Questions d'entretien Analyste risques

Je commence par identifier la décision que le dirigeant doit prendre, car le niveau de détail approprié dépend entièrement de cela. Pour un membre du conseil approuvant une nouvelle gamme de produits, il n'a pas besoin de comprendre les mathématiques de la VaR : il a besoin de comprendre à quoi ressemble la perte maximale potentielle en conditions de stress et comment elle se compare à la position en capital de l'entreprise. J'utilise des comparaisons concrètes plutôt que des pourcentages abstraits. Par exemple, au lieu de dire que la VaR au 99e percentile est de 12 millions d'euros, je dis "dans les 1 % de scénarios les plus défavorables historiquement, la perte journalière dépasserait 12 millions d'euros, ce qui représente environ 4 % de notre tampon de capital actuel". J'associe le chiffre à l'hypothèse clé dont il dépend et au scénario principal dans lequel il serait faux. Les dirigeants font davantage confiance à l'analyse quand vous leur dites ce qui pourrait la rendre peu fiable.

L'appétit pour le risque est le montant et le type de risque qu'une organisation est prête à accepter dans la poursuite de ses objectifs stratégiques. C'est une déclaration prospective fixée par le conseil qui reflète la stratégie et les rendements nécessaires. La tolérance au risque est la variation acceptable spécifique autour de cet appétit en pratique : les limites quantitatives dans lesquelles l'entreprise opère au quotidien, telles que les limites maximales de VaR, les limites de concentration de crédit ou les seuils de pertes. La distinction est importante parce qu'une entreprise peut avoir un appétit clairement articulé mais une mauvaise gestion des risques si elle ne le traduit pas en tolérances opérationnelles que l'entreprise utilise réellement. Inversement, une entreprise peut avoir des limites de tolérance détaillées mais aucun cadre d'appétit cohérent, ce qui signifie que les limites sont arbitraires plutôt que connectées à la stratégie. En pratique, j'utilise la déclaration d'appétit pour valider si les limites de tolérance sont correctement calibrées.

Je commence par comprendre ce que fait réellement le domaine d'activité avant d'essayer d'identifier les risques : les flux de processus, les dépendances, les décisions clés et les parties externes impliquées. Je réalise généralement cela par des entretiens structurés avec le personnel opérationnel et les managers de première ligne, car ils ont une connaissance pratique de ce qui peut mal tourner qui n'apparaît pas toujours dans les documents de procédure. Je passe également en revue les incidents et quasi-incidents précédents, les conclusions d'audit et les préoccupations réglementaires pour ce domaine. À partir de cette base, je construis une taxonomie des risques couvrant les catégories stratégique, opérationnel, financier, conformité et réputation. Pour chaque risque, j'évalue la probabilité et l'impact, j'identifie les contrôles existants et j'évalue le risque résiduel. Le registre n'est utile que s'il s'agit d'un document vivant que le domaine d'activité possède et met à jour.

L'analyse de scénarios et les tests de résistance servent des objectifs différents mais complémentaires. Les tests de résistance demandent ce qui se passe avec une métrique spécifique sous un mouvement extrême mais plausible d'un ou plusieurs facteurs de risque : ils sont utiles pour tester la résilience du portefeuille actuel face à des chocs définis. L'analyse de scénarios est plus narrative : elle construit un ensemble cohérent de conditions économiques, de marché ou opérationnelles et demande comment l'entreprise se comporterait. J'utilise les tests de résistance pour le reporting régulier afin de donner à la direction une vue cohérente du risque de queue, et j'utilise l'analyse de scénarios pour la planification stratégique et l'approbation de nouveaux produits. La chose la plus importante que je fais dans les deux cas est de définir explicitement les hypothèses et de les remettre en question avec un regard neuf à chaque fois. Un test de résistance qui utilise les mêmes paramètres d'année en année cesse d'être informatif.

L'équipe de développement commercial de mon entreprise précédente proposait une expansion vers un nouveau marché géographique et avait construit un dossier basé sur le chiffre d'affaires projeté et la taille du marché. J'ai été sollicité pour réviser l'évaluation des risques jointe à la proposition, et j'ai constaté qu'elle était largement qualitative et ne quantifiait pas la concentration du risque de crédit qui résulterait de l'expansion. J'ai réalisé une analyse de portefeuille montrant que l'expansion augmenterait notre concentration de crédit sur les 5 premiers noms de 18 % à 31 % du portefeuille total. J'ai également modélisé l'impact sous un scénario de stress spécifique à la région cible : une contraction de 25 % du PIB combinée à une dévaluation de la monnaie locale, scénario historiquement observé dans ce marché. La sortie combinée montrait des pertes attendues sous stress 2,3 fois supérieures à notre limite d'appétit pour le risque existante. Le comité de crédit a différé l'expansion. L'entreprise est finalement entrée sur le marché avec une approche progressive.

