Je vous propose donc ces quelques lignes qui matérialisent selon moi, l’aboutissement d’une mutation initialisée il y a plus de dix ans. D’abord, assumons ensemble le fait que le business contraint l’IT et non l’inverse. Ainsi les cycles de vie des applications ont hérité de ceux des produits mis en œuvre par les processus métiers.

L’accélération du marché de l’économie réelle a confronté la Direction Informatique à un enjeu majeur de rapidité.  C’est autour de cette contrainte que la gouvernance a évolué. Mais faire plus vite il y dix ans avait un coût : celui de l’incohérence et de la maintenance. Finalement l’enjeu s’est précisé autour de l’idée de faire ‘rationnellement plus vite’.  C’est-à-dire faire en sorte que chaque projet s’inscrive dans un tout cohérent dont il hérite, qu’il contribue à enrichir, mais sans en perturber la stabilité. Une nouvelle gouvernance s’est progressivement mise en œuvre autour de deux axes : la mutation des infrastructures techniques, et l’évolution des méthodes de conception de systèmes.

Sur le premier sujet, la Direction informatique doit conduire un chantier de remplacement des infrastructures techniques intégrant des moteurs technologiques divers tels que l’interopérabilité, la communication, l’orchestration, le stockage, la sécurité… condition indispensable pour supporter le développement ‘rationnellement rapide’ de la couche applicative. C’est une première mutation délicate, telle que l’ont exposée plusieurs grandes organisations dans le cadre de la dernière réunion du CEISAR, en particulier du fait qu’elle n’a que la Direction Informatique comme client. Il faudra donc savoir ‘vendre’ ce sujet très technologique et dépourvu de ROI direct, à la Direction Générale pour qu’elle en devienne le sponsor.

Sur le deuxième axe de l’évolution des méthodes de conception, faire ‘rationnellement plus vite’ c’est pouvoir réutiliser  et paralléliser les tâches. C’est ce qu’a apporté la mise en œuvre des pratiques de l’architecture dans la gouvernance IT. Tout comme elles avaient révolutionné le génie civil quelques siècles auparavant, et l’industrie mécanique plus récemment, les pratiques d’architecture  bouleversent aujourd’hui les méthodes de conception de systèmes. Fondées sur les bases de l’approche systémique, elles permettent d’anticiper les problèmes de cohérence. Différentes vues dont les interfaces et les héritages sont connus, définissent un système à priori. On met ainsi à disposition des projets différents espaces de subsidiarité autorisant le travail collaboratif.

C’est de ces nouvelles pratiques de l’architecture que Mega fait la promotion bien au-delà de cet Aparté, dans le cadre de l’association CESAMES qu’elle sponsorise. C’est également le thème que nous avons choisi de développer dans le cadre de notre intervention à la conférence de l’Open Group le 23 septembre à Paris.

D’ici là passez d’excellentes vacances.

Dans cette actualité, ce n’est pas tant ‘le talent’ de Jérôme Kerviel ou de Fabrice Tourre à faire trembler l’économie mondiale qui a retenu mon attention, mais bien d’avantage l’effondrement de la plate-forme pétrolière de BP. Cette catastrophe industrielle est d’ailleurs certainement plus parlante pour illustrer la limite de la seule gouvernance financière dans une politique de gestion de risque, que tout autre exemple. Si nous étions dans l’hypothèse de la survenance d’un tel évènement, quel mixte de fonds propres et d’assurance aurait-on simulé ? Nous sommes ici dans le cas typique du risque ‘peu fréquent’ mais ‘très sévère’. Comme pour ‘l’affaire Kerviel’, il y a fort à parier que quelle que soit la rigueur probable de BP dans la modélisation de ses risques, l’ampleur des conséquences ait largement dépassé les capacités des modèles.

La réponse rétrospective à ce qui s’annonce comme une catastrophe écologique majeure, est une fois encore la prévention par les techniques de l’assurance qualité. La future règlementation que l’on évoque conduira à la mise en place de sévères procédures de contrôle sur des instruments de mitigation de risques opérationnels (vannes, tests, essais, …). Ces dispositifs qui visent à réduire la probabilité de survenance et l’ampleur du sinistre, font partie du dispositif d’excellence opérationnelle, qui ne peut être que l’instrument principal de maîtrise des risques.

