillance

Tout le conseil ou responsabilité d’un comité?

L’ensemble du conseil d’administration est responsable de la surveillance des risques et doit comprendre le programme de GRE d’une entreprise. Toutefois, le conseil peut souhaiter déléguer les détails de la surveillance de risques spécifiques à des comités. Par exemple, le comité de rémunération peut se concentrer sur les risques posés par les plans de rémunération remaniés tandis que le comité de la technologie se concentre sur ceux inhérents à une nouvelle intégration des systèmes informatiques.

Avec l’augmentation du nombre et du type de risques que les conseils d’administration surveillent, de nombreux conseils d’administration réexaminent la manière dont ils répartissent la surveillance des risques entre l’ensemble du conseil et les comités. Les principaux conseils d’administration réexaminent la répartition des risques au moins une fois par an pour s’assurer que rien ne passe entre les mailles du filet et que tous les risques clés sont à l’ordre du jour au conseil d’administration plénier ou à un comité.

Les comités des risques suscitent beaucoup d’intérêt, mais les comités des risques sont encore relativement rares. En effet, seulement 12 % des entreprises du S&P 500 ont des comités des risques. Cela inclut les entreprises du secteur des services financiers et d’autres secteurs hautement réglementés, où elles peuvent être obligatoires.

Bien que l’ensemble du conseil d’administration soit responsable de la surveillance des risques, beaucoup de CA confient l’entièreté de la surveillance quotidienne au comité d’audit, qui a déjà beaucoup de pain sur la planche. Les risques distincts sont ensuite répartis dans l’ensemble de la structure du comité, le comité d’audit en assumant également certains. En plus des contraintes de temps et du large champ d’application, le comité d’audit peut ne pas être le bon endroit pour surveiller certains risques qui peuvent nécessiter une expérience plus spécifique à un sujet.

Quelle que soit la structure d’attribution de la surveillance que le conseil adopte, les administrateurs doivent s’assurer qu’ils sont en mesure de faire les liens appropriés. Une focalisation cloisonnée sur les risques individuels pourrait empêcher le conseil d’identifier comment les risques se recoupent. Une lecture rigoureuse des rapports des comités aide à garantir que les idées et les conclusions importantes sont communiquées à l’ensemble du conseil. Pour une surveillance efficace, il est essentiel de s’assurer que les aspects distincts de la gestion des risques se rejoignent au niveau de l’entreprise pour un examen de la façon dont ces risques distincts interagissent, s’ils peuvent devenir covariants et quelles circonstances externes pouvaient conduire à des risques apparemment indépendants, en alignement ou en cascade.

Utilisation d’une matrice de répartition des risques

Certaines sociétés bénéficient de l’utilisation d’une matrice de répartition des risques, qui peut faire partie du résumé des risques clés fourni au conseil d’administration. Une matrice de répartition des risques, qui fonctionne mieux lorsqu’elle fait partie du cadre de gouvernance de la GRE, aide les membres du conseil à comprendre quel comité, ou éventuellement l’ensemble du conseil, détient la responsabilité de la surveillance de chaque risque. Cela devrait également faire partie du cadre de gouvernance de la GRE, un élément clé qui définit clairement qui gère et qui supervise chaque risque.

Selon un sondage de la NACD , seuls 53 % des administrateurs ont indiqué que leur conseil d’administration avait attribué des rôles de surveillance des risques clairement définis à chacun de leurs comités.

Exemple de matrice de répartition des risques

 

Tirer le meilleur parti du temps consacré aux réunions

Qu’il s’agisse de l’ensemble du conseil d’administration ou d’un comité chargé de superviser les risques, des analyses approfondies périodiques peuvent aider les administrateurs à mieux comprendre les principaux risques. Les responsables du risque (unité commerciale ou cadres fonctionnels) peuvent expliquer la nature du risque, son impact potentiel sur les objectifs stratégiques, la manière dont il est géré, y compris les limites acceptables, et le type de contrôles en place. C’est aussi le moment idéal pour découvrir comment ils intègrent les pratiques de gestion des risques dans leurs activités. Et c’est l’occasion de comprendre s’ils gèrent les risques et les performances ensemble, car les risques individuels peuvent avoir un impact sur plusieurs objectifs. La mise en évidence de 1 à 2 domaines de risque clés chaque trimestre est une bonne cadence. Envisagez d’intégrer ces séances dans le calendrier de planification de l’agenda annuel.

Les administrateurs peuvent ensuite passer du temps à discuter du risque et de la façon dont l’évaluation de la direction peut changer, par exemple, si l’impact potentiel est plus grave ou change plus rapidement que prévu.

Enfin, les administrateurs doivent solliciter d’autres avis sur la manière dont la direction gère un risque spécifique en demandant leur avis au personnel de la GRE, de la conformité et de l’audit interne.

Transparence du conseil

Comment un conseil d’administration peut-il rassurer les investisseurs et les autres parties prenantes sur le fait qu’il surveille efficacement les risques ?

Depuis 2010, les sociétés ouvertes sont tenues d’inclure des informations sur le rôle du conseil d’administration dans la surveillance des risques dans leurs circulaires de sollicitation de procurations. La divulgation anticipée des procurations comprenait peu de détails. Ils ont souvent simplement déclaré que le conseil a la responsabilité globale de la surveillance des risques, le comité d’audit surveille les risques liés aux finances, le comité de gouvernance surveille les risques liés à la gouvernance et le comité de rémunération surveille les risques liés à la rémunération. De telles divulgations de base ne donnent pas aux actionnaires une grande confiance dans le fait que le conseil surveille activement les risques qui comptent.

Récemment, les actionnaires ont exigé que les entreprises fournissent des informations plus significatives et transparentes sur les activités et les performances de surveillance des risques du conseil d’administration. En particulier, les grands investisseurs veulent comprendre comment les entreprises se concentrent sur les risques de développement durable qui pourraient avoir un impact sur la capacité d’une entreprise à générer de la valeur à long terme. Pour inciter à l’action, certains investisseurs ont même annoncé des changements dans leurs politiques de vote des administrateurs. Dans certains cas, l’incapacité d’une entreprise à se concentrer de manière appropriée sur ces risques et à divulguer des mesures pertinentes pourrait désormais déclencher des votes contre certains administrateurs.

En réponse à la demande des investisseurs, les régulateurs ont également commencé à faire pression pour une plus grande divulgation de la surveillance des risques. En 2022, la SEC a proposé des règles relatives à la fois au changement climatique et aux divulgations en matière de cybersécurité. Les règles proposées traitent de la divulgation de plus d’informations sur la gestion des risques de l’entreprise dans ces domaines et sur la surveillance du conseil d’administration dans chacun d’eux. Compte tenu de cette attention accrue portée à la surveillance des risques par les investisseurs et les régulateurs, de nombreuses entreprises élargissent désormais leurs informations sur les risques. Les administrateurs doivent lire leurs déclarations de procuration actuelles avec un œil critique et s’assurer de faire connaître le travail qu’ils accomplissent.

Les administrateurs peuvent demander à la direction de comparer les informations fournies par la société sur la surveillance des risques par le conseil. L’examen des meilleures divulgations peut inciter le conseil à être plus transparent. Cet exercice peut également souligner la nécessité de consacrer plus de temps au conseil à la gestion des risques ou d’identifier d’autres lacunes dans le processus de surveillance du conseil qui doivent être corrigées.

Quelle est la solidité de vos informations sur la surveillance des risques ?

Les déclarations de procuration ont évolué pour inclure des informations supplémentaires liées à la surveillance des risques, telles que :

  • Si l’ensemble du CA est engagé;
  • Une description de la façon dont le conseil examine la fonction de gestion des risques de l’entreprise (GRE);
  • L’approche du conseil d’administration pour répartir la surveillance des risques par comité, y compris une liste détaillée des principaux domaines de risque sur lesquels chaque comité se concentre;
  • La nature et la fréquence des rapports au conseil ou au comité;
  • Le rôle de la haute direction relativement à la surveillance des risques, y compris une description du comité de gestion des risques, de ses membres et de ses responsabilités;
  • Les détails concernant la surveillance de la cybersécurité, y compris le nombre de fois où la cybersécurité était à l’ordre du jour du conseil, qui (par exemple, CIO, CISO, CRO) présente des mises à jour au conseil, s’ils entendent également des experts externes et s’ils tiennent des séances privées avec le CIO ou RSSI;
  • Spécificités concernant la surveillance des risques GRE, y compris les objectifs et les cibles;
  • Comment le conseil se familiarise-t-il avec ses propres connaissances techniques dans ces domaines, que ce soit par le biais d’une expertise spécifique, de l’utilisation de conseillers tiers, d’une formation continue ou d’un perfectionnement des compétences ?

En conclusion…

Dans un environnement de risque commercial qui devient de plus en plus complexe et interconnecté, les conseils d’administration jouent un rôle crucial dans la surveillance des risques et de l’information aux actionnaires.

  • Pour commencer, les conseils peuvent regarder autour de la table. Y a-t-il une diversité d’expérience, de pensée, de genre et de race pour apporter des perspectives différentes sur le risque ?
  • Les conseils d’administration voudront également comprendre le programme de GRE de l’entreprise, et comment ils contribuent à ce programme.
  • Le conseil voudra également consacrer du temps à sa propre structure de surveillance.
  • Enfin, les conseils d’administration doivent considérer les diverses parties prenantes de l’entreprise : quelles informations leur sont fournies sur les programmes et les activités de gestion des risques de l’entreprise ?

En examinant et en affinant son approche de la surveillance des risques, un conseil peut offrir une valeur accrue à l’entreprise et à ses actionnaires.

*Maria Castañón Moats  est leader,  Paul DeNicola est directeur et Stephen Parker est associé au Governance Insights Center de PricewaterhouseCoopers LLP.

Nouvelles préoccupations des conseils d’administration en réponse à la pandémie mondiale


Comment les conseils d’administration s’ajustent-ils aux chocs de la pandémie ? C’est ce que Holly J. Gregory, associée chez Sidley Austin LLP, a exploré dans son enquête auprès des corporations américaines.

Je vous invite à lire la version française de l’introduction de la publication, en utilisant l’outil de traduction de Google, lequel est certainement perfectible.

Bonne lecture !

À l’ère de turbulences économiques accrues, de troubles sociaux et de pandémie de COVID-19, les conseils d’administration des entreprises cotées ont dû explorer de nouvelles avenues en réponse aux risques émergents.

Des tendances interdépendantes sont apparues, notamment :

    • Un regain d’intérêt pour la raison d’être de l’entreprise dans la société, y compris son rôle dans la fourniture de biens et services qui répond aux besoins de base, ainsi que dans l’innovation.
    • Un déplacement de la primauté des actionnaires vers les intérêts d’un plus large éventail de parties prenantes.
    • Un intérêt croissant pour les questions environnementales, sociales et de gouvernance (ESG), en particulier le rôle de l’entreprise dans la résolution des problèmes sociaux, y compris les questions d’égalité raciale, de genre et de justice sociale.
    • Un accent accru sur la valeur du capital humain et les changements connexes dans la nature du travail et du lieu de travail.
    • Le potentiel de reconfiguration considérable des industries et des modèles d’affaires, ce qui soulève des inquiétudes quant à la continuité des activités.

Ces tendances façonneront l’orientation et les priorités du conseil d’administration en 2021. Bien que les priorités distinctives et leur importance varient d’un conseil à l’autre en fonction de circonstances uniques auxquelles l’entreprise est confrontée, les principaux domaines d’intervention sont susceptibles d’inclure :

    • Objectif de l’entreprise et questions environnementales, sociales et de gouvernance (ESG),
    • Questions relatives au capital humain, à la main-d’œuvre et à la culture
    • Planification stratégique pour une valeur durable à long terme
    • Délégation de la direction, performance, succession et rémunération
    • Engagement et activisme des actionnaires
    • Gestion des risques, préparation aux crises et conformité
    • Composition du conseil et planification de la relève

La majorité du temps du conseil devrait être réservée à la discussion de la stratégie d’entreprise et à l’évaluation de la qualité du rendement de la direction, y compris l’accent mis par la direction sur la continuité des activités, les opportunités et les risques.

Preparing for 2021: Staring into the abyss of uncertainty or planning for resilience?

Guide des pratiques exemplaires en matière de gestion des risques | Les responsabilités des administrateurs


Les administrateurs de sociétés doivent apporter une attention spéciale à la gestion des risques telle qu’elle est mise en œuvre par les dirigeants des entreprises.

Les préoccupations des fiduciaires pour la gestion des risques, quoique fondamentales, sont relativement récentes, et les administrateurs ne savent souvent pas comment aborder cette question.

L’article présenté, ci-dessous, est le fruit d’une recherche de Martin Lipton, fondateur de la firme Wachtell, Lipton, Rosen & Katz, spécialisée dans les fusions et acquisitions ainsi que dans les affaires de gouvernance.

L’auteur et ses collaborateurs ont produit un guide des pratiques exemplaires en matière de gestion des risques. Cet article de fond s’adresse aux administrateurs et touche aux éléments-clés de la gestion des risques :

(1) la distinction entre la supervision des risques et la gestion des risques ;

(2) les leçons que l’on doit tirer de la supervision des risques à Wells Fargo ;

(3) l’importance accordée par les investisseurs institutionnels aux questions des risques ;

(4) « tone at the top » et culture organisationnelle ;

(5) les devoirs fiduciaires, les contraintes réglementaires et les meilleures pratiques ;

(6) quelques recommandations spécifiques pour améliorer la supervision des risques ;

(7) les programmes de conformité juridiques ;

(8) les considérations touchant les questions de cybersécurité ;

(9) quelques facettes se rapportant aux risques environnementaux, sociaux et de gouvernance ;

(10) l’anticipation des risques futurs.

 

Voici donc l’introduction de l’article. Je vous invite à prendre connaissance de l’article au complet.

Bonne lecture !

 

Risk Management and the Board of Directors

 

Résultats de recherche d'images pour « Gestion des risques et administrateurs de sociétés »

 

Overview

The past year has seen continued evolution in the political, legal and economic arenas as technological change accelerates. Innovation, new business models, dealmaking and rapidly evolving technologies are transforming competitive and industry landscapes and impacting companies’ strategic plans and prospects for sustainable, long-term value creation. Tax reform has created new opportunities and challenges for companies too. Meanwhile, the severe consequences that can flow from misconduct within an organization serve as a reminder that corporate operations are fraught with risk. Social and environmental issues, including heightened focus on income inequality and economic disparities, scrutiny of sexual misconduct issues and evolving views on climate change and natural disasters, have taken on a new salience in the public sphere, requiring companies to exercise utmost care to address legitimate issues and avoid public relations crises and liability.

Corporate risk taking and the monitoring of corporate risk remain prominently top of mind for boards of directors, investors, legislators and the media. Major institutional shareholders and proxy advisory firms increasingly evaluate risk oversight matters when considering withhold votes in uncontested director elections and routinely engage companies on risk-related topics. This focus on risk management has also led to increased scrutiny of compensation arrangements throughout the organization that have the potential for incentivizing excessive risk taking. Risk management is no longer simply a business and operational responsibility of management. It has also become a governance issue that is squarely within the oversight responsibility of the board. This post highlights a number of issues that have remained critical over the years and provides an update to reflect emerging and recent developments. Key topics addressed in this post include:

the distinction between risk oversight and risk management;

a lesson from Wells Fargo on risk oversight;

the strong institutional investor focus on risk matters;

tone at the top and corporate culture;

fiduciary duties, legal and regulatory frameworks and third-party guidance on best practices;

specific recommendations for improving risk oversight;

legal compliance programs;

special considerations regarding cybersecurity matters;

special considerations pertaining to environmental, social and governance (ESG) risks; and

anticipating future risks.

Quelles sont les tendances en gouvernance qui se sont avérées au cours des 4 dernières années ?


Dans un premier temps, j’ai tenté de répondre à cette question en renvoyant le lecteur à deux publications que j’ai faites sur le sujet. C’est du genre check-list !

Puis, dans un deuxième temps, je vous invite à consulter les documents suivants qui me semblent très pertinents pour répondre à la question. Il s’agit en quelque sorte d’une revue de la littérature sur le sujet.

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

J’espère que ces commentaires vous seront utiles, même si mon intervention est colorée par la situation canadienne et américaine !

Bonne lecture !

 

Résultats de recherche d'images pour « tendances en gouvernance »

 

Gouvernance : 12 tendances à surveiller

 

J’ai réalisé une entrevue avec le Journal des Affaires le 17 mars 2014. Une rédactrice au sein de l’Hebdo des AG, un média numérique qui se consacre au traitement des sujets touchant à la gouvernance des entreprises françaises, m’a contacté afin de connaître mon opinion sur quelles « prédictions » se sont effectivement avérées, et lesquelles restent encore à améliorer.

