Le Baromètre du Risk Manager 2017 Management des Risques et des Assurances de l’Entreprise en partenariat avec 5 e édition Le Baromètre du Risk manager 2017 Ce Baromètre publié tous les deux ans, a pour vocation de mesurer les évolutions du métier de Risk manager dans la durée, et d’apporter un éclairage sur sa fonction, afin d’en constituer l’outil de benchmark de référence, tout en contribuant à la promotion de la fonction. Face aux nouveaux défis d’un environnement toujours plus complexe, le Risk manager doit prendre un tournant et être acteur du changement : il doit appréhender et s’adapter aux nouveaux défis de l’entreprise, les enjeux de conformité ou bien encore à la transformation digitale et aux changements de business model qui en découle. Dans ce contexte, le Risk manager doit développer son leadership et jouer pleinement son rôle en accompagnant étroitement le management dans sa montée en maturité sur ces sujets de gestion des risques : de la définition de la stratégie à son exécution. Les relations avec les directions générales se renforcent d’année en année et ces dernières sont à l'écoute de leur Risk manager. Il doit ainsi se positionner au sein de l'entreprise comme un conseil stratégique. Cette nouvelle dimension du métier associée à une reconnaissance qui ne cesse de croître en fait un métier passionnant. Cette cinquième édition du Baromètre du Risk manager de l’AMRAE a été réalisée en partenariat avec PwC que nous remercions pour son implication dans la réalisation de cette enquête auprès d’un large panel de Risk managers exerçant en France. Le Baromètre a été construit à partir de l’analyse des résultats d’un questionnaire en ligne, renseigné par plus de 270 personnes entre janvier et avril 2017. Le panel de ce Baromètre couvre l’ensemble des personnes exerçant les métiers de la gestion des risques, qu’il s’agisse des « Top Managers » ou de leurs équipes. L’AMRAE tient à remercier l’en- semble des répondants pour le temps et l’attention qu’ils ont accordés à cette enquête. Dans la continuité des précédentes éditions, le Baromètre 2017 permet d’analyser le pro- fil, les missions, la rémunération ainsi que les perspectives d’évolution. Il s’est enrichi de focus spécifiques comme le rôle du Risk manager dans la gestion des risques liés à la stratégie de l'entreprise, la communication en matière de risques ou la nature de ses relations avec les autres fonctions. Nous vous en souhaitons une très bonne lecture. Brigitte Bouquot Présidente de l’AMRAE François Malan Vice-Président (Métier) de l’AMRAE Bernard Gainnier Président PwC France & Afrique francophone Éditorial 2 - Le Baromètre du Risk Manager Le profil du Risk manager Les Risk managers ayant répondu à cette enquête sont en majorité des hommes (55%) et sont âgés d’au moins 46 ans (53%). La féminisation du panel se poursuit en 2017 puisque les femmes représentent désormais 45% des répondants (contre 41% en 2015 et 28% en 2013) . En 2017, les trois principales formations initiales des Risk managers sont les mêmes qu’en 2013 et 2015, à savoir Droit (33%), Commerce / Gestion / Economie (33%) et Ingénieur / Scientifique (27%). Les profils issus des formations Droit et Ingénieur / Scientifique ont augmenté par rapport à 2015, où ils représentaient respectivement 24% et 22% du panel. Comme les éditions précédentes, les Risk managers interrogés exercent principalement dans des entreprises de type grand compte (62% en 2017 et 63% en 2015) et dans les secteurs de l’industrie et des services (44% des répondants) et de l’assurance (17% des répondants). Nous observons une nette diminution de la proportion des Risk managers gérant exclusivement les assurances et la prévention (42% en 2013, 31% en 2015 et 24% en 2017) au profit principalement des Risk managers exclusivement ERM (40% en 2017 contre 31% en 2015). Enfin, nous constatons une certaine stabilité des profils gérant à la fois les risques et les assurances (38% en 2015 et 36% en 2017). Les missions du Risk manager Interrogés sur la base du Référentiel Métier « Risk manager » de l'AMRAE, les répondants ont indiqué réaliser principalement les activités : • de diffusion de la culture du risque (82%), • d’appréciation du risque (79%), • de maîtrise des risques (70%). À noter qu’en plus de ces missions spécifiques à la gestion des risques, 32% des répondants ont indiqué être en charge du Contrôle Interne et 18% de la Conformité. Les Risk managers interviennent toujours sur une large palette de risques et notamment les risques : • opérationnels (91%), • de fraude (83%), • de cyber sécurité (79%), • environnementaux (79%). À noter que cette année les risques cyber sécurité font leur entrée dans le top 3, du fait notamment que les Risk managers sont de plus en plus impliqués face à ces sujets d’actualité. On constate également une hausse de Risk managers intervenant sur le risque de conformité (77% en 2017 contre 59% en 2015) et sur les risques sûreté/sécurité (76% des répondants contre 70% en 2015), ce qui peut s’expliquer par le contexte actuel où la pression réglementaire est de plus en plus forte (Loi Sapin 2, RGPD, devoir de vigilance, …) et les enjeux de sécurité/ sûreté de plus en plus présents. Executive Summary Le Baromètre du Risk Manager - 3 Par ailleurs, nous observons cette année une diminution des Risk managers estimant disposer d’un budget de fonctionnement suffisant (58% contre 77% en 2015). La rémunération du Risk manager La rémunération fixe brute annuelle d’un Risk manager est stable par rapport à 2015. Elle est en moyenne de 107 KEuros pour les « top managers  » contre 108 KEuros en 2015, et de 84 KEuros pour les « non top managers », comme en 2015. Les écarts de salaires hommes / femmes persistent en 2017, bien qu’ils soient en baisse par rapport à 2015. En effet, une différence de salaire de 8% est observée en 2017 entre les « top managers » hommes et femmes (contre 15% en 2015). Une différence de salaires est observée en faveur des Risk managers exerçant en Ile-de-France par rapport à ceux exerçant en Région avec un écart de 23% pour les « non top managers » et de 20% pour les « top managers », ce qui est inférieur à la moyenne nationale qui est de l’ordre de 28%. Les évolutions du Risk manager À titre professionnel, 79% des Risk managers pensent que la diffusion de la culture des risques est le premier axe de développement de la fonction tandis qu’à titre personnel, 50% des Risk managers souhaitent rester Risk managers en évoluant au sein d’une autre entreprise. Pour conclure, nous constatons une hausse de la proportion des Risk managers qui ont le sentiment que la reconnaissance de leur fonction en interne est en augmentation. Ils étaient 53% à exprimer ce sentiment en 2015, ils sont à présent 63%. New En matière de gestion des risques liés à la stratégie, 41% des répondants déclarent identifier et analyser les risques des différentes stratégies envisagées par l’organisation. Par ailleurs, 76% des Risk managers interrogés déclarent communiquer sur les risques à l’extérieur de leur entreprise. Les moyens à disposition du Risk manager Les moyens du Risk manager sont représentés dans cette étude par les différents leviers d'action qu'ils ont à disposition. Les Risk managers de cette enquête sont principalement rattachés à la Direction Générale (44%) ou à la Direction Financière (31%) et ont un accès direct (63%) au Directeur Général. À noter qu’en 2015, 36% des Risk managers interrogés déclaraient être rattachés à la Direction Générale. Nous constatons que si seulement 45% des Risk managers ont une relation étroite avec la fonction Sécurité/Sûreté, ils sont 76% à intégrer ces risques dans leur univers d’analyse. Pour mener à bien ses missions, le Risk manager gérant les assurances et la prévention dispose d’une équipe composée de moins de 5 personnes (70% contre 66% en 2015). Le Risk manager ayant en charge la gestion globale des risques dispose quant à lui d’une équipe constituée de moins de 3 personnes (60% contre 76% en 2015). Nouveaux sujets 4 - Le Baromètre du Risk Manager Le Baromètre du Risk Manager - 5 Le panel de l’étude. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Le profil du Risk manager. . . . . . . . . . . . . . . . . . . . . . . . . . 8 Différentes activités. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8 Profil sociologique. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9 Formation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11 Modalités de recrutement. . . . . . . . . . . . . . . . . . . . . . . . . . . .14 Expérience professionnelle en gestion des risques. . . . . . . . . .15 Employeur. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .15 Les missions du Risk manager. . . . . . . . . . . . . . . . . . . . . 18 Référentiel métier. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .18 Focus Assurance et Prévention (AP). . . . . . . . . . . . . . . . . . . . .24 Autres fonctions du Risk manager. . . . . . . . . . . . . . . . . . . . . .25 Univers des risques. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26 Les moyens à disposition du Risk manager. . . . . . . . . . . 28 Équipes. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .28 Budget de fonctionnement. . . . . . . . . . . . . . . . . . . . . . . . . . .29 Le Risk manager au sein de son organisation. . . . . . . . . . . . . .30 La rémunération du Risk manager. . . . . . . . . . . . . . . . . . 36 Rémunération fixe. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .36 Rémunération variable. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .37 Facteurs conditionnant le niveau de rémunération. . . . . . . . . . .37 Les évolutions du Risk manager. . . . . . . . . . . . . . . . . . . . 40 Perception de l’avenir. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .40 Perspectives d’évolution personnelle. . . . . . . . . . . . . . . . . . . .40 Sommaire 6 - Le Baromètre du Risk Manager La 5 e édition de ce Baromètre a pour vocation de mesurer les évolutions dans la durée, du positionnement et du rôle de la fonction de Risk manager . Il participe à la visibilité de nos métiers et constitue un véritable outil de benchmark permettant de positionner le Risk manager dans l’environnement actuel. Ce Baromètre est le résultat d’une enquête menée en France par l’AMRAE entre janvier et avril 2017 à laquelle ont participé plus de 270 Risk managers avec environ 200 réponses complètes (contre 188 en 2015). Le Baromètre s’articule autour de 5 thèmes : • le profil, • les missions, • les moyens à disposition du Risk manager, • la rémunération, • les évolutions de carrière. Et s’enrichit de focus spécifiques : • le Risk manager et la Stratégie, • le Risk manager et la communication en matière de risque, • le Risk manager et la Sûreté/Sécurité. La population interrogée regroupe des Risk managers exerçant les fonctions de gestion des risques et / ou d’assurance, dans des entreprises de différentes tailles et de différents secteurs, membres ou non de l’AMRAE. Dans le prolongement de l’édition précédente, le sondage a été ouvert aux « top managers » et à leurs équipes. Cette année le panel est constitué de 45% de femmes et 55% d’hommes (59% en 2015), soulignant une nouvelle augmentation de la population des Risk managers femmes. Enfin, nous observons de nouveau un rajeunissement des répondants . Cela peut s’expliquer notamment par la plus grande proportion de « non top managers » dans le panel (43% cette année contre 40% en 2015). Le panel de l’étude Définition d’un « top manager » : personne physique qui occupe le rang le plus élevé de la fonction gestion des risques au sein de l'organisation. Le Baromètre du Risk Manager - 7Le Baromètre du Risk Manager - 7 8 - Le Baromètre du Risk Manager Différentes activités L’analyse s’articule autour des 3 profils de Risk manager suivants : • un profil ERM (Enterprise Risk management) : orienté vers la gestion des risques de l’entreprise, • un profil AP : orienté vers la gestion des assurances et la prévention des risques assurables, • un profil mixte AP/ERM : intervenant sur des problématiques d’assurance, de prévention et de gestion des risques. Répartition des Risk managers par profil Depuis la 3 e édition du Baromètre Risk managers en 2013, nous constatons : • une augmentation des profils ERM notamment pour les « non tops managers », • une augmentation des profils AP/ERM « top managers », • une diminution des profils AP, à la fois « top manager » et « non top manager ». Cette évolution confirme la polyvalence des Risk managers qui intègrent désormais de plus en plus la gestion globale des risques. Le profil du Risk manager En distinguant les profils « top managers » et « non top managers », nous remarquons que : • 47% des « top managers » ont un profil AP/ERM (45% en 2015), • 50% des « non top managers » ont un profil ERM. En 2015, les « non top managers » avaient un profil principalement AP (42%). ERM A P/E R M AP 40% 36% 24% Profil exclusivement ERM Profil mixte AP/ERM Profil exclusivement AP ERM A P/E R M AP 31% 38% 31% 2015 2017 Le Baromètre du Risk Manager - 9 Profil sociologique Age La fonction de Risk manager continue à être exercée par des profils expérimentés. 53% des Risk managers interrogés ont plus de 45 ans (53% en 2015), avec une proportion qui atteint 64% chez les « top managers » (65% en 2015). Nous notons une disparité entre les profils ERM et les autres : un rajeunissement de la population des profils ERM et une plus grande maturité pour les profils AP et AP/ERM. Moins de 35 ans De 35 à 45 ans De 46 à 55 ans Plus de 55 ans AP 10% 33% 45% 12% AP/ERM 20% 24% 35% 21% ERM 22% 30% 30% 18% Total 18% 29% 36% 17% 10 - Le Baromètre du Risk Manager Sexe Parmi les répondants à l’enquête, plus d’un Risk manager sur deux est un homme (55%) mais le nombre de femmes Risk manager augmente d’année en année (28% en 2013, 41% en 2015 et 45% en 2017) . Moins de 35 ans De 35 à 45 ans De 46 à 55 ans Plus de 55 ans 11% 13% 19% 12% 7% 15% 17% 6% 55% 45% Total Nous constatons une progression de la proportion de femmes « top manager » . En 2015, elles représentaient 37% des « top managers » alors qu’en 2017 elles représentent 42% des « top managers ». J’ai récemment été recrutée pour le poste de Risk manager au sein de mon entreprise, suite au départ en retraite de mon prédécesseur. Au-delà d’exiger un profil qui correspondait aux attentes, le management de mon entreprise affichait une volonté claire de féminiser l’équipe de Direction Finance et donc de privilégier le recrutement d’une femme pour ce poste. La gouvernance de mon organisation connaît actuellement un tournant avec une attention particulière de développer les meilleures pratiques et notamment en termes de recrutement et de mixité. C’est peut-être ce qui se passe également dans les autres organisations. Jusqu’à il n’y a pas si longtemps, la fonction Risk manager était exercée par des hommes dans une large majorité. Avec la vague récente de départs en retraite des Risk managers, les organisations en profitent pour les remplacer par des femmes et ainsi mettre en œuvre cette volonté de placer des femmes à des postes à haute responsabilité. Je pense que cela pourrait être une explication à la féminisation du panel de Risk manager observée dans cette édition. Par ailleurs, nous constatons que la fonction de Risk manager est une fonction qui se diversifie et s’enrichit au travers la gestion de multiples sujets. Les Risk managers femmes se révèlent être de très bons profils de par leurs capacités à avoir une vision large et transverse. Témoignage Risk manager d’un groupe français à dimension internationale dans le secteur de l’industrie Le Baromètre du Risk Manager - 11 Implantation de l’organisation La grande majorité des répondants exercent au sein d’une organisation basée en Ile de France, région où beaucoup de holdings ou sièges sociaux sont implantés. 