Univers des risques commun : la brique qui donne corps au décloisonnement de l’ERM

Dans notre dernière note [Cartographies de risques : de Sapin II à la CSRD et au Devoir de vigilance, comment préserver l’ERM face au piège des silos ?], nous évoquions le risque de voir l’ERM relégué au rang d’un dispositif parmi d’autres, noyé dans la multiplication des cartographies imposées par Sapin II, la CSRD ou le Devoir de vigilance, pour ne citer que ces exemples. Nous proposions de réaffirmer l’ERM comme couche agrégative, chaque exercice préservant ses spécificités au niveau strictement requis, plutôt que comme silo supplémentaire.
Reste une question pratique : par quoi commencer ? Une piste concrète consiste à faire porter cette agrégation par un objet unique — un univers des risques commun, base de données partagée par l’ensemble des exercices — plutôt que par la seule volonté de mieux coordonner des comités.

Du principe à l’outil
Un univers commun fait reposer les différentes disciplines d’évaluation & pilotage de risque sur la même bibliothèque de risques plutôt que sur des bases isolées. Chaque risque est décrit une fois, puis tagué selon les référentiels concernés — un risque de corruption d’un agent commercial reste pertinent pour Sapin II et pour le pilier gouvernance de la CSRD, sans être dédoublé.
Ce principe n’a rien d’exotique : les guides GRC récents en font systématiquement le socle documentaire d’un dispositif intégré, permettant de faire remonter des risques hétérogènes (stratégiques, opérationnels, cyber, conformité) dans un cadre de lecture unique.

Ce qu’un socle commun rend possible

• Mutualiser l’identification et consolider le reporting : un référentiel de risques élargi, tagué par thématique, évite de saisir plusieurs fois les données d’un exercice à l’autre et permet à chaque fonction ou comité d’extraire sa propre vue, sans divergence des données entre les reporting
• Mutualiser la collecte : un atelier ou un entretien peut couvrir plusieurs référentiels si la classification est coordonnée en amont.
• Transversaliser le traitement : un même plan d’action peut être rattaché à plusieurs risques, donc à plusieurs exercices.

Où en sont les pratiques ?
Du côté des pratiques, que ce soit pour les collectivités ou les entreprises, on observe généralement que les exercices restent cloisonnés. Deux secteurs, un même symptôme : chaque nouvel enjeu génère son propre exercice plutôt que d’enrichir un socle commun.
Il est vrai que les autorités demandent des exercices dédiés, notamment sur les thématiques de conformité (Sapin II/ probité, Devoir de Vigilance). Le propos de partir d’un univers commun, pour ensuite séparer les analyses qui doivent l’être, rencontre encore peu d’écho, même si les risk managers cherchent tout de même des solutions en ce sens.
 
Signal en sens inverse côté outils, mais un signal seulement : plusieurs éditeurs GRC repositionnent leur offre autour d’une source unique de données de risque plutôt qu’un module par référentiel. L’outillage cesse d’être un obstacle technique — la gouvernance, elle, reste à trancher.

Les limites à anticiper

• Un univers commun ne veut pas dire une méthodologie commune, les différents exercices conservent leurs caractéristiques propres – par exemple, une cartographie Sapin II impose une évaluation brute et nette et des facteurs aggravants, côté Devoir de vigilance, il s’agit de prendre en compte les effets sur les tiers, et l’évaluation brute clairement favorisée par le juge, (cf. jugement du 17 juin 2025 de la Cour d’Appel de Paris dans l’affaire La Poste) ; s’agissant de l’analyse de double matérialité CSRD, l’évaluation brute est de mise, ainsi que des règles spécifiques sur certaines thématiques) ;
• La discipline prime sur l’outil : règles de mise à jour, de version et d’arbitrage en cas de désaccord entre les pilotes d’exercices doivent être posées avant le déploiement technique, sous peine de voir resurgir les démarches parallèles.
• Un accompagnement au changement : les contributeurs doivent percevoir un allègement réel pour nourrir un objet commun plutôt que leur propre référentiel

L’univers de risques commun ne remplace pas la réflexion méthodologique sur la convergence des cartographies : il lui donne un support. Il suppose un choix de gouvernance en amont — pour la gestion de ce socle commun, et d’accepter que « commun » ne veuille pas dire « uniforme ». À ces conditions, l’outil devient enfin ce que l’ERM cherchait à être : la vision consolidée au service de la décision.