J’ai préparé quelques réflexions en référence aux douze tendances que j’avais identifiées le 17 mars 2014. J’ai donc revisité les tendances afin de vérifier comment la situation avait évolué en quatre ans. J’ai indiqué en rouge mon point de vue eu égard à ces tendances.

 « Si la gouvernance des entreprises a fait beaucoup de chemin depuis quelques années, son évolution se poursuit. Afin d’imaginer la direction qu’elle prendra au cours des prochaines années, nous avons consulté l’expert en gouvernance Jacques Grisé, ex- directeur des programmes du Collège des administrateurs de sociétés, de l’Université Laval. Toujours affilié au Collège, M. Grisé publie depuis plusieurs années le blogue www.jacquesgrisegouvernance.com, un site incontournable pour rester à l’affût des bonnes pratiques et tendances en gouvernance. Voici les 12 tendances dont il faut suivre l’évolution, selon Jacques Grisé »

 

  1. Les conseils d’administration réaffirmeront leur autorité. « Auparavant, la gouvernance était une affaire qui concernait davantage le management », explique M. Grisé. La professionnalisation de la fonction d’administrateur amène une modification et un élargissement du rôle et des responsabilités des conseils. Les CA sont de plus en plus sollicités et questionnés au sujet de leurs décisions et de l’entreprise. Cette affirmation est de plus en plus vraie. La formation certifiée en gouvernance est de plus en plus prisée. Les CA, et notamment les présidents de CA, sont de plus en plus sollicités pour expliquer leurs décisions, leurs erreurs et les problèmes de gestion de crise.
  2. La formation des administrateurs prendra de l’importance. À l’avenir, on exigera toujours plus des administrateurs. C’est pourquoi la formation est essentielle et devient même une exigence pour certains organismes. De plus, la formation continue se généralise ; elle devient plus formelle. Il va de soi que la formation en gouvernance prendra plus d’importance, mais les compétences et les expériences reliées au secteur d’activité de l’entreprise seront toujours très recherchées.
  3. L’affirmation du droit des actionnaires et celle du rôle du conseil s’imposeront. Le débat autour du droit des actionnaires par rapport à celui des conseils d’administration devra mener à une compréhension de ces droits conflictuels. Aujourd’hui, les conseils doivent tenir compte des parties prenantes en tout temps. Il existe toujours une situation potentiellement conflictuelle entre les intérêts des actionnaires et la responsabilité des administrateurs envers toutes les parties prenantes.
  4. La montée des investisseurs activistes se poursuivra. L’arrivée de l’activisme apporte une nouvelle dimension au travail des administrateurs. Les investisseurs activistes s’adressent directement aux actionnaires, ce qui mine l’autorité des conseils d’administration. Est-ce bon ou mauvais ? La vision à court terme des activistes peut être néfaste, mais toutes leurs actions ne sont pas négatives, notamment parce qu’ils s’intéressent souvent à des entreprises qui ont besoin d’un redressement sous une forme ou une autre. Pour bien des gens, les fonds activistes sont une façon d’améliorer la gouvernance. Le débat demeure ouvert. Le débat est toujours ouvert, mais force est de constater que l’actionnariat activiste est en pleine croissance partout dans le monde. Les effets souvent décriés des activistes sont de plus en plus acceptés comme bénéfiques dans plusieurs situations de gestion déficiente.
  5. La recherche de compétences clés deviendra la norme. De plus en plus, les organisations chercheront à augmenter la qualité de leur conseil en recrutant des administrateurs aux expertises précises, qui sont des atouts dans certains domaines ou secteurs névralgiques. Cette tendance est très nette. Les CA cherchent à recruter des membres aux expertises complémentaires.
  6. Les règles de bonne gouvernance vont s’étendre à plus d’entreprises. Les grands principes de la gouvernance sont les mêmes, peu importe le type d’organisation, de la PME à la société ouverte (ou cotée), en passant par les sociétés d’État, les organismes à but non lucratif et les entreprises familiales. Ici également, l’application des grands principes de gouvernance se généralise et s’applique à tous les types d’organisation, en les adaptant au contexte.
  7. Le rôle du président du conseil sera davantage valorisé. La tendance veut que deux personnes distinctes occupent les postes de président du conseil et de PDG, au lieu qu’une seule personne cumule les deux, comme c’est encore trop souvent le cas. Un bon conseil a besoin d’un solide leader, indépendant du PDG. Le rôle du Chairman est de plus en plus mis en évidence, car c’est lui qui représente le conseil auprès des différents publics. Il est de plus en plus indépendant de la direction. Les É.U. sont plus lents à adopter la séparation des fonctions entre Chairman et CEO.
  8. La diversité deviendra incontournable. Même s’il y a un plus grand nombre de femmes au sein des conseils, le déficit est encore énorme. Pourtant, certaines études montrent que les entreprises qui font une place aux femmes au sein de leur conseil sont plus rentables. Et la diversité doit s’étendre à d’autres origines culturelles, à des gens de tous âges et d’horizons divers. La diversité dans la composition des conseils d’administration est de plus en plus la norme. On a fait des progrès remarquables à ce chapitre, mais la tendance à la diminution de la taille des CA ralentit quelque peu l’accession des femmes aux postes d’administratrices.
  9. Le rôle stratégique du conseil dans l’entreprise s’imposera. Le temps où les CA ne faisaient qu’approuver les orientations stratégiques définies par la direction est révolu. Désormais, l’élaboration du plan stratégique de l’entreprise doit se faire en collaboration avec le conseil, en profitant de son expertise. Certes, l’un des rôles les plus importants des administrateurs est de voir à l’orientation de l’entreprise, en apportant une valeur ajoutée aux stratégies élaborées par la direction. Les CA sont toujours sollicités, sous une forme ou une autre, dans la conception de la stratégie.
  10. La réglementation continuera de se raffermir. Le resserrement des règles qui encadrent la gouvernance ne fait que commencer. Selon Jacques Grisé, il faut s’attendre à ce que les autorités réglementaires exercent une surveillance accrue partout dans le monde, y compris au Québec, avec l’Autorité des marchés financiers. En conséquence, les conseils doivent se plier aux règles, notamment en ce qui concerne la rémunération et la divulgation. Les responsabilités des comités au sein du conseil prendront de l’importance. Les conseils doivent mettre en place des politiques claires en ce qui concerne la gouvernance. Les conseils d’administration accordent une attention accrue à la gouvernance par l’intermédiaire de leur comité de gouvernance, mais aussi par leurs comités de RH et d’Audit. Les autorités réglementaires mondiales sont de plus en plus vigilantes eu égard à l’application des principes de saine gouvernance. La SEC, qui donnait souvent le ton dans ce domaine, est en mode révision de la réglementation parce que le gouvernement de Trump la juge trop contraignante pour les entreprises. À suivre !
  11. La composition des conseils d’administration s’adaptera aux nouvelles exigences et se transformera. Les CA seront plus petits, ce qui réduira le rôle prépondérant du comité exécutif, en donnant plus de pouvoir à tous les administrateurs. Ceux-ci seront mieux choisis et formés, plus indépendants, mieux rémunérés et plus redevables de leur gestion aux diverses parties prenantes. Les administrateurs auront davantage de responsabilités et seront plus engagés dans les comités aux fonctions plus stratégiques. Leur responsabilité légale s’élargira en même temps que leurs tâches gagnent en importance. Il faudra donc des membres plus engagés, un conseil plus diversifié, dirigé par un leader plus fort. C’est la voie que les CA ont empruntée. La taille des CA est de plus en plus réduite ; les conseils exécutifs sont en voie de disparition pour faire plus de place aux trois comités statutaires : Gouvernance, Ressources Humaines et Audit. Les administrateurs sont de plus en plus engagés et ils doivent investir plus de temps dans leurs fonctions.
  12. L’évaluation de la performance des conseils d’administration deviendra la norme. La tendance est déjà bien ancrée aux États-Unis, où les entreprises engagent souvent des firmes externes pour mener cette évaluation. Certaines choisissent l’auto-évaluation. Dans tous les cas, le processus est ouvert et si les résultats restent confidentiels, ils contribuent à l’amélioration de l’efficacité des conseils d’administration. Effectivement, l’évaluation de la performance des conseils d’administration est devenue une pratique quasi universelle dans les entreprises cotées. Celles-ci doivent d’ailleurs divulguer le processus dans le rapport aux actionnaires. On assiste à un énorme changement depuis les dix dernières années.

 

À ces 12 tendances, il faudrait en ajouter deux autres qui se sont révélées cruciales pour les conseils d’administration depuis quelques années :

(1) la mise en œuvre d’une politique de gestion des risques, l’identification des risques, l’évaluation des facteurs de risque eu égard à leur probabilité d’occurrence et d’impact sur l’organisation, le suivi effectué par le comité d’audit et par l’auditeur interne.

(2) le renforcement des ressources du conseil par l’ajout de compétences liées à la cybersécurité. La sécurité des données est l’un des plus grands risques des entreprises.

 

Aspects fondamentaux à considérer par les administrateurs dans la gouvernance des organisations

 

 

Récemment, je suis intervenu auprès du conseil d’administration d’une OBNL et j’ai animé une discussion tournant autour des thèmes suivants en affirmant certains principes de gouvernance que je pense être incontournables.

Vous serez certainement intéressé par les propositions suivantes :

(1) Le conseil d’administration est souverain — il est l’ultime organe décisionnel.

(2) Le rôle des administrateurs est d’assurer la saine gestion de l’organisation en fonction d’objectifs établis. L’administrateur a un rôle de fiduciaire, non seulement envers les membres qui les ont élus, mais aussi envers les parties prenantes de toute l’organisation. Son rôle comporte des devoirs et des responsabilités envers celle-ci.

(3) Les administrateurs ont un devoir de surveillance et de diligence ; ils doivent cependant s’assurer de ne pas s’immiscer dans la gestion de l’organisation (« nose in, fingers out »).

(4) Les administrateurs élus par l’assemblée générale ne sont pas porteurs des intérêts propres à leur groupe ; ce sont les intérêts supérieurs de l’organisation qui priment.

(5) Le président du conseil est le chef d’orchestre du groupe d’administrateurs ; il doit être en étroite relation avec le premier dirigeant et bien comprendre les coulisses du pouvoir.

(6) Les membres du conseil doivent entretenir des relations de collaboration et de respect entre eux ; ils doivent viser les consensus et exprimer leur solidarité, notamment par la confidentialité des échanges.

(7) Les administrateurs doivent être bien préparés pour les réunions du conseil et ils doivent poser les bonnes questions afin de bien comprendre les enjeux et de décider en toute indépendance d’esprit. Pour ce faire, ils peuvent tirer profit de l’avis d’experts indépendants.

(8) La composition du conseil devrait refléter la diversité de l’organisation. On doit privilégier l’expertise, la connaissance de l’industrie et la complémentarité.

(9) Le conseil d’administration doit accorder toute son attention aux orientations stratégiques de l’organisation et passer le plus clair de son temps dans un rôle de conseil stratégique.

(10) Chaque réunion devrait se conclure par un huis clos, systématiquement inscrit à l’ordre du jour de toutes les rencontres.

(11) Le président du CA doit procéder à l’évaluation du fonctionnement et de la dynamique du conseil.

(12) Les administrateurs doivent prévoir des activités de formation en gouvernance et en éthique.

 

Voici enfin une documentation utile pour bien appréhender les grandes tendances qui se dégagent dans le monde de la gouvernance aux É.U., au Canada et en France.

 

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

Cinq questionnements qui préoccupent les nouveaux administrateurs de sociétés | SpencerStuart


Aujourd’hui, je reviens sur un texte vraiment très important de SpencerStuart qui propose des conseils aux nouveaux administrateurs qui acceptent de siéger à des conseils d’administration, peu importe le type d’organisation.

Les conseils prodigués par les auteurs George Anderson, Tessa Bamford, Jason Baumgarten, Kevin A. Jurd, afin d’accélérer l’efficacité des nouveaux administrateurs peuvent se résumer essentiellement à cinq grandes préoccupations :

  1. Comment puis-je savoir si je choisis le bon CA ? Quels devoirs dois-je accomplir avant d’accepter une offre ?
  2. Comment dois-je me préparer pour ma première réunion du conseil ?
  3. Quels comportements en matière de prises de parole dois-je adopter lors de cette première rencontre ?
  4. Quelles sont les stratégies à adopter pour avoir un impact et une plus-value sur le CA et sur l’entreprise ?
  5. Si j’expérimente une grande préoccupation, comment montrer mon désaccord ou soulever une question délicate ?

 

À l’heure où environ le tiers des postes d’administrateurs sont occupés par de nouvelles recrues, il est crucial de bien explorer les occasions qui se présentent, car un engagement comme administrateur peut nous occuper plus de 20 jours par année, pour une période de neuf ans !

Je vous invite donc à lire attentivement ce document si vous êtes dans votre première année d’un mandat qui pourrait être assez long.

Bonne lecture !

 

The Five Most Common New Director Questions

 

Résultats de recherche d'images pour « spencer stuart »

 

 

No matter how experienced they are as leaders or how much previous boardroom exposure they have had, most first-time directors will admit to having some trepidation before their first board meeting: What will the first board meeting be like? Should I say anything at all in my first meeting? Am I prepared?

Helping these directors quickly acclimate matters because, depending on the country, first-timers can represent a sizable share of the new director population in a given year. One-third of newly appointed S&P 500 directors in the U.S., for example, are serving on their first corporate board, as are about 30 percent of new U.K. non-executive directors. Given the escalating demands on boards, new directors must be prepared to quickly contribute.

In working with first-time board directors around the world and the chairmen and lead independent directors of the boards they join, we have found that their questions and concerns about board experience typically fall into the five following areas:

  1. How do I know what’s the right board to join? Should I say yes to the first board invitation?
  2. What do I need to do to prepare for my first board?
  3. How much should I speak up during the early board meetings?
  4. How can I have an impact for the board and company?
  5. What if I have concerns? How do I disagree or raise questions when I’m new?

To explore these first-time director questions in more detail, we spoke with directors around the world who shared what they learned from their first board experience and offered observations that boards can use to enhance their new director onboarding programs.

 

(1) Selecting the right opportunity

 

Most directors would describe their first non-executive board role as a major professional milestone, a terrific growth opportunity and something they are very glad they did, even though it represented a significant commitment. Given the demands of board service — 20-30 days a year up to nine or more years — it pays to carefully weigh the pros and cons of a given opportunity. The key question, say directors, is whether it is mutually beneficial — one that the prospective director finds engaging and useful as a growth opportunity and that adds a valuable perspective to the board. As one director put it, “You need something that will bind you to the job, because it is a lot of time.” Ask yourself, “Is this a business that I will still be interested in, say, in six to nine years’ time?”

Other considerations may be who else is on the board — especially the opportunity to work with a good chair and gain exposure to experienced executives from other industries — the strength and diversity of the management team, and how well the board and management team work together, which in part reflects how much the CEO values the board’s contribution. “I asked the CEO, ‘Do you like having a board?’ And he very honestly said, ‘Mostly.’ If he’d said to me, ‘I think they’re marvelous all the time,’ I’d know he was lying because that’s just not how executives think,” recalls one director.

When considering whether you can balance board service with other commitments, particularly if you have a full-time executive role, understand that you will likely underestimate how much time it will take, especially early on. “It took much more time than I thought would be required initially to get up to speed — to understand the business, strategies, key issues and opportunities,” one director told us. If you have to travel to meetings, plan on that adding a day or two to the board meeting commitment. You also should allow time for work related to committee assignments and, depending on your expertise, you may be tapped to mentor someone on the executive team, work on issues outside of board meetings or respond to unexpected demands related to a crisis or deal. “It can be hard to budget for that, and it can happen at the worst time. But you can’t shake off your responsibilities at the time when you’re needed most, when there’s an activist or stakeholder issue, a significant transition or a succession planning issue that you have to work through.”

Conversely, don’t immediately take yourself out of the running for a very valuable opportunity. “If I thought too much about the time commitment, there is a chance I would have turned it down, which would have been a terrible thing,” one director told us. Equally do your research; it’s amazing the sorts of businesses that initially might seem not right for you but on further research are really interesting and worth pursuing.

 

(2) Preparing for the first board meeting

 

As part of your due diligence, you will already have read published information about the company, and it goes without saying that new directors will have received a wealth of material as part of the onboarding process and in advance of the first meeting. What many don’t appreciate before they’ve done it is just how much pre-reading material there can be, and the amount of time it can take to thoroughly digest it.

Many first-time directors have presented to their own company’s board of directors, but these encounters provide just a narrow glimpse of the board’s responsibilities. For this reason, some first-time directors find it helpful to attend a formal director education program providing a deep dive into corporate governance, including the board’s fiduciary responsibilities and areas such as NED liability, reporting to shareholders and reporting on sustainability. “They expect you to have an understanding of governance when you come in. They’re happy to answer questions, but they’re not going to know what you don’t know. If you don’t even know what you don’t know, then you don’t know to ask,” said one director.