72,5% 22,8% Régions 4,7% International Formation Note : Il s’agit d’une question à choix multiple Formation initiale Les principales formations initiales des répondants à cette enquête restent les mêmes cette année même si nous constatons des évolutions en fonction des différents profils. À noter qu’en 2015 les trois principales formations étaient les mêmes mais dans des proportions différentes : 1. Commerce / Gestion / Economie pour 31% du panel, 2. Droit pour 24% du panel, 3. Ingénieur / Scientifique pour 22% du panel. Alors qu’en 2015, nous avions constaté une baisse importante des Risk managers avec une formation initiale en Droit, cette année, la tendance inverse s’observe. Le Droit devient même la formation principale des AP/ERM et il passe de 3% en 2015 à 6% en 2017 pour les profils ERM. L’augmentation générale des formations en Droit peut s’expliquer par l’augmentation de la pression réglementaire ces dernières années. AP AP/ERM ERM Total Commerce / Gestion / Économie 10% 20% 33% Droit 12% 6% 15% 33% Ingénieur / Scientifique / Médecine 10% 12% 5% 27% Gestion des Risques (DESS, Mas ter, etc .) 5% 5% 13% Sciences Politiques / Langues 7% Assurances (Enass, etc.) 5% 11% Autres --Le Droit reste la première formation des profils AP et devient la principale formation d’origine des profils AP/ERM (de 8% en 2015 à 12% en 2017), suivie de près par les formations Commerce / Gestion / Economie ou Ingénieur / Scientifique. --Les formations en Commerce / Économie / Gestion représentent toujours le premier domaine de formation des profils ERM. Focus : analyse par profils 2% 2% 3% 3% 1% 3% 3% 3% 3% 4% 12 - Le Baromètre du Risk Manager La distinction par tranche d’âge permet de mettre en avant la grande diversité des domaines de formation d’origine des Risk managers. Dans la tranche des moins de 35 ans, les formations scientifiques deviennent la principale formation en passant de 6% en 2015 à 35% en 2017. Par ailleurs, la proportion importante de formation spécialisée en Gestion des Risques (30%) constatée en 2015 se confirme en 2017. Au-delà de ces principales formations, nous précisons que : • 38% des moins de 35 ans ont suivi des formations de type Assurances (16%), Sciences Politiques (11%) ainsi que des formations d’actuariat, comptabilité et finance, • 31% des 35 à 45 ans ont suivi également des formations en Assurances (14%), • 23% des 46 à 55 ans ont suivi d’autres formations que les 3 principales ci-dessus, dont Assurances (9%) et Sciences Politiques (7%), • 18% des plus de 55 ans ont suivi d’autres formations dont Sciences Politiques (6%) et Assurances (3%). Moins de 35 ans De 35 à 45 ans De 46 à 55 ans Plus de 55 ans Gestion des risques 30% Droit 34% 37% 14% 37% Ingénieur/ Scientifique 27% 34% 34% 37% 23% 35% 21% 29% Commerce / Gestion / Économie 13% 6% 3% Le Baromètre du Risk Manager - 13 Formation complémentaire en Risk management Risk management Plus de la moitié (62%) des Risk managers interrogés a suivi une formation complémentaire en Risk management. Près de 70% des Risk managers de 35 à 55 ans et 50% de ceux de moins de 35 ans et de plus de 55 ans ont suivi une formation complémentaire en Risk management. 56% des répondants ont suivi ces formations pour se perfectionner et 22% dans le cadre d’une prise de poste. La formation ARM occupe désormais la première place des formations complémentaires en Risk management (27% contre 17% en 2015), suivie de près par les séminaires thématiques de l’AMRAE (25% en 2017 et en 2015). Le CEFAR connait quant à lui une légère diminution (9% contre 13% en 2015). De plus, 28% des Risk managers déclarent avoir suivi d’autres formations que celles proposées, telles que le CERA (Certified Enterprise Risk Analyst). AP ERM Autres ARM (Carm Institute - AMRAE Formation) Séminaires thématiques (AMRAE Formation) Séminaires (IFACI) IMR Master du type 3 e cycle en Gestion des Risques IGR (CNPP) Séminaires (Enass) Total CEFAR (AMRAE Formation) 5% 9% 6% 13% 5% AP/ERM 10% 9% 6% 7% 9% 27% 28% 25% 21% 9% 15% 9% 5% 8% 0% 2% 2% 1%0% 2% 2% 2% 3% 3% 4% 2% 12% 3% 14 - Le Baromètre du Risk Manager La participation à des formations en finance a particulièrement augmenté entre 2015 et 2017 en passant de 27% à 38%. Autres formations complémentaires utiles à la fonction de Risk manager Parmi les répondants, 74% ont suivi une formation complémentaire (contre 60% en 2015). 83% des Risk managers ont suivi leurs formations complémentaires en présentiel et 21% par e-learning. Modalités de recrutement Comme lors des éditions précédentes, les Risk managers ont principalement été recrutés via une mobilité interne (32% des répondants). Les « top managers » sont recrutés à 37% par les cabinets de recrutement et à 31% via une mobilité interne tandis que les « non top managers » sont recrutés principalement par l’intermédiaire de leur réseau (34%) ou via une mobilité interne (33%). En revanche, nous constatons cette année une forte augmentation des recrutements via un cabinet de recrutement/chasseur de tête (31% des répondants contre 17% en 2015). 32% 31% 25% 8% 3%1% Mobilité interne Création d'entrepriseSite de l'AMRAE AP AP/ERM ERM Total Développement personnel (prise de parole en public, tech- niques de négo- c iat ion, e t c .) 9% 20% 12% 41% Finance 7% 18% 13% 38% Métier / Gestion de projet 7% 15% 15% 37% Langues étrangères 8% 15% 11% 34% Juridique 11% 15% --Les profils AP ont été principalement recrutés par un cabinet de recrutement (47%). --Les profils AP/ERM sont recrutés principalement par le réseau (29%) et la mobilité interne (28%). --Les profils ERM sont recrutés essentiellement via la mobilité interne (44%). Focus : analyse par profils 1% 3% Cabinet de recrutement / Chasseur de tête Candidature spontanée Réseau / Relations Le Baromètre du Risk Manager - 15 Expérience professionnelle en gestion des risques 36% des Risk managers ayant participé à l’enquête ont plus de 10 ans d’expérience professionnelle en gestion des risques (contre 39% en 2015 et 44% en 2013) et 33% d’entre eux ont entre 5 et 10 ans d’expérience. Moins de 5 ans De 5 et 10 ans De 11 et 15 ans Plus de 15 ans 12% AP 35% 16% 37% 29% AP/ERM 22% 18% 30% 44% ERM 42% 9% 5% Employeur Taille de l’entreprise 86% des Risk managers interrogés travaillent dans des entreprises de type grand compte ou de taille intermédiaire (ETI), contre 91% en 2015. Par rapport à 2015, nous constatons une augmentation du nombre de Risk managers au sein des PME / PMI. En effet, 9% des Risk managers déclarent travailler dans une PME / PMI contre 5% en 2015. 24% 9% 4%1% Grand compte (+1,5 millard € +5 000 salariés) ETI (-1,5 millard € -5 000 salariés) PME - PMI (-50 millions € -250 salariés) Association - ONGSecteur public 62% --Les Risk managers AP disposent d’une expérience professionnelle plus importante : 53% des répondants AP exercent leur fonction depuis plus de 10 ans (50% en 2015). --Les Risk managers ERM disposent d’une expérience professionnelle plus récente, mais on constate une évolution depuis 2015 : 44% ont moins de 5 ans d’expérience en gestion des risques (52% en 2015) et 42% ont entre 5 et 10 ans d’expérience (30% en 2015). --Les Risk managers AP/ERM disposent d’une expérience importante : 49% des répondants exercent leur fonction depuis plus de 10 ans ce qui était déjà le cas en 2015. Focus : analyse par profils Total 31% 33% 14% 22% 16 - Le Baromètre du Risk Manager Secteurs d’activité Comme en 2015, le secteur d’activité le plus représenté est celui de l’Industrie, où 33% des Risk managers exercent leur activité. Le secteur de l’Assurance / Réassurance / Mutuelle arrive en deuxième position avec 17% des Risk managers, contre 8% en 2015. Cela peut s’expliquer par le poids réglementaire dans ce secteur d’activité qui découle de Solvabilité 2. A l’inverse, en 2015, 19% des Risk managers exerçaient au sein du secteur des Services alors que cette année cette proportion est passée à 11%. Ces évolutions sont essentiellement liées au panel de Risk managers ayant participé à l’enquête cette année. Au global, les secteurs Industrie, Assurance / Réassurance / Mutuelle et Services représentent 61% des répondants, ce qui était le cas également en 2015. Industrie 33% Assurance Réassurance Mutuelle 17% Services 11% BTP Immobilier 9% Transpor t Logistique 6% Conseil 6% Banque Finance 5% Distribution 4% Biens de consommation Luxe 3% High Tech 3% Médias Loisirs 3% Le Baromètre du Risk Manager - 17 18 - Le Baromètre du Risk Manager Référentiel métier Les missions du Risk manager Le périmètre d’intervention du Risk manager inclut principalement les activités suivantes : • diffusion de la culture du risque (82%), • appréciation du risque (79%), • maîtrise des risques (70%), • pilotage et reporting des risques (70%). La gestion des sinistres disparaît des principales missions. Cette évolution s’explique par la forte diminution des profils AP dans le panel. Les missions présentées ci-dessus sont tirées du Référentiel Métier Risk manager de l'AMRAE, consultable à l'adresse suivante : > http://www.amrae.fr/riskmanagerreferentielmetier 67% 79% 70% 82% 35% 31% 46% 37% 70% Définition des missions et de la structure du dispositif AP et/ou ERM Appréciation du risque Maîtrise des risques Diffusion de la culture du risque Financement des risques Gestion des événements non assurés / non assurables Gestion des sinistres Gestion de crise Pilotage et reporting des risques 2015 2017 Le Baromètre du Risk Manager - 19 Définition des missions et de la structure du dispositif Les trois principales activités de définition des missions et de la structure du dispositif sont les mêmes qu’en 2015. Les Risk managers ERM et AP/ ERM sont plus particulièrement impliqués dans : • la construction de la méthodologie et du référentiel de management des risques (61%), • l’élaboration du cadre organisationnel du management des risques (61%). Appréciation du risque (identification, analyse, évaluation du risque) Par rapport à 2015, une plus grande proportion des Risk managers interrogés déclare prendre part aux différentes activités d’appréciation du risque. Seule l’activité de définition de l’appétence aux risques de l’entreprise est exercée par moins de la moitié des répondants (48%). Nous notons également que moins de la moitié (47%) des Risk managers AP exerce une des activités d’appréciation du risque listée dans le Référentiel Métier Risk manager de l'AMRAE. Identifcation des activités, process (métier, support)40 % Intégration des menaces et opportunités inhérentes à la stratégie41 % Obtention d’une validation par les dirigeants et/ou les organes de Gouvernance des missions et de la structure du dispositif, et de l’attribution des moyens nécessaires à leur réalisation 44 % Défnition des missions du dispositif de management des risques dans le cadre de la mise en œuvre de la stratégie 46 % Élaboration de la politique de management des risques prenant en compte l’appétence et la tolérance aux risques des dirigeants et/ou des organes de Gouvernance de l’organisation 47 % Construction de la méthodologie et du référentiel de management des risques 50 % Élaboration du cadre organisationnel du management des risques 51 % 48% 55% 59% 60% 61% 61% 62 % Synthèse et consolidation des risques majeurs de l’organisation Anticipation des risques et de leur évolution (en relation avec l’intelligence économique) Conduite d’entretiens individuels avec les dirigeants et managers Défnition des outils utiles à l’appréciation du risque  (échelles, guide d’entretiens, registre et univers  des risques, langage commun, etc.) Animation des ateliers d’identifcation, d’analyse et d’évaluation (hiérarchisation) des risques Élaboration des cartographies des risques par entité/métier, ou par grand projet Défnition de l'appétence aux risques de l'entreprise 20 - Le Baromètre du Risk Manager --Les Risk managers AP sont impliqués dans les visites de zones à risques, l’identification et la construction des plans d’action ainsi que dans la consolidation et le suivi de ces derniers. --Les Risk managers ERM sont quant à eux particulièrement impliqués dans les activités de présentation et de validation des risques majeurs ainsi que dans les activités de consolidation et de suivi des plans d’action. Focus : analyse par profils Maîtrise des risques (à un niveau acceptable en fonction des critères de risques retenus) L’implication des Risk managers a augmenté dans toutes les activités de maîtrise des risques (70% contre 64% en 2015). 58%Présentation / Validation des risques majeurs 33% Assistance dans les audits d’acquisition et de cession 45% Analyse et déploiement des plans d’action de traitement des risques 57%Participation à la construction des plans d’action 51% Identifcation de la panoplie de traitements de risques 55%Consolidation et suivi des plans d’actions 32%Visite des zones à risques Diffusion de la culture du risque La diffusion de la culture du risque est l’activité la plus réalisée par les Risk managers (82% des répondants). Si 91% des Risk managers AP/ERM ou ERM sont impliqués dans la diffusion de la culture du risque seuls 56% des profils AP le sont. L’évolution de l’implication des Risk managers dans la diffusion de la culture du risque démontre l’importance croissante de cette activité : • le développement, l’animation et la formation d’un réseau de correspondants risques était effectué par 63% des Risk managers en 2015 contre 69% en 2017, • 60% des répondants en 2015 contre 69% en 2017 participaient aux évènements importants en interne. 69 % Développement, animation, formation d’un réseau de correspondants risques 69% Participation aux évènements importants (séminaires, comités, etc.) 58% Rédaction de la communication interne sur la culture des risques Le Baromètre du Risk Manager - 21 Financement des risques (cette analyse ne concerne que les répondants AP et AP/ERM) Par rapport à 2015, nous constatons une diminution générale des activités de financement des risques par les Risk managers AP et AP/ERM avec un écart d’environ 10 points pour les trois premières activités. Nous remarquons également une forte diminution de l’activité de création et administration d’une captive (28% contre 49% en 2015). 