Dans cet Aparté, et en vous renvoyant à la lecture de mon white paper sur ce thème, je voudrais juste partager avec vous l’idée que , face à son exposition aux risques aucune entreprise n’est assez riche pour faire l’économie d’un sérieux dispositif de mitigation opérationnel. Ne faites pas comme 80% de nos concitoyens, n’attendez pas d’être cambriolé pour vous doter d’un système anti effraction…

Et voila qu’un de mes collaborateurs rentre d’une conférence dans les Emirats et m’annonce que quelques spécialistes occidentaux auraient avoué que ce type de modèles ‘dits avancés’ pourrait bien se révéler être une impasse. Soudainement je me sens rassuré, non pas de ne plus être le seul à avoir douté, mais de ne jamais entendre une hôtesse de l’air nous annoncer que nous pouvons voyager en toute quiétude, puisque que la compagnie dispose bien des fonds propres pour indemniser nos familles en cas d’accident. Qu’aucun concessionnaire automobile ne me parle des liquidités de son constructeur pour répondre à mes questions sur la fiabilité du freinage.

Dans ces règlementations, la première idée qui m’interroge, c’est celle qui consiste à approcher le problème d’abord par la logique financière, c’est l’ordre des facteurs selon lesquels on pousse le management à réfléchir.  La prise en compte de la défaillance des opérations, c’est d’abord une question de qualité de l’exécution des process. C’est une science de l’ingénieur et non des financiers. C’est le calcul de la résistance des matériaux, les contrôles de la fabrication et de sa conformité, pratiqués dans les ateliers qui garantissent l’efficacité du freinage, pas les réserves au bilan. Ensuite, puisque le zéro risque n’existe pas, il convient effectivement de traiter le risque résiduel par une couverture assurantielle.

Sur ce point qui est mon deuxième sujet d’étonnement, qui peut se convaincre que les méthodes de calcul par extrapolation mises au point pour les risques de grands échantillons, s’appliquent aux risques opérationnels ? Que ces simulations sur quelques incidents peu normés dans la déclaration de leur survenance et leur coût auraient le moindre sens ?

Cette fois c’est une question qui est sortie de cet Aparté puisqu’à Dubaï elle était visiblement franchement débattue. Une nouvelle fois, ne ratons pas l’occasion de faire des fonctions support de l’entreprise, et en particulier de l’audit et du contrôle interne, de belles fonctions pour l’excellence opérationnelle. Car si les opérations portent du risque, c’est d’abord et surtout parce qu’elles créent de la vraie valeur.

Ce qui attire mon attention pour ce billet, c’est la montée au créneau des assureurs, Henri de Castries en tête, contre l’évolution des méthodes de calcul de fonds propres associées à la future réglementation Solvabilité 2. En synthèse le message ‘grand public’ est simple. Les assureurs jouent de l’argent sur les marchés financiers. Avec Solvabilité 2, ils devront augmenter leurs réserves en fonds propres pour couvrir les risques associés. Ces réserves vont réduire leur capacité de présence sur le marché dont les équilibres risquent de se déstabiliser. In fine leur rentabilité étant moins bonne, les assureurs seront contraints à une augmentation significative des primes.

De quoi s’agit-il ? De résister à la volonté du législateur de mieux maîtriser les risques financiers et le risque systémique associé, par extension de la règlementation bancaire Bâle 2 au secteur assurance. C’est l’objet de la règlementation dédiée Solvabilité 2.

Il y aura donc débat sur ce sujet, certainement entre spécialistes reconnus (ou opportunistes), et là n’est finalement pas mon propos. Dans ces règlementations, et dans Solvabilité 2 en particulier, on distingue deux piliers relativement indépendants l’un de l’autre. Au titre du pilier 1, on met en évidence des règles de calcul de réserves en fonds propres pour couvrir les risques. Au titre du pilier 2, on met en place et l’on documente le dispositif de contrôle interne au regard de la cartographie des risques.