Most formal onboarding programs encourage new directors to meet with key members of management, and many will schedule site visits to key operations. “It was really helpful to spend quality time with each of the CEO’s main direct reports so that I could get a sense of their top priorities and how they think about running their businesses. Without that little additional context from some of these executives in the organization, you’re really operating in a bubble.”

One-on-one meetings with as many of other directors as possible before the first board meeting can provide a sense of the priorities of the board, and the dynamics among directors and between management and the board. When these meetings are not an explicit part of the onboarding process, it can feel awkward to reach out to other board members, but directors say arranging a breakfast or dinner meeting or even a coffee with other directors, starting with committee chairs, is well worth it. “Everybody is busy, but the time you take to meet people upfront definitely pays dividends in the long run because you get context you wouldn’t have gotten any other way. You can’t replace seeing someone’s facial expression or their gestures while they’re talking about a certain topic. You’ll see how much something worries them. How emphatic they’re being. You’ll see their brow wrinkle when you dig deeper into certain issues.”

What else did new directors find most helpful in preparing for their first board meetings?

The key performance indicators (KPIs) and lead indicators for the company. “What do I have to keep my eye on? Every other question ends up stemming from those KPIs.”

A glossary of company and industry-specific jargon and acronyms. “Many companies overlook this, but it’s a real impediment to being productive in your first couple of meetings.”

Meeting with as many members of the executive committee or senior management team as possible.

Understand how the board views sector and company risk. How does management assess, present and articulate risk? Are assumptions discussed and challenged clearly and freely?

A detailed overview of the operations, operational challenges and underlying infrastructure. “You can think you know how an airline runs, but when you walk through the operation center and see hundreds of people managing thousands of flights in the air at the same time around the world, you begin to understand the complexity of the business.”

A holistic view of the board calendar and activities — not just what the next board meeting is about, but the key processes of the board over the course of 12 months of board meetings. “When you’re new, you might wonder why the board isn’t talking about the compensation implication of a decision, as an example, but everyone else knows that’s because the next meeting is the one when the board does the comp review.”

A detailed explanation of how the finances are organized, including a complete listing of accounts in an accounting system. “Everybody’s chart of accounts is different. Depending on how it’s drawn, you can get a very different look at P&L.”

 

Spotlight: Director induction best practices

 

Most boards have a formal induction program, which typically includes the following:

Presentations from management on the business model, profitability and performance

A review of the previous 12 months’ board papers and minutes to provide context on the current issues

Meetings with key business executives and functional leaders, including finance, marketing, IT, HR, etc.

Site visits providing new directors a better sense of how the business works and an opportunity to meet people on the ground

Meetings with external advisers such as accountants, bankers, brokers and others

Explanation of regulatory and governance issues

Attendance at an investor day

Mentoring: First-time directors, especially, tell us they appreciate having a mentor during the first six to 12 months on the board. An informal mentor program pairs a new director with a more experienced director who can provide perspective on boardroom activities and dynamics or help with meeting preparation, explain aspects of board papers, and debrief and act as a sounding board between meetings.

What new directors can do: Don’t be afraid to ask for the process to be tailored to your needs if you want to explore certain areas of the business in greater depth.

(3) Participating in early meetings

 

First-time directors tend to assume that they should say little during their first few meetings, while they observe and get to know the board and its dynamics. The directors we spoke with recommend a more balanced approach: listen more than talk, but be willing to participate in the discussion, especially in your area of expertise. “You’re there for a reason. You’re there because they thought you could add value.” New directors appreciate getting feedback from the board chair or lead director about their contribution level — so, if it’s not given, directors should ask for it. “After the first meeting, the lead director said, ‘I’m glad you spoke up a couple times. Do that more. We brought you here to get your point of view so feel free to speak up.’ It was great to hear that. You never want to hear it the other way, where you spoke up too much or took up too much air time.”

Nothing is more valuable for getting a sense of the board dynamics and directors’ expectations for how you should behave in those early meetings than one-on-one discussions with individual board members. “I wanted to get to know them a little bit personally before meetings where more-involved or controversial topics would be discussed so that we at least have met and have a little bit of an understanding of one another.”

New directors also appreciate when the board chair or lead independent director is proactive in making sure that the multiple voices are heard in board discussions. “Even when the board composition is diverse along many dimensions, your work isn’t done. You still have to actively work to avoid conforming your behaviors and opinions and to hear diverse viewpoints. That’s a constant work in progress.”

 

(4) Having an impact

 

“How do I have impact?” It’s a question that is top of mind for most new directors, especially those who were brought on the board because of their expertise in areas such as digital technology, product development, risk management or go-to-market experience. Depending on the size of the company and experience of the management team, a new director’s involvement outside the boardroom could include interviewing candidates for key roles, mentoring senior leaders, advising on specific topics or making useful introductions. “Engagement has to be on the terms that work for the executive team,” advised one of the directors we interviewed.

New directors with specialized expertise also play a role in educating other directors. “You don’t want a situation where the rest of the board sits back while all the questions flow to one person. Over time, all directors want to learn how to ask challenging questions in these areas. I find that other directors ask me questions like: ‘Why did you ask that? Why did you put the question in this way? What were you looking for? There seems to be something in the response to that question that troubles you, so let’s peel that apart a little bit.’”

First-time directors can find it challenging to know if they are having a positive impact on the board — and that the board is positively contributing to the business — because of the lack of regular feedback. “I would like a little more focus on making performance feedback a continuous process, particularly for the first six to 12 months. Following every meeting, there should be opportunities to point to out what’s working well and what could work differently, even if it’s just a 10- or 15-minute conversation to reinforce and correct the issues that didn’t go well in context.” So it is important to ask the chairman for feedback.

 

(5) Raising questions

 

By definition, a new director lacks perspective on the board’s history — the sacred cows, the topics that have been debated ad nauseam already and other important context. This makes knowing when to raise questions or to push for more information all the more difficult. “Fresh eyes are good, but one of the worst things you can do is walk into the board and hone in on topics that aren’t going to be productive, that the board has already hashed to death.” That is why it is important to have read the board minutes, if not papers, for the previous year or so, so you can understand some of the key issues and debates.

Getting a read from other directors about the board’s priorities can provide important context, as can using meeting breaks to follow up on your questions. “You’re not going to know everything going in. Expect that you’ve got a lot of holes. When I have big questions, I’ll grab a board member who I know will have the context and say, ‘Hey, I noticed this,’ or ‘I had a question on this,’ or ‘I’m sure there’s context here that I don’t know about,’ and just let them talk.”

When a director does have questions or concerns that go deeper, the delivery is important. “Asking questions, even when you know what the answer is, rather than making declarative statements is a good general approach. Other directors will be receptive to your questions if you communicate that you’re trying to get to the heart of important issues and facilitate discussion that needs to happen to gain consensus on direction.” How you frame questions also is important: Ask, “How are you thinking about …?” rather than trying to be too prescriptive and asking, “Have you considered …?”

 

Conclusion

 

Most new directors truly value their first board assignment, despite the time demands and steep learning curve. First-time directors are most likely to enjoy the experience when they conduct careful research and due diligence before accepting a board invitation, prepare thoroughly for board meetings and have the confidence to be themselves in the boardroom.

______________________________________________________________

Participating Directors :

Stewart Butel, former managing director of Wesfarmers Resources and independent director for DUET Company Limited
Amy L. Chang, CEO and founder of Accompany and non-executive director of Cisco, The Procter & Gamble Company and Splunk
Sue Clark, managing director of SABMiller Europe and non-executive director of Britvic
Greg Couttas, former Deloitte audit partner and non-executive director of Virtus Health
Tom Killalea, former Amazon vice president and independent director of Capital One, Carbon Black and MongoDB
George Mattson, former managing director of the Global Industrials Group for Goldman Sachs and independent director of Delta Air Lines
Admiral (Ret.) Gary Roughead, former chief of Naval Operations and independent director of Northrop Grumman Corporation
Michelle Somerville, former KPMG audit partner and independent director of The GPT Group and Challenger
Sybella Stanley, director of corporate finance at RELX and non-executive director at Tate & Lyle and Merchants Trust
Jane Thompson, former senior vice president of Match.com and independent director of Michael Kors
Gene Tilbrook, chair of The GPT Group Nomination and Remuneration Committee
Trae Vassallo, co-founder and managing director of Defy Partners and non-executive director of Telstra Corporation

Quelles tendances en gouvernance, identifiées en 2014, se sont avérées au 20 octobre 2018


Dans un premier temps, j’ai tenté de répondre à cette question en renvoyant le lecteur à deux publications que j’ai faites sur le sujet. C’est du genre check-list !

Puis, dans un deuxième temps, je vous invite à consulter les documents suivants qui me semblent très pertinents pour répondre à la question. Il s’agit en quelque sorte d’une revue de la littérature sur le sujet.

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

J’espère que ces commentaires vous seront utiles, même si mon intervention est colorée par la situation canadienne et américaine !

Bonne lecture !

 

Résultats de recherche d'images pour « tendances en gouvernance »

 

Gouvernance : 12 tendances à surveiller

 

J’ai réalisé une entrevue avec le Journal des Affaires le 17 mars 2014. Une rédactrice au sein de l’Hebdo des AG, un média numérique qui se consacre au traitement des sujets touchant à la gouvernance des entreprises françaises, m’a contacté afin de connaître mon opinion sur quelles « prédictions » se sont effectivement avérées, et lesquelles restent encore à améliorer.

J’ai préparé quelques réflexions en référence aux douze tendances que j’avais identifiées le 17 mars 2014. J’ai donc revisité les tendances afin de vérifier comment la situation avait évolué en quatre ans. J’ai indiqué en rouge mon point de vue eu égard à ces tendances.

 « Si la gouvernance des entreprises a fait beaucoup de chemin depuis quelques années, son évolution se poursuit. Afin d’imaginer la direction qu’elle prendra au cours des prochaines années, nous avons consulté l’expert en gouvernance Jacques Grisé, ex- directeur des programmes du Collège des administrateurs de sociétés, de l’Université Laval. Toujours affilié au Collège, M. Grisé publie depuis plusieurs années le blogue www.jacquesgrisegouvernance.com, un site incontournable pour rester à l’affût des bonnes pratiques et tendances en gouvernance. Voici les 12 tendances dont il faut suivre l’évolution, selon Jacques Grisé »

 

  1. Les conseils d’administration réaffirmeront leur autorité. « Auparavant, la gouvernance était une affaire qui concernait davantage le management », explique M. Grisé. La professionnalisation de la fonction d’administrateur amène une modification et un élargissement du rôle et des responsabilités des conseils. Les CA sont de plus en plus sollicités et questionnés au sujet de leurs décisions et de l’entreprise. Cette affirmation est de plus en plus vraie. La formation certifiée en gouvernance est de plus en plus prisée. Les CA, et notamment les présidents de CA, sont de plus en plus sollicités pour expliquer leurs décisions, leurs erreurs et les problèmes de gestion de crise.
  2. La formation des administrateurs prendra de l’importance. À l’avenir, on exigera toujours plus des administrateurs. C’est pourquoi la formation est essentielle et devient même une exigence pour certains organismes. De plus, la formation continue se généralise ; elle devient plus formelle. Il va de soi que la formation en gouvernance prendra plus d’importance, mais les compétences et les expériences reliées au secteur d’activité de l’entreprise seront toujours très recherchées.
  3. L’affirmation du droit des actionnaires et celle du rôle du conseil s’imposeront. Le débat autour du droit des actionnaires par rapport à celui des conseils d’administration devra mener à une compréhension de ces droits conflictuels. Aujourd’hui, les conseils doivent tenir compte des parties prenantes en tout temps. Il existe toujours une situation potentiellement conflictuelle entre les intérêts des actionnaires et la responsabilité des administrateurs envers toutes les parties prenantes.
  4. La montée des investisseurs activistes se poursuivra. L’arrivée de l’activisme apporte une nouvelle dimension au travail des administrateurs. Les investisseurs activistes s’adressent directement aux actionnaires, ce qui mine l’autorité des conseils d’administration. Est-ce bon ou mauvais ? La vision à court terme des activistes peut être néfaste, mais toutes leurs actions ne sont pas négatives, notamment parce qu’ils s’intéressent souvent à des entreprises qui ont besoin d’un redressement sous une forme ou une autre. Pour bien des gens, les fonds activistes sont une façon d’améliorer la gouvernance. Le débat demeure ouvert. Le débat est toujours ouvert, mais force est de constater que l’actionnariat activiste est en pleine croissance partout dans le monde. Les effets souvent décriés des activistes sont de plus en plus acceptés comme bénéfiques dans plusieurs situations de gestion déficiente.
  5. La recherche de compétences clés deviendra la norme. De plus en plus, les organisations chercheront à augmenter la qualité de leur conseil en recrutant des administrateurs aux expertises précises, qui sont des atouts dans certains domaines ou secteurs névralgiques. Cette tendance est très nette. Les CA cherchent à recruter des membres aux expertises complémentaires.
  6. Les règles de bonne gouvernance vont s’étendre à plus d’entreprises. Les grands principes de la gouvernance sont les mêmes, peu importe le type d’organisation, de la PME à la société ouverte (ou cotée), en passant par les sociétés d’État, les organismes à but non lucratif et les entreprises familiales. Ici également, l’application des grands principes de gouvernance se généralise et s’applique à tous les types d’organisation, en les adaptant au contexte.
  7. Le rôle du président du conseil sera davantage valorisé. La tendance veut que deux personnes distinctes occupent les postes de président du conseil et de PDG, au lieu qu’une seule personne cumule les deux, comme c’est encore trop souvent le cas. Un bon conseil a besoin d’un solide leader, indépendant du PDG. Le rôle du Chairman est de plus en plus mis en évidence, car c’est lui qui représente le conseil auprès des différents publics. Il est de plus en plus indépendant de la direction. Les É.U. sont plus lents à adopter la séparation des fonctions entre Chairman et CEO.
  8. La diversité deviendra incontournable. Même s’il y a un plus grand nombre de femmes au sein des conseils, le déficit est encore énorme. Pourtant, certaines études montrent que les entreprises qui font une place aux femmes au sein de leur conseil sont plus rentables. Et la diversité doit s’étendre à d’autres origines culturelles, à des gens de tous âges et d’horizons divers. La diversité dans la composition des conseils d’administration est de plus en plus la norme. On a fait des progrès remarquables à ce chapitre, mais la tendance à la diminution de la taille des CA ralentit quelque peu l’accession des femmes aux postes d’administratrices.
  9. Le rôle stratégique du conseil dans l’entreprise s’imposera. Le temps où les CA ne faisaient qu’approuver les orientations stratégiques définies par la direction est révolu. Désormais, l’élaboration du plan stratégique de l’entreprise doit se faire en collaboration avec le conseil, en profitant de son expertise. Certes, l’un des rôles les plus importants des administrateurs est de voir à l’orientation de l’entreprise, en apportant une valeur ajoutée aux stratégies élaborées par la direction. Les CA sont toujours sollicités, sous une forme ou une autre, dans la conception de la stratégie.
  10. La réglementation continuera de se raffermir. Le resserrement des règles qui encadrent la gouvernance ne fait que commencer. Selon Jacques Grisé, il faut s’attendre à ce que les autorités réglementaires exercent une surveillance accrue partout dans le monde, y compris au Québec, avec l’Autorité des marchés financiers. En conséquence, les conseils doivent se plier aux règles, notamment en ce qui concerne la rémunération et la divulgation. Les responsabilités des comités au sein du conseil prendront de l’importance. Les conseils doivent mettre en place des politiques claires en ce qui concerne la gouvernance. Les conseils d’administration accordent une attention accrue à la gouvernance par l’intermédiaire de leur comité de gouvernance, mais aussi par leurs comités de RH et d’Audit. Les autorités réglementaires mondiales sont de plus en plus vigilantes eu égard à l’application des principes de saine gouvernance. La SEC, qui donnait souvent le ton dans ce domaine, est en mode révision de la réglementation parce que le gouvernement de Trump la juge trop contraignante pour les entreprises. À suivre !
  11. La composition des conseils d’administration s’adaptera aux nouvelles exigences et se transformera. Les CA seront plus petits, ce qui réduira le rôle prépondérant du comité exécutif, en donnant plus de pouvoir à tous les administrateurs. Ceux-ci seront mieux choisis et formés, plus indépendants, mieux rémunérés et plus redevables de leur gestion aux diverses parties prenantes. Les administrateurs auront davantage de responsabilités et seront plus engagés dans les comités aux fonctions plus stratégiques. Leur responsabilité légale s’élargira en même temps que leurs tâches gagnent en importance. Il faudra donc des membres plus engagés, un conseil plus diversifié, dirigé par un leader plus fort. C’est la voie que les CA ont empruntée. La taille des CA est de plus en plus réduite ; les conseils exécutifs sont en voie de disparition pour faire plus de place aux trois comités statutaires : Gouvernance, Ressources Humaines et Audit. Les administrateurs sont de plus en plus engagés et ils doivent investir plus de temps dans leurs fonctions.
  12. L’évaluation de la performance des conseils d’administration deviendra la norme. La tendance est déjà bien ancrée aux États-Unis, où les entreprises engagent souvent des firmes externes pour mener cette évaluation. Certaines choisissent l’auto-évaluation. Dans tous les cas, le processus est ouvert et si les résultats restent confidentiels, ils contribuent à l’amélioration de l’efficacité des conseils d’administration. Effectivement, l’évaluation de la performance des conseils d’administration est devenue une pratique quasi universelle dans les entreprises cotées. Celles-ci doivent d’ailleurs divulguer le processus dans le rapport aux actionnaires. On assiste à un énorme changement depuis les dix dernières années.

