Recruter un Risk Manager ou un Compliance Manager
Le Risk Manager, comme le Compliance Manager, occupe l'un des rares postes dont le travail consiste, une partie du temps, à empêcher l'entreprise de faire quelque chose qui rapporte. Cela suffit à en faire un recrutement à part : la personne devra tenir une position devant des interlocuteurs qui ont un chiffre à opposer, alors qu'elle a une appréciation à faire valoir. Le reste des difficultés vient d'un intitulé qui réunit deux métiers. Risque et conformité figurent ensemble dans presque toutes les annonces ; ce sont deux viviers, deux façons de décider, et surtout deux calendriers.
Aussi appelé Compliance Manager, Compliance Officer, Responsable des risques, Responsable Conformité, Responsable LCB-FT, Chief Risk Officer, Chief Compliance Officer, Head of Risk & Compliance.
4,9/5 sur 32 avis GoogleCe poste relève de notre cabinet de recrutement Audit
Ce que nous observons
Pourquoi un recrutement de risk manager échoue.
La moitié conformité a ses échéances, la moitié risque peut toujours attendre, et c'est elle qui saute
Réunir les deux dans un seul poste est souvent légitime : séparément, chacun des deux remplit moins qu'un temps plein. Ce qui est mal anticipé, c'est le mécanisme qui suit. La conformité arrive avec des dates imposées de l'extérieur : un texte qui entre en application, une liste de sanctions mise à jour, un questionnaire de l'autorité à rendre, une revue de vos pratiques de commercialisation, un dossier d'agrément. La gestion des risques, elle, avance à son propre rythme : une cartographie peut toujours être actualisée au trimestre suivant, une revue de limites attendre le prochain conseil. Une personne qui porte les deux traite ce qui a une date. Deux ans plus tard, la conformité est présentable et le risque est exactement où vous l'aviez laissé, alors que chacun a fait son travail. Deux réponses existent, et nous les examinons avec vous au cadrage. Soit la moitié risque reçoit une échéance à elle, opposable au même titre : une revue annuelle des limites présentée au conseil, une revue d'incidents datée. Soit le recrutement porte d'abord sur la moitié qui a le calendrier, l'autre devenant un second recrutement ou une mission. Ce qui échoue, c'est d'espérer qu'une seule personne arbitre toute seule, chaque semaine, entre une obligation datée et un chantier qui peut glisser.
L'appétence au risque a été votée, et elle est restée lettre morte
Beaucoup de conseils ont approuvé une déclaration d'appétence au risque : une page, quelques formulations qualitatives, parfois deux ratios. Ce qui la rend opérante est l'étape d'après, sa traduction en limites qui mordent là où les décisions se prennent : une exposition maximale par contrepartie, un type de client refusé d'office, un pays fermé, un plafond de concentration de sous-traitance, un seuil au-delà duquel le groupe cesse de conserver le risque. Cette traduction est rarement faite, et c'est pourtant tout le métier. À défaut, la personne recrutée oppose un avis à des dossiers qui, eux, ont des chiffres. Elle perd les arbitrages par construction, plutôt que par faiblesse : elle est seule avec son avis. Avant d'ouvrir la recherche, nous vous demandons trois décisions des douze derniers mois qu'un seuil écrit aurait suffi à trancher. S'il s'en trouve moins de trois, le poste consiste à écrire les limites et à les faire adopter, plutôt qu'à les faire appliquer : le niveau et le profil changent, et nous le disons aux candidats. En entretien, plutôt que la politique du candidat, nous demandons quelles limites il avait, qui pouvait les dépasser, et ce qui s'est passé le jour où quelqu'un les a dépassées.
On achète quelqu'un qui a produit des cartographies, plutôt que quelqu'un dont une cartographie a changé une décision
La cartographie des risques est le livrable attendu, elle figure dans toutes les annonces, et tous les candidats en ont fait. Elle laisse donc tous les candidats à égalité. Ce qui sépare les profils tient à ce qui en est sorti, bien plus qu'à la méthode (référentiels, ateliers, cotation, échelles). L'Agence française anticorruption est explicite sur ce point pour la cartographie exigée par la loi Sapin 2 : elle doit être construite sur mesure, la standardisation est à proscrire, et sa mise à jour est vérifiée en contrôle. Une cartographie faite pour être montrée se reconnaît à trois signes : elle est exhaustive, presque tout y est en orange, et tout, en aval, est resté en l'état : le programme d'audit, le programme d'assurances, les comités d'investissement, les contrats fournisseurs. Nous établissons avec vous, avant de sourcer, ce que la cartographie doit alimenter et qui la reçoit : c'est cela qui fixe le profil, bien plus que le nombre d'années. Et nous demandons au candidat un risque qu'il a fait redescendre, plutôt que ceux qu'il a ajoutés. Savoir retirer est l'indice le plus sûr qu'il a hiérarchisé plutôt que cherché à se couvrir.