28% 47% 48% 50% 50 % Négociation des contrats d’assurances Création et administration d’une captive Gestion et déploiement des couvertures d’assurances Recensement des solutions de fnancement des risques Organisation des relations avec les prestataires (courtiers, assureurs) Gestion des événements non assurés / non assurables Comme en 2015, moins de la moitié des Risk managers ayant participé à cette enquête ont déclaré exercer une de ces activités. 21% 22% 24 % Identifcation et prise en compte des moyens et plans d’actions Qualifcation de l’événement Organisation des retours d’expériences Gestion des sinistres (cette analyse ne concerne que les répondants AP et AP/ERM) Conformément à la diminution des profils AP au sein du panel, les activités de gestion des sinistres sont en baisse par rapport à 2015 : • 71% des Risk managers AP et AP/ERM réalisent l’organisation de la gestion avec les partenaires contre 79% en 2015, • 69% assurent le suivi des sinistres contre 77% en 2015, • 65% sont en charge de la qualification des évènements contre 72% en 2015, • 42% valident le retour à la normale des activités contre 47% en 2015. 71 % Organisation de la gestion avec les partenaires (courtiers, assureurs, experts, voire  réassureurs, etc.) 69%Suivi du sinistre 42% Validation du retour à la normale des activités 65% Qualifcation des événements pour déterminer les assurances susceptibles de les couvrir et  les éventuelles responsabilités 22 - Le Baromètre du Risk Manager Les tendances observées en 2015 se confirment en 2017 : --les Risk managers AP/ERM sont majoritairement impliqués dans la gestion de crise (52% contre 56% en 2015), --moins de la moitié des Risk managers ERM déclare être impliquée dans la gestion de crise (39% contre 35% en 2015), --les Risk managers AP déclarent peu participer aux activités de gestion de crise (13% contre 12% en 2015). Focus : analyse par profils 59% Reporting aux parties prenantes du dispositif 11%Interview dans les médias 39% Organisation des relations avec l'audit interne 58% Maintenance et amélioration continues du dispositif de management des risques 43% Animation du (ou des) comité(s) des risques 56% Participation à la rédaction des documents institutionnels (rapport annuel, document de référence, reporting intégré, ...) Gestion de crise Près de 30% des Risk managers déclarent prendre part aux différentes activités de gestion de crise. La position de leader de la cellule de crise n’est occupée que par 8% des répondants. Les autres activités sont exercées par environ 25% des répondants. 27% Gestion de la continuité d'activité (PCA) 8%Leader de la cellule de crise 23%Membre de la cellule de crise 25% Maintenance et amélioration continue du dispositif de gestion de crise Contribution à la défnition, la mise en place et la communication relatives à l'organisation et aux outils de prévention et de gestion de crise 26% Pilotage et Reporting Nous observons en 2017 une nette augmentation de la participation des répondants à l’activité de reporting aux parties prenantes du dispositif (59% contre 55% en 2015). Comme en 2015, les activités de pilotage et reporting des risques sont peu gérées par les Risk managers AP (24%) alors que 86% des Risk managers ERM et AP/ERM sont impliqués dans ces activités. Le Baromètre du Risk Manager - 23 New Le Baromètre du Risk Manager - 23 Focus sur le Risk manager et la communication en matière de risque En matière de communication interne, les Risk managers sont fortement impliqués et jouent un rôle important au travers de différentes activités. En premier lieu, les Risk managers ont un rôle essentiel dans la diffusion de la culture du risque au sein de leur entreprise. Ils participent pour 69% d’entre eux aux événements importants (séminaires, comités, etc.) et pour 58% à la rédaction de la communication interne sur la culture du risque. La rédaction de la communication interne sur la culture du risque est une activité surtout effectuée par les profils ERM (69%) et AP/ ERM (66%) plutôt que par les profils AP (31%). Parmi les autres activités relatives à la communication interne, une large majorité des répondants (59%) est en charge du reporting aux parties prenantes du dispositif. Cette activité est davantage effectuée par les profils ERM (77%) et par les profils AP/ ERM (67%) que par les profils AP (20%). La majorité des Risk managers (56%) participent à la rédaction des documents institutionnels tels que le rapport annuel, le document de référence, etc. De nouveau, cette activité est majoritairement réalisée par les profils ERM (77%) et AP/ ERM (66%) tandis que seuls 9% des profils AP la réalisent. Par ailleurs, les Risk managers sont 59% à déclarer intervenir ponctuellement et 17% à intervenir souvent à l’extérieur de leur entreprise à l’occasion de formation ou bien encore de table ronde. Enfin, notons que 18% des « top managers » ont déjà donné une interview dans les médias. En 2017, le N°7 de la Collection Maîtrise des risques de l’AMRAE, La Communication sur les Risques, offre une vue exhaustive du cadre dans lequel s’inscrit la communication des organisations sur les risques tout en ouvrant des perspectives. Un des piliers de la communication en matière de risque est la diffusion de la culture du risque, l’une des activités ERM dont j’ai la responsabilité au sein de mon entreprise. La culture du risque repose sur trois principes : la responsabilisation, la prise de risque lors des décisions et une forme d'analyse coût/efficacité du risque. Sur cette base, la communication doit s'adapter aux profils des collaborateurs. Le niveau de sensibilisation nécessaire n'est pas le même pour un propriétaire de risque, un manager ou un collaborateur. Pour mettre en œuvre la communication autour de la culture du risque, le Risk manager peut proposer plusieurs outils en fonction du niveau de sensibilisation que l’on souhaite apporter. Il peut également communiquer sur les retours d’expérience, fournir des exemples concrets des moyens de maîtrise mis en place et aborder la manière avec laquelle l’organisation réagit lorsqu’un risque s’est matérialisé. Dans cette dimension, le Risk manager contribue à diffuser une vision positive de la gestion des risques. Témoignage Risk manager d'un Groupe du CAC 40 du secteur des télécommunications 24 - Le Baromètre du Risk Manager Les assurances et la prévention des risques 64% 20% 16% La prévention des risques Les assurances 59% 14% 9% 7%2% IARD IARD / personnes Personnes CréditIARD / personnes / Crédit 9% IARD / Crédit Focus Assurance et Prévention (AP) Rôles Comme en 2015, la majorité des Risk managers AP (64% contre 68% en 2015) sont responsables à la fois des assurances et de la prévention des risques. Nous constatons une augmentation au sein du panel des Risk managers gérant uniquement la prévention des risques (20% contre 13% en 2015). Familles d’assurances Le nombre de Risk managers AP gérant uniquement les assurances IARD (Incendie, Accidents et Risques Divers) est en baisse, 59% en 2017 contre 79% en 2015. C’est également le cas de la proportion des Risk managers gérant les assurances IARD et assurances de personnes, passant de 18% en 2015 à 14% en 2017. À l’inverse, la proportion de Risk managers gérant uniquement les assurances de personnes a quant à elle augmenté par rapport à 2015 en passant de 3% à 9% cette année. À noter que cette année la famille assurance-crédit a été proposée et que 18% des répondants ont indiqué gérer ces assurances. Le Baromètre du Risk Manager - 25 --77% des profils AP/ERM ont une autre fonction. 26% déclarent également exercer la fonction contrôle interne, 22% déclarent exercer la fonction conformité et 19% exercent la fonction sécurité/sûreté. --74% des profils ERM exercent au moins une autre fonction. 56% d’entre eux déclarent exercer également la fonction contrôle interne, presque 25% exercent la fonction conformité et 19% la fonction audit interne. --La majorité (66%) des répondants AP déclarent ne pas avoir d’autres fonctions. Lorsque c’est le cas, il s’agit principalement de la fonction juridique (28% contre 17% en 2015). Focus : analyse par profils Autres fonctions du Risk manager Note : Il s’agit d’une question à choix multiple Le nombre de Risk managers exerçant au moins une autre fonction est en augmentation : 62% des Risk managers ayant répondu au sondage déclarent exercer d’autres fonctions que celles liées à la gestion des assurances et/ou des risques, contre 56% en 2015. En 2017, le contrôle interne est de nouveau la fonction la plus exercée par les Risk managers (32%). 38 %Aucune 12%Audit interne 32%Contrôle interne 12%Juridique 18%Conformité 10%Autres 5%SI 9%Finance 8%Sécurité / Sûreté 8%Qualité 5%RSE La conformité est une thématique qui prend de plus en plus d’importance dans les organisations. L’augmentation des réglementations ces dernières années a renforcé sa place et elle est considérée aujourd’hui comme une thématique majeure. Historiquement le sujet est traité par la fonction juridique mais les Risk managers ont un vrai rôle à jouer. Premièrement, ils apportent un regard plus global à la conformité et ne s’arrêtent pas à la dimension juridique. Ils vont faire le lien entre la conformité, les différents processus de l’entreprise et les enjeux au niveau business. Deuxièmement, à travers leur rôle transverse, les Risk managers vont permettre un passage plus aisé entre la théorie et la mise en pratique opérationnelle des différentes réglementations. Enfin, cette capacité de centralisation du Risk manager est nécessaire notamment parce que le respect de la conformité touche l’ensemble de l’organisation et ne doit pas être traité uniquement au niveau des Business Units. Le Risk Manager apporte une réelle valeur ajoutée en étant à la croisée des chemins entre opérationnels, fonctions supports et gouvernance. Témoignage Nous constatons également des différences selon la taille de l’organisation. En effet, si 48% des Risk managers grand compte ayant participé à cette enquête déclarent ne pas exercer d’autres activités, cette proportion est à 20% chez les Risk managers exerçant au sein des ETI et PME, démontrant ainsi une plus grande polyvalence. Ces derniers exercent alors principalement la fonction contrôle interne (47%) et/ou conformité (30%). Risk manager intégrant la Conformité dans son périmètre de responsabilité 26 - Le Baromètre du Risk Manager Pour les Risk managers AP : --Opérationnels (91%) --Environnementaux (86%) --Juridiques (73%) Pour les Risk managers ERM : --Conformité (95%) --Fraude (94%) --Image et opérationnels (92%) Pour les Risk managers AP/ERM : --Opérationnels (89%) --Financiers (86%) --Clients (84%) Focus : analyse par profils 2015 2017 Univers des risques Note : Il s’agit d’une question à choix multiple Nous constatons une augmentation globale des risques pris en compte par les Risk managers ayant participé à cette enquête. Il y a cette année une importante progression de la prise en compte de la cybersécurité qui arrive en 3 e position alors qu’elle était en 6 e position en 2015. 91% Risques opérationnels 80% 83% Risques de fraude 75% 79% Risques Cybersécurité Risques Environnementaux 67% 70% Risques Financiers Risques Juridiques Risques Projet 78% 66% 66% 57% Risques d'Image Risques de Conformité Risques Fournisseurs 66% 59% 67% 77% Risques Achats Risques Clients Risques Sûreté / Sécurité 58% 63% 70% 76% Risques RH 73%64% Risques Numériques 71%54% Risques Pays / Politiques 70%58% Risques Stratégiques 69%58% Risques Supply chain 66%59%59% 64% Risques de Gouvernance 53% Le Baromètre du Risk Manager - 27 28 - Le Baromètre du Risk Manager Les « top managers » AP sont presque deux fois plus nombreux (15%) que les « top managers » ERM (8%) à déclarer que leur effectif a diminué au cours des douze derniers mois. Les moyens à disposition du Risk manager Équipes Taille Note : Pour cette question, seuls les « top managers » ont été sollicités. Les réponses des « Top managers » AP/ERM sont incluses dans les équipes AP ou dans les équipes ERM. Les effectifs restent globalement stables cette année. Toutefois, 19% des équipes AP sont en diminution alors que 24% des équipes ERM sont en augmentation. Évolution Profils ERM : • 68% des Risk managers ERM déclarent que leur effectif est resté stable contre 74% en 2015, • 24% déclarent que leur effectif est en augmentation, • 8% déclarent que leur effectif est en baisse. Profils AP : • 66% des Risk managers AP déclarent que leur effectif est resté stable contre 69% en 2015, • 19% déclarent que leur effectif est en augmentation, • 15% déclarent que leur effectif est en baisse. Pas d’équipe Équipe de 1 à 2 ETP Équipe de 3 à 4 ETP Équipe de 5 à 10 ETP Équipe de plus de 10 ETP 34% 21% 18% 18% 9% 20% 17% 11% 9% 43% 70% (66% en 2015) des équipes AP sont constituées de moins de 5 personnes et 60% (76% en 2015) des équipes ERM sont constituées de moins de 3 personnes. Profil ERM Profil AP Le Baromètre du Risk Manager - 29 Les moyens à disposition du Risk manager Budget de fonctionnement 58% des Risk managers ayant répondu à cette question déclarent disposer d’un budget de fonctionnement suffisant, ce qui est en baisse par rapport à 2015 (77%). 67% des « top managers » AP déclarent disposer d’un budget de fonctionnement AP suffisant contre environ 51% des « top managers » ERM. Concernant l’évolution du budget, 63% des Risk managers ERM déclarent avoir un budget de fonctionnement stable contre 49% des Risk managers AP. 24% de ces derniers l’indiquent en baisse contre 11% des Risk managers ERM. Les Risk managers des ETI déclarent avoir un budget de fonctionnement AP insuffisant (67%), alors que ceux des entreprises de type grand compte (78%) et PME/PMI (57%) estiment avoir un budget de fonctionnement AP suffisant. Les Risk managers ERM des ETI (52%) et des PME/PMI (57%) déclarent majoritairement avoir un budget insuffisant. Près de la moitié des Risk managers (48%) déclare utiliser un référentiel interne de gestion des risques, ce qui est en forte augmentation par rapport à 2015 où seulement 28% des Risk managers déclaraient avoir un référentiel interne. Ils sont 32% à déclarer utiliser le COSO ERM (contre 25% en 2015). Référentiel interne COSO ERM ISO 31 000 N'utilise pas de référentiel Autres (AMF, Solvabilité 2) Ferma 32% 48% 23% 19% 14% 5% Référentiels de gestion des risques Note : Les profils AP ne sont pas pris en compte dans la présente analyse. Il s’agit d’une question à choix multiple cette année. 81% des répondants utilisent un référentiel pour leur démarche, ce qui est en légère augmentation par rapport à 2015 où ils étaient 79% à faire usage d’un référentiel. Pour 88% d’entre eux, les référentiels de gestion des risques sont utiles à leur fonction. 30 - Le Baromètre du Risk Manager Le Risk manager au sein de son organisation 63% 31% 6% En augmentation Stable En diminution --Les Risk managers ERM sont majoritairement rattachés à la Direction Générale (60% contre 46% en 2015) ou à la Direction Financière (20%). --Les Risk managers AP/ERM sont principalement rattachés à la Direction Générale (42% contre 40% en 2015) ou à la Direction Financière (37% contre 22% en 2015). --Les Risk managers AP sont principalement rattachés à la Direction Financière (36% contre 28% en 2015) ou à la Direction Juridique (27% contre 40% en 2015). Focus : analyse par profils Le rattachement hiérarchique des Risk managers Note : Cette analyse ne concerne que les « top managers ». Il s’agit d’une question à choix multiple. Nous constatons une augmentation du rattachement à la Direction Générale (44% contre 36% en 2015). 