Comme l’illustre l’actuel débat médiatique, on comprend que les enjeux associés à chacun de ces piliers ne sont pas exactement du même ordre de grandeur. Pourtant on aurait tort de ‘jeter le bébé avec l’eau du bain’, et de sacrifier la mise en place d’un dispositif de contrôle et d’amélioration permanente des opérations, sur l’éternel autel du débat financier. Cette vision me ramène une nouvelle fois aux enjeux de l’excellence opérationnelle de nos entreprises, et de l’impératif de faire de leurs capacités d’innovation et d’exécution les principaux leviers de création de valeur dans un contexte de spéculation financière incertain.

Au moment où les cycles de retour sur investissement s’allongent, en particulier pour l’actionnaire, la mise en place d’une politique de contrôle interne est une bonne pratique de management qui s’inscrit elle-même dans une politique de développement durable.

J’aurai toujours autant de plaisir en 2010 pour débattre avec vous de ce thème au-delà de cet Aparté.

En 2009, comme nos concurrents et confrères, éditeurs ou consultants, nous avons répondu à une forte sollicitation du marché sur les thèmes de la gestion des risques opérationnels et du contrôle interne. Réponse à de longs questionnaires, démonstrations de solutions, proof of concepts, projets pilotes, sont les activités récurrentes qui ont rempli les calendriers de nos collaborateurs en France. Au bout du compte que reste t-il de toute cette énergie investie au service de cette louable cause ?

Si l’on fait abstraction de tous les projets reportés ou de ceux qui ont tout simplement disparu durant leur cycle d’instruction, le bilan est mitigé. Lorsqu’il s’agit de mettre en place un dispositif de contrôle de l’information financière, un budget pour la compliance est mis en évidence. Mais comme le projet est systématiquement abordé sous l’angle de la contrainte règlementaire, le plus petit est ce budget, le moins douloureux est la « punition ». Lorsqu’il s’agit de mettre sous contrôle les risques opérationnels, donc l’exécution des opérations, l’idée de devoir convaincre dans des contextes de compression budgétaire limite souvent l’ambition du projet.

Il y a néanmoins là une vraie question de fond. Si les comités de Direction et les structures supports qui les assistent, ont du mal à entendre ou à vendre que le point de vue que les opérations et les hommes qui les portent, sont des agents économiques majeurs vis-à-vis de la vraie production de valeur, il faut intensifier nos efforts.

Il faut convaincre les Dirigeants de dégager les budgets qui permettent de responsabiliser les hommes et les femmes de l’entreprise dans des processus d’amélioration permanente en profitant des possibilités offertes par la technologie d’aujourd’hui. Ils doivent savoir tout le profit qu’ils pourraient tirer de tableaux de bord qui leur fournissent des vues simples des points de vue de ceux qui portent le business modèle et l’exécution de la stratégie. Tant qu’il y aura des hommes dans les entreprises –et pour longtemps encore- il y aura un enjeu de compétitivité majeur dans la précision de leur management.

Engager ces budgets c’est maximiser la contribution de l’homme à son entreprise, c’est redonner du sens au rôle même de  l’entreprise. En 2010, avec notre équipe de Directeurs, nous serons à vos cotés pour convaincre vos dirigeants, et aux cotés des dirigeants pour convaincre les actionnaires si nécessaire.

Vive 2010 et excellentes fêtes de fin d’année.

Pour mon plus grand plaisir, je travaille plusieurs fois par semaine, avec des opérationnels comme des décideurs économiques, sur des sujets de gestion de risques et de contrôle interne. J’entends le poids de la règlementation, parfois le spectre de son risque pénal associé, les contraintes de calendrier, l’absence d’alternative et le passage obligé … et d’une manière générale, que la principale motivation des projets de Gouvernance Risque et Conformité, c’est la contrainte légale.

Je partage le point de vue que l’application de règles de solvabilité, d’éthique ou de déontologie ne peut résulter que d’une obligation, et qu’au nom de l’équilibre économique mondial, il est essentiel de légiférer sur ces sujets. En revanche,  je pense que l’on commettrait une grave erreur, en essayant d’emporter dans le même élan, la gestion des risques opérationnels et leur contrôle interne. En la matière et à cet instant, les opérations et les opérationnels, ont bien d’avantage besoin de motivation que d’obligation.

De quoi s’agit-il en fait ? De cartographier les risques pouvant faire obstacle à l’exécution de la stratégie et d’imaginer les contrôles associés. De déployer, au sein de l’organisation un dispositif d’évaluation de l’efficacité, de proposition et de suivi de plans d’actions, dans le cadre d’une politique d’amélioration continue. Il s’agit donc de faire des collaborateurs de l’entreprise les gardiens de la bonne exécution des processus ainsi que les principaux promoteurs de l’excellence opérationnelle.