Le variable du poste est indexé sur ce que le poste doit pouvoir bloquer
Dans beaucoup d'entreprises, la part variable du responsable des risques ou de la conformité est assise sur les objectifs de l'entreprise : chiffre d'affaires, résultat, nombre de clients entrés, tenue du plan de croissance. Cela s'est fait par mimétisme : c'est ainsi que sont construites toutes les autres primes de la maison. Dans le secteur financier, c'est un défaut de gouvernance identifié : la rémunération variable des fonctions de contrôle doit rester indépendante des résultats des activités qu'elles contrôlent, et le comité des rémunérations est censé s'en assurer. Ailleurs, la pratique est libre, et le dispositif produit exactement ce pour quoi il est conçu. S'y ajoute le fait qu'un candidat venant d'un environnement régulé lit la structure de la rémunération avant d'en lire le montant : si la prime est adossée au plan commercial, il sait ce que vaudra son avis le jour d'un désaccord, et il se dispense de poser la question. Au cadrage, nous proposons d'asseoir le variable sur ce que la fonction maîtrise réellement (actions de remédiation soldées dans les délais, délais de traitement des dossiers sensibles, qualité de ce qui est remis au conseil), et nous le disons au candidat dès le premier échange. Ce choix est gratuit, et c'est l'un des rares signaux impossibles à simuler.
Le seuil paramétré dans l'outil est votre politique réelle, et il appartient à quelqu'un d'autre
En lutte anti-blanchiment, en filtrage des sanctions et embargos, en surveillance des opérations, la posture réelle de l'entreprise se lit ailleurs que dans la politique écrite. Elle est dans le paramétrage : degré de tolérance du rapprochement de noms, listes retenues, scénarios d'alerte actifs, taux d'échantillonnage, fréquence de rejeu sur le stock de clients. Ces réglages ont été faits à l'installation, par un intégrateur ou par la direction des systèmes d'information, et beaucoup sont restés en l'état depuis. La personne que vous recrutez en répondra alors qu'ils appartiennent à d'autres : les desserrer ressemble à du laxisme et chacun évite de le signer, les resserrer multiplie les alertes et suppose des analystes absents du budget. C'est ainsi que des postes vendus comme des postes de politique se passent à vider une file de faux positifs. Avant d'écrire le profil, nous demandons trois nombres : alertes par mois, part classée en faux positif, ancienneté du plus vieux dossier ouvert. Ils fixent le niveau du poste mieux que n'importe quelle liste de critères : un stock de dossiers en retard et une refonte de dispositif appellent deux profils différents. Nous établissons ensuite avec vous qui détient le paramétrage et son budget, et nous l'écrivons dans le brief : si la réponse est la direction informatique ou l'éditeur, le candidat le sait avant de signer.
Une des casquettes que vous empilez interdit les autres
Risque, conformité, LCB-FT, protection des données, sécurité des systèmes, assurances, parfois juridique : le poste finit par cumuler sept sujets, parce que chacun, à lui seul, remplit moins qu'un temps plein. Le problème de charge est connu : l'AMF, dans sa synthèse de contrôles publiée en mars 2026, relève des cas où les moyens du responsable de la conformité étaient insuffisants précisément parce que la fonction cumulait d'autres attributions. Le second problème est moins connu, et il rend une partie de l'empilement irrégulière. La fonction de délégué à la protection des données est incompatible avec une fonction qui amène son titulaire à déterminer les finalités et les moyens des traitements : la Cour de justice de l'Union européenne l'a jugé en février 2023, et la CNIL a publié en août 2026 une grille d'analyse qui cite la direction générale, les ressources humaines, l'informatique et la sécurité des systèmes parmi les fonctions structurellement incompatibles. Un poste « risque, conformité et DPO » où la même personne choisit l'outil de filtrage, ses paramètres et sa durée de conservation est un conflit d'intérêts qu'un contrôle trouvera. Nous listons les casquettes avec vous avant d'écrire l'annonce, et celle qui crée l'incompatibilité sort du poste : un DPO externe ou mutualisé est expressément admis, et il coûte moins cher qu'un poste indéfendable en contrôle.