44%Direction Générale 6%Direction de l’Audit Interne 11%Direction Juridique Direction Financière31% 13%Secrétariat Général Direction des Risques 4% 3%Direction Assurances 2% Autres Direction Opérationnelle 2% Reconnaissance de la fonction en interne Cette année, 63% des Risk managers interrogés déclarent que la reconnaissance de la fonction en interne est en augmentation. Ils n’étaient que 54% à le penser en 2015. Le Baromètre du Risk Manager - 31 53% 36% 11% N-1 N-2 N-3 --Les profils ERM sont principalement en position N-1 par rapport à la Direction Générale avec 63% (contre 47% en 2015). --Les profils AP/ERM sont majoritairement en position de N-1 (52%) par rapport à la Direction Générale, comme en 2015. --Les profils AP sont principalement en position de N-2 par rapport à la Direction Générale avec 45% ce qui est stable par rapport à 2015 (44%). Focus : analyse par profils --Une grande part des Risk managers AP ne participe à aucun comité bien que cette tendance soit à la baisse (36% des répondants contre 69% en 2015). Par ailleurs, 32% d’entre eux participent au comité des risques opérationnels contre 20% en 2015. --Les Risk managers ERM participent principalement aux comités des risques opérationnels (77% des répondants contre 46% en 2015) et d’audit (54% des répondants contre 43% en 2015). --Les Risk managers AP / ERM participent essentiellement au comité des risques opérationnels (56% des répondants contre 51% en 2015) et au comité des risques administrateurs (40%). Focus : analyse par profils Le positionnement du Risk manager par rapport à la Direction Générale Note : Cette analyse se focalise sur les « top managers », tous profils confondus. La tendance observée vers une évolution du positionnement se confirme en 2017 avec 53% des « top managers » ayant répondu à l’enquête se trouvant en position N-1 par rapport à la Direction Générale (contre 43% en 2015 et 18% en 2013). 63% Contact direct 29% Contact indirect 8% Absence totale de contact Contact avec le Directeur Général 92% des « top managers » ayant répondu à l’enquête ont un contact avec le Directeur Général, même si 53% d’entre eux uniquement lui sont rattachés directement. La participation des Risk managers aux comités Note : Cette analyse se focalise sur les « top managers  », tous profils confondus. Il s’agit d’une question à choix multiple. La participation des Risk managers aux différents comités, notamment aux comités stratégique et exécutif est en forte augmentation en 2017. La participation des Risk managers au comité d’audit est quant à elle stable puisque déjà en 2015 36% du panel participaient à ce comité. 58% Comité des Risques (opérationnel) 26%Comité de Direction Comité d’Audit36% 35% Comité des Risques (administrateurs) Aucun17% Comité Exécutif14% Comité Stratégique10% Autres 9% Comité des Investissements 9% Comité HSE et Développement Durable 8% 32 - Le Baromètre du Risk Manager En 2013, l’AMRAE et l’IFACI ont présenté une prise de position commune : « Trois lignes de maîtrise pour une meilleure performance ». Ce document vise avant tout à la clarification des rôles et des responsabilités de chacun. Ce document est téléchargeable à l’adresse suivante : > http://www.amrae.fr/sites/default/files/fichiers_upload/2013_ AMRAE_IFACI_PP_1709_0.pdf. Relation du Risk manager avec les 3 lignes de maitrise Note : Cette analyse concerne les Risk managers, tous profils confondus. La majorité des Risk managers (67%) collaborent étroitement avec les Directions opérationnelles. 67% 30% 3% 75% 24% 2% 83% 15% 2% 49% 44% 7% 55% 33% 12% 72% 22% 5% 78% 18% 4% 78% 18% 4% 67% 23% 10% 60% 23% 17% 1 ere ligne de maîtrise Direction Opérationnelle 2 e ligne de maîtrise Fonctions Support 2 e ligne de maîtrise Fonctions Risque 3 e ligne de maîtrise Audit interne Audit externe 1 ere ligne de maîtrise Direction Opérationnelle 2 e ligne de maîtrise Fonctions Support 2 e ligne de maîtrise Fonctions Risque 3 e ligne de maîtrise Audit interne Audit externe Collaboration étroite Relation ponctuelle Aucune relation 67% 30% 3% 75% 24% 2% 83% 15% 2% 49% 44% 7% 55% 33% 12% 72% 22% 5% 78% 18% 4% 78% 18% 4% 67% 23% 10% 60% 23% 17% 1 ere ligne de maîtrise Direction Opérationnelle 2 e ligne de maîtrise Fonctions Support 2 e ligne de maîtrise Fonctions Risque 3 e ligne de maîtrise Audit interne Audit externe 1 ere ligne de maîtrise Direction Opérationnelle 2 e ligne de maîtrise Fonctions Support 2 e ligne de maîtrise Fonctions Risque 3 e ligne de maîtrise Audit interne Audit externe Par ailleurs, les Risk managers entretiennent une relation particulièrement étroite avec la deuxième ligne de maîtrise que ce soient les fonctions support 1 (75%) ou les fonctions risques 2 (83%). Environ la moitié des Risk managers entretient une relation étroite avec la Direction de l’audit interne (49%) et 44% ont une relation ponctuelle avec l’audit interne. Nous notons également que 55% des répondants ont une relation ponctuelle avec l’audit externe. Plus de 70% des Risk managers, ont répondu que les relations avec les premières et deuxièmes lignes de maîtrise sont suffisantes. 1. Direction Financière, Direction Juridique, Direction des Ressources Humaines, Direction Informatique 2. Direction du Contrôle Interne, Direction Sécurité, Direction des Assurances, Secrétariat Général Suffisante Insuffisante Ne se prononce pas Le Baromètre du Risk Manager - 33 Collaboration étroite Relations ponctuelles Aucune relation New 11%45% 43% Focus sur le Risk manager et la fonction Sûreté/Sécurité 76% des Risk managers indiquent prendre en compte les risques Sécurité/Sûreté dans leur univers de risques. Ils ne sont que 45% à avoir une relation étroite avec la fonction Sécurité/Sûreté. Ces chiffres contrastent avec ce que nous observons concernant les relations des Risk managers avec la deuxième ligne de maîtrise dont la Sécurité/Sûreté fait partie. En effet, 83% des Risk managers ont une relation étroite avec les autres fonctions impliquées dans la gestion des risques 3 de leur entreprise. Cela pourrait s’expliquer par le fait que la fonction Sécurité/Sûreté est une fonction relativement récente au sein de nombreuses organisations. En distinguant par profil, nous notons que plus de la moitié des Risk managers AP/ERM (58%) ont des relations étroites avec la fonction Sécurité/Sûreté (42% pour les profils AP et 36% pour les profils ERM). En charge des problématiques Sécurité / Sûreté au sein de mon entreprise, j’ai évolué en tant que Responsable du département Prévention et Maîtrise des Risques. Les risques Sécurité et Sûreté font évidemment partie de ma carto- graphie des risques, où je me suis attaché à réaliser un exercice très opérationnel. En effet, La fonction Sécurité / Sûreté semble un peu éloigné des Risk managers en rai- son du coté non opérationnel de la cartographie des risques sur le ter- rain : une cartographie doit être opérationnelle pour la Sécurité / Sûreté et se perd possiblement dans la sphère théorique. Le directeur Sécurité / Sûreté est souvent très concret mais généralement il ne prend pas assez de hauteur et de recul. A l’inverse, le Risk manager peut parfois donner l’image d’être trop éloigné du terrain et ainsi n’en- courage pas la collaboration avec la fonction Sécurité / Sûreté qui a besoin de pragmatisme. En parti- culier, la fonction Sûreté se déve- loppe de plus en plus au sein des entreprises et les personnes recru- tées pour gérer ce sujet ont géné- ralement un profil n’ayant pas la culture de la cartographie et du management par les risques. Ils sont peu habitués à communiquer et à partager leur problématique. Le développement d’une meil- leure collaboration entre les Risk managers et la fonction Sécurité / Sûreté a un intérêt pour les deux fonctions. Au-delà des sujets très opérationnels où il est nécessaire de renforcer la collaboration, comme par exemple les assurances pour couvrir les risques de Sûreté, le renforcement des relations avec le Risk manager facilite le dialogue du directeur Sécurité / Sûreté avec le top management et ainsi aide à mieux sensibiliser la Direction Générale aux enjeux relatifs à la Sécurité / Sûreté. A l’inverse, le directeur Sécurité / Sûreté apporte une vision plus terrain, opération- nelle et pragmatique au Risk mana- ger sur ces risques, rendant ainsi la démarche de cartographie des risques plus utile aux opération- nels et se faisant mieux intégrée à l’ADN de l’entreprise. Témoignage Risk manager en charge de la Sécurité/Sûreté au sein d'une entreprise dans le secteur du transport 3. Fonctions risques : Direction du Contrôle Interne, Direction Sécurité, Direction des Assurances, Secrétariat Général 34 - Le Baromètre du Risk Manager 60% Indication et analyse des risques d'exécution de la stratégie 21%41% Indication et analyse des risques des différentes stratégies envisagées Aucun Focus sur le Risk manager et la stratégie Note : Cette analyse se focalise sur les « top managers », tous profils confondus. 73% 21% 6% Relation ponctuelle (cartographie des risques, assurabilité de nouvelles activités, ...) Collaboration étroite sur l'ensemble des risques liés à la stratégie de l'entreprise Aucune relation New Je constate que la tendance actuelle est à une meilleure prise en compte du Risk Management au sein du processus d'élaboration stratégique. Cela s'explique par l'émergence de nouveaux business model et par la transformation digitale qui modifient les leviers de création de valeur et entraînent une diminution des marges. Le Risk Manager a une vision large du management de l'entreprise, de la stratégie aux opérations. Son rôle est d’identifier et d’évaluer le risque résiduel, y compris relatif à la stratégie et à sa mise en œuvre. C'est le cas par exemple au sein de mon Groupe où nous sommes désormais sollicités par la fonction Stratégie pour donner un éclairage sur les risques attachés aux orientations stratégiques par Business Unit. Nous participons également au processus d'élaboration du plan d'affaire afin de s'assurer que les scénarios retenus sont cohérents avec l’évaluation des risques. Nos apports permettant ainsi de renforcer l'analyse stratégique. Ce positionnement du Risk Manager nécessite la constitution d'une équipe pluridisciplinaire composée de collaborateurs compétents et reconnus à même d'être de véritables référents dans leur domaine. Toutefois, il convient de rester attentif au rôle du Risk Manager. C'est une fonction à part au sein de l'organisation qui explicite le niveau de risque en tant que deuxième ligne de défense, mais qui n'a pas vocation à décider le niveau de risk return à adopter. Témoignage Risk manager d'un Groupe du CAC 40 du secteur de l'Energie Les « top managers » ont des relations avec la fonction stratégie de leur entreprise, en particulier 73% ont une relation ponctuelle et 21% une collaboration étroite. Dans le détail, nous observons que 32% des « top managers » ERM collaborent étroitement avec la fonction Stratégie alors qu’ils ne sont que 18% des AP/ERM et 14% des AP à le faire. En effectuant un focus sur la taille de l’organisation, nous constatons que plus l’entreprise est petite, plus la collaboration avec la fonction Stratégie est étroite (30% pour les PME/PMI contre 26% pour les ETI et 19% pour les Grands Comptes). À la question « Quel est votre rôle dans la gestion des risques liés à la stratégie de l’entreprise ? », 60% des « top managers » déclarent avoir un rôle dans l’identification et l’analyse des risques d’exécution de la stratégie et 41% déclarent jouer un rôle dans l’identification et l’analyse des risques des différentes stratégies envisagées. Par ailleurs, nous constatons que près de la moitié des Risk managers (48%) jouent un rôle dans la définition de l’appétence aux risques de l’entreprise et que leur participation au comité stratégique est en augmentation (10% contre 7% en 2015). New Rôle dans la gestion des risques liés au processus de fusion- acquisition de l’entreprise Aucun 40% Participation aux due-diligence Identification et analyse des risques liés aux projets 42% 34% Concernant les profils AP et AP/ERM, 72% ont un rôle dans la gestion des risques liés au processus de fusion- acquisition. En particulier, 56% d’entre eux participent aux due-diligences et 40% ont un rôle dans l’identification et l’analyse des risques. 66% des profils ERM n’ont aucun rôle dans la gestion des risques liés au processus de fusion-acquisition de leur entreprise. Ils sont cependant 25% à participer à l’identification et l’analyse des risques liés au projet et 14% à participer aux due-diligence. Focus : analyse par profils Au global, la majorité (58%) des répondants a un rôle dans la gestion des risques liés au processus de fusion-acquisition de leur entreprise. Le Baromètre du Risk Manager - 35 36 - Le Baromètre du Risk Manager Rémunération fixe La rémunération fixe brute moyenne des « top managers » et des « non top managers » est relativement stable par rapport à l’édition 2015. La rémunération des « top managers » passe de 108 KEuros à 107 KEuros et celle des « non top managers » reste à 84 KEuros. La rémunération du Risk manager Rémunération fixe brute Moins de 35 ans De 35 à 45 ans De 46 à 55 ans Plus de 55 ans Total général 0 à 50 KEuros 16 8 1 2 27 50 à 100 KEuros 9 21 28 6 64 101 à 150 KEuros 2 15 22 12 51 Plus de 150 KEuros 0 2 11 13 25 Total général 27 45 62 33 167 Nous observons que 54% (91) des Risk managers tous profils confondus ont une rémunération fixe brute inférieure ou égale à 100 KEuros. Moins de 35 ans De 35 à 45 ans De 46 à 55 ans Plus de 55 ans Plus de 150 KEuros Inférieur a 50 KEuros 50 à 100 KEuros 100 à 150 KEuros 59% 33% 7% 18% 47% 33% 45% 35% 18% 6% 18% 36% 39% 2% 2% Le Baromètre du Risk Manager - 37 29% 52% 19% 26% 43% 31% 43% 31% 25% Rémunération variable Tous profils confondus, 77% des Risk managers perçoivent une rémunération variable. • Les « top managers » AP perçoivent une rémunération variable de plus de 10% (88%) contre 78 % des « top managers » AP/ERM et 69% des « top managers » ERM. • 54% des « non top managers » ERM perçoivent une rémunération variable de moins de 10% alors que 55% des profils AP/ ERM et 53% des profils AP perçoivent une rémunération variable supérieure à 10%. AP AP/ERM Inférieur à 10% ERM De 10 à 20% Supérieur à 20% Facteurs conditionnant le niveau de rémunération La localisation géographique Nous observons classiquement qu’en Ile-de-France les Risk managers perçoivent une rémunération moyenne fixe brute plus importante que les Risk managers habitant en Région. Alors que globalement en France, la différence de salaires entre la région parisienne et les autres régions est de 28% nous notons pour les Risk managers : • une différence de 