le questionnaire demande si nous avons un système de gestion des risques, qu'est-ce qui compte comme réponse

Système formel ou seulement une évaluation des risques

Cela varie selon le questionnaire, mais dans la plupart des cas, on ne vous demande pas si vous avez jamais évalué les risques — on vous demande si cela se fait de manière structurée et reproductible. Un système au sens entendu ici signifie : les risques sont identifiés, il existe une méthode pour les évaluer (probabilité et impact), des mesures y sont associées, et il y a un examen périodique. Dresser une seule fois une liste de risques en réponse à ce questionnaire ne compte généralement pas comme un « système » ; en revanche, une partie régulière de l'exploitation — ne serait-ce qu'une mise à jour annuelle d'un tableau Excel avec l'attribution des responsabilités par risque — compte généralement comme tel.

Pour les questionnaires de type CSRD (dérivés du module de base de l'EFRAG VSME), la gestion des risques est souvent demandée spécifiquement pour les sujets de durabilité : climat, droits de l'homme dans la chaîne d'approvisionnement, gouvernance. Si vous n'avez mis en place ce processus que pour les risques financiers ou opérationnels et non pour la durabilité, alors « non » est souvent la réponse honnête à ce volet spécifique, même si vous pratiquez effectivement la gestion des risques par ailleurs. Certains clients posent cette question de manière isolée, d'autres dans le cadre d'un bloc plus large portant sur la composition du conseil d'administration et sa structure — la gouvernance et la gestion des risques sont régulièrement combinées dans les questionnaires car la structure de surveillance surveille souvent aussi la gestion des risques.

Ce que le module de base de la VSME et la loi anti-blanchiment demandent comme preuve

Le module de base de l'EFRAG VSME demande une description des politiques et pratiques, non un système certifié comme la norme ISO 31000 — une brève description factuelle de la manière dont les risques sont identifiés et maîtrisés suffit dans la plupart des cas. Si la question provient d'une banque ou d'une assurance, le lien se fait souvent avec la Loi relative à la prévention du blanchiment de capitaux et du financement du terrorisme : elle oblige le client lui-même à effectuer une connaissance du client, et le client veut donc souvent savoir si votre propre organisation maîtrise les risques — y compris les risques d'intégrité. Si vous n'avez pas de système de gestion des risques distinct mais bien des éléments isolés comme une politique de sanctions ou un canal de signalement, il est souvent plus précis de nommer ces éléments isolés que de suggérer un système qui n'existe pas.