Appétence au risque

Définition

L'appétence au risque, ou risk appetite, désigne le niveau global de risque qu'une organisation est disposée à accepter dans la poursuite de ses objectifs stratégiques, formalisé par sa gouvernance et servant de référence pour orienter l'ensemble des décisions relatives à la gestion des risques, y compris les risques cyber et de conformité. Cette notion, empruntée à la gestion des risques financiers et progressivement généralisée à l'ensemble des risques d'entreprise, se distingue de la tolérance au risque, plus opérationnelle et déclinée risque par risque, en ce qu'elle exprime une orientation générale validée au plus haut niveau de l'organisation, typiquement par le conseil d'administration ou le comité exécutif. Une déclaration d'appétence au risque formalisée précise généralement les catégories de risques que l'organisation refuse catégoriquement d'assumer, comme une atteinte grave à la sécurité de ses clients, celles qu'elle accepte dans certaines limites définies, et celles pour lesquelles elle est prête à prendre des risques significatifs en contrepartie d'une opportunité stratégique, par exemple l'adoption rapide d'une technologie émergente encore mal maîtrisée. Cette formalisation, de plus en plus attendue par les régulateurs, notamment dans le cadre de DORA et de NIS2 qui responsabilisent directement l'organe de direction, permet d'objectiver les arbitrages entre investissement en sécurité et prise de risque acceptée, plutôt que de laisser ces décisions dépendre de la seule sensibilité individuelle de chaque responsable opérationnel.