23% entre les « non top managers » travaillant en Ile-de-France (86 KEuros) et les « non top managers » travaillant en Région (66 KEuros), • une différence de 20% entre les « top managers » travaillant en Ile-de- France (115 KEuros) et les « top managers  » travaillant en Région (92 KEuros). Ile-de-France Région International Plus de 150 KEuros Inférieur a 50 KEuros 50 à 100 KEuros 100 à 150 KEuros 10% 32% 25% 40% 35% 13% 33% 27% 25% 17% 38% 102K€ 84K€ 109K€ 5% 38 - Le Baromètre du Risk Manager Le mode de recrutement Comme lors des deux dernières éditions, les Risk managers ayant répondu avoir trouvé leur emploi par l’entremise d’un cabinet de recrutement ou par leur réseau ont une rémunération moyenne supérieure aux Risk managers ayant trouvé leur poste par d’autres moyens. Cabinet de recrutement/ chasseur de tête Candidature spontanée Mobilité interne Plus de 150 KEuros Inférieur a 50 KEuros 50 à 100 KEuros 100 à 150 KEuros Réseau / Relations Site de l'AMRAE 8% 40% 36% 16% 42% 33% 25% 18% 40% 27% 15% 18% 31% 31% 21% 67% 33% 103K€ 77K€ 95K€ 92K€ La taille de l’entreprise Comme observé en 2013 et en 2015, les salaires sont proportionnels à la taille de l’entreprise. Le salaire moyen d’un Risk manager dans une entreprise de type grand compte est plus élevé que celui des Risk managers travaillant dans des organisations de taille inférieure, que ce soit pour les « top managers » ou les « non top managers ». Association / ONG ETI (-1,5 millard € -5 000 salariés) Grand compte (+1,5 millard € +5 000 salariés) Plus de 150 KEuros Inférieur a 50 KEuros 50 à 100 KEuros 100 à 150 KEuros PME - PMI (-50 millions € -250 salariés) Secteur public 100% 31% 52% 8% 29% 25% 50% 33% 67% 42% 12% 17% 21% 8% 75K€ 77K€ 109K€ 83K€ 67K€ 5% 101K€ Le Baromètre du Risk Manager - 39 Le genre Non Top Manager Top Manager Plus de 150 KEuros Inférieur a 50 KEuros 50 à 100 KEuros 100 à 150 KEuros Non Top Manager Top Manager 21% 44% 32% 32% 42% 20% 30% 48% 15% 6% 17% 34% 24% 24% 3% 88K€ 110K€ 80K€ 101K€ 5% Nous constatons que l’écart entre les salaires des hommes et des femmes tend à se réduire mais il existe toujours une différence en faveur des hommes. • les « top managers » masculins ont un salaire moyen supérieur de 8% à celui des femmes (110 KEuros contre 101 KEuros). La différence était de 15% en 2015, • les « non top managers » masculins ont un salaire moyen supérieur de 9% à celui des femmes (88 KEuros contre 80 KEuros), cet écart était de 28% en 2015. Perception de l’avenir Les Risk managers interrogés mettent en avant une augmentation de leur rôle dans la diffusion de la culture de risque au sein de l’entreprise (79% contre 70% en 2015) et l’appréciation du risque (70% contre 64% en 2015). Perspectives d’évolution personnelle En 2017, la moitié des participants a indiqué souhaiter évoluer vers un poste de « Risk manager au sein d’une autre entreprise ». C’est la première année que ce choix était proposé. L’Audit Interne / Contrôle Interne qui était la première perspective d’évolution en 2015 (27%) est devenu le sixième choix en 2017 avec 9%. Le second choix est désormais la Direction Générale pour 15% des répondants. Le choix « autres », en troisième position, correspond principalement à des Risk managers qui souhaitent conserver leur poste au sein de leur entreprise. Les évolutions du Risk manager 40 - Le Baromètre du Risk Manager Risk manager au sein d'une autre entreprise Direction Générale Autres 50% 15% 14% 13% 12% 9% 6% 3% 2% 1% Retraites Conseil Audit interne Contrôle interne Finance Conformité Assureur Courtier Opérations Juridique QHSE SI Crédits photos : PwC - AMRAE ― Freepik ― GettyImages Copyright © 2017 AMRAE, en partenariat avec PwC AMRAE 80, boulevard Haussmann F-75008 Paris Tél. : 33 (0)1 42  89 33 16 Fax : 33 (0)1 42  89 33 14 E-mail : amrae@amrae.fr www.amrae.fr PwC 63, rue de Villiers 92208 Neuilly-sur-Seine Cedex Tél. : 33 (0) 1 56  57 58 59 Fax :33 (0) 1 56 57 58 6 www.pwc.fr Management des Risques et des Assurances de l’Entreprise 2017 Management des Risques et des Assurances de l’Entreprise in partnership with 5 th edition Risk Manager Barometer Survey The 2017 Risk Manager Barometer Survey Published every two years, the survey report is designed to provide insight into the risk management profession and gauge changes over time in order to serve as a key bench - marking tool while also helping to promote the profession. In the face of new challenges in an increasingly complex environment, risk managers have reached a turning point at which they need to become actors of change: they are called on to address and adapt to the new challenges and compliance issues facing companies today as well as the impact of the digital transformation and the resulting changes to business models. In this environment, risk managers have an imperative to develop their leadership and fully assume their role working alongside management as it grows in maturity with regards to risk management issues, from determining strategy to implementing it. Senior management, with whom relationships are strengthening year after year, is becoming increasingly receptive to risk management advice. Risk managers should therefore position themselves within their companies as strategic advisors. This new strategic role, as well as ever-growing recognition of risk managers' work, are bringing excitement to the profession. This fifth edition of AMRAE's risk manager barometer survey was carried out in partner- ship with PwC, whom we would like to thank for their involvement in surveying a large panel of risk managers in France. The information presented in the report was prepared using an analysis of the results of an online questionnaire of more than 270 people conducted between January and April  2017. The panel of risk managers included everyone working in risk management, both "top managers" and their teams. AMRAE would like to thank all participants for the time and care they took in answering the survey. As with previous editions, the 2017 survey gives us a platform for analysing risk manag- ers' profiles, roles and responsibilities, compensation and career development opportu- nities. This year's report also includes information on the role of risk managers in man- aging risks related to company strategy, risk communication and relationships with other functions. We hope you enjoy reading the survey report. Brigitte Bouquot AMRAE Chairman & CEO François Malan Vice President (Occupational issues), AMRAE Françoise Bergé Partner, Risk Management, PwC France Editorial 2 -  Profiles The majority of risk managers surveyed were men (55%) aged 46  years and over  (53%). The proportion of women in the panel continued to rise, standing at 45% com - pared with 41% in 2015 and 28% in 2013. Risk managers still hold degrees in the same three main fields of study as in 2013 and 2015, i.e., Law (33%), Business/Management/ Economics (33%) and Engineering/Science (27%). The proportion of risk managers with degrees in Law and Engineering/Science has risen since 2015, when they represented 24% and 22% of the panel respectively. As with previous editions, the risk managers surveyed mainly work in large companies (62% in 2017 versus 63% in 2015) in the industrial and services  (44%) and insurance (17%) sectors. There has been a net decrease in the proportion of risk managers working exclusively in insurance and prevention (from 42% in 2013 to 31% in 2015 and 24% in 2017) and a corresponding increase in the proportion of risk managers working exclusively in ERM (from 31% in 2015 to 40% in 2017). The proportion of risk managers handling risks and insurance has remained stable (38% in 2015 versus 36% in 2017). Roles and responsibilities Among the tasks listed in AMRAE's Risk Manager Framework, respondents indicated that their work mainly involves: • developing a risk culture (82%); • assessing risks (79%); • controlling risks (70%). In addition to these tasks specific to risk management, 32% of the risk managers surveyed indicated that they were also in charge of internal control and 18% in charge of compliance. As in previous years, risk managers still deal with a wide range of risks, including: • operational risks (91%); • fraud risks (83%); • cybersecurity risks (79%); • environmental risks (79%). Cybersecurity risks entered the top  3 this year, in particular because risk managers are spending more and more of their time addressing these pressing issues. There has also been an increase in the proportion of risk managers handling compliance risks (77% in 2017 versus 59% in 2015) and safety/security risks (76% in 2017 versus 70% in 2015), which could be the result of the more stringent regulatory environment (Sapin  2, GDPR, duty of care, etc.) and ever growing safety/security challenges. Executive summary  - 3 Compensation Risk managers' average annual gross salary was on par with 2015, at €107,000 for "top managers" (versus €108,000 in 2015) and €84,000 for "non- top managers" (unchanged since 2015). Although the gender pay gap has shrunk since 2015, women risk managers still earn less than their male counterparts. There was an 8% gap among "top managers" this year, down from 15% in 2015. Risk managers in Ile-de-France earned more than risk managers in the rest of France. There was a 23% gap among "non-top managers" and a 20% gap among "top managers", well below the national average of around 28%. Career development On a professional level, 79% of risk managers think that instilling a risk culture is the most important avenue for advancing the profession. On a personal level, 50% of risk managers would like to remain risk managers but at another company. In conclusion, there has been an rise, from 53% in 2015 to 63% in 2017, in the proportion of risk managers who think that their work is increasingly recognised within their organisations. New Where strategy-related risks are con- cerned, 41% of respondents said that they identify and analyse the risks of the different strategies drawn up by their organisations. In addition, 76% of risk managers stated that they communicate externally on risks. Resources By "resources", the survey refers to the different points of leverage available to risk managers. The risk managers surveyed mainly report to senior management (44%) or the finance department (31%) and have direct access to the CEO (63%). In 2015, 36% of the risk managers surveyed said that they reported to senior management. Although only 45% of the risk managers surveyed said that they had a close relationship with the safety/security function, 76% include safety/ security risks in their scope of analysis. To help them carry out their duties effectively, risk managers who oversee insurance and prevention are assisted by teams of fewer than five people (70% in 2017 versus 66% in 2015). Risk managers who are in charge of ERM are assisted by teams of fewer than three people (60% in 2017 versus 76% in 2015). The proportion of respondents who believe that their budget is sufficient has fallen to 58% this year, from 77% in 2015. New topics 4 -   - 5 The survey panel. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Profiles. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 Focus areas. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8 Demographics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9 Education & training. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11 Hiring channels and methods. . . . . . . . . . . . . . . . . . . . . . . . .14 Work experience in risk management. . . . . . . . . . . . . . . . . . .15 Employer. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .15 Roles and responsibilities. . . . . . . . . . . . . . . . . . . . . . . . . 18 The Risk Manager Framework. . . . . . . . . . . . . . . . . . . . . . . . .18 Spotlight on Insurance and Prevention (IP). . . . . . . . . . . . . . .24 Other responsibilities. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .25 Types of risks. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26 Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 Teams. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .28 Operating budget. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .29 Risk managers within their organisations. . . . . . . . . . . . . . . . .30 Compensation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 Fixed compensation (salary). . . . . . . . . . . . . . . . . . . . . . . . . .36 Variable compensation (bonus). . . . . . . . . . . . . . . . . . . . . . . .37 Compensation factors. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .37 Career development . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 Future of the profession. . . . . . . . . . . . . . . . . . . . . . . . . . . . .40 Personal career development opportunities. . . . . . . . . . . . . . .40 Contents 6 -  This fifth edition of the survey is designed to gauge changes in the purpose and role of the risk management profession over time. It helps to improve visibility regarding the profession and can be used as a legitimate benchmarking tool to assess risk managers' role in the current business environment. The survey was carried out by AMRAE between January and April 2017 among more than 270  risk managers in France. Around 200  complete responses were collected this year, versus 188 in 2015. The report covers five key areas: • profiles; • roles and responsibilities; • resources; • compensation; • career development. It also includes information on: • risk managers and strategy; • risk managers and risk communication; • risk managers and safety/security. The panel of survey participants covered both members and non-members of AMRAE and included risk managers working in ERM and IP, in companies varying in size and representing a range of sectors. As in 2015, the survey was open to "top managers" and their teams. This year, women made up 45% of the panel and men 55% (versus 59% in 2015), reflecting a further influx of women into the profession. The participants were also younger this year, which can largely be explained by the larger proportion of "non-top managers" in the panel (43% in 2017 versus 40% in 2015). The survey panel "Top manager": person who holds the most senior position in an organisation's risk management function.  - 7 - 7 8 -  Focus areas The survey analysis is based on the following three risk manager profiles: • ERM (Enterprise Risk Management): risk managers in charge of a company's overall risk management ; • IP: risk managers who deal with insurance and the prevention of insurable risks; • IP/ERM: risk managers who handle both insurance and prevention issues and enterprise risk management . Breakdown by professional profile Since the third edition of the Risk Manager Barometer Survey in 2013: • the proportion of risk managers with an ERM profile, particularly "non-top managers", has increased; • the proportion of "top managers" with an IP/ERM profile has increased; • the proportion of "top managers" and "non-top managers" with an IP profile has decreased. This change reflects the wide variety of responsibilities allocated to risk managers, whose role now increasingly includes ERM. Profiles With respect to the profiles of "top managers" and "non-top managers": • 47% of "top managers" have an IP/ERM profile (versus 45% in 2015); • 50% of "non-top managers" have an ERM profile. In 2015, "non-top managers" largely had an IP profile (42%). ERM IP/ERM IP 40% 36% 24% Exclusively ERM IP/ERM Exclusively IP ERM IP/ERM IP 31% 38% 31% 2015 2017  - 9 Demographics Age Risk management positions still tend to be held by more experienced professionals. 