 

À ces 12 tendances, il faudrait en ajouter deux autres qui se sont révélées cruciales pour les conseils d’administration depuis quelques années :

(1) la mise en œuvre d’une politique de gestion des risques, l’identification des risques, l’évaluation des facteurs de risque eu égard à leur probabilité d’occurrence et d’impact sur l’organisation, le suivi effectué par le comité d’audit et par l’auditeur interne.

(2) le renforcement des ressources du conseil par l’ajout de compétences liées à la cybersécurité. La sécurité des données est l’un des plus grands risques des entreprises.

 

Aspects fondamentaux à considérer par les administrateurs dans la gouvernance des organisations

 

 

Récemment, je suis intervenu auprès du conseil d’administration d’une OBNL et j’ai animé une discussion tournant autour des thèmes suivants en affirmant certains principes de gouvernance que je pense être incontournables.

Vous serez certainement intéressé par les propositions suivantes :

(1) Le conseil d’administration est souverain — il est l’ultime organe décisionnel.

(2) Le rôle des administrateurs est d’assurer la saine gestion de l’organisation en fonction d’objectifs établis. L’administrateur a un rôle de fiduciaire, non seulement envers les membres qui les ont élus, mais aussi envers les parties prenantes de toute l’organisation. Son rôle comporte des devoirs et des responsabilités envers celle-ci.

(3) Les administrateurs ont un devoir de surveillance et de diligence ; ils doivent cependant s’assurer de ne pas s’immiscer dans la gestion de l’organisation (« nose in, fingers out »).

(4) Les administrateurs élus par l’assemblée générale ne sont pas porteurs des intérêts propres à leur groupe ; ce sont les intérêts supérieurs de l’organisation qui priment.

(5) Le président du conseil est le chef d’orchestre du groupe d’administrateurs ; il doit être en étroite relation avec le premier dirigeant et bien comprendre les coulisses du pouvoir.

(6) Les membres du conseil doivent entretenir des relations de collaboration et de respect entre eux ; ils doivent viser les consensus et exprimer leur solidarité, notamment par la confidentialité des échanges.

(7) Les administrateurs doivent être bien préparés pour les réunions du conseil et ils doivent poser les bonnes questions afin de bien comprendre les enjeux et de décider en toute indépendance d’esprit. Pour ce faire, ils peuvent tirer profit de l’avis d’experts indépendants.

(8) La composition du conseil devrait refléter la diversité de l’organisation. On doit privilégier l’expertise, la connaissance de l’industrie et la complémentarité.

(9) Le conseil d’administration doit accorder toute son attention aux orientations stratégiques de l’organisation et passer le plus clair de son temps dans un rôle de conseil stratégique.

(10) Chaque réunion devrait se conclure par un huis clos, systématiquement inscrit à l’ordre du jour de toutes les rencontres.

(11) Le président du CA doit procéder à l’évaluation du fonctionnement et de la dynamique du conseil.

(12) Les administrateurs doivent prévoir des activités de formation en gouvernance et en éthique.

 

Voici enfin une documentation utile pour bien appréhender les grandes tendances qui se dégagent dans le monde de la gouvernance aux É.U., au Canada et en France.

 

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

Les responsabilités des administrateurs eu égard à la gestion des risques


Les administrateurs de sociétés doivent apporter une attention spéciale à la gestion des risques telle qu’elle est mise en œuvre par les dirigeants des entreprises.

Les préoccupations des fiduciaires pour la gestion des risques, quoique fondamentales, sont relativement récentes, et les administrateurs ne savent souvent pas comment aborder cette question.

L’article présenté, ci-dessous, est le fruit d’une recherche de Martin Lipton, fondateur de la firme Wachtell, Lipton, Rosen & Katz, spécialisée dans les fusions et acquisitions ainsi que dans les affaires de gouvernance.

L’auteur et ses collaborateurs ont produit un guide des pratiques exemplaires en matière de gestion des risques. Cet article de fond s’adresse aux administrateurs et touche aux éléments-clés de la gestion des risques :

(1) la distinction entre la supervision des risques et la gestion des risques ;

(2) les leçons que l’on doit tirer de la supervision des risques à Wells Fargo ;

(3) l’importance accordée par les investisseurs institutionnels aux questions des risques ;

(4) « tone at the top » et culture organisationnelle ;

(5) les devoirs fiduciaires, les contraintes réglementaires et les meilleures pratiques ;

(6) quelques recommandations spécifiques pour améliorer la supervision des risques ;

(7) les programmes de conformité juridiques ;

(8) les considérations touchant les questions de cybersécurité ;

(9) quelques facettes se rapportant aux risques environnementaux, sociaux et de gouvernance ;

(10) l’anticipation des risques futurs.

 

Voici donc l’introduction de l’article. Je vous invite à prendre connaissance de l’article au complet.

Bonne lecture !

 

Risk Management and the Board of Directors

 

Résultats de recherche d'images pour « Gestion des risques et administrateurs de sociétés »

 

Overview

The past year has seen continued evolution in the political, legal and economic arenas as technological change accelerates. Innovation, new business models, dealmaking and rapidly evolving technologies are transforming competitive and industry landscapes and impacting companies’ strategic plans and prospects for sustainable, long-term value creation. Tax reform has created new opportunities and challenges for companies too. Meanwhile, the severe consequences that can flow from misconduct within an organization serve as a reminder that corporate operations are fraught with risk. Social and environmental issues, including heightened focus on income inequality and economic disparities, scrutiny of sexual misconduct issues and evolving views on climate change and natural disasters, have taken on a new salience in the public sphere, requiring companies to exercise utmost care to address legitimate issues and avoid public relations crises and liability.

Corporate risk taking and the monitoring of corporate risk remain prominently top of mind for boards of directors, investors, legislators and the media. Major institutional shareholders and proxy advisory firms increasingly evaluate risk oversight matters when considering withhold votes in uncontested director elections and routinely engage companies on risk-related topics. This focus on risk management has also led to increased scrutiny of compensation arrangements throughout the organization that have the potential for incentivizing excessive risk taking. Risk management is no longer simply a business and operational responsibility of management. It has also become a governance issue that is squarely within the oversight responsibility of the board. This post highlights a number of issues that have remained critical over the years and provides an update to reflect emerging and recent developments. Key topics addressed in this post include:

the distinction between risk oversight and risk management;

a lesson from Wells Fargo on risk oversight;

the strong institutional investor focus on risk matters;

tone at the top and corporate culture;

fiduciary duties, legal and regulatory frameworks and third-party guidance on best practices;

specific recommendations for improving risk oversight;

legal compliance programs;

special considerations regarding cybersecurity matters;

special considerations pertaining to environmental, social and governance (ESG) risks; and

anticipating future risks.

Comment le CA peut-il gérer les cyber risques ?


Cet article explique comment les entreprises doivent agir afin de minimiser les risques cybernétiques et les cyberattaques.

Paula Loop*, directrice au Governance Insights Center, vient de publier les conclusions d’une étude de PwC :  2018 Global State of Information Security® Survey

Les résultats sont présentés sous forme de questions relatives à la sécurité informatique :

  1. Le CA doit-il être le responsable de la surveillance de cette activité ?
  2. Votre CA nécessite-t-il plus d’expertise dans le domaine de la cybersécurité ?
  3. Avons-nous toutes les compétences requises au sein du CA ?
  4. Possédons-nous les informations nécessaires pour la supervision des risques de cybersécurité ?
  5. Le CA, et notamment son président, a-t-il développé un niveau de relation ouverte avec le responsable des technologies (CISO) ?
  6. Comment savoir si les contrôles mis en place pour prévenir les brèches dans les systèmes sont efficaces ?

 

Les auteurs donnent un exemple de tableau de bord utile pour les CA :

 

Despite how pervasive the threats are, 44% of the 9,500 executives surveyed in PwC’s 2018 Global State of Information Security® Survey say they don’t have an overall information security strategy. That gives you a sense of how much work companies still need to do. Overseeing cyber risk is a huge challenge, but we have ideas for how directors can tackle cybersecurity head-on.

 

L’article présente également une mine d’informations eu égard aux enjeux, aux défis et aux actions qu’un CA doit entreprendre pour assurer une solide sécurité informatique.

Je vous invite à lire les conclusions de l’étude de PwC ci-dessous. Pour plus d’information sur ce sujet, vous pouvez consulter le rapport complet.

Bonne lecture !

 

Overseeing Cyber Risk

 

Résultats de recherche d'images pour « cyber risques entreprise »

 

Directors can add value as their companies struggle to tackle cyber risk. We put the threat environment in context for you and outline the top issues confronting companies and boards. And we identify concrete steps for boards to up their game in this complex area.

You don’t need us to tell you that cyber threats are everywhere. Breaches make headlines on

what seems like a daily basis. They also cost companies—in money and reputation. Indeed, cyber threats are among US CEOs’ top concerns, according to PwC’s 20th Global CEO Survey.

The pace of cyber breaches isn’t slowing. In part, we’re making it too easy for attackers. How? Employees fall for sophisticated phishing schemes, neglect to install security updates or use weak passwords. We are also doing more work on mobile devices, which tend not to be as well protected. And companies don’t always invest enough in cybersecurity or patch their systems promptly when problems are discovered.

The nature of cyber threats is also evolving. The self-propagating WannaCry attack, for instance, could infect a computer even if the user didn’t click on the link. Indeed, 2017 saw a number of major ransomware attacks that froze computer systems—keeping some companies offline for weeks.

Despite how pervasive the threats are, 44% of the 9,500 executives surveyed in PwC’s 2018 Global State of Information Security® Survey say they don’t have an overall information security strategy. That gives you a sense of how much work companies still need to do. Overseeing cyber risk is a huge challenge, but we have ideas for how directors can tackle cybersecurity head-on.

 

 

Challenge:

How can our board understand whether management’s cybersecurity and IT program reduces the risk of a major cyberattack or data breach—or actually makes the company more vulnerable?

 

Many directors are not confident that management has a handle on cyber threats. PwC’s 2017 Annual Corporate Directors Survey found that only 39% of directors are very comfortable that their company has identified its most valuable and sensitive digital assets. And a quarter had little or no faith at all that their company has identified who might attack.

There are obviously many moving parts that management needs to get right. Many companies align their programs and investments with a cybersecurity framework to help ensure they’re addressing everything they should.

For a board to oversee cyber risks effectively, it needs the right information on how the company addresses those risks. But 63% of directors say they’re not very comfortable that their company is providing the board with adequate cybersecurity metrics. [1]

Boards also shortchange the time they give to discussing cyber risks. We often see board agendas allocate relatively little time to the topic.

Another part of the challenge is that few boards have directors with current technology or cybersecurity expertise. And that puts directors at a disadvantage in being able to figure out if management is doing enough to address this area of significant risk.

 

Why does cybersecurity often break down in companies?

 

Common issues Why they matter
There’s no inventory of the company’s digital assets Companies can’t protect assets they don’t know about. Management should be able to explain what information and data they hold, why it’s needed, where it is (within the company’s systems or with third parties) and whether it’s properly protected. They should also know which data is most valuable (the crown jewels).
The company doesn’t know which third parties it digitally connects with A company may interact—and even share sensitive information—with thousands of suppliers and contractors. Hackers often target these third parties as a way to get into a company’s network. Yet more than half of companies don’t keep a comprehensive inventory of the third parties they share sensitive information with. [2]
The company hasn’t identified who is most likely to come after its data Knowing who might attack helps the company better anticipate how they might attack. That in turn may help the company put up better defenses.
The company has poor cyber hygiene Systems that aren’t properly configured are more vulnerable to attacks. So companies should employ leading practices, like multi-factor authentication, to protect highly sensitive information. They also need to do the basics right—like removing access on a timely basis for people who leave the company or change jobs.
The company hasn’t patched known system vulnerabilities System vulnerabilities are being uncovered constantly. But not all software companies push out patches to users. So the company needs to ensure someone regularly monitors to see if patch updates are available. And then make sure those fixes get made.
The company has a wide attack surface Providing more ways to access company systems makes things easier for employees, customers and third parties. And for hackers. So companies need stronger controls (such as multi-factor authentication). And they need to increase their monitoring for suspicious activity.
Employees aren’t trained on their role in security Current employees are the top source of security incidents—whether intentional or not. [3] Yet only half (52%) of executives say their company has an employee security awareness training program. [4]
Cybersecurity is viewed as the CISO’s responsibility A chief information security officer (CISO) can’t do the job alone. Other groups like Infrastructure or Operations need to cooperate and provide resources to address cyber issues.

Board action:

Focus on getting the right information and building relationships with the company’s tech and security leaders so you get a better sense of whether management is doing enough

 

 

This is a really tough area to oversee. Here are a number of questions to help as you address it.

1. Since cybersecurity is really a business issue, should the full board oversee it?

Half of directors say their audit committee is responsible for cyber risk, and 16% give it to either a separate risk committee or a separate IT committee. Only 30% say it’s a full board responsibility. [5] If the full board doesn’t want to oversee cyber risk, ensure that, at a minimum, whichever committee is assigned the responsibility provides regular and comprehensive reporting up to the whole board. And consider moving it from the already overloaded audit committee to another board committee.

2. Does our board need greater cybersecurity or technology expertise?

For some companies, the answer will be to recruit a director with serious expertise in cybersecurity. But others won’t choose to close their skill gap by adding a new director. People with these skills are hard to find, especially since the technology landscape is changing so quickly. Some boards may not have room to add another member. Others may not want to add someone with such specific expertise unless they’re confident that person could handle other board matters as well. So instead they look for other ways to address any gap, including continuing education and using outside advisors.

3. Is everyone in the room who needs to be?

The cybersecurity discussion should include business, technology and risk management leaders—as well as the CEO and CFO. Why? For one, it reinforces that cyber is an enterprise-wide issue—and that directors expect everyone to be accountable for managing the risk. The discussion also may expose other areas where there are security gaps. For example, while a CISO will often cover IT, many industrial organizations also need to protect OT—the operational technology that directs what happens in physical plants or processes. So if the CISO isn’t covering OT, the board needs to hear from whoever is.

4. Do we have the information we need to oversee cyber risk?

First, consider whether you have the basic information you need on the company’s IT environment. Without this background, it’s tough to make sense of the level of risk the company faces. There are a few key areas:

The nature of the company’s systems.

Are they developed in-house, purchased and customized or in the cloud?

Are any no longer supported by vendors?

Is the company running multiple versions of key systems in different divisions?

To what extent has the company integrated the systems of companies it acquired?

The security resources.

Where does IT security report?

What are IT security’s resources and budget? How do they compare to industry benchmarks?

Has the company adopted a cybersecurity framework (e.g., NIST, ISO 27001)?

This type of basic information doesn’t change much, so directors likely only need periodic refreshers.

On the other hand, directors will want more frequent reporting on what does change. Each company needs to figure out which items—quantitative and qualitative—are most relevant. It’s also helpful for directors to see whether management believes cyber risk is increasing, stable or decreasing.

A good dashboard gives directors an at-a-glance understanding of the state of the company’s cyber risk. There are a number of different approaches to assembling a dashboard. One is to simply classify issues between external and internal factors, like the example we show below.

If boards sense the dashboard isn’t giving a complete or accurate picture, they shouldn’t be afraid to challenge what’s presented in it. Read more to find out how.

 

Example of what a dashboard might look like

 

5. Have we built a relationship that allows the CISO to be candid with us?

The CISO has a lot of responsibility but doesn’t always have the authority to insist that other technology and business leaders fall in line. A strong relationship with the board helps the CISO feel comfortable giving directors the true picture (warts and all) of cyber risks, including his or her views on whether resources are adequate. Periodic private sessions with the CISO are a key part of understanding whether the company is doing enough to manage these risks.

