Menée au printemps dernier, l’étude dresse un état des lieux à la fois quantitatif et qualitatif assez contrasté des pratiques pour cette première année d’exercice. Alors que le régulateur encourageait une communication « appropriée, ciblée et simplifiée » à destination des investisseurs, les émetteurs du panel ont pris leur distance avec les exigences du dispositif.

Cela témoigne des difficultés à appréhender avec précision leur exposition aux risques mais également la nécessité pour ces derniers de protéger leurs informations sensibles, dans un contexte sanitaire exceptionnel. Toutefois, ils ont globalement intégré leurs enjeux en matière de RSE, 58 % des entreprises du panel décrivant l’ensemble de leurs risques extra-financiers dans une section dédiée.

Sur le plan quantitatif, la taille des URD paraît excessive et le volume important de données communiquées aux investisseurs semble éloigné des recommandations du dispositif. Ainsi, en moyenne, les documents analysés font 404 pages, le chapitre relatif aux facteurs de risques s’étend sur 14 pages et près de 500 mots décrivent ces derniers ainsi que les dispositifs de maîtrise qui leur sont associés. Bien que le régulateur n’ait pas émis de limite spécifique dans l’URD, le panel a identifié en moyenne 18 risques, qu’il a réparti autour de cinq catégories. Les risques juridiques et réglementaires ainsi que ceux liés à la sécurité des systèmes d’information et à la cybercriminalité sont parmi les plus cités. Enfin, les risques opérationnels ou liés à l’activité font également partie des catégories les plus fréquentes dans la présentation des risques.

Sur l’ensemble de ces éléments, le secteur des services financiers se montre particulièrement prolixe. Par ailleurs, plus la capitalisation boursière de l’entreprise est importante, plus le nombre de risques tend à être important.

Une entreprise sur cinq a publié sa cartographie des risques

Au cœur de nombreuses nouvelles exigences réglementaires (Sapin 2, devoir de vigilance, RGPD…), la cartographie des risques aurait pu être plébiscitée par les émetteurs, tant elle correspond aux recommandations du régulateur en matière de lisibilité dédiée aux investisseurs. Il n’en est rien car seuls 21 % des émetteurs l’ont publiée dans l’URD, ce qui peut s’expliquer par la crainte de porter atteinte au secret des affaires. Une prudence qui a conduit également 56 % des émetteurs à ne publier aucune donnée quant à la probabilité d’occurrence du risque, son impact potentiel ou la résultante du produit de ces deux dernières. La situation sanitaire a fait l’objet d’une communication de la part de 65 % du panel, sans pour autant approfondir significativement les facteurs de risques.

Julien Auvray, Associé Grant Thornton, commente : « Les premiers retours sur cet exercice de communication mettent en exergue sa difficulté. Les entreprises cotées ne rechignent finalement pas à communiquer quantitativement sur leurs risques mais elles restent particulièrement prudentes sur la probabilité, l’impact et la criticité des menaces. Il conviendra de suivre attentivement comment les groupes vont faire évoluer leur pratique, au regard du retour du législateur sur le principe du comply or explain et des meilleures pratiques du marché. Le prochain exercice sera à n’en pas douter également fortement marqué par la crise sanitaire qui va pousser les groupes à faire évoluer leurs priorités stratégiques et revoir leur cartographie des risques en conséquence. Légitimement, les investisseurs porteront un regard très attentif sur la capacité des émetteurs à identifier, évaluer et traiter les risques auxquels ils font face. Dans ce contexte incertain et mouvant, le dispositif de gestion de risques et l’ensemble de ses acteurs ont plus que jamais un rôle crucial à mener. »