53% of the survey participants were over 45 (versus 53% in 2015). This age group accounted for as much as 64% of "top managers" (versus 65% in 2015). While ERM risk managers are getting younger, IP and IP/ERM risk managers are getting older. Under 35 35-45 46-55 Over 55 IP 10% 33% 45% 12% IP/ERM 20% 24% 35% 21% ERM 22% 30% 30% 18% Total 18% 29% 36% 17% 10 -  Gender More than one in two survey respondents were men (55%), but the proportion of women in the panel grew from year to year (28% in 2013, 41% in 2015 and 45% in 2017) . Under 35 35-45 46-55 Over 55 11% 13% 19% 12% 7% 15% 17% 6% 55% 45% Total The proportion of woman "top managers" in the panel has increased this year to 42%, from 37% in 2015. I was recently hired by my company to fill the risk manager position, following the retirement of my predecessor. In addition to finding a candidate who met the requirements of the position, management was very keen to increase the number of women in the finance department and was therefore looking to hire a woman. My company has reached a turning point with respect to its governance structure and is paying special attention to developing best practices, in particular regarding hiring and diversity. This may be happening in other companies too. Until very recently, the vast majority of risk managers were men. Companies are taking advantage of the recent wave of retirements to replace outgoing men risk managers with women. This demonstrates their commitment to appointing women to positions of major responsibility. This could explain the increase in the proportion of women in the survey panel this year. The profession is diversifying and expanding, and risk managers are now handling a wide variety of issues. Woman risk managers are well suited to the profession because of their ability to have a broad, cross-functional vision. Testimonial Risk manager at an international French manufacturing company  - 11 Location The large majority of survey respondents work in an organisation based in Ile-de- France, where many holding companies and registered offices are located. 72.5% 22.8% Rest of France 4.7% World Education & training NB: This was a multiple choice question. Initial field of study The survey respondents' main initial fields of study were the same as in 2015, although there were some changes in the composition of each profile. The three main fields of study were the same in 2015, but the proportions were different: 1. Business/Management/Economics (31%); 2. Law (24%); 3. Engineering/Science (22%). Although the proportion of risk managers with a first degree in Law dropped significantly in 2015, a reverse trend was observed in 2017. Law has in fact become the most popular degree among IP/ERM risk managers and the proportion of ERM risk managers having studied Law has risen from 3% in 2015 to 6% in 2017. The increase in the proportion of risk managers with a degree in Law can be explained by increased regulatory pressure in recent years. IP IP/ERM ERM Total Business/ Management/ Economics 10% 20% 33% Law 12% 6% 15% 33% Engineering/ Science/ Medicine 10% 12% 5% 27% Risk Management (DESS, Master, etc.) 5% 5% 13% Political Science/ Foreign Languages 7% Insurance (Enass, etc.) 5% 11% Other --Law is still the most popular field of study for IP risk managers. It is now also the most popular field of study for IP/ERM risk managers (up from 8% in 2015 to 12% in 2017), closely followed by Business/Management/Economics and Engineering/Science. --As previously, the majority of ERM risk managers have degrees in Business/ Management/Economics. Spotlight: breakdown by profile 2% 2% 3% 3% 1% 3% 3% 3% 3% 4% 12 -  A breakdown of the respondents by age reveals that risk managers have highly diverse educational backgrounds. The proportion of risk managers under  35 holding Science/ Engineering degrees has increased from 6% in 2015 to 35% in 2017, making it the most popular field of study for this age group. As in 2015, a large proportion of survey respondents under  35 have pursued specialised studies in Risk Management (30%). Above and beyond these main fields of study: • 38% of under 35s hold a degree in Insurance (16%) and Political Science  (11%) as well as Actuarial Science, Accounting and Finance; • 31% of the 35-45 age group also hold a degree in Insurance (14%); • 23% of the 46-55 age group hold a degree in a field of study other than the main three fields outlined above, such as Insurance  (9%) and Political Science (7%); • 18% of over 55s hold a degree in another field of study, including Political Science (6%) and Insurance (3%). Under 35 35-45 46-55 Over 55 Risk Management 30% Law 34% 37% 14% 37% Engineering/ Science 27% 34% 34% 37% 23% 35% 21% 29% Business/ Management/ Economics 13% 6% 3%  - 13 Additional training in risk management Risk management More than half (62%) of the risk managers surveyed have pursued additional training in risk management. Nearly  70% of risk managers aged 35 to 55 and 50% of those aged under  35 and over 55 have received additional training in risk management. 56% have undertaken training to improve skills and 22% after taking on a new position. The Associate in Risk Management (ARM) training programme is now the most popular (27% in 2017 versus 17% in 2015), closely followed by theme-based AMRAE seminars (25% in 2017 and 2015). The uptake of CEFAR seminars fell slightly (9% in 2017 versus 13% in 2015). In addition, 28% of risk managers stated that they had undertaken training other than that listed, such as the Certified Enterprise Risk Analyst (CERA) qualification. IP ERM Other ARM (Carm Institute – AMRAE) Theme-based seminars (AMRAE) Seminars (IFACI) IMR Post-graduate university studies (e.g., Masters in Risk Management) IGR (CNPP) Seminars (Enass) Total CEFAR (AMRAE) 5% 9% 6% 13% 5% IP/ERM 10% 9% 6% 7% 9% 27% 28% 25% 21% 9% 15% 9% 5% 8% 0% 2% 2% 1%0% 2% 2% 2% 3% 3% 4% 2% 12% 3% 14 -  Uptake of finance training climbed from 27% in 2015 to 38% in 2017. Other additional training A total of 74% of survey respondents received other additional training (versus 60% in 2015). 83% of risk managers attended "classroom" sessions, while 21% completed e-learning modules. Hiring channels and methods As was the case in previous years, risk managers were mainly hired internally (32% of respondents). 37% of "top managers" found their jobs via recruitment agencies and 31% via internal mobility programmes, while "non- top managers" were largely hired through their network (34%) or internal opportunities (33%). There has been a sharp increase in the proportion of risk managers hired via recruitment agencies/headhunters, from 17% of respondents in 2015 to 31% in 2017. 32% 31% 25% 8% 3%1% Internal mobility Start-upAMRAE website IP IP/ERM ERM Total Personal Development (public speak- ing, negoti- ation tech- niques, etc.) 9% 20% 12% 41% Finance 7% 18% 13% 38% Risk Management/ Project Management 7% 15% 15% 37% Foreign Languages 8% 15% 11% 34% Legal 11% 15% --IP risk managers were mostly hired by recruitment agencies (47%). --IP/ERM risk managers were largely recruited through their network (29%) or internal mobility (28%). --ERM risk managers were mainly recruited via internal mobility (44%). Spotlight: breakdown by profile 1% 3% Recruitment agency/ headhunter Unsolicited application Network/ contact  - 15 Work experience in risk management 36% of survey respondents have more than ten years of experience in risk management (versus 39% in 2015 and 44% in 2013) and 33% have between five and ten  years of experience. Less than 5 years 5-10 years 11-15 years More than 15 years 12% IP 35% 16% 37% 29% IP/ERM 22% 18% 30% 44% ERM 42% 9% 5% Employer Company size 86% of the risk managers surveyed work in large or middle-market companies, versus 91% in 2015. In comparison with the findings of the previous edition, there has been an increase in the proportion of risk managers working in SMEs, from 5% in 2015 to 9% in 2017. 24% 9% 4%1% Large company (more than €1.5 billion/ 5,000 employees) Middle-market company (less than than €1.5 billion/ 5,000 employees) SME (less than €50 million/ 250 employees) Association/NGOPublic sector entity 62% --IP risk managers are the most experienced: 53% have more than ten years of experience (versus 50% in 2015). --ERM risk managers have generally been in the job for a shorter period of time, although they have gained experience since 2015: 44% have less than five years of experience in risk management (versus 52% in 2015) and 42% have between five and ten years of experience (versus 30% in 2015). --IP/ERM risk managers have considerable experience: 49% have been in the profession for over ten years (unchanged from 2015). Spotlight: breakdown by profile Total 31% 33% 14% 22% 16 -  Business sector As in 2015, the industrial sector is in first place, accounting for 33% of risk managers. The insurance/reinsurance/health insurance sector comes second, with 17% of risk managers versus 8% in 2015, perhaps as a result of the regulatory pressure of Solvency II on this sector. There has been a decrease in the proportion of risk managers working in the services sector, from 19% in 2015 to 11% in 2017. These changes are largely related to the panel of risk managers who participated in the survey this year. In total, 61% of respondents work in the industrial, insurance/ reinsurance/health insurance and services sectors, as in 2015. Industry 33% Insurance Reinsurance Health insurance 17% Services 11% Construction and public works Property 9% Transport Logistics 6% Advisory 6% Banking Finance 5% Distribution 4% Consumer goods Luxury 3% High-tech 3% Media Entertainment 3%  - 17 18 -  The Risk Manager Framework Roles and responsibilities Risk managers primarily deal with the following: • risk culture development (82%); • risk assessment (79%); • risk control (70%); • risk management and reporting (70%). Claims management no longer features on the list of key roles and responsibilities due to the sharp decrease in the proportion of IP risk managers in the panel. The roles and responsibilities above are taken from AMRAE's Risk Manager Framework, which is available from: > http://www.amrae.fr/referentiel-metier-du-risk-manager 67% 79% 70% 82% 35% 31% 46% 37% 70% Defining the role and structure of the IP and/or ERM risk management process Risk assessment Risk control Risk culture development Risk financing Management of uninsured/uninsurable events Claims management Crisis management Risk management and reporting 2015 2017  - 19 Defining the role and structure of the risk management process The three main tasks associated with defining the role and structure of the risk management process are the same as in 2015. ERM and IP/ERM  risk managers are particularly involved in: • preparing the risk management methodology and framework (61%); • developing the organisational framework for risk management (61%). Risk assessment (risk identification, analysis and evaluation) In comparison with 2015, a larger proportion of the risk managers surveyed stated that they took part in risk assessment tasks. Defining the company's risk appetite is the only task to be carried out by less than half of the respondents (48%). In addition, less than half (47%) of IP risk managers carry out any of the risk assessment tasks listed in AMRAE's Risk Manager Framework. Identifying risk management tasks and processes (business lines, support functions) 40% Integrating threats and opportunities that are inherent to strategy41% Getting management and/or governance bodies to approve the risk management process and structure, and the allocation of the resources necessary to implement them 44% Defning the role of the risk management process within the organisation's strategy 46% Defning the risk management policy while taking into account management's and/or the governance bodies' appetite and tolerance for risk 47% Preparing the risk management methodology and framework 50% Developing the organisational framework for risk management 51% 48% 55% 59% 60% 61% 61% 62% Analysing and consolidating the organisation's major risks Forecasting risks and risk trends (with the business intelligence department) Conducting individual interviews with executives and managers Defning risk assessment tools and resources (scales, interview guides, registers and lists, common language, etc.) Conducting risk identifcation, analysis and assessment (prioritisation) workshops Mapping risks by entity/business line or by project Defning the company’s risk appetite 20 -  --IP risk managers participate in visiting at-risk zones, identifying and preparing action plans and consolidating and monitoring such action plans. --ERM risk managers are particularly involved in presenting and validating major risks and consolidating and monitoring action plans. Spotlight: breakdown by profile Risk control (keeping risks at acceptable levels based on the risk criteria used) The proportion of risk managers involved in risk control tasks has increased across the board, from 64% in 2015 to 70% in 2017. 58%Presenting/validating major risks 33% Assisting in audits of acquisitions and disposals 45% Analysing and implementing risk treatment action plans 57%Participating in the preparation of action plans 51%Identifying appropriate risk treatments 55%Consolidating and monitoring action plans 32%Visiting at-risk zones Risk culture development Risk managers' number one task is developing a risk culture (82% of respondents). Although 91% of IP/ERM and ERM  risk managers are involved in developing a risk culture, only 56% of IP  risk managers are. The fact that risk managers are getting more and more involved in risk culture development demonstrates the growing importance of this task: • 69% of risk managers were involved in the development, management and training of a network of risk coordinators in 2017, versus 63% in 2015; • 69% of respondents participated in major internal events in 2017, versus 60% in 2015. 69% Developing, managing and training a network of risk coordinators 69% Attending major events (seminars, committees, etc.) 58% Preparing internal communication materials on risk culture  - 21 Risk financing (this analysis only concerns IP and IP/ERM risk managers) In comparison with 2015, the proportion of IP and IP/ERM risk managers carrying out risk financing tasks has fallen, by around ten points with respect to the top three tasks. There has also been a sharp decrease in the proportion of risk managers creating and managing captive insurers, from 49% in 2015 to 28% in 2017. 