Le cas de Jérôme Kerviel en France démontre, si besoin en était, que les procédures de gestion des risques internes sont aisées à contourner. Le trader, ancien employé du middle office, avait une connaissance intime des systèmes de contrôle et de reporting de la banque. Dès lors, il a pu adapter sa communication, contourner certaines règles et berner les systèmes d’information pour avoir les coudées franches.

La gestion du risque opérationnel a donc fait la preuve flagrante de son échec à la Société Générale (perte de 4,9 milliards d’euros), mais aussi quelques mois plus tard aux Caisses d’Epargne (perte de 75 millions d’euros). De manière troublante, Jérôme Kerviel ne voulait pas frauder aux dépens de son employeur, mais augmenter les profits de ce dernier corrélativement à son bonus individuel. Il n’a pas cherché à nier ses actions et explique que sa hiérarchie a tacitement appuyé ses actions.

Le risque opérationnel, notion émanant directement des Accords de Bâle II, ne couvre pas seulement les aspects techniques mais aussi l’aptitude des départements et des différents métiers à coopérer l’un avec l’autre au sein de la banque. Les différents services des banques rapportent aujourd’hui à la hiérarchie plus ou moins rapidement et explicite.

De véritables cultures de services se construisent, ce qui complique la communication entre services. Les baronnies internes sont donc d’importantes sources de risques opérationnels. Dans le cas des trading desks, les services de contrôle sont soumis à la pression des traders-divas et doivent souvent composer avec des individus refusant le contrôle. La hiérarchie appuie les traders perçus comme une source essentielle de revenus.

Les banques doivent donc entamer un triple chantier. Le premier est un changement de culture d’entreprise fondamental, avec la révision du mode de calcul des bonus, comme cela a été évoqué à plusieurs reprises. Ensuite, il est indispensable de redéfinir le risque opérationnel pour sortir de la logique de la «case à cocher» (box ticking) typiquement anglo-saxonne. Le risque opérationnel produit aujourd’hui des «cathédrales de papier» alors qu’il est nécessaire de produire du «papier intelligent», en introduisant des concepts dynamiques et en effectuant des évaluations indépendantes des procédures internes. Cela demande une réflexion importante, en instaurant une compétition pour instaurer les meilleures pratiques dans la profession bancaire.

Enfin, la mise en place d’un social rating interne semble indispensable désormais. Cela implique notamment d’évaluer l’élément humain pris dans son ensemble, les réponses des différents services aux problèmes et la coordination interne. Le coût pour les établissements bancaires établira l’équilibre entre la course à la taille et la nécessaire maîtrise du risque systémique bancaire établissement par établissement.