J'étais responsable d'un modèle de scoring de crédit utilisé dans notre portefeuille de prêts aux PME. Lors d'une revue trimestrielle de validation de modèle, j'ai remarqué que le taux de défaut prédit par le modèle pour un segment avait considérablement divergé du taux de défaut observé au cours des huit derniers trimestres, les défauts réels étant environ 40 % supérieurs aux prévisions. J'ai investigué la cause et constaté que le modèle avait été calibré sur des données pré-2020 et n'avait pas été recalibré pour refléter les changements comportementaux dans les patterns de flux de trésorerie des PME. J'ai escaladé le constat au comité de risque de modèle avec une estimation quantifiée de l'impact en capital. Nous avons convenu d'un ajustement de gestion intermédiaire pendant qu'un recalibrage complet était effectué sur trois mois. J'ai également proposé de modifier la fréquence de validation de modèle d'annuelle à semestrielle pour les modèles de crédit à forte utilisation.

J'avais identifié que nos données de pertes en risque opérationnel étaient matériellement sous-estimées parce que le seuil de déclaration pour les incidents avait été fixé à un niveau qui excluait la majorité des petites pertes fréquentes. Ces événements individuellement mineurs étaient collectivement significatifs : mon analyse montrait que les pertes en dessous du seuil totalisaient environ 1,4 million d'euros sur 12 mois, soit presque l'équivalent du chiffre de pertes déclaré. Le responsable du domaine d'activité était réticent car une nouvelle base de données de pertes aurait augmenté l'allocation de capital pour risque opérationnel de son domaine. J'ai présenté le constat non comme une accusation mais comme un problème de qualité des données : l'image incomplète était elle-même un risque, car cela signifiait que le capital n'était pas alloué là où se situait le risque réel. Le seuil révisé a été mis en oeuvre au trimestre suivant.

La Value at Risk (VaR) est une mesure statistique qui estime la perte maximale attendue sur une période de détention définie à un niveau de confiance donné. Par exemple, une VaR journalière à 99 % de 5 millions d'euros signifie que dans 99 % des jours de trading la perte ne devrait pas dépasser 5 millions, ou de façon équivalente, une perte dépassant ce montant est attendue environ 2,5 jours de trading par an. Ses principales limites sont bien documentées. D'abord, la VaR ne dit rien sur la magnitude des pertes dans la queue au-delà de l'intervalle de confiance : deux portefeuilles peuvent avoir la même VaR mais des profils de pertes très différents dans les scénarios extrêmes. C'est pourquoi l'Expected Shortfall (CVaR) est de plus en plus utilisé aux côtés de la VaR. Deuxièmement, la VaR historique suppose que le comportement futur des marchés ressemblera à la distribution historique, ce qui échoue lors de ruptures structurelles. Troisièmement, la VaR est sensible à la fenêtre d'observation. Je présente toujours la VaR aux côtés de scénarios de stress pour compenser ces limites.

L'évaluation du risque de crédit d'un emprunteur corporate comporte quatre composantes principales. D'abord, l'analyse financière : je passe en revue au minimum trois ans de comptes audités, en examinant les tendances de rentabilité, l'endettement (dette nette sur EBITDA), la couverture des intérêts, la génération de flux de trésorerie disponibles et la dynamique du besoin en fonds de roulement. Pour les entreprises cycliques, j'examine les performances sur un cycle complet. Deuxièmement, la qualité du business : position sectorielle, dynamique concurrentielle, concentration clients et fournisseurs. Troisièmement, les facteurs structurels : garanties et clauses contractuelles, rang de notre exposition dans la structure de capital. Quatrièmement, le stress prospectif : je modélise les états financiers sous un scénario baissier, généralement une baisse de chiffre d'affaires de 20 à 30 %, pour évaluer si l'emprunteur peut honorer sa dette sous stress. Le résultat est une note de risque interne, une limite d'exposition recommandée et un mémorandum de crédit narratif.

Dans le cadre de l'approche standardisée de Bâle pour le risque opérationnel, l'exigence en capital est calculée à partir de la Composante Indicateur d'Activité (CIA), dérivée de l'Indicateur d'Activité (IA) : une mesure du revenu et du volume d'activité. L'IA est ensuite multiplié par un coefficient marginal qui augmente par paliers en fonction de sa valeur : 12 % pour la première tranche, 15 % pour la deuxième et 18 % pour la troisième. Pour les établissements plus importants, la CIA est en outre ajustée par un multiplicateur de pertes internes (MPI) basé sur l'expérience historique de pertes de l'établissement par rapport à la moyenne de sa tranche. En pratique, je travaille de près sur le calcul du MPI car il crée une incitation directe pour les établissements à améliorer la qualité de leurs données sur les risques opérationnels : un établissement avec des pertes inférieures à la moyenne supporte une charge en capital moins élevée. Interpréter l'exigence signifie comprendre non seulement le chiffre mais quelles composantes de l'IA le génèrent.