28% 47% 48% 50% 50% Negotiating insurance contracts Creating and managing a captive insurer Managing and implementing insurance coverage Identifying risk fnancing solutions Managing relations with service providers (brokers and insurers) Management of uninsured and uninsurable events As in 2015, less than half of the risk man- agers surveyed reported being involved in one of these tasks. 21% 22% 24% Identifying and integrating resources and action plans Qualifying events Managing feedback Claims management (this analysis only concerns IP and IP/ERM risk managers) In line with the decrease in the proportion of IP risk managers in the panel, the proportion of respondents involved in claims management has fallen in comparison with 2015: • 71% of IP and IP/ERM risk managers coordinate management with partners, versus 79% in 2015; • 69% follow up claims, versus 77% in 2015; • 65% qualify events, versus 72% in 2015; • 42% validate a return to normal operations, versus 47% in 2015. 71% Coordinating management with partners (brokers, insurers, experts, reinsurers, etc.) 69%Following up claims 42% Validating a return to normal operations 65% Qualifying events to determine the insurance policies that would provide coverage and any liabilities 22 -  The trends observed in 2015 continued in 2017: --the majority of IP/ERM risk managers are involved in crisis management (52% in 2017 versus 56% in 2015); --less than half of ERM risk managers are involved in crisis management (39% in 2017 versus 35% in 2015); --only a small proportion of IP risk managers are involved in crisis management (13% in 2017 versus 12% in 2015). Spotlight: breakdown by profile 59%Reporting to stakeholders 11%Interviewing with the media 39%Coordinating with internal audit 58% Maintenance and continuous improvement of the risk management process 43%Leading risk committee(s) 56% Participating in the preparation of corporate documents (annual report, registration document, integrated reporting, etc.) Crisis management Almost 30% of the risk managers surveyed are involved in crisis management. Only 8% of survey participants head a crisis unit. Around 25% of respondents are active in one or more of the other areas. 27%Business continuity management 8%Head of a crisis unit 23%Member of a crisis unit 25% Maintenance and continuous improvement  of crisis management procedures Assisting in defning, implementing and communicating on risk prevention and crisis management organisation and tools 26% Coordination and reporting There has been a net increase in the proportion of risk managers involved in reporting to stakeholders, from 55% in 2015 to 59% in 2017. As in 2015, only a small proportion of IP  risk managers handle coordination and reporting (24%), while the majority of ERM and IP/ ERM risk managers are involved in these areas (86%).  - 23 New  - 23 Spotlight on risk managers and risk communication With respect to internal communication, risk managers are deeply involved and play an important role through a variety of tasks. First, risk managers have a key role in developing a risk culture in their company. 69% attend major events (seminars, committees, etc.) and 58% participate in preparing internal communication materials on risk culture. A greater proportion of ERM and IP/ ERM risk managers (69% and 66%, respectively) participate in drafting such materials than IP risk managers (31%). Among the other internal communication tasks, a large majority of respondents (59%) are in charge of reporting to stakeholders. A greater proportion of ERM and IP/ ERM risk managers (77% and 67%, respectively) report to stakeholders than IP risk managers (20%). The majority of risk managers (56%) participate in preparing corporate documents, such as the annual report or the registration document. Once again, a greater proportion of ERM and IP/ERM risk managers (77% and 66%, respectively) are involved in this task than IP risk managers (9%). In addition, 59% of risk managers regularly take part in and 17% often take part in events outside their companies, such as training programmes or round tables. Lastly, 18% of "top managers" have given an interview to the media. The "Risk Communication" document published by AMRAE in 2017 (vol. 7 of its Risk Control series) provides a comprehensive overview of the environment in which organisations communicate on risks as well as insights into the function. One of the pillars of risk communication is developing a risk culture, one of the ERM  tasks which I am responsible for in my company. A risk culture is based on three principles: accountability, risk-taking in the decision-making process and a risk cost-effectiveness analysis. On this basis, the information that we communicate has to be tailored to different employee profiles. The awareness level required of a risk owner is not the same as that required of a manager or an employee. To communicate effectively about the risk culture, risk managers can recommend a variety of tools depending on the awareness level required. They can also communicate on feedback, provide concrete examples of the control measures that have been introduced and discuss how the company responds when a risk materialises. In this way, risk managers help to promote a positive image of risk management. Testimonial Risk manager at a CAC 40 telecommunications company 24 -  Insurance and risk prevention 64% 20% 16% Risk prevention Insurance 59% 14% 9% 7%2% Property & Casualty Property & Casualty/Personal Personal CreditProperty & Casualty/ Personal/Credit 9% Property & Casualty/Credit Spotlight on Insurance and Prevention (IP) Responsibilities As in 2015, the majority of IP risk managers (64% in 2017 versus 68% in 2015) are in charge of both insurance and risk prevention. There has been an increase in the proportion of risk managers in the panel who only manage risk prevention (20% in 2017 versus 13% in 2015). Insurance categories The proportion of IP risk managers who only manage property and casualty insurance has fallen, from 79% in 2015 to 59% in 2017. The proportion of risk managers handling property and casualty insurance and personal insurance has also dropped, from 18% in 2015 to 14% in 2017. In contrast, the proportion of risk managers who only manage personal insurance has increased, from 3% in 2015 to 9% in 2017. Credit insurance was added to the list of insurance categories this year and 18% of respondents indicated that they manage it.  - 25 --77% of IP/ERM risk managers have another responsibility. 26% work in internal control, 22% in compliance and 19% in safety/security. --74% of ERM risk managers have at least one other responsibility. 56% work in internal control, nearly 25% in compliance and 19% in internal audit. --The majority (66%) of IP risk managers do not have any other responsibilities. Those who do have other responsibilities mainly work in legal affairs (28% in 2017 versus 17% in 2015). Spotlight: breakdown by profile Other responsibilities NB: This was a multiple choice question. The proportion of risk managers with other responsibilities outside those related to insurance and/or risk management has increased, from 56% in 2015 to 62% in 2017. In 2017, internal control was once again the task carried out by the greatest proportion of risk managers (32%). 38%None 12%Internal audit 32%Internal control 12%Legal affairs 18%Compliance 10%Other 5%SI 9%Finance 8%Safety/security 8%Quality 5%CSR Compliance is becoming an increasingly important issue for organisations. Due to the increase in regulations in recent years, compliance is at the forefront of organisations' thinking and seen as a major issue. Historically, compliance has been handled by the legal function, but risk managers have a meaningful role to play. First, risk managers offer a broader view of compliance and look beyond the legal aspects. They make the connection between compliance, company processes and business challenges. Second, thanks to their cross-functional role, risk managers facilitate the transition between theory and practice when it comes to implementing regulations. The fact that risk managers play a centralising role is very important, as compliance is an issue that affects the whole organisation and should not be dealt with exclusively at the business unit level. Risk managers offer real added value because they are at the crossroads between operational teams, support functions and governance bodies. Testimonial There were differences according to the size of the organisation. Of the risk managers surveyed, 48% in large companies do not have other responsibilities versus only 20% in middle-market companies and SMEs, demonstrating that risk managers in such organisations are more versatile. They are primarily involved in internal control (47%) and/or compliance (30%). Risk manager who is also in charge of compliance 26 -  For IP risk managers: --operational risks (91%); --environmental risks (86%); --legal risks (73%). For ERM risk managers: --compliance risks (95%); --fraud risks (94%); --reputation and operational risks (92%). For ERM risk managers: --operational risks (89%); --financial risks (86%); --customer risks (84%). Spotlight: breakdown by profile 2015 2017 Types of risks NB: This was a multiple choice question. We noted that the risk managers surveyed this year handled a broader spectrum of risks than in previous years. Cybersecurity risks jumped to third place this year, from sixth place in 2015. 91% Operational risks 80% 83% Fraud risks 75% 79% Cybersecurity risks Environmental risks 67% 70% Financial risks Legal risks Project risks 78% 66% 66% 57% Reputation risks Compliance risks Supplier risks 66% 59% 67% 77% Purchasing risks Customer risks Security/Safety risks 58% 63% 70% 76% HR risks 73%64% Digital risks 71%54% Country/political risks 70%58% Strategic risks 69%58% Supply chain risks 66%59%59% 64% Governance risks 53%  - 27 28 -  Almost twice as many IP  "top managers" (15%) as ERM  "top managers" (8%) reported that the size of their team had decreased over the last 12 months. Resources Teams Size NB: Only "top managers" were asked this question. Answers submitted by "top managers" with an IP/ERM profile are included in IP teams or in ERM teams. Headcount is roughly on par with 2015. However, 19% of IP  teams have fewer people while 24% of ERM teams have more people. Trends ERM profiles: • 68% of ERM  risk managers reported that the size of their team had remained stable, versus 74% in 2015; • 24% reported that the number of people in their team had increased; • 8% reported that their team had shrunk. IP profiles: • 66% of IP risk managers reported that the size of their team had remained stable, versus 69% in 2015; • 19% reported that the number of people in their team had increased; • 15% reported that their team had shrunk. No team 1-2 FTE team members 3-4 FTE team members 5-10 FTE team members More than 10 FTE team members 34% 21% 18% 18% 9% 20% 17% 11% 9% 43% 70% of IP teams are made up of fewer than five people (versus 66% in 2015) and 60% of ERM teams have fewer than three people (versus 76% in 2015). ERM profiles IP profiles  - 29 Resources Operating budget 58% of the risk managers who answered this question reported that their budgets were sufficient, down from 77% in 2015. 67% of IP "top managers" reported that their budgets were sufficient, versus 51% of ERM "top managers". 63% of ERM risk managers reported that their budgets had remained stable, in comparison with 49% of IP risk managers. 24% of IP  risk managers reported that their budgets had decreased, versus 11% of ERM risk managers. 67% of IP risk managers working in middle- market companies reported that their budgets were insufficient, while 78% of those working in large companies and 57% of those working in SMEs reported that their budgets were sufficient. The majority of ERM  risk managers working in middle-market companies (52%) and SMEs (57%) reported that their budgets were insufficient. Nearly half of the risk managers surveyed (48%) reported using an internal risk management framework, a sharp increase on 2015 when only 28% of risk managers reported using an internal framework. 32% of respondents reported using the COSO ERM framework, versus 25% in 2015. Internal framework COSO ERM ISO 31000 No framework Other (AMF, Solvency II) FERMA 32% 48% 23% 19% 14% 5% Risk management framework NB: IP profiles were not included in this analysis. This was a multiple choice question this year. 81% of respondents reported using a risk management framework, up slightly on the 79% of respondents who reported using a framework in 2015. 88% find that risk management frameworks help them to carry out their duties. 30 -  Risk managers within their organisations 63% 31% 6% Increasing Stable Decreasing --ERM risk managers mainly report to senior management (60% in 2017 versus 46% in 2015) or the finance department (20%). --IP/ERM risk managers mainly report to senior management (42% in 2017 versus 40% in 2015) or the finance department (37% in 2017 versus 22% in 2015). --IP risk managers mainly report to the finance department (36% in 2017 versus 28% in 2015) or the legal department (27% in 2017 versus 40% in 2015). Spotlight: breakdown by profile Reporting lines NB: This analysis only concerns "top managers". This was a multiple choice question. The proportion of risk managers who report directly to senior management has increased, from 36% in 2015 to 44% in 2017. 44%Senior management 6%Internal audit department 11%Legal department Finance department31% 13%Corporate affairs Risk department 4% 3%Insurance department 2% Other Operations department 2% Recognition of risk man- agers' work This year, 63% of the risk managers surveyed felt that they were receiving more recognition for their work within their organisations, versus 54% in 2015.  - 31 53% 36% 11% L-1 L-2 L-3 --ERM profiles are mainly one level below senior management (63% in 2017 versus 47% in 2015). --IP/ERM profiles are mostly one level below senior management (52% in 2017, on par with 2015). --IP profiles are mainly two levels below senior management (45% in 2017, almost unchanged from 44% in 2015). Spotlight: breakdown by profile --Many IP risk managers do not participate in any committee, although the proportion has fallen from 69% in 2015 to 36% in 2017. 32% work on operational risk committees, versus 20% in 2015. --ERM risk managers predominantly participate in operational risk committees (77% in 2017 versus 46% in 2015) and audit committees (54% in 2017 versus 43% in 2015). --IP/ERM risk managers mainly participate in operational risk committees (56% in 2017 versus 51% in 2015) and Board risk committees (40%). Spotlight: breakdown by profile Risk managers' position in relation to senior management NB: This analysis concerns "top managers" across all professional profiles. The proportion of "top managers" who are one level below senior management has continued to increase in line with the trend observed in recent years, rising to 53% in 2017, from 43% in 2015 and 18% in 2013. 