Gestion des risques et conformité, deux fonctions clés distinctes

Dans un organisme d'assurance, la gestion des risques et la conformité ne relèvent pas d'un choix d'organisation. Solvabilité II en fait deux des quatre fonctions clés que doivent mettre en place les organismes soumis au régime, qu'il s'agisse d'assureurs, de mutuelles ou d'institutions de prévoyance, avec la fonction actuarielle et l'audit interne. Leurs responsables sont soumis à des exigences de compétence et d'honorabilité, et leur nomination est portée à la connaissance du superviseur. Les deux fonctions sont souvent réunies dans un même intitulé, alors qu'elles répondent à des logiques différentes.

Ce que le droit demande

L'article 41 de la directive Solvabilité II impose un système de gouvernance efficace, garantissant une gestion saine et prudente, avec une répartition claire et une séparation appropriée des responsabilités. Ce système est proportionné à la nature, à l'ampleur et à la complexité des opérations. Il repose sur des politiques écrites, au moins pour la gestion des risques, le contrôle interne, l'audit interne et, le cas échéant, la sous-traitance. Ces politiques sont approuvées par l'organe d'administration et réexaminées au moins une fois par an.

L'ACPR résume ce socle : au moins deux dirigeants effectifs, pour respecter le principe des quatre yeux, et quatre responsables de fonctions clés. L'article 42 de la directive exige que ces personnes satisfassent en permanence aux exigences de compétence et d'honorabilité, et que tout changement dans leur identité soit communiqué à l'autorité de contrôle. L'ACPR a publié des instructions et des formulaires dédiés à cette notification.

La fonction de gestion des risques

L'article 44 de la directive demande un système de gestion des risques capable de déceler, mesurer, contrôler, gérer et déclarer en permanence les risques, aux niveaux individuel et agrégé, ainsi que leurs interdépendances. Ce système couvre les risques pris en compte dans le capital de solvabilité requis et ceux qui n'y entrent pas pleinement. Il porte au moins sur six domaines : la souscription et le provisionnement, la gestion actif-passif, les investissements, la liquidité et la concentration, le risque opérationnel, la réassurance et les autres techniques d'atténuation.

Lorsque l'organisme utilise un modèle interne approuvé, la fonction de gestion des risques en assure en outre la conception, la mise en œuvre, les tests, la validation et le suivi documentaire, et rend compte de sa performance à l'organe d'administration.

L'article 45 ajoute l'évaluation interne des risques et de la solvabilité, l'ORSA. Elle porte sur le besoin global de solvabilité au regard du profil de risque, des limites de tolérance approuvées et de la stratégie commerciale, ainsi que sur l'écart entre ce profil et les hypothèses du capital de solvabilité requis. Elle fait partie intégrante de la stratégie, et elle est conduite régulièrement et dès qu'une évolution notable du profil de risque le justifie.

La fonction de conformité

L'article 46 rattache la vérification de la conformité au système de contrôle interne. La fonction conseille l'organe d'administration sur le respect des dispositions législatives, réglementaires et administratives. Elle évalue l'impact possible des changements de l'environnement juridique et identifie et évalue le risque de conformité. L'ACPR précise qu'elle établit un plan et une politique de conformité.

La différence de nature entre les deux fonctions est nette. La gestion des risques mesure, arbitre et propose des limites ; la conformité vérifie qu'une règle est appliquée. Le guide d'Entourage Recrutement consacré au recrutement d'un risk manager ou d'un responsable conformité résume cette ligne de partage : un risque s'accepte, se réduit, se transfère ou se refuse, alors qu'une règle s'applique ou est enfreinte.

Deux calendriers sous un même intitulé

Le même guide décrit un effet fréquent du cumul. La conformité arrive avec des échéances imposées de l'extérieur : un texte qui entre en application, un questionnaire de l'autorité, une revue des pratiques de commercialisation. La gestion des risques avance à son propre rythme, et une cartographie peut toujours être reportée au trimestre suivant. Une personne qui porte les deux traite d'abord ce qui a une date. Le guide mentionne deux réponses : donner à la moitié risque une échéance opposable, comme une revue annuelle des limites présentée au conseil, ou recruter d'abord sur la moitié qui a le calendrier.

Il insiste aussi sur la traduction de l'appétence au risque. Une déclaration votée par le conseil ne devient opérante qu'une fois traduite en limites qui s'appliquent là où se prennent les décisions : exposition maximale par contrepartie, plafond de concentration, seuil au-delà duquel l'organisme cesse de conserver un risque. L'article 45 de la directive va dans le même sens, puisqu'il rattache l'ORSA aux limites de tolérance approuvées.

Une solvabilité solide, des risques qui changent de nature

La situation financière du secteur laisse de la marge. Selon le communiqué de l'ACPR du 13 octobre 2026, les bilans prudentiels des organismes d'assurance ont progressé de 5,9 % en 2025, à 3 147 milliards d'euros, et le taux moyen de couverture du capital de solvabilité requis a atteint 250 %, en hausse de 11 points sur un an. L'autorité indique rester mobilisée sur les risques structurels, dont les risques climatiques.

Sur ce terrain, l'ACPR a publié le 23 juillet 2026 une étude sur les mesures d'adaptation des assureurs de dommages. Elle y présente l'ORSA comme un support privilégié d'information des instances de gouvernance sur la sinistralité climatique, et relève que certains organismes suivent un budget climatique, le coût prévisionnel des pertes liées au changement climatique, utilisé en cohérence avec le cadre d'appétence aux risques.

Ce que change la révision de 2027

La directive (UE) 2025/2 révise Solvabilité II. Elle doit être transposée au plus tard le 29 janvier 2027, et ses dispositions s'appliquent à partir du 30 janvier 2027. Deux ajouts concernent directement la fonction de gestion des risques.

Le premier impose des plans spécifiques, avec des objectifs quantifiables et des processus, pour surveiller et traiter les risques financiers découlant à court, moyen et long terme des facteurs de durabilité. Ces plans sont proportionnés à la nature, à l'ampleur et à la complexité de ces risques.

Le second, un nouvel article 45 bis, demande à chaque organisme d'évaluer, dans son ORSA, s'il est exposé de manière importante aux risques liés au changement climatique. S'il l'est, il définit au moins deux scénarios de long terme, l'un où la hausse de la température mondiale reste inférieure à deux degrés, l'autre où elle les dépasse considérablement, et en analyse l'incidence à intervalles qui ne dépassent pas trois ans. Les entreprises de petite taille et non complexes en sont dispensées.

Les niveaux de rémunération

Le guide d'Entourage Recrutement, adossé à son baromètre des salaires, situe en brut annuel un profil risque ou conformité confirmé (3 à 7 ans) entre 50 000 et 72 000 euros, un senior (7 à 12 ans) entre 72 000 et 100 000 euros, et un responsable des risques ou de la conformité (plus de 12 ans) entre 100 000 et 150 000 euros et plus, variable et intéressement compris. Un directeur des risques ou de la conformité se situe entre 150 000 et 250 000 euros et plus, souvent au comité exécutif. Le guide note qu'à l'intérieur d'une bande, le statut régulé de l'entité et la désignation que porte le poste déplacent le curseur. Dans un organisme d'assurance, la désignation comme responsable de fonction clé en fait partie.