6. How can we know whether the controls and processes designed to prevent data breaches are working?

Speaking to objective groups, such as internal audit, can offer the board different perspectives. The board may also want to hire its own outside consultants to periodically review the state of cybersecurity at the company and report back to the board.

 How can directors improve their knowledge of cybersecurity?

Hold deep-dive discussions about the company’s situation. That could include the company’s cybersecurity strategy, the types of cyber threats facing the company and the nature of the company’s “crown jewels.”

Attend external programs. There are a number of conferences that focus on the oversight of cyber risk.

Ask management what it has learned from connecting with peers and industry groups.

Ask law enforcement (e.g., the FBI) and other experts to present on the threat environment, attack trends and common vulnerabilities. Then discuss with management how the company is addressing these developments.

Challenge:

Given that companies are under constant attack, how can directors understand whether their company is adequately prepared to handle a breach?

 

No company is immune to the threat of a breach. One particularly scary aspect of cybersecurity is that companies may only know they’ve been breached when an outside party, such as the FBI, notifies them. Then there’s the question of what the company needs to do once it discovers a breach. Obviously it needs to investigate and patch its systems. But there’s much more.

Nearly all US states and many countries have laws requiring entities to notify individuals when there’s been a security breach involving personally identifiable information. These laws often set a deadline for notification—sometimes as short as 72 hours. The data breach notification laws change from time to time, making it a challenge to keep up to date. Separately, companies should also consider any potential SEC disclosure requirements regarding cyber risks and incidents.

Breaches can mean significant fines from regulatory agencies, as well as class-action lawsuits. They can also damage a company’s reputation and brand—resulting in loss of customers, as well as investors possibly losing confidence in the company. And as we have seen with some breaches, senior executives can lose their jobs.

Breaches also mean more costs to companies—to investigate, remediate and compensate those who were harmed. Only half of US companies have cyber insurance, [6] despite the growing number and size of incidents. In part, there’s still some skepticism on how claims will be covered.

Given how likely a breach is and how much companies need to do to respond, it’s surprising that 54% of executives say their companies don’t have an incident response plan. [7] Yet companies that responded well to a breach—thanks to better preparation—usually come out of the crisis better than those that had to scramble.

 

Board action:

Regularly review the breach and crisis management plan and lessons learned from management’s testing

 

It’s important to ask management about the company’s cyber incident response and crisis management plan on a regular basis. If there isn’t one, press management for a timeline to develop and test one.

If there is a plan, discuss what it entails and how the company intends to continue operating in the event of a disruptive attack. It should also identify everyone who needs to be involved, which could include the communications team, finance leaders, business leaders, legal counsel and the broader crisis response team, as well as IT specialists. The plan should specify which external resources are on retainer to support the internal teams. And who the company will work with on the law enforcement side.

A key part of the plan should cover breach notification and escalation procedures. When will the board be notified? What is the company’s plan to inform regulators? How and when will other stakeholders—including individuals whose personal information may have been lost—be informed?

Also ask management about plan testing and what changes were made as a result of the last test. Some directors even observe or participate in tabletop testing exercises to get a better appreciation for how management plans to address a cyber crisis.

Finally, have management explain if it has updated controls or recovery plans based on recent incidents at other organizations.

 

In conclusion…

 

As cyber threats persist, boards recognize they need to step up their cyber risk oversight. That starts when directors recognize that the responsibility for handling cyber risk goes well beyond the CISO. How? By insisting that cybersecurity be a business discussion, with the right senior executives in the room and a sophisticated understanding of the threats.

 

____________________________________________________________

Endnotes

1PwC, 2017 Annual Corporate Directors Survey, October 2017.(go back)

2Ponemon Institute, Data Risk in the Third-Party Ecosystem, September 28, 2017.(go back)

3PwC, Global State of Information Security® Survey 2018, October 2017.(go back)

4Ibid.(go back)

5PwC, 2017 Annual Corporate Directors Survey, October 2017.(go back)

6Insurance Journal, “Why 27% of U.S. Firms Have No Plans to Buy Cyber Insurance”, May 31, 2017; http://www.insurancejournal.com/news/national/2017/05/31/452647.htm(go back)

7PwC, Global State of Information Security® Survey 2018, October 2017.(go back)

_______________________________________________

*Paula Loop is Leader at the Governance Insights Center, Catherine Bromilow is Partner at the Governance Insights Center, and Sean Joyce is US Cybersecurity and Privacy Leader at PricewaterhouseCoopers LLP. This post is based on a PwC publication by Ms. Loop, Ms. Bromilow, and Mr. Joyce.

Compte rendu hebdomadaire de la Harvard Law School Forum on Corporate Governance | 8 juin 2017


Voici le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 8 juin 2017.

J’ai relevé les principaux billets, tout en me limitant au Top 1o.

Bonne lecture !

 

Résultats de recherche d'images pour « harvard law school forum on corporate governance »

 

Résultats de recherche d'images pour « harvard law school forum on corporate governance »

 

 

  1. Decreasing Patience for IPOs with Poor Shareholder Rights
  2. Appraisal Decision Sole Reliance on Merger Price: PetSmart
  3. The Role of Social Capital in Corporations: A Review
  4. On Long-Tenured Independent Directors
  5. Why Your Board Should Refocus on Key Risks
  6. The Limits of Gatekeeper Liability
  7. The Long Game: Incentive Pay Aims at Generating Lasting Return
  8. The Corporate Demand for External Connectivity: Pricing Boardroom Social Capital
  9. Criticism of Governance Provisions in Proxy Contest Leads to Reincorporation
  10. Retired or Fired: How Can Investors Tell If the CEO Left Voluntarily?

 

Pourquoi une société choisirait-elle de remplacer son PDG par un membre du CA ?


Lorsqu’un PDG d’une grande entreprise démissionne ou se retire, l’organisation se retrouve souvent en mode de gestion de crise. C’est alors que certains CA optent pour la nomination d’un de leurs membres comme premier dirigeant, pour une période plus ou moins longue ! C’est l’objet de l’étude du professeur Larker.

Le nouveau PDG connaît déjà très bien l’organisation et, puisqu’il n’est pas membre du cercle fermé des hauts dirigeants, il est bien placé pour orchestrer les changements nécessaires ou pour poursuivre une stratégie qui s’était avérée efficace.

L’étude effectuée montre que sur les entreprises du Fortune 1000, 58 étaient dirigées par un ex-administrateur. Les deux tiers des cas étaient liés à une démission soudaine du PDG. Seulement, un tiers des nouveaux PDG avait fait l’objet d’une succession planifiée.

Résultats de recherche d'images pour « CEO and board »

Également, l’étude révèle que 64 % des administrateurs nommés comme PDG l’étaient à la suite d’un problème de performance.

Il appert que les nominations se font très rapidement, souvent le même jour de la démission du PDG. Les nominations se font par intérim dans 45 % des cas, et permanente dans 55 % des cas, ce qui est un peu surprenant étant donné que l’engagement se fait sans les formalités de recrutement habituelles.

Enfin, il ressort de cela que les administrateurs nommés restent en fonction seulement 3,3 ans, comparativement à 8 ans pour les PDG des grandes sociétés du Fortune 1000.

Enfin, les deux tiers des administrateurs nommés avaient une expérience de PDG dans une autre entreprise auparavant. La performance de ces nouveaux administrateurs nommés n’est pas jugée supérieure.

Je vous invite à lire cet article si vous souhaitez avoir plus de détails.

Bonne lecture !

 

From Boardroom to C-Suite: Why Would a Company Pick a Current Director as CEO?

 

 

We recently published a paper on SSRN (From Boardroom to C-Suite: Why Would a Company Pick a Current Director as Its CEO?) that explores situations in which companies appoint a non-executive director from the board as CEO.

Many observers consider the most important responsibility of the board of directors its responsibility to hire and fire the CEO. To this end, an interesting situation arises when a CEO resigns and the board chooses neither an internal nor external candidate, but a current board member as successor.

Résultats de recherche d'images pour « CEO and board »

Why would a company make such a decision? The benefit of appointing a current director to the CEO position is that the director can act as a hybrid “inside-outside” CEO. He or she is likely well versed in all aspects of the company, including strategy, business model, and risk-management practices. A current director likely also has personal relationships with the executive team and fellow board members, making it easier to determine cultural fit prior to hiring. At the same time, this individual is not a member of the current senior management team, and therefore has greater freedom to make organizational changes if needed. On the other hand, appointing a current director as CEO has potential drawbacks. The most obvious of these is that it signals a lack of preparedness on the company’s part to groom internal talent.

To understand the circumstances in which a company appoints a current board member as CEO, we conducted a search of CEO successions among Fortune 1000 companies between 2005 and 2016 and identified 58 instances where a non-executive (outside) director became CEO. Some companies made this decision more than once during the measurement period, and so our final sample includes 58 directors-turned-CEO at 50 companies.

Most director-turned-CEO appointments occur following a sudden resignation of the outgoing CEO. Over two-thirds (69 percent) follow a sudden resignation; whereas only one-third (31 percent) appear to be part of planned succession. Furthermore, director-turned-CEO appointments have an above average likelihood of following termination of a CEO for performance. Half (52 percent) of the outgoing CEOs in our sample resigned due to poor performance and an additional 12 percent resigned as part of a corporate-governance crisis, such as accounting restatement or ethical violation. That is, 64 percent of director-turned-CEO appointments followed a performance-driven turnover event compared to an estimated general market average of less than 40 percent.

Shareholders do not appear to be active drivers of these successions. In over three-quarter (78 percent) of the incidents in our sample, we failed to detect any significant press coverage of shareholder pressure for the outgoing CEO to resign. (This does not rule out the possibility that shareholders privately pressed the board of directors for change.) In 13 of 58 incidents (23 percent), a hedge fund, activist investor, or other major blockholder played a part in instigating the transition.

In most cases, companies name the director-turned-CEO as successor on the same day that the outgoing CEO resigns. In 91 percent of the incidents in our sample, the director was hired on the same day that the outgoing CEO stepped down; in only 9 percent of the incidents was there a gap between these announcements. When a gap did occur, the average number of days between the announcement of the resignation and the announcement of the successor was approximately four months (129 days). These situations included a mix of orderly successions and performance- or crisis-driven turnover.

The stock market reaction to the announcement of a director-turned-CEO is modest and not significantly different from zero. Because the outgoing CEO resignation tends to occur on the same day that the successor is named it is not clear how the market weighs the hiring decision of the director-turned-CEO relative to the news of the outgoing CEO resignation. In the small number of cases where the outgoing CEO resigned on a different date than the successor was appointed, we observe positive abnormal returns both to the resignation (2.4 percent) and to the succession (3.2 percent), suggesting that in these cases the market viewed these decisions favorably.

A large minority of director-turned-CEO appointments appear to be “emergency” appointments. In 45 percent of cases, directors were appointed CEO on an interim basis, although in a quarter of these the director was subsequently named permanent CEO. In the remaining 55 percent of cases, the director was named permanent CEO at the initial announcement date.

In terms of background, most directors-turned-CEO have significant experience with the company, with the industry, or as CEO of another company. Fifty-seven percent of directors-turned-CEO in our sample were recruited to the board during their predecessor’s tenure and served for an average of 6.9 years before being named CEO. Two-thirds (67 percent) had prior CEO experience at another company, and almost three-quarters (72 percent) had direct industry experience. Of note, only 9 percent had neither industry nor CEO experience.

Of note, directors-turned-CEO do not remain in the position very long, regardless of whether they are named permanently to the position or on an interim basis. We found that the directors-turned-CEO who served on an interim basis remained CEO for 174 days (just shy of 6 months) on average; directors permanently named to the CEO position remained CEO for only 3.3 years on average, compared to an average tenure of 8 years among all public company CEOs. It might be that their shorter tenure was driven by more challenging operating conditions at the time of their appointment, as indicated by the higher likelihood of performance-driven turnover preceding their tenure.

Finally, we do not find evidence that directors-turned-CEO exhibit above-average performance. Across our entire sample, we find slightly negative cumulative abnormal stock price returns (-2.3 percent) for companies who hire a director as CEO, relative to the S&P 500 Index. The results are similar when interim and permanent CEOs are evaluated separately. This suggests that the nature of the succession, rather than the choice of director as successor, is likely the more significant determinant of performance among these companies.

The complete paper is available for download here.

______________________________________

David Larcker is Professor of Accounting at Stanford Graduate School of Business. This post is based on a paper authored by Professor Larcker and Brian Tayan, Researcher with the Corporate Governance Research Initiative at Stanford Graduate School of Business.

Un guide utile pour bien évaluer les risques organisationnels | En reprise


Voici un article très intéressant sur l’évaluation des risques publié par H. Glen Jenkins* et paru dans Inside Counsel (IC) Magazine.

Il s’agit d’un bref exposé sur la notion de risques organisationnels et sur les principaux éléments qu’il faut considérer afin d’en faire une gestion efficace.

Je vous invite à prendre connaissance des autres publications sur le site de IC, notamment Evaluating and managing litigation risk.

Bonne lecture !

Risk assessment: A primer for corporate counsel

 

The scope of legal responsibilities for in-house counsel varies depending on the size and complexity of the company. For instance, an attorney located at corporate headquarters could be chiefly responsible for issues affecting the shared services that are available and used by corporate headquarters, as well as every business unit and division. And yet at other times, in-house counsel’s concerns may be restricted to matters affecting only the parent company or a specific liability issue faced by only one business unit.

 

risk management flow chart concept handwritten by businessman

In each instance, however, in-house counsel are generally concerned with specific legal tasks and proactive risk management.

What exactly does risk management mean, and what does it encompass? Furthermore, once the definition of risk management has been established and accepted by the company’s management team, how can in-house counsel efficiently and comprehensively assess all possible risks?

Merriam Webster’s dictionary defines risk as “the possibility that something bad or unpleasant will happen.” Whenever many of us in the accounting and legal profession hear the word “risk,” we inherently may succumb to the aforementioned particular negative connotation of risk. How many times have we heard the phrase, “Risk is a part of life,’ and how often have we associated those five words with an undesirable implication?”

 

Alternatively, A Positive View of Risk

Taking risks does not always have to be painstakingly negative. It is unlikely that many will disagree with the Institute of Risk Management’s (IRM) assertion that “avoiding all risk would result in no achievement, no progress and no reward.” This statement undoubtedly portrays a different perspective of risk, indicating the potential of a positive outcome.

IRM goes on to define risk as “the combination of the probability of an event and its consequence. Consequences can range from positive and negative.”

Therein lies the basic premise of risk management. If the consequences of risk can be both positive and negative, it would seem only prudent to try and effectively manage risk to have the highest probability of a positive outcome.

Applying IRM’s definition of risk, together with the premise that avoiding all risk would result in no achievement, no progress and no reward, we intrinsically recognize that not all risks are bad and not all risks are to be avoided.

Over the course of three successive articles on risk, we will take a closer look at how in-house counsel works with internal and external resources to help identify, evaluate and categorize risk.

 Risk Assessment: The Starting Point for Successful Risk Management

Risk assessment is the identification, analysis and evaluation of risks involved in a given situation. Risk assessment also implies a comparison against benchmarks or standards, and the determination of an acceptable level of risk. The evaluation of risks should also provide management with a remediation or control for the identified hazard.

The word “risk” alone without any context is a vague and ill-defined term. There is safety risk, country risk, political risk, health risk and the ongoing list is virtually boundless and it is next to impossible to comprehensively assess all possible risks.

According to Tori Silas, privacy officer and senior counsel with Cox Enterprises, Inc., Cox uses the external resources of multinational accounting and advisory companies to assist with its risk assessments. Using best practices they have developed by analyzing business processes and assessing risk for companies on a global level, these organizations assist in the identification of risks in particular areas of the business, and provide a framework within which to rate risks and prioritize remediation efforts associated with those risks.

Assessment Begins with Knowing Who Decides Acceptable Levels of Risk

As an example of financial risk, according to a Tulane University study, the chances of getting hit by an asteroid or comet are 1,000 times greater than winning a jackpot mega millions lottery. Yet, some have accepted that level of risk and will habitually trade their money to play the lottery rather than investing their money or capital in an endeavor that has a much higher probability of building wealth. Whether right or wrong, a good or bad decision, those who make the choice of playing the lottery have intrinsically accepted the financial risk of losing their money in lieu of the near impossible odds to reap a grand reward.

No matter our opinion of playing the lottery, I think we would all agree that it would be highly unlikely to find a pragmatic business executive allotting some portion the company’s wealth and assets to invest in lottery tickets. But why not? Who decides the parameters of acceptable levels of risk for a business and against what benchmarks are those decisions made?