Entre les mains du top management des grandes organisations, ces projets de GRC doivent être vus comme une fantastique opportunité de réappropriation des processus, et plus généralement de l’entreprise par les opérationnels. Donner les moyens aux collaborateurs d’être réellement partie prenante de leur organisation, n’est-ce pas l’un des enjeux sociaux-économique majeur du capitalisme moderne ? C’est encore une question qui dépasse le cadre de cet Aparté…

Dans le camp des changements, il y a bien sûr le contexte général de la mondialisation, l’accélération du temps, la révolution technologique et toutes les complexités associées. Au premier rang des fondamentaux, s’affiche la question centrale : comment fournir à l’entreprise des applications qui correspondent à ses besoins ? Question de la première heure, qui revient par la fenêtre à chaque fois qu’on la sort par la porte !

Je regarde, j’analyse et je suis bien obligé de me dire que sur le thème de l’expression de besoins on est toujours dans la même difficulté de dialogue entre l’utilisateur et son assistance à maîtrise d’ouvrage ; le développeur et son assistance à maîtrise d’œuvre et depuis quelques années l’architecte ou l’urbaniste garant de la meilleure réutilisation du legacy.
On invente de nouvelles méthodes ou de nouvelles responsabilités, mais au fond, on ne fait que faire du pousse-pousse en essayant de déporter ou de diluer la responsabilité du sujet récurent : quelqu’un doit dire ce qu’il faut faire, un autre comment le faire  et un troisième s’engager à le faire.

Dans l’intimité de cet aparté, je voudrai partager avec vous la conviction que si l’évolution des méthodes, en particulier de modélisation, accompagne celle de la complexité des projets informatiques, elles ne pourront jamais compenser le talent des professionnels garant de leur réussite. Il y a là un véritable enjeu de reprofessionnalisation de ces métiers, et j’espère que le marché de l’emploi laisse quelques visionnaires dans ce vaste domaine de la maîtrise d’ouvrage, que l’histoire proche reconnaitra sans doute comme une pratique de développement durable de nos grandes organisations. Pour que cette prédiction se réalise, c’est un message qui devra sortir de cet aparté…

Je rentre avec la confirmation que la préoccupation dominante des pratiques de gestion des risques, telles qu’elles sont publiées dans les ouvrages de référence, ou débattues au sein des organisations professionnelles, est incontestablement, la garantie de solvabilité de l’entreprise face à son exposition aux risques (en particulier pour les entreprises financières). Toujours pas le moindre chapitre dédié à la gouvernance de l’excellence opérationnelle !

La méthode d’évaluation du risque et surtout de comptabilisation dans un contexte règlementaire, reste un exercice de spécialiste de la statistique, de la comptabilité et de la règlementation. A ce sujet et si vos congés vous ont été suffisamment profitables pour le moral, vous pouvez lire « la crise et après » de Jacques Attali qui explique simplement certains de ces mécanismes pourtant complexes. Dans cette vision, si les risques résultent de l’exécution des opérations, ils n’ont d’intérêt que pour l’évaluation de leur contrepartie en ‘capital at risk’ issue de leur modélisation mathématique. ‘Cartographie’ et ‘modélisation’ ne sont ici que des faux amis sémantiques qui ne font pas référence à des compétences d’organisateurs. En revanche, ce qu’il convient d’organiser et de doter d’un système d’information dédié, c’est si nécessaire, la collecte des incidents utiles à l’élaboration du modèle, et certainement le dispositif de contrôle qui garantit sa bonne mise en œuvre. Ce sont donc des problèmes bien différents en compétence comme en outillage et certains débats ‘GRC’ gagneraient en clarté en ne faisant pas l’économie de préciser les objectifs entre modélisation mathématique des risques et organisation du contrôle interne.

