Plateforme des risques : un responsable entre métier et SI

Dans un groupe d'assurance organisé en plusieurs entités, la cartographie des risques, les plans de contrôle, les constats d'audit et le suivi de la conformité peuvent vivre dans un même outil, une plateforme dite de gouvernance, de risques et de conformité. Ce logiciel sert plusieurs fonctions qui doivent rester indépendantes les unes des autres. La personne qui le pilote n'appartient à aucune d'elles en propre : elle travaille pour toutes, avec la DSI, l'éditeur et les utilisateurs des entités.

Ce que le droit demande à l'information

Solvabilité II ne mentionne aucun logiciel, mais elle exige ce que ces plateformes servent à produire. L'article 41 de la directive Solvabilité II impose un système de gouvernance efficace, avec une structure organisationnelle transparente, une séparation appropriée des responsabilités et « un dispositif efficace de transmission des informations ». Il demande aussi aux organismes de veiller à la continuité et à la régularité de leurs activités et, à cette fin, d'utiliser « des systèmes, des ressources et des procédures appropriés et proportionnés ».

L'article 46 précise le contenu du contrôle interne : au minimum des procédures administratives et comptables, un cadre de contrôle interne, des dispositions appropriées en matière d'information à tous les niveaux de l'entreprise et une fonction de vérification de la conformité. L'article 47 confie à l'audit interne l'évaluation de l'adéquation et de l'efficacité de ce système, et exige que cette fonction soit exercée de manière objective et indépendante des fonctions opérationnelles.

L'ACPR résume ces rôles : la gestion des risques gère les risques de façon continue et informe le conseil, la conformité établit un plan et une politique de conformité, l'audit interne établit son plan d'audit et évalue le design et l'efficacité du contrôle interne. L'autorité rappelle que les orientations de l'EIOPA sur le système de gouvernance ont été publiées en français le 14 septembre 2015, et que leur mise en conformité s'est opérée en grande majorité par une notice dédiée de l'ACPR.

Un outil commun, des fonctions séparées

La révision de la directive, applicable à partir du 30 janvier 2027, renforce la séparation. La directive (UE) 2025/2 ajoute à l'article 41 un paragraphe qui impose de nommer des personnes différentes pour les fonctions clés de gestion des risques, actuarielle, de conformité et d'audit interne, chacune exercée de manière indépendante des autres afin d'éviter tout conflit d'intérêts. Seules les entreprises de petite taille et non complexes, ou celles qui ont obtenu l'accord préalable du superviseur, peuvent déroger en partie à ce principe, et jamais pour l'audit interne.

Une plateforme partagée sert donc des fonctions que le droit veut indépendantes les unes des autres. Les arbitrages sur la feuille de route de l'outil, entre une demande de la conformité et une évolution réclamée par une entité, ont une dimension de gouvernance autant que technique. C'est ce qui fait du responsable de la plateforme un poste exposé.

Le cas d'un assureur généraliste

Entourage Recrutement a publié le cas d'un responsable risques et MOA recruté chez un assureur généraliste, qui en donne une illustration précise. Le client, présenté comme un leader de l'assurance en France organisé en plusieurs entités, cherchait pour sa direction des risques groupe la personne qui reprendrait sa plateforme de gestion des risques et du contrôle interne, bâtie sur la solution eFront et utilisée à grande échelle.

Le périmètre décrit couvre le pilotage de la plateforme, la structuration de la feuille de route, l'arbitrage des priorités entre métiers et IT, la relation avec l'éditeur, la modernisation des usages et le management de huit personnes, internes et prestataires, en MOA et en IT. Le poste dialogue avec la conformité, l'audit, les métiers, l'IT, l'éditeur, les prestataires et les utilisateurs des entités.

Le cas identifie le piège de ce type de recherche : trois profils incomplets. L'expert des risques, solide sur le contrôle interne mais éloigné de l'IT. Le chef de projet MOA, solide en maîtrise d'ouvrage mais étranger à la culture des outils de gouvernance des risques. Le manager applicatif, confirmé, avec une vision partielle de l'assurance et des risques. Le besoin réel était un responsable de plateforme métier et SI, avec une composante politique et managériale forte.

Sept intitulés pour un même profil

Le cas relève que les bons profils portent des intitulés différents sur le marché, et en cite sept : responsable MOA, responsable outils risques, responsable contrôle interne, gouvernance projet, product owner GRC, responsable conformité SI, chef de projet risques. Une recherche par intitulé passe donc à côté d'une partie du vivier.

La cartographie menée a couvert les grands groupes d'assurance, les mutuelles et les bancassureurs, les directions des risques groupe, le contrôle interne et la conformité, l'audit interne, les équipes MOA dédiées aux risques, à la conformité et à l'audit, et les responsables d'outils. Les signaux recherchés étaient précis : une expérience de la solution ou d'un outil équivalent, le pilotage d'une plateforme risques ou contrôle interne, une exposition aux directions des risques, de l'audit et de la conformité, le management d'équipes MOA ou applicatives, un rôle dans des déploiements groupe.

Qualifier le rôle réel

Sur ces postes, un même outil peut figurer sur des parcours très différents. Le cas décrit le contrôle mené à chaque échange : le rôle réellement tenu sur l'outil, entre propriétaire, référent métier, administrateur fonctionnel, MOA ou simple utilisateur ; le niveau sur les risques et la conformité ; la capacité à piloter une feuille de route et à tenir la relation avec l'éditeur, la DSI et les prestataires ; la posture face à une direction. Chaque candidat a aussi été invité à décrire ses 90 premiers jours : diagnostic de la plateforme, revue du backlog, cartographie des irritants, rencontre des parties prenantes, structuration de la gouvernance.

La grille d'évaluation retenue comptait cinq dimensions, appliquées à chaque candidat : compétence métier, compétence applicative, management, posture, motivation et projection. Le type d'assurance pratiqué et certains environnements réglementaires ont été traités comme des atouts secondaires, pour ne pas réduire davantage un vivier déjà étroit.

Ce qui a décidé

Trois profils ont été présentés sous quinze jours. Le premier finaliste connaissait très bien la solution et les sujets de contrôle interne, mais sa posture et sa dimension managériale ont été jugées en deçà du niveau attendu. Le second, très solide sur le management, la livraison et les feuilles de route applicatives, avait encore à construire son expérience des plateformes de gouvernance des risques. Le profil retenu réunissait les risques, le contrôle interne, la gouvernance, le SI, les outils et la relation éditeur, avec une expérience de l'assurance. Le cas résume ce qui l'a départagé : il réunissait les deux exigences du mandat, la connaissance de la solution et le management d'une équipe.