The business owners, board of directors and executive management define the business objectives, and establish the risk appetite and risk tolerances that are to be contemplated on an overall basis by management when making decisions and evaluating options and alternatives. Together they establish a system of rules, practices and processes by which their company is directed and controlled. This concept is often referred to as corporate governance. Businesses of all sizes embrace this concept, but small businesses may cloak this concept within the singular frame of mind of its ownership’s values, ideologies, philosophies, beliefs and individual business principles.

As the privacy officer for Cox Enterprises, Silas strives to make certain the employees of their consumer facing companies are aware of Cox’s obligations regarding data privacy and that they are appropriately trained to identify and mitigate risk related to and to protect any private consumer data they may have collected.

Corporate Governance

Since the purpose of a risk assessment is the identification, analysis, and evaluation of risks that could adversely impact the business meeting its objectives, the process of conducting a risk assessment should be integrated into existing management processes. According to Silas, Cox Enterprises also utilizes its own internal audit services department to examine functional processes and identify opportunities to strengthen controls and mitigate risks. It is recommended that risk assessments should be conducted using a top-down approach beginning with the top level of the company and filtering its way down through each division and business unit.

For example, a company may have three divisions: manufacturing, marketing and finance. Each of those divisions may operate in four global sectors. Using a top-down approach the three top divisions would conduct a risk assessment and each subdivision that is located in each global sector would conduct their own risk assessment. The top-down approach would then be complimented by bottom-up process where the risk assessments are sent up the business chain, gathered and compiled into an integrated risk assessment matrix.

Ten Tips for Conducting an Effective Risk Assessment

In quick summary, here are ten additional tips for conducting an effective risk assessment:

  1. Create, plan and conduct a formal risk assessment;
  2. Define the context and objectives of the risk assessment;
  3. Define and understand the organizations acceptable risk tolerance;
  4. Bring together the best team to conduct the risk assessment;
  5. Employ the best risk assessment techniques for the situation;
  6. Understand control measures to mitigate risk;
  7. Be objective and impartial conducting the risk assessment;
  8. Identify the environment that is conducive to risks;
  9. Identify who could be harmed; and
  10. Review, revisit and re-perform the risk assessment.

Gestion des risques liés aux tierces parties | Deloitte


Comment votre organisation peut-elle mieux contrôler les risques liés à ses tiers ? C’est ce que vous apprend ce document de Deloitte dans un numéro du bulletin « À l’ordre du jour du conseil ».

Encore récemment, le risque lié aux fournisseurs se limitait pour ainsi dire à la qualité des produits ou des matières premières fournies ou à la possibilité qu’un fournisseur ne respecte pas ses engagements d’approvisionnement et perturbe ainsi la production. Aujourd’hui, les entreprises sont de plus en plus tenues responsables du comportement de leurs fournisseurs, que ce soit en ce qui a trait aux pratiques en matière de santé, de sécurité et d’environnement, au respect des lois sur le travail et autres règlements, à l’utilisation de la propriété intellectuelle, à l’approvisionnement en matières premières, à la corruption et plus encore. Et comme les clients ne font pas de différence entre une organisation et ses fournisseurs, les actions de tiers peuvent également nuire à la réputation de l’organisation ou à la confiance de ses clients.

Voici un aperçu de ce document, notamment les questions que les administrateurs devraient se poser eu égard aux risques reliés aux entités tierces. On y présente également le point de vue de José Écio Pereira, administrateur de compagnie et associé retraité de Deloitte.

Bonne lecture !

Gestion du risque de l’entreprise étendue

Le risque lié aux entités tierces

L’usine d’un fournisseur s’effondre, faisant des centaines de victimes parmi les travailleurs, dont certains sont des enfants. Des milliers de fichiers contenant des données sur les cartes de crédit de clients et d’autres renseignements financiers confidentiels font l’objet de piratage d’un tiers autorisé à accéder au réseau de l’entreprise. Un fournisseur a utilisé des matériaux contaminés et une vaste campagne de rappel visant certains produits doit être lancée.

Encore récemment, le risque lié aux fournisseurs se limitait pour ainsi dire à la qualité des produits ou des matières premières fournis ou à la possibilité qu’un fournisseur ne respecte pas ses engagements d’approvisionnement et perturbe ainsi la production.

 

Gestion-des-risques

 

De nos jours, des lois comme la Foreign Corrupt Practices Act aux États-Unis, la Bribery Act au Royaume-Uni et d’autres encore font en sorte que les entreprises sont de plus en plus souvent tenues responsables des agissements de leurs fournisseurs. De même, les clients ne distinguent pas toujours une entreprise de ses fournisseurs. Pour eux, l’entreprise est celle qui leur fournit une solution ; s’il survient un problème, c’est elle qu’ils tiennent responsable, et c’est donc sa réputation qui est en péril. C’est pourquoi les entreprises doivent maintenant élargir leur surveillance des risques à l’entreprise étendue1 et observer chez leurs tiers fournisseurs les pratiques de santé, de sécurité et d’environnement, le respect des lois sur le travail et autres règlements, l’utilisation de la propriété intellectuelle, l’approvisionnement en matières premières, la corruption et plus encore.

Questions que les administrateurs devraient poser

(1) Notre entreprise a-t-elle évalué de manière exhaustive son risque lié aux tiers et, si c’est le cas, quelles en sont les composantes les plus déterminantes pour l’entreprise à l’heure actuelle ?

(2) Quels sont les tiers susceptibles d’entraver le plus gravement la capacité de l’entreprise à atteindre ses buts et objectifs stratégiques ?

(3) Que faisons-nous pour gérer et surveiller de manière proactive le risque et son évolution au sein de notre entreprise étendue ? Quels outils de gestion du risque utilisons-nous ?

(4) Qui est responsable de la gestion du risque lié aux tiers dans notre entreprise ?

(5) À quelle fréquence la direction informe-t-elle le conseil d’administration de son évaluation des risques de tiers et du processus mis en place pour atténuer ces risques ? Cette information est-elle suffisamment détaillée et présentée en temps opportun ?

Le point de vue d’un administrateur

José Écio Pereira est membre des conseils d’administration de Votorantim Cimentos, Fibria et Gafisa et a été membre du conseil de BRMalls ; il préside également le comité d’audit de Votorantim Cimentos et de Gafisa. Il est le propriétaire fondateur de JEPereira Consultoria em Gestão de Negócios et a été associé, maintenant à la retraite, de Deloitte Brésil.

Le risque lié aux entités tierces figure-t-il à l’ordre du jour des conseils d’administration ?

Les conseils dont je connais le fonctionnement effectuent une évaluation du risque tous les trois ou quatre mois. Le risque lié aux entités tierces à proprement parler n’est pas un point distinct à l’ordre du jour, mais nous l’abordons dans notre analyse des risques. Ceci dit, il est clair que de nos jours, les conseils accordent plus d’attention au risque lié aux tiers qu’il y a à peine deux ans. Au Brésil, c’est principalement à cause de la loi anticorruption (Clean Company Act) de 2014. En vertu de cette loi, les entreprises peuvent être tenues responsables des activités illégales ou de la conduite contraire à l’éthique de leurs tiers fournisseurs.

Depuis que cette loi est en vigueur, les administrateurs examinent de beaucoup plus près les risques associés aux tiers fournisseurs des entreprises qu’ils supervisent. Ils examinent les pratiques de leurs fournisseurs en matière de conditions de travail, de normes pour les employés, de mesures de santé et de sécurité et d’autres facteurs pour s’assurer que tous respectent les normes de l’entreprise qui a fait appel à eux. La santé financière des fournisseurs est un autre paramètre fort important, surtout au vu de la situation économique actuelle au Brésil. Les entreprises veulent être sûres que leurs fournisseurs paient leurs impôts et respectent leurs obligations juridiques, en particulier dans leurs relations avec leurs employés, et qu’ils seront à même de poursuivre leur exploitation.

Les administrateurs examinent-ils les relations avec des tiers dans le contexte du cyberrisque ?

Je pense que les entreprises dont les systèmes sont connectés avec ceux de tiers fournisseurs à des fins d’approvisionnement ou de logistique sont conscientes de l’existence du cyberrisque et prennent les mesures nécessaires pour s’en prémunir. Mais ces mesures sont généralement liées aux échanges de produits et de services.

Dans une perspective plus vaste, je dirais que la plupart des entreprises ne disposent pas de systèmes d’information appropriés pour gérer leurs relations avec des tiers. Les systèmes de la plupart des entreprises ne sont pas assez sophistiqués pour se connecter aux systèmes des fournisseurs ; les entreprises ont recours à divers outils pour gérer leurs relations avec des tiers et souvent, ces outils ne sont pas très bien intégrés entre eux. Les relations sont par exemple gérées à l’aide de plusieurs systèmes, y compris des chiffriers et des outils manuels qui ne sont pas du tout conçus pour cet usage.

À qui devrait revenir la responsabilité des tiers fournisseurs ?

Le conseil d’administration doit jouer un rôle de supervision et faire en sorte que les cadres supérieurs disposent d’un processus de gestion du risque lié aux tiers.

Au Brésil, c’est souvent le service de l’approvisionnement qui reste responsable des problèmes opérationnels et qui vérifie que les produits et les services sont bien fournis selon les modalités du contrat conclu avec le tiers fournisseur. De plus, nombre d’entreprises mettent aussi sur pied une fonction particulière chargée de la gestion des contrats conclus avec des tiers. La plupart des entreprises brésiliennes entretiennent plusieurs relations avec des tiers : services alimentaires, sécurité, transports, fabrication. Toutes sont essentielles au fonctionnement d’une entreprise au quotidien. Les entreprises sont donc nombreuses à affecter davantage de ressources à la gestion efficace des contrats.

Certaines entreprises surveillent constamment leurs fournisseurs pour s’assurer que les contrats sont observés à la lettre. Bon nombre exigent que leurs fournisseurs autoévaluent leur conformité contractuelle, en plus d’effectuer des audits périodiques et d’autres tests afin de vérifier le respect des contrats. Toutes ces mesures représentent un travail colossal et parfois, il faut y consacrer une fonction administrative particulière.

Je vais vous relater un exemple authentique. L’une des sociétés avec lesquelles je collabore est en train de construire de nouvelles installations de grande envergure. C’est un investissement de près de 2 milliards de dollars américains, et c’est un projet d’environ : 18 mois. À l’heure actuelle, la construction vient juste de commencer. Plusieurs fournisseurs y travaillent, que ce soit pour la sécurité du chantier ou pour l’approvisionnement en matériel ou son installation.

L’entreprise a mis sur pied un comité directeur de projet qui comprend entre autres des membres de l’équipe de direction. Ce comité se réunit au moins une fois tous les : 15 jours, et les relations avec les fournisseurs reviennent justement sans cesse à son ordre du jour. C’est beaucoup plus qu’une question de diligence raisonnable ; le comité procède aussi au suivi constant des tiers fournisseurs.

Le comité directeur présente chaque mois au conseil l’état d’avancement du projet. Le rapport d’avancement consigne tout ce qui a trait aux tiers fournisseurs : le défaut de verser les retenues sur salaires des employés, de payer des impôts fonciers ou des avantages sociaux, la violation des règles de santé et de sécurité sur le chantier, aussi bien que les problèmes opérationnels comme le non-respect des échéances par un fournisseur ou la qualité insuffisante des services qu’il a rendus. Lorsque des problèmes surgissent, le comité de projet les reporte sur la « carte du risque » du projet, et la direction prend les mesures de suivi nécessaires, y compris l’application des pénalités contractuelles, le cas échéant.

Les entreprises devraient-elles aussi définir leurs propres normes déontologiques à l’endroit des tiers fournisseurs ?

Après l’entrée en vigueur de la loi brésilienne anticorruption, la plupart des entreprises ont passé en revue leurs normes déontologiques et leur code de conduite ; l’une des grandes nouveautés, c’est qu’elles y ont ajouté des procédures et des règles qui s’adressent aux tiers fournisseurs.

Par le passé, toutes les activités encadrant les règles de déontologie, comme la formation et les ateliers, étaient entreprises dans une perspective interne. Les normes s’appliquaient au personnel de l’entreprise, mais ne dépassaient pas les limites de celle-ci pour viser également les fournisseurs externes. Maintenant, la portée s’est élargie et les règles régissant les employés, les mesures de santé et de sécurité, les conditions de travail, l’obéissance aux lois, etc., englobent aussi les tiers fournisseurs. Les entreprises ont également étendu leurs programmes de formation et invitent leurs fournisseurs à leurs séminaires et ateliers où seront expliqués les règles et les processus de surveillance.

Est-ce le temps de créer un conseil consultatif ?


Assez régulièrement, je cède la parole à Johanne Bouchard* qui agit à titre d’auteure invitée sur mon blogue en gouvernance. L’auteure a une solide expérience d’interventions de consultation auprès de conseils d’administration de sociétés américaines et d’accompagnements auprès de hauts dirigeants de sociétés publiques. Dans ce billet, elle présente plusieurs considérations importantes liées à la création d’un conseil consultatif.L’auteure décrit le travail préparatoire à la constitution de ce groupe de conseillers, triés sur le volet.

Ce type de structure, moins formelle, peut revêtir un caractère stratégique incontournable dans le cas de jeunes entreprises en croissance qui n’ont pas encore un conseil d’administration.

Mais toutes les entreprises peuvent se doter d’un groupe sélect d’experts que le premier dirigeant peut consulter à intervalle régulier.

Bonne lecture ! Vos commentaires sont les bienvenus.

Est-ce le temps de créer un conseil consultatif ?

par

Johanne Bouchard

 

Formation d’un conseil consultatif : Est-il temps?

 

Aucune entreprise n’est trop petite pour bénéficier d’un solide groupe de conseillers. Mais quand, comment et pourquoi une entreprise devrait-elle considérer la formation d’un tel conseil consultatif ?

On peut voir le conseil consultatif comme un laboratoire d’idées pour la direction, à la fois comme rôle conseil, comme source d’idées nouvelles et comme source d’une honnête rétroaction. Le conseil consultatif devrait être composé de gens qui ont un véritable intérêt pour l’entreprise et qui désirent contribuer à sa réussite. Ce sont des conseillers externes expérimentés agissant dans le prolongement de la direction en place, et souvent du conseil d’administration.

Il est temps de penser à former un conseil consultatif lorsque la croissance de l’entreprise justifie le soutien d’un groupe formel d’alliés au chef de la direction/entrepreneur de l’entreprise, ou au directeur général d’un organisme à but non lucratif (ci-après appelé le « leader »), dans le but d’échanger des idées, de discuter des priorités de développement, de revoir la gamme des produits, de faire des remue-méninges sur la stratégie ou de discuter de problèmes urgents.

Il ne faut pas prendre le recrutement des membres du conseil consultatif à la légère. Il est important pour le leader d’examiner les opportunités et les menaces auxquelles l’entreprise est confrontée, et d’évaluer les qualités qui pourraient le mieux compléter ses propres forces et faiblesses afin de mieux servir les besoins de l’organisation. Réfléchissez aux activités pour lesquelles vous avez besoin d’aide extérieure pour le fonctionnement, la croissance, l’innovation, le financement, les options d’investissement stratégique, la stratégie de marché, le leadership et les ressources humaines, pour n’en mentionner que quelques-unes. Une fois que la charte du conseil consultatif est clairement établie, il est temps d’arrêter le nombre de ses membres ainsi que leurs rôles et attributs clés respectifs. Il est important de fixer des standards élevés afin d’attirer les gens de qualité.

Lorsque vous savez ce que vous voulez et avez défini le profil de chaque membre, il est temps de voir qui remplira le mieux chacun des rôles. On n’a pas besoin de beaucoup de personnes sur un conseil consultatif — deux ou trois individus suffisent dans le cas d’une petite entreprise. J’ai fait partie de grands conseils consultatifs de plus de quinze personnes et il n’est alors pas facile pour le leader de réellement et pleinement tirer le meilleur parti de tous les membres d’un conseil aussi nombreux.

Très souvent, les conseils consultatifs se limitent à des listes de noms importants, et, à mon avis, la valeur réelle réside dans le dévouement entier de chacun des membres, non dans la liste. Priorisez la qualité des membres plutôt que la quantité. Voyez si quelqu’un de votre réseau immédiat peut jouer un des rôles que vous avez définis. Si oui, faites une entrevue avec chaque membre potentiel, et précisez sans hésitation les demandes particulières que vous avez à leur égard — le pire qui peut vous arriver est qu’ils refusent de se joindre au conseil consultatif !

Si vous ne connaissez personne ayant le profil que vous avez défini, informez-vous auprès de votre réseau d’affaires et de votre conseil d’administration (si vous en avez un), pour des suggestions de personnes qui pourraient convenir. Pensez aux gestionnaires à la retraite et aux leaders chevronnés, experts du domaine et spécialistes renommés de même qu’à une ou deux personnes qui pourraient éventuellement devenir des candidats pour votre conseil d’administration.