Vous recrutez dans une fenêtre de remédiation, et la recherche en consomme le tiers
Une part importante de ces postes s'ouvre juste après un événement qui a daté le calendrier : une inspection, une lettre de suite, un engagement pris devant une autorité ou devant un client, une certification à conserver, un incident. Le mandat réel est alors un plan écrit par d'autres, avec des échéances fixes, prises en son nom avant son arrivée. Ce contexte se défend très bien : c'est souvent la période la plus intéressante de la fonction, et les bons candidats le savent. Ce qui coûte, c'est l'arithmétique. Un recrutement en CDI plus un préavis, ce sont quatre à six mois ; sur une fenêtre de douze, le tiers ou la moitié est consommé avant le premier jour, et le plan, lui, continue de courir. Nous comptons à rebours depuis l'échéance, plutôt qu'en avant depuis aujourd'hui. Quand il reste moins d'un an, nous proposons deux mouvements plutôt qu'un seul recrutement : un manager de transition qui tient le calendrier (premiers profils sous 48 heures) et un recrutement permanent mené à tête reposée pour tenir la fonction ensuite. Nous convenons aussi avec vous de remettre la lettre d'engagement aux finalistes, sous accord de confidentialité si nécessaire. Un candidat qui accepte une remédiation en connaissance de cause reste ; celui qui la découvre une fois en poste s'en va.
Avant de chercher
Ce que nous cadrons avec vous.
Le brief conditionne tout le reste. Un cadrage approximatif se paie en candidatures hors sujet et en semaines perdues. Si votre fiche de poste est déjà écrite, le diagnostic de recrutement la relit et la situe face au marché et à nos grilles.
La ligne entre ce qui s'arbitre et ce qui s'applique
Un risque s'accepte, se réduit, se transfère ou se refuse : il se discute. Une règle, elle, s'applique ou elle est enfreinte. Nous traçons cette ligne sur votre périmètre avant de sourcer, parce qu'elle désigne le vivier, le niveau et la fourchette. Laissée floue, elle finit tranchée au dernier entretien, sur une personne.
Le circuit du désaccord
Qui arbitre quand la fonction s'oppose à une opération, dans quel délai, et ce qui reste écrit lorsque l'arbitrage lui donne tort. Savoir refuser tient à un circuit plus qu'à un trait de caractère. Les candidats qui savent le faire commencent par vérifier qu'il existe, et une réponse improvisée leur suffit pour conclure.
Le traitement d'un signalement visant un dirigeant
Qui reçoit, qui instruit, qui est écarté du dossier, qui informe le conseil. La question paraît théorique jusqu'au jour où elle devient concrète, et la réponse se décide au moment du rattachement, bien avant les faits. Elle fait partie du cadrage au même titre que la rémunération.
Les casquettes, listées une par une
Risque, conformité, LCB-FT, données personnelles, sécurité des systèmes, assurances, juridique : lesquelles tiennent dans un seul poste, laquelle crée une incompatibilité, laquelle s'externalise. Un poste tenable se décrit en quelques missions datées, plutôt qu'en une liste d'intitulés.
Lecture de marché
Ce que dit le marché aujourd'hui.
Fourchettes issues de notre baromètre des salaires, en brut annuel, pour la France.
Les fourchettes du baromètre situent un profil risque ou conformité confirmé de 3 à 7 ans entre 50 000 et 72 000 €, un senior de 7 à 12 ans entre 72 000 et 100 000 €, un Head of Risk ou Head of Compliance au-delà de 12 ans entre 100 000 et 150 000 € et plus, variable et intéressement compris, et un Chief Risk Officer ou Chief Compliance Officer entre 150 000 et 250 000 € et plus, souvent au comité exécutif. À l'intérieur d'une bande, ce qui déplace le curseur est le statut régulé de l'entité, le volume réellement traité, l'exposition internationale, et l'éventuelle désignation opposable à un tiers que porte le poste.
Le marché compte deux viviers, et chacun se paie à sa façon. Le vivier conformité vient des banques, des assureurs, des sociétés de gestion, des fintechs et du droit ; le vivier risque vient du quantitatif, de l'audit, des opérations et de l'assurance d'entreprise. Ce second point mérite d'être souligné pour les groupes industriels : le référentiel métier de l'AMRAE réunit sous le titre de risk manager les directions des risques, des assurances, de la prévention et des programmes internationaux. Dans l'industrie, « risk manager » désigne donc très souvent celui qui pilote les programmes d'assurance et, le cas échéant, une captive : un métier dont le centre de gravité est le contrat et le financement du risque, bien plus que la réglementation. C'est le décalage le plus fréquent que nous rencontrons entre le titre affiché et le besoin réel.