Cette écrasante vision courante qui ne justifie les pratiques de gestion de risques qu’au titre de la préservation du modèle économique mondial, ne laisse rien à ceux qui dans les opérations, chaque jour travaillent à l’excellence opérationnelle de l’entreprise. Si la domination de la culture du financier continue d’occuper tout l’espace y compris jusqu’au concept de gouvernance, qui réinventera le Taylorisme, le juste à temps, les flux tendus, la mise en ilots, l’agilité des processus…, pour faire que l’entreprise de demain réponde à sa nécessaire mission socio-économique ?

C’est un sujet qui doit sortir de cet Aparté, et je prends la nouvelle bonne résolution de tout faire pour y contribuer.

Le ton est donné dès l’ouverture par l’intervention (improvisée) de Joël Hervé Lorenzi, économiste autorisé au plus haut niveau. J’entends des phrases que je note à la volée et qui me stupéfient. Après avoir rapidement rappelé que tous les économistes avaient prévu la crise économique mondiale, et savent que les théories mathématiques de prévision des risques financiers sont fausses, on passe à la leçon de morale de ceux qui ont sacrifié la leur sur l’Autel du rendement spéculatif de ces 20 dernières années.
Je note : « les systèmes économiques ne fonctionnent que si les hommes et les femmes qui les dirigent en sont responsables », « Si le monde ne redevient pas moral, il retombera dans les mêmes difficultés », « Il faut revenir à une vision plus messianique du capitalisme ».
Il serait probablement discourtois de douter de la sincérité de ces propos, mais je mets toutefois un chapeau de coté, au cas où le monde redeviendrait ce qu’il était et que quelques économistes politiquement corrects aient de nouveau l’obligation d’en avaler un ou deux publiquement avec bon appétit. En tout cas, celui de Jim Cramer est sans doute intact sur son porte manteau depuis aout 2007, date de son intervention.

Après cette mise en bouche, j’écoute avec plaisir les professionnels qui se succèdent sur l’estrade. L’impression dominante est résumée dans une synthèse donnée par un Partner d’un big four « la gestion des risques permet de protéger le modèle économique de l’Entreprise », et finalement l’économie tout court.
Je pars avec la confirmation que pour les commissaires aux comptes, les assureurs et les représentants des administrateurs, la gestion des risques n’est vue qu’au travers de son impact sur le bilan et de la responsabilité des administrateurs. C’est certainement une contrepartie essentielle, mais ce n’est pas la seule. Il manquait de l’espace à ceux qui font de la gestion des risques un outil de gouvernance des opérations, de conquête de parts de marché, de satisfaction client, ceux qui pensent que l’excellence de l’exécution des opérations pourrait devenir, en anticipation des prévisions des économistes, le principal levier de création de valeur à moyen terme pour l’entreprise, ses clients et de ses actionnaires.

C’est définitivement l’une de mes convictions qui guide et guidera l’essentiel de nos Apartés.

Chantier de reconstruction de l'Hôpital Necker (Paris)

La photo n’a évidement aucune prétention artistique, elle matérialise simplement la vue que nous avons depuis les étages de nos bureaux du Boulevard du Montparnasse sur le chantier de reconstruction de l’Hôpital Necker.  Au-delà de la valeur créative ou du parti pris architectural qui est associé à ce projet, quand on l’observe dans ses phases initiales et donc du seul point de vue technique et managérial, il est une évidence que pour chaque phase du projet, une certaine vision du tout a préexisté à la mise en œuvre technique des différentes parties. 

J’ignore s’il existe ce que d’aucun appelleraient volontiers un FrameWork d’urbanisation pour ce type d’ouvrage, mais ce qui est certain c’est que pour pouvoir organiser la réalisation coopérative de chacun des sous-ensembles et garantir à terme leur parfaite intégration, quelqu’un a conduit un projet d’architecture, qui traite principalement du découpage en sous systèmes et de leurs contraintes d’intégration future.

C’est sous mes yeux une pratique incontournable lorsque le système est complexe, et qu’il doit s’inscrire dans une durée de vie qui justifie nécessairement cet effort initial. C’est tellement souvent le cas dans les projets  de modernisation des grandes organisations, que je m’interroge En Aparté sur la toujours grande difficulté de convaincre de l’intérêt d’inscrire les différents projets d’évolution d’une entreprise dans une certaine vision d’un tout.  Si la conduite de ce chantier permet d’y contribuer, je ne manquerai pas de vous en reparler ….

>> http://www.nouveau-necker.aphp.fr/