Il est aussi bon de considérer le recrutement d’un client prestigieux et d’un partenaire d’affaires à succès pour votre conseil consultatif lorsque vous devez évaluer quelques options stratégiques. Rappelez-vous que votre conseil consultatif doit vous appuyer et non vous nuire ! Entourez-vous de gens en qui vous avez confiance, qui ont vraiment votre entreprise à cœur et qui n’hésiteront pas à donner leurs points de vue, autant dans les situations de succès que dans les situations de grandes difficultés.

Afin de vous assurer que le leader optimise le succès actuel et futur de l’entreprise avec son conseil consultatif, il est impératif que chaque individu qui accepte de jouer un rôle dans le conseil n’ait pas une trop lourde charge de travail. Il n’est pas rare que les personnes retenues aient mal évalué l’ampleur des exigences liées à leurs engagements.

Les membres du conseil consultatif devraient s’attendre à vous rencontrer en groupe sur une base trimestrielle, et certains d’entre eux devraient être prêts à interagir avec vous sur une base plus régulière pour réagir à certaines idées, pour vous conseiller et pour faciliter les présentations. Préparez-vous à chaque rencontre du conseil consultatif en faisant une planification efficace, en préparant un ordre du jour réaliste et en distribuant tous les documents nécessaires à l’avance.

Rappelez-vous que, contrairement aux conseils d’administration, les conseils consultatifs n’ont aucune obligation ou responsabilité légale ou fiduciaire envers l’entreprise, ses propriétaires et ses investisseurs. Bien que plusieurs membres de conseil consultatif donnent gratuitement de leur temps, dans certaines circonstances, ils devraient recevoir une compensation financière pour leur présence à chaque rencontre. Même si la rémunération n’a pas besoin d’être très élevée, elle devrait être juste. Finalement, tout comme pour les membres du conseil d’administration, vous devriez évaluer leur performance sur une base annuelle.

Permettez-moi de conclure avec un exercice à faire lorsque vous pensez à constituer un conseil consultatif :

Notez vos forces comme leader ainsi que les domaines dans lesquels une amélioration serait souhaitable;

Décrivez les forces et les faiblesses de votre équipe de direction eu égard à son expérience;

Notez les domaines qui représentent les plus grands défis de votre entreprise et les problèmes pour lesquels vous aimeriez le plus avoir de l’aide;

Identifiez la personne de votre réseau qui a le plus d’expérience dans votre industrie (ou dans les secteurs que vous visez stratégiquement);

Identifiez qui peut le mieux vous aider à réfléchir aux perspectives d’avenir de votre entreprise, plutôt que de simplement régler des problèmes;

Identifiez qui a le meilleur réseau d’affaires lié à vos activités, et qui est prêt à le partager pour vous aider;

Déterminez comment le conseil consultatif pourrait compléter le travail de votre conseil d’administration (si vous en avez un). Qui serait susceptible d’en être membre ?

Soyez attentif afin d’éviter toute confusion possible : établissez clairement les limites entre les activités du conseil consultatif et celles du conseil d’administration. Pensez à « consultatif » comme « conseiller » dans des secteurs hautement stratégiques et comme « coach personnel ».

______________________________

*Johanne Bouchard est consultante auprès de conseils d’administration, de chefs de la direction et de comités de direction. Johanne a développé une expertise au niveau de la dynamique et la de composition d’un conseil d’administration. Après l’obtention de son diplôme d’ingénieure en informatique, sa carrière l’a menée à œuvrer dans tous les domaines du secteur de la technologie, du marketing et de la stratégie à l’échelle mondiale.

Pour en connaître plus sur le site de Johanne Bouchard

Gestion des risques informatiques en rappel | Les administrateurs doivent poser les bonnes questions !


Voici le résumé d’un article paru dans le Wall Street Journal le 21 juillet 2015, basé sur un billet de NACD In The News*.

Les administrateurs doivent être au fait de la situation de l’entreprise eu égard à la sécurité informatique. Cependant, la plupart des administrateurs ne savent pas trop comment s’y prendre pour s’assurer qu’ils s’acquittent de leurs responsabilités.

L’article propose six questions que les administrateurs devraient poser à l’équipe de la sécurité informatique de l’entreprise afin de mieux saisir la problématique de la sécurité cyber informatique.

Ces questions ne couvrent certainement pas tous les angles mais elles ont l’avantage de contribuer à une meilleure connaissance, partagée par tous les administrateurs.

Les questions suggérées sont vraiment percutantes :

What was our most significant cybersecurity incident in the past quarter? What was our response?

What was our most significant near miss? How was it discovered?

How is the performance of the security team evaluated?

Do you have relationships with law enforcement, such as the FBI and Interpol?

Do you work with business leaders on due diligence of acquisition targets? With supply chain leaders on security protocols of vendors and other partners?

What process is in place to ensure you can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies?

               * Source: National Association of Corporate Directors (NACD)

Bonne lecture !

Cybersecurity: Boards Must Ask Sharper, Smarter Questions

Boards are trying to build more productive, transparent relationships with cybersecurity chiefs to decrease the risk of attack. But directors can by stymied by a lack of basic security knowledge.

New guidance from the National Association of Corporate Directors suggests asking more searching questions of chief information security officers, including how they measure their teams and technology and whether they have ongoing contacts with the Federal Bureau of Investigation and other law enforcement bodies that investigate attacks.

Former Thomson Reuters CEO Tom Glocer chairs Morgan Stanley’s technology committee. Philippe Lopez/AFP/Getty Images

The most common question directors ask of CISOs is whether their company is vulnerable to breaches similar to those at Target Corp., Anthem Inc. and the U.S. Office of Personnel Management, said Phil Ferraro, a former CISO at Las Vegas Sands Corp. who now consults with boards. But that approach is simplistic, he said. “Directors don’t understand that no security is ever perfect.”

More productive are conversations about how to decrease the risk of attack and the process for managing one when it occurs, Mr. Ferraro said. For example, the NACD suggests boards continuously ask about the most significant cybersecurity incident in the prior quarter and how the security team handled it, so that the discussion may lead to better practices.

Key Questions Directors Must Ask Cybersecurity Chiefs

  1. What was our most significant cybersecurity incident in the past quarter? What was our response?
  2. What was our most significant near miss? How was it discovered?
  3. How is the performance of the security team evaluated?
  4. Do you have relationships with law enforcement, such as the FBI and Interpol?
  5. Do you work with business leaders on due diligence of acquisition targets? With supply chain leaders on security protocols of vendors and other partners?
  6. What process is in place to ensure you can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies?

Still, there is no single set of questions directors can ask to uncover all cybersecurity weak spots, said Tom Glocer, a director at Morgan Stanley and Merck & Co. Inc., and the former CEO of Thomson Reuters Corp.

“My experience is that the horribly dangerous cyber threats are the ones you don’t even know about,” said Mr. Glocer, who chairs Morgan Stanley’s board-level technology committee.

But directors should engage CISOs in continuous discussion to let management know that the board “cares and is watching,” he said. Security is a regular agenda item at Morgan Stanley board meetings, discussed boardwide and in the risk and technology committees. Morgan Stanley is one of just 15 of the Fortune 100 with a formal technology committee at the board level.

At boards less versed in technology and cybersecurity, CISOs must often first educate directors about the range of potential security problems because many members “simply don’t know,” Mr. Ferraro said.

Just 11% of board members across industries say they have a “high level” of knowledge about the topic, according to a recent NACD survey of 1,034 directors.

An important check is for CISOs to talk with board members about developing a process to ensure they can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies, the NACD advised. “That’s something boards have got to pay attention to, because they’re on the line as much as management when something bad happens,”  Mr. Ferraro said.

Un guide utile pour bien évaluer les risques | En reprise


Voici un article très intéressant sur l’évaluation des risques publié par H. Glen Jenkins* et paru dans Inside Counsel (IC) Magazine.

Il s’agit d’un bref exposé sur la notion de risques organisationnels et sur les principaux éléments qu’il faut considérer afin d’en faire une gestion efficace.

Je vous invite à prendre connaissance des autres publications sur le site de IC, notamment Evaluating and managing litigation risk.

Bonne lecture !

Risk assessment: A primer for corporate counsel

 

The scope of legal responsibilities for in-house counsel varies depending on the size and complexity of the company. For instance, an attorney located at corporate headquarters could be chiefly responsible for issues affecting the shared services that are available and used by corporate headquarters, as well as every business unit and division. And yet at other times, in-house counsel’s concerns may be restricted to matters affecting only the parent company or a specific liability issue faced by only one business unit.

risk management flow chart concept handwritten by businessmanIn each instance, however, in-house counsel are generally concerned with specific legal tasks and proactive risk management.

What exactly does risk management mean, and what does it encompass? Furthermore, once the definition of risk management has been established and accepted by the company’s management team, how can in-house counsel efficiently and comprehensively assess all possible risks?

Merriam Webster’s dictionary defines risk as “the possibility that something bad or unpleasant will happen.” Whenever many of us in the accounting and legal profession hear the word “risk,” we inherently may succumb to the aforementioned particular negative connotation of risk. How many times have we heard the phrase, “Risk is a part of life,’ and how often have we associated those five words with an undesirable implication?”

 

Alternatively, A Positive View of Risk

Taking risks does not always have to be painstakingly negative. It is unlikely that many will disagree with the Institute of Risk Management’s (IRM) assertion that “avoiding all risk would result in no achievement, no progress and no reward.” This statement undoubtedly portrays a different perspective of risk, indicating the potential of a positive outcome.

IRM goes on to define risk as “the combination of the probability of an event and its consequence. Consequences can range from positive and negative.”

Therein lies the basic premise of risk management. If the consequences of risk can be both positive and negative, it would seem only prudent to try and effectively manage risk to have the highest probability of a positive outcome.

Applying IRM’s definition of risk, together with the premise that avoiding all risk would result in no achievement, no progress and no reward, we intrinsically recognize that not all risks are bad and not all risks are to be avoided.

Over the course of three successive articles on risk, we will take a closer look at how in-house counsel works with internal and external resources to help identify, evaluate and categorize risk.

 Risk Assessment: The Starting Point for Successful Risk Management

Risk assessment is the identification, analysis and evaluation of risks involved in a given situation. Risk assessment also implies a comparison against benchmarks or standards, and the determination of an acceptable level of risk. The evaluation of risks should also provide management with a remediation or control for the identified hazard.

The word “risk” alone without any context is a vague and ill-defined term. There is safety risk, country risk, political risk, health risk and the ongoing list is virtually boundless and it is next to impossible to comprehensively assess all possible risks.

According to Tori Silas, privacy officer and senior counsel with Cox Enterprises, Inc., Cox uses the external resources of multinational accounting and advisory companies to assist with its risk assessments. Using best practices they have developed by analyzing business processes and assessing risk for companies on a global level, these organizations assist in the identification of risks in particular areas of the business, and provide a framework within which to rate risks and prioritize remediation efforts associated with those risks.

Assessment Begins with Knowing Who Decides Acceptable Levels of Risk

As an example of financial risk, according to a Tulane University study, the chances of getting hit by an asteroid or comet are 1,000 times greater than winning a jackpot mega millions lottery. Yet, some have accepted that level of risk and will habitually trade their money to play the lottery rather than investing their money or capital in an endeavor that has a much higher probability of building wealth. Whether right or wrong, a good or bad decision, those who make the choice of playing the lottery have intrinsically accepted the financial risk of losing their money in lieu of the near impossible odds to reap a grand reward.

No matter our opinion of playing the lottery, I think we would all agree that it would be highly unlikely to find a pragmatic business executive allotting some portion the company’s wealth and assets to invest in lottery tickets. But why not? Who decides the parameters of acceptable levels of risk for a business and against what benchmarks are those decisions made?

The business owners, board of directors and executive management define the business objectives, and establish the risk appetite and risk tolerances that are to be contemplated on an overall basis by management when making decisions and evaluating options and alternatives. Together they establish a system of rules, practices and processes by which their company is directed and controlled. This concept is often referred to as corporate governance. Businesses of all sizes embrace this concept, but small businesses may cloak this concept within the singular frame of mind of its ownership’s values, ideologies, philosophies, beliefs and individual business principles.

As the privacy officer for Cox Enterprises, Silas strives to make certain the employees of their consumer facing companies are aware of Cox’s obligations regarding data privacy and that they are appropriately trained to identify and mitigate risk related to and to protect any private consumer data they may have collected.

Corporate Governance

Since the purpose of a risk assessment is the identification, analysis, and evaluation of risks that could adversely impact the business meeting its objectives, the process of conducting a risk assessment should be integrated into existing management processes. According to Silas, Cox Enterprises also utilizes its own internal audit services department to examine functional processes and identify opportunities to strengthen controls and mitigate risks. It is recommended that risk assessments should be conducted using a top-down approach beginning with the top level of the company and filtering its way down through each division and business unit.

For example, a company may have three divisions: manufacturing, marketing and finance. Each of those divisions may operate in four global sectors. Using a top-down approach the three top divisions would conduct a risk assessment and each subdivision that is located in each global sector would conduct their own risk assessment. The top-down approach would then be complimented by bottom-up process where the risk assessments are sent up the business chain, gathered and compiled into an integrated risk assessment matrix.

Ten Tips for Conducting an Effective Risk Assessment

In quick summary, here are ten additional tips for conducting an effective risk assessment:

  1. Create, plan and conduct a formal risk assessment;
  2. Define the context and objectives of the risk assessment;
  3. Define and understand the organizations acceptable risk tolerance;
  4. Bring together the best team to conduct the risk assessment;
  5. Employ the best risk assessment techniques for the situation;
  6. Understand control measures to mitigate risk;
  7. Be objective and impartial conducting the risk assessment;
  8. Identify the environment that is conducive to risks;
  9. Identify who could be harmed; and
  10. Review, revisit and re-perform the risk assessment.

Guide destiné à mieux évaluer les risques


Voici un article très intéressant sur l’évaluation des risques publié par H. Glen Jenkins* et paru dans Inside Counsel (IC) Magazine.

Il s’agit d’un bref exposé sur la notion de risques organisationnels et sur les principaux éléments qu’il faut considérer afin d’en faire une gestion efficace.

Je vous invite à prendre connaissance des autres publications sur le site de IC, notamment Evaluating and managing litigation risk.

Bonne lecture !

Risk assessment: A primer for corporate counsel

The scope of legal responsibilities for in-house counsel varies depending on the size and complexity of the company. For instance, an attorney located at corporate headquarters could be chiefly responsible for issues affecting the shared services that are available and used by corporate headquarters, as well as every business unit and division. And yet at other times, in-house counsel’s concerns may be restricted to matters affecting only the parent company or a specific liability issue faced by only one business unit.

risk management flow chart concept handwritten by businessmanIn each instance, however, in-house counsel are generally concerned with specific legal tasks and proactive risk management.

What exactly does risk management mean, and what does it encompass? Furthermore, once the definition of risk management has been established and accepted by the company’s management team, how can in-house counsel efficiently and comprehensively assess all possible risks?

Merriam Webster’s dictionary defines risk as “the possibility that something bad or unpleasant will happen.” Whenever many of us in the accounting and legal profession hear the word “risk,” we inherently may succumb to the aforementioned particular negative connotation of risk. How many times have we heard the phrase, “Risk is a part of life,’ and how often have we associated those five words with an undesirable implication?”

 

Alternatively, A Positive View of Risk

Taking risks does not always have to be painstakingly negative. It is unlikely that many will disagree with the Institute of Risk Management’s (IRM) assertion that “avoiding all risk would result in no achievement, no progress and no reward.” This statement undoubtedly portrays a different perspective of risk, indicating the potential of a positive outcome.

IRM goes on to define risk as “the combination of the probability of an event and its consequence. Consequences can range from positive and negative.”

Therein lies the basic premise of risk management. If the consequences of risk can be both positive and negative, it would seem only prudent to try and effectively manage risk to have the highest probability of a positive outcome.

Applying IRM’s definition of risk, together with the premise that avoiding all risk would result in no achievement, no progress and no reward, we intrinsically recognize that not all risks are bad and not all risks are to be avoided.

Over the course of three successive articles on risk, we will take a closer look at how in-house counsel works with internal and external resources to help identify, evaluate and categorize risk.

 Risk Assessment: The Starting Point for Successful Risk Management

Risk assessment is the identification, analysis and evaluation of risks involved in a given situation. Risk assessment also implies a comparison against benchmarks or standards, and the determination of an acceptable level of risk. The evaluation of risks should also provide management with a remediation or control for the identified hazard.

The word “risk” alone without any context is a vague and ill-defined term. There is safety risk, country risk, political risk, health risk and the ongoing list is virtually boundless and it is next to impossible to comprehensively assess all possible risks.