Sur les entités régulées, certains postes sont conditionnés à une autorisation attachée à l'employeur. Chez les sociétés de gestion de portefeuille et les prestataires de services d'investissement, le responsable de la conformité est titulaire d'une carte professionnelle délivrée par l'AMF, obtenue sur dossier déposé par l'entreprise, suivi d'une journée de formation et d'un examen devant un jury. La carte est liée au couple personne-entreprise : un titulaire qui change d'employeur reprend la démarche avec le nouveau, avec un parcours allégé selon son expérience. La date d'entrée en fonction dépend donc aussi de cette démarche, au-delà du préavis, et nous posons ce point dès le premier échange plutôt qu'au moment de l'offre.
Le calendrier réglementaire qui justifiait beaucoup de ces créations de poste a bougé. La directive européenne 2026/470, dite Omnibus, publiée le 26 février 2026, resserre fortement le champ de la CSRD : environ 10 000 entreprises concernées dans l'Union contre une cinquantaine de milliers auparavant, moins de 2 000 en France, sur un double seuil de 1 000 salariés et 450 M€ de chiffre d'affaires, et une réduction de l'ordre de 70 % des points de données exigés. Un brief écrit en 2023 ou 2024 autour du reporting de durabilité décrit désormais un autre poste. Le besoin demeure (clients, donneurs d'ordre et banques continuent de réclamer ces données), mais il change de nature : moins de production réglementaire, davantage de réponses à des tiers. Nous relisons le brief avec vous avant de le publier : écrit sur l'ancien périmètre, il attire des candidats sur un mandat devenu caduc.
Le management de transition répond ici à des situations datées et fréquentes : fenêtre de remédiation après un contrôle, retard accumulé sur des dossiers d'entrée en relation, vacance d'une fonction désignée, préparation d'une inspection, constitution d'un dossier d'agrément. Les premiers profils sont présentés sous 48 heures.
- Risk / Compliance Confirmé (3-7 ans)50-72 k€
- Senior Risk / Compliance Manager (7-12 ans)72-100 k€
- Head of Risk / Compliance (12+ ans)100-150 k€
- Chief Risk / Compliance Officer150-250 k€+
Un de nos recrutements, raconté de bout en bout.
Le besoin réel, la démarche, les profils comparés et ce qui a décidé du recrutement.
Baromètre Entourage · Édition 2027
Les grilles complètes, dans votre boîte.
L'étude 2027 en PDF : 61 métiers Finance et Tech, 228 échelons de rémunération en brut annuel, et pour chaque domaine ce qui fait varier le package (la taille du bilan, l'actionnariat, le périmètre réel). Établie sur nos mandats, plutôt que sur une enquête déclarative.
Pour audit, risque et conformité : 3 métiers documentés, de 48 k€ à 160 k€. Lire la page du domaine
Questions fréquentes
Ce que les dirigeants nous demandent.
- Combien de temps pour recruter un risk manager ou un compliance officer ?
- Les premiers profils qualifiés vous sont présentés sous 10 jours ouvrés en CDI, et sous 48 heures en management de transition. La suite dépend de votre rythme de décision. Sur cette fonction, un paramètre s'ajoute : si le poste suppose une carte professionnelle délivrée par l'AMF, la démarche se fait avec vous, en tant que nouvel employeur, et elle se prépare pendant le préavis plutôt qu'après la prise de poste.
- Combien coûte le recrutement d'un risk manager ou d'un compliance officer ?
- Nous facturons au succès, et au succès seulement : nos honoraires sont dus à l'acceptation de l'offre par le candidat. Si le candidat renonce finalement au poste, les honoraires versés sont intégralement remboursés.
- Quelle rémunération proposer ?
- Le baromètre situe un profil confirmé entre 50 000 et 72 000 €, un senior entre 72 000 et 100 000 €, un Head of Risk ou Head of Compliance entre 100 000 et 150 000 € et plus, et un Chief Risk ou Chief Compliance Officer entre 150 000 et 250 000 € et plus. Nous positionnons l'offre sur le périmètre réellement porté et sur le caractère régulé de l'entité, et nous regardons avec vous la structure du variable : sur cette fonction, l'assiette du bonus en dit plus long au candidat que son montant.
- Risk manager ou compliance officer : lequel recruter ?
- La réponse tient à la nature de ce qui est en jeu. Si le sujet admet un résiduel (on peut décider de le conserver, de l'assurer, de le réduire ou de l'accepter en connaissance de cause), c'est un poste de gestion des risques, et l'évaluation porte sur une capacité à quantifier et à arbitrer. Si le sujet exclut tout résiduel parce qu'une règle s'applique, c'est un poste de conformité, et l'évaluation porte sur une capacité à documenter, à instruire et à tenir une position. Les deux cohabitent très bien dans une même direction, à condition d'avoir été recrutés chacun sur son propre critère.
- Faut-il exiger une certification, FRM, CAMS