63% Direct contact 29% Indirect contact 8% No contactContact with the CEO 92% of the "top managers" surveyed are in contact with their CEOs, although only 53% report directly to them. Committee work NB: This analysis concerns "top managers" across all professional profiles. This was a multiple choice question. The proportion of risk managers who participate in committees, particularly strategic and executive committees, has increased sharply since 2015. 36% of risk managers work on audit committees, on par with 2015. 58%Operational risk committee 26%Management committee Audit committee36% 35%Board risk committee None17% Executive committee14% Strategy committee 10% Other 9% Investment committee 9% HSE/sustainable development committee 8% 32 -  In 2013, AMRAE and IFACI presented a joint report entitled "Trois lignes de maîtrise pour une meilleure performance" (Three tiers of internal control for optimal performance). Its purpose is to clarify roles and responsibilities at each level of internal control. The document (in French only) is available from: > http://www.amrae.fr/sites/default/files/fichiers_upload/2013_AMRAE_IFACI_ PP_1709_0.pdf. Working relations with the three tiers of internal control NB: This analysis concerns risk managers across all professional profiles. The majority of risk managers (67%) work closely with operations departments. 67% 30% 3% 75% 24% 2% 83% 15% 2% 49% 44% 7% 55% 33% 12% 72% 22% 5% 78% 18% 4% 78% 18% 4% 67% 23% 10% 60% 23% 17% First tier of control Operations department Second tier of control Support functions Second tier of control Risk functions Third tier of control Internal audit External audit First tier of control Operations department Second tier of control Support functions Second tier of control Risk functions Third tier of control Internal audit External audit Close working relations On an as-needed basis No working relations 67% 30% 3% 75% 24% 2% 83% 15% 2% 49% 44% 7% 55% 33% 12% 72% 22% 5% 78% 18% 4% 78% 18% 4% 67% 23% 10% 60% 23% 17% First tier of control Operations department Second tier of control Support functions Second tier of control Risk functions Third tier of control Internal audit External audit First tier of control Operations department Second tier of control Support functions Second tier of control Risk functions Third tier of control Internal audit External audit In addition, risk managers work particularly closely with the second tier of internal control, with both the support 1  (75%) and risk 2  (83%) functions. Approximately half of all risk managers work closely with the internal audit department (49%) and 44% on an as-needed basis. 55% of the respondents work on an as-needed basis with external audit teams. More than 70% of risk managers reported that their working relations with the first and second tiers of internal control were sufficient. 1. Finance, legal, human resources and IT departments. 2. Internal control, safety, insurance and corporate affairs departments. Sufficient Insufficient No opinion  - 33 Close working relations On an as- needed basis No working relations New 11%45% 43% Spotlight on risk managers and the safety/security function 76% of risk managers include safety/security risks in their scope of analysis. Only 45% work closely with the safety/security function, which contrasts with the findings reported on the previous page with respect to risk mangers' working relations with the second tier of control, of which the safety/security function is a part. In fact, 83% of risk managers work closely with the other functions involved in their companies' risk management system 3 . The low proportion of risk managers who work closely with the safety/security function could be due to the fact that the safety/security function is a relatively new addition to many organisations. Broken down by profile, more than half of IP/ERM risk managers (58%) work closely with the safety/security function (42% for IP  risk managers and 36% for ERM  risk managers). Previously responsible for safety/ security risks in my company, I was promoted to head of the risk prevention and control department. Safety/security risks are of course included in my risk map, which is the product of a very operational exercise. The safety/ security function can seem rather distant from the realm of the risk manager given the typically non- operational nature of their risk mapping. For the safety/security function, risk maps need to be operational and can get bogged down by too much theory. Safety/ security directors are usually very practical, but generally they don't take a step back often enough to see the big picture. In contrast, risk managers can sometimes seem too removed from day-to- day operations and, as a result, don't encourage cooperation with the safety/security function, which requires a pragmatic approach. In particular, safety/ security functions are playing an increasingly key role in companies and the people hired to manage safety/security issues do not generally have any experience in risk mapping and management. They are not used to reporting on and sharing issues. Fostering more effective cooperation between risk managers and the safety/security function is in the interest of both functions. Above and beyond operational issues where increased collaboration is necessary, to cover security risks in insurance for example, strengthening relations with risk managers would facilitate dialogue between safety/security directors and top management and help to make senior management more aware of safety/security issues. Greater cooperation would also enable risk managers to benefit from safety/security directors' more operational, pragmatic vision of safety/security risks, which more closely reflects day-to- day operations. In this way, risk mapping would be more relevant to operational teams and better integrated into companies' DNA. Testimonial Risk manager in charge of safety/security at a transport company 3. Risk functions: internal control, safety, insurance and corporate affairs departments. 34 -  60% Identification and analysis of risks related to implementing strategy 21%41% Identification and analysis of risks of planned strategies None Spotlight on risk managers and strategy NB: This analysis concerns "top managers" across all professional profiles. 73% 21% 6% On an as-needed basis (risk mapping, insurability of new activities, etc.) Close working relations for all risks linked to company strategy No working relations New I've noticed that risk management is increasingly being incorporated into the strategy development process, due to the emergence of new business models and the digital transformation, which is changing the way we create value and reducing margins. Risk managers have a broad vision of company management, from strategy to operations. They identify and assess residual risks, including those related to strategy and its implementation. This is case in my company, where we are now being asked by the strategy function to provide insight on the risks related to the strategic goals of each business unit. We are also involved in preparing business plans, in order to ensure that the chosen scenarios are consistent with related risk assessments. Our contributions help to strengthen strategic analyses. Given this positioning, risk managers need a multi-disciplinary team made up of knowledgeable staff who are recognised experts in their fields. However, we should bear in mind that risk managers have a specific role: their job is to explain the level of risk in their capacity as the second line of defence, but they do not decide on the risk/return level adopted by their organisations. Testimonial Risk manager at a CAC 40 company in the energy sector 73% of "top managers" work with their companies' strategy function on an as-needed basis, while 21% work alongside it closely. Although 32% of ERM "top managers" work closely with the strategy function, only 18% of IP/ERM  "top managers" and 14% of IP "top managers" do the same. An analysis of the findings by organisation size shows that the smaller the organisation, the more closely risk managers work with the strategy function: 30% in SMEs versus 26% in middle-market companies versus 19% in large companies. To the question "what is your role in managing risks related to company strategy?", 60% of "top managers" reported being involved in identifying and analysing risks related to implementing strategy and 41% reported playing a role in identifying and analysing the risks of planned strategies. Nearly half of risk managers (48%) reported being involved in defining their companies' risk appetite. In addition, the proportion of risk managers participating in the strategy committee has increased to 10%, from 7% in 2015. New Role in managing risks related to M&A transactions None 40% Due diligence Identification and analysis of project risks 42% 34% 72% of IP and IP/ERM risk managers are involved in managing the risks related to M&A transactions. 56% participate in due diligence processes and 40% are involved in identifying and analysing risks. 66% of ERM risk managers play no role in handling their companies' M&A transaction-related risks. However, 25% are involved in identifying and analysing risks and 14% participate in due diligence processes. Spotlight: breakdown by profile The majority of respondents (58%) are involved in managing the risks related to their companies' M&A transactions.  - 35 36 -  Fixed compensation (salary) The average gross salary of "top managers" and "non-top managers" is on par with 2015. It has decreased slightly from €108,000 to €107,000 for "top managers" and remained stable at €84,000 for "non-top managers". Compensation Fixed gross compensation Under 35 35-45 46-55 Over 55 Total Less than €50,000 16 8 1 2 27 €50,000 to €100,000 9 21 28 6 64 €101,000 to €150,000 2 15 22 12 51 More than €150,000 0 2 11 13 25 Total 27 45 62 33 167 54% of risk managers (i.e., 91) in all professional profiles receive a gross salary less than or equal to €100,000. Under 35 35-45 46-55 Over 55 More than €150,000 Less than €50,000 €50,000- €100,000 €100,000- €150,000 59% 33% 7% 18% 47% 33% 45% 35% 18% 6% 18% 36% 39% 2% 2%  - 37 29% 52% 19% 26% 43% 31% 43% 31% 25% Variable compensation (bonus) Irrespective of professional profile, 77% of risk managers receive variable compensation. • 88% of IP "top managers" receive variable compensation in an amount exceeding 10% of their fixed compensation, versus 78% of IP/ERM "top managers" and 69% of ERM "top managers". • 54% of ERM "non-top managers" receive variable compensation in an amount below 10% of their fixed compensation, while 55% of IP/ERM  "non-top managers" and 53% of IP  "non-top managers" receive variable compensation in an amount exceeding 10% of their fixed compensation. IP IP/ERM Under 10% ERM 10%-20% Over 20% Compensation factors Location Unsurprisingly, risk managers in Ile-de-France receive a higher annual gross salary than risk managers outside Paris. While the overall pay gap between Paris and the rest of France is 28%, for risk managers: • "non-top managers" in Ile-de-France earn 23% more than "non- top managers" outside Paris (€86,000 versus €66,000); • "top managers" in Ile-de- France earn 20% more than "top managers" outside Paris (€115,000 versus €92,000). Ile-de-France Rest of France World More than €150,000 Less than €50,000 €50,000- €100,000 €100,000- €150,000 10% 32% 25% 40% 35% 13% 33% 27% 25% 17% 38% 5% €102 €84 €109 Average salary in € thousands 38 -  Hiring methods As in the two previous surveys, risk managers who found their current position through a recruitment agency or their network have a higher average salary than those who found their current position through other channels. Recruitment agency/ headhunter Unsolicited application Internal mobility More than €150,000 Less than €50,000 €50,000- €100,000 €100,000- €150,000 Network/ contact AMRAE website 8% 40% 36% 16% 42% 33% 25% 18% 40% 27% 15% 18% 31% 31% 21% 67% 33% Company size As in 2013 and 2015, salaries are proportional to the size of the company. The average salary for risk managers in large companies is higher than the average salary for risk managers who work for smaller organisations, for both "top managers" and "non-top managers". Association/ NGO Middle-market company (less than €1.5 billion/ 5,000 employees) Large company (more than €1.5 billion/ 5,000 employees) More than €150,000 Less than €50,000 €50,000- €100,000 €100,000- €150,000 SME (less than €50 million/ 250 employees) Public sector entity 100% 31% 52% 8% 29% 25% 50% 33% 67% 42% 12% 17% 21% 8% 5% €103 €77 €95 €92 €101 €75 €77 €109 €83 €67 Average salary in € thousands Average salary in € thousands  - 39 Gender Non-Top Manager Top Manager More than €150,000 Less than €50,000 €50,000- €100,000 €100,000- €150,000 Non-Top Manager Top Manager 21% 44% 32% 32% 42% 20% 30% 48% 15% 6% 17% 34% 24% 24% 3% 5% Although the gender pay gap has been gradually decreasing, men risk managers still earn more than women risk managers. • Among "top managers", the gap has dropped from 15% in 2015 to 8% in 2017 (€110,000 for men versus €101,000 for women). • Among "non-top managers", the gap has fallen from 28% in 2015 to 9% in 2017 (€88,000 for men versus €80,000 for women). €88 €110 €80 €101 Average salary in € thousands Average salary in € thousands Future of the profession The risk managers surveyed indicated an increase in their level of responsibility for risk culture development in their companies (79% in 2017 versus 70% in 2015) and risk assessment (70% in 2017 versus 64% in 2015). Personal career development opportunities In 2017, half of the respondents indicated that they would like to remain risk managers but at another company. This is the first year that this response has been available for selection. Internal audit/internal control, which was the most common field for career advancement in 2015 (27%), was the sixth most common in 2017 (9%). The second most common field for career advancement was senior management (15%). The "other" category was the third most common field for career advancement. It was mostly selected by risk managers who want to remain in their current positions at their companies. Career development 40 -  Risk manager at another company Senior management Other 50% 15% 14% 13% 3% 2% 1% Retirement Consulting Internal audit Internal control Finance Compliance Insurance Brokerage Operations Legal Health, safety, quality and environment IS 6% 9% 12% Photo credits: PwC - AMRAE ― Freepik ― GettyImages Copyright © 2017 AMRAE, in partnership with PwC AMRAE 80, boulevard Haussmann F-75008 Paris France Tel.: 33 (0)1 42 89 33 16 Fax: 33 (0)1 42 89 33 14 Email: amrae@amrae.fr www.amrae.fr Management des Risques et des Assurances de l’Entreprise PwC 63, rue de Villiers 92208 Neuilly-sur-Seine Cedex France Tel.: 33 (0) 1 56 57 58 17 Fax : 33 (0) 1 56 57 58 60 www.pwc.fr