According to Tori Silas, privacy officer and senior counsel with Cox Enterprises, Inc., Cox uses the external resources of multinational accounting and advisory companies to assist with its risk assessments. Using best practices they have developed by analyzing business processes and assessing risk for companies on a global level, these organizations assist in the identification of risks in particular areas of the business, and provide a framework within which to rate risks and prioritize remediation efforts associated with those risks.

Assessment Begins with Knowing Who Decides Acceptable Levels of Risk

As an example of financial risk, according to a Tulane University study, the chances of getting hit by an asteroid or comet are 1,000 times greater than winning a jackpot mega millions lottery. Yet, some have accepted that level of risk and will habitually trade their money to play the lottery rather than investing their money or capital in an endeavor that has a much higher probability of building wealth. Whether right or wrong, a good or bad decision, those who make the choice of playing the lottery have intrinsically accepted the financial risk of losing their money in lieu of the near impossible odds to reap a grand reward.

No matter our opinion of playing the lottery, I think we would all agree that it would be highly unlikely to find a pragmatic business executive allotting some portion the company’s wealth and assets to invest in lottery tickets. But why not? Who decides the parameters of acceptable levels of risk for a business and against what benchmarks are those decisions made?

The business owners, board of directors and executive management define the business objectives, and establish the risk appetite and risk tolerances that are to be contemplated on an overall basis by management when making decisions and evaluating options and alternatives. Together they establish a system of rules, practices and processes by which their company is directed and controlled. This concept is often referred to as corporate governance. Businesses of all sizes embrace this concept, but small businesses may cloak this concept within the singular frame of mind of its ownership’s values, ideologies, philosophies, beliefs and individual business principles.

As the privacy officer for Cox Enterprises, Silas strives to make certain the employees of their consumer facing companies are aware of Cox’s obligations regarding data privacy and that they are appropriately trained to identify and mitigate risk related to and to protect any private consumer data they may have collected.

Corporate Governance

Since the purpose of a risk assessment is the identification, analysis, and evaluation of risks that could adversely impact the business meeting its objectives, the process of conducting a risk assessment should be integrated into existing management processes. According to Silas, Cox Enterprises also utilizes its own internal audit services department to examine functional processes and identify opportunities to strengthen controls and mitigate risks. It is recommended that risk assessments should be conducted using a top-down approach beginning with the top level of the company and filtering its way down through each division and business unit.

For example, a company may have three divisions: manufacturing, marketing and finance. Each of those divisions may operate in four global sectors. Using a top-down approach the three top divisions would conduct a risk assessment and each subdivision that is located in each global sector would conduct their own risk assessment. The top-down approach would then be complimented by bottom-up process where the risk assessments are sent up the business chain, gathered and compiled into an integrated risk assessment matrix.

Ten Tips for Conducting an Effective Risk Assessment

In quick summary, here are ten additional tips for conducting an effective risk assessment:

  1. Create, plan and conduct a formal risk assessment;
  2. Define the context and objectives of the risk assessment;
  3. Define and understand the organizations acceptable risk tolerance;
  4. Bring together the best team to conduct the risk assessment;
  5. Employ the best risk assessment techniques for the situation;
  6. Understand control measures to mitigate risk;
  7. Be objective and impartial conducting the risk assessment;
  8. Identify the environment that is conducive to risks;
  9. Identify who could be harmed; and
  10. Review, revisit and re-perform the risk assessment.

Gestion des risques informatiques | Les administrateurs doivent poser les bonnes questions !


Voici le résumé d’un article paru dans le Wall Street Journal le 21 juillet 2015, basé sur un billet de NACD In The News*.

Les administrateurs doivent être au fait de la situation de l’entreprise eu égard à la sécurité informatique. Cependant, la plupart des administrateurs ne savent pas trop comment s’y prendre pour s’assurer qu’ils s’acquittent de leurs responsabilités.

L’article propose six questions que les administrateurs devraient poser à l’équipe de la sécurité informatique de l’entreprise afin de mieux saisir la problématique de la sécurité cyber informatique.

Ces questions ne couvrent certainement pas tous les angles mais elles ont l’avantage de contribuer à une meilleure connaissance, partagée par tous les administrateurs.

Les questions suggérées sont vraiment percutantes :

What was our most significant cybersecurity incident in the past quarter? What was our response?

What was our most significant near miss? How was it discovered?

How is the performance of the security team evaluated?

Do you have relationships with law enforcement, such as the FBI and Interpol?

Do you work with business leaders on due diligence of acquisition targets? With supply chain leaders on security protocols of vendors and other partners?

What process is in place to ensure you can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies?

               * Source: National Association of Corporate Directors (NACD)

Bonne lecture !

Cybersecurity: Boards Must Ask Sharper, Smarter Questions

Boards are trying to build more productive, transparent relationships with cybersecurity chiefs to decrease the risk of attack. But directors can by stymied by a lack of basic security knowledge.

New guidance from the National Association of Corporate Directors suggests asking more searching questions of chief information security officers, including how they measure their teams and technology and whether they have ongoing contacts with the Federal Bureau of Investigation and other law enforcement bodies that investigate attacks.

Former Thomson Reuters CEO Tom Glocer chairs Morgan Stanley’s technology committee. Philippe Lopez/AFP/Getty Images

The most common question directors ask of CISOs is whether their company is vulnerable to breaches similar to those at Target Corp., Anthem Inc. and the U.S. Office of Personnel Management, said Phil Ferraro, a former CISO at Las Vegas Sands Corp. who now consults with boards. But that approach is simplistic, he said. “Directors don’t understand that no security is ever perfect.”

More productive are conversations about how to decrease the risk of attack and the process for managing one when it occurs, Mr. Ferraro said. For example, the NACD suggests boards continuously ask about the most significant cybersecurity incident in the prior quarter and how the security team handled it, so that the discussion may lead to better practices.

Key Questions Directors Must Ask Cybersecurity Chiefs

  1. What was our most significant cybersecurity incident in the past quarter? What was our response?
  2. What was our most significant near miss? How was it discovered?
  3. How is the performance of the security team evaluated?
  4. Do you have relationships with law enforcement, such as the FBI and Interpol?
  5. Do you work with business leaders on due diligence of acquisition targets? With supply chain leaders on security protocols of vendors and other partners?
  6. What process is in place to ensure you can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies?

Still, there is no single set of questions directors can ask to uncover all cybersecurity weak spots, said Tom Glocer, a director at Morgan Stanley and Merck & Co. Inc., and the former CEO of Thomson Reuters Corp.

“My experience is that the horribly dangerous cyber threats are the ones you don’t even know about,” said Mr. Glocer, who chairs Morgan Stanley’s board-level technology committee.

But directors should engage CISOs in continuous discussion to let management know that the board “cares and is watching,” he said. Security is a regular agenda item at Morgan Stanley board meetings, discussed boardwide and in the risk and technology committees. Morgan Stanley is one of just 15 of the Fortune 100 with a formal technology committee at the board level.

At boards less versed in technology and cybersecurity, CISOs must often first educate directors about the range of potential security problems because many members “simply don’t know,” Mr. Ferraro said.

Just 11% of board members across industries say they have a “high level” of knowledge about the topic, according to a recent NACD survey of 1,034 directors.

An important check is for CISOs to talk with board members about developing a process to ensure they can escalate serious issues and provide prompt, full disclosure of cybersecurity deficiencies, the NACD advised. “That’s something boards have got to pay attention to, because they’re on the line as much as management when something bad happens,”  Mr. Ferraro said.

Mieux contrôler les risques de litiges | Un guide en 4 étapes à l’intention des administrateurs


Les administrateurs de sociétés doivent accomplir leurs devoirs de diligence et de vigilance dans la surveillance des organisations. Les situations litigieuses sont de plus en plus fréquentes et les conséquences peuvent, non seulement affecter le succès des entreprises, mais aussi les intérêts des administrateurs.

L’article qui suit propose un cadre de référence très utile pour aider les administrateurs à s’acquitter de leurs responsabilités eu égard à la supervision des situations litigieuses.

Il a récemment été publié dans le Harvard Law School Forum on Corporate Governance par Jeff G. Hammel, associé de la firme Latham & Watkins, LLP.

bail-commercial
Les litiges organisationnels et les responsabilités des administrateurs

L’auteur explique les devoirs et les responsabilités des administrateurs en matière de litige, notamment en faisant ressortir les quatre étapes suivantes :

1. Suivre les cas litigieux susceptibles d’avoir de lourdes conséquences pour l’entreprise;

2. S’assurer de recevoir des rapports réguliers de la direction;

3. Poser les bonnes questions afin de s’assurer que la direction a pris les bonnes actions;

4. Être bien informé des polices d’assurance-responsabilité de la compagnie.

Voici un extrait de cet article. Bonne lecture !

Boardroom Perspectives: Oversight of Material Litigation in Four Practical Steps

1. Get Involved in the Right Cases

While public company directors need not be briefed on every claim or potential claim facing the company, management should consider involving the board in the important cases—and early on. Board involvement will depend upon various factors, including whether the adverse party is a competitor or customer, or former senior employee or executive; the amount of damages sought; the subject matter of the litigation; and the level of publicity a case has generated or is expected to generate.

2. Receive Regular Reports from Management

In order to be adequately prepared to give strategic advice, approve a settlement or take other necessary action, it is important for boards to stay adequately informed about the material litigation facing the company. Litigation reports to the board are typically prepared by the company’s general counsel or outside counsel, and include, as appropriate:

A general status update

A discussion of strategy

An assessment of risk

Budget information

Insurance coverage

Next steps

Reports preferably have the appropriate level of detail to inform the board without being unduly burdensome. In addition, reports are ideally provided in the context of the attorney-client privilege to protect the company. Minutes serve to reflect the discussion and create the record of director oversight.

3. Ask the Right Questions

Staying on top of material litigation involves frequent and open communication among management and directors. The board’s job is to ask the right questions to hold management accountable. For example, directors might ask:

What are the goals/objectives of the litigation?

What is the impact of the litigation on company resources?

Will the litigation require reliance on expert testimony?

Does the litigation subject the company to adverse publicity, and if so, what steps does the company plan to take to address this issue?

Does the litigation require a critical evaluation of one of the company’s business processes?

What is the company’s tolerance for risk, and to what extent should the company consider more adversarial or cooperative strategies?

Is settlement advisable, and what is the timing to broach settlement?

4. Keep Abreast of the Company’s Liability Insurance Policies

Comprehensive liability insurance policies help reduce the exposure to litigation risks, damages and expenses, but can vary widely in coverage, exclusions and limitations. To use liability insurance policies effectively in litigation risk management, directors may wish to review the policies the company maintains for itself and its directors and officers. For example, directors could:

Confirm that systems are in place to provide for timely notification to insurers of all claims, including potential claims

Verify that applications for new and renewal insurance policies are properly vetted (to ensure that misstatements or omissions in an application do not serve as a basis for rescission or denial of coverage); and

Understand coverage exclusions in director and officer insurance policies which, if invoked, could result in the denial of coverage for individual directors and officers

By following these steps in appropriate cases, board members can provide oversight to help management teams protect their companies from potentially damaging material litigation.

Moment propice à la réflexion sur les CA | Deloitte


Dans ce billet, je vous propose une courte lecture suggérée par  Chantal Rassart, associée | Chef de la gestion des connaissances en audit, de la firme Deloitte.

Dans le numéro de mai, un aperçu des nouveautés dans le domaine de la gouvernance d’entreprise, Chantal présente le point de vue de Terry Hatherell, associé | Service des risques d’entreprise chez Deloitte, sur certains moyens que les conseils d’administration devraient mettre en œuvre pour améliorer leur efficacité

L’auteur insiste surtout sur l’importance que le CA doit accorder à la stratégie, à la gestion des risques, à la surveillance des ressources humaines et aux compétences des membres du conseil. En bref, le succès est dans la sauce !

C’est un article rafraîchissant à lire mais ce n’est qu’un survol des tendances à suivre. Quel est votre point de vue à ce propos ?

Voici un extrait du bulletin du mois de mai dans lequel on retrouve le point de vue de M. Hatherell.

Bonne lecture !

Un moment propice à la réflexion

 

Lorsque nous demandons aux conseils quelle est leur principale difficulté, une réponse revient constamment : le manque de temps. Les membres du conseil prennent plus de temps que jamais pour s’acquitter efficacement de leurs responsabilités de gouvernance et de surveillance. De nombreux facteurs sont en cause, notamment l’intensification de la réglementation ainsi que la complexité et la volatilité du milieu des affaires.

Les conseils d’administration performants savent que l’efficacité ne dépend pas seulement du nombre d’heures qu’ils consacrent à leurs activités; d’autres éléments fondamentaux entrent en ligne de compte : la composition, la structure, les responsabilités, les processus et la culture du conseil. Pour demeurer efficace, un conseil doit évaluer régulièrement son rendement, chercher constamment à s’améliorer et apporter les ajustements requis en temps opportun. Les autorités de réglementation reconnaissent également l’importance de l’autoréflexion. Le Bureau du surintendant des institutions financières (BSIF) indique, dans sa Ligne directrice sur la gouvernance d’entreprise, qu’il s’attend à ce que les conseils des institutions financières fédérales procèdent périodiquement à une autoévaluation de leurs pratiques et de leur efficacité.

Stratégie

Dans un monde volatil, incertain et complexe, la stratégie compte plus que jamais. Il est clair, autant au sein des conseils les plus performants qu’avec la direction, qu’il faut une stratégie pour décider quand et comment le conseil doit s’engager. Un conseil performant offre des conseils à la direction sur l’élaboration des priorités et des plans stratégiques qui concordent avec la mission de l’entreprise et les intérêts des parties prenantes, et qui ont une portée à court, à moyen et à long terme. Le conseil surveille également de près la mise en œuvre par la direction des plans stratégiques acceptés ainsi que la transparence et le caractère adéquat de la communication interne et externe de ces plans.

Gouvernance des risques

Des événements récents – cyberattaques, cas de corruption et multiplication de la réglementation – ont incité les diverses parties prenantes à accroître leur vigilance envers les conseils, ce qui a haussé les attentes en matière de gouvernance des risques. Les conseils performants évaluent régulièrement l’efficacité de leur processus de gouvernance. Le rôle de surveillance des risques par le conseil est crucial; il comprend entre autres, la compréhension et l’approbation d’un niveau de tolérance au risque adéquat pour l’organisation; il doit aussi s’assurer de repérer, de surveiller et de hiérarchiser les risques en y accordant le degré d’attention voulu. Bon nombre de conseils, en particulier dans le secteur des services financiers, ont mis sur pied un comité de gestion des risques distinct qui permet de mieux mettre en évidence les risques, de les gérer et de les surveiller.

Talent

Sans surprise, les conseils efficaces ont compris que le talent est la pierre angulaire de leur efficacité. La question est habituellement abordée sous deux angles : d’un côté, le rôle essentiel du conseil en matière de surveillance des ressources humaines, de l’autre le fait qu’il doit s’assurer d’avoir les ressources suffisantes qui ont les connaissances et l’expérience adéquates pour s’acquitter de leurs responsabilités. En ce qui concerne la surveillance des ressources humaines, le rôle traditionnel du conseil, soit la sélection, l’évaluation et la rémunération du chef de la direction, demeure crucial. Toutefois, d’autres aspects requièrent beaucoup d’efforts et de temps pour le conseil : la supervision des programmes de RH, en particulier la nomination et le perfectionnement professionnel et la rémunération des dirigeants ainsi que la planification de la relève. L’efficacité d’un conseil repose sur ses compétences. Les conseils performants s’assurent de mettre en place un processus de sélection solide et transparent afin de trouver et de recruter des membres de qualité. Les compétences et l’expérience demeurent essentielles; cependant, la diversité est maintenant au nombre des ingrédients indispensables qui accroissent la performance d’un conseil. Une planification de la relève efficace au sein du conseil est également cruciale; à cet égard, l’instauration d’une durée maximale des mandats est une pratique exemplaire qui permet un certain renouveau au sein du conseil. La plupart des conseils offrent à leurs membres un programme de formation et de perfectionnement formel. Les matrices de compétences, très courantes, sont des outils efficaces pour favoriser le renouveau du conseil et le perfectionnement continu des membres.

Le secret est dans la sauce

Bien entendu, la recette de l’efficacité d’un conseil comporte de nombreux ingrédients qu’il n’est pas possible de décrire en détail dans mon court message. Toutefois, il s’est avéré que lorsqu’il manque des ingrédients, une telle lacune devient vite la cible des parties prenantes qui exercent une surveillance plus étroite du conseil, à la suite d’une perte ou d’un échec important. Selon notre expérience, les conseils les plus performants n’attendent pas qu’un événement de la sorte se produise avant de s’assurer qu’ils possèdent tous les ingrédients requis – ils s’appuient sur des processus d’autoévaluation solides et formels, bien intégrés au sein de leurs pratiques de gouvernance.

%d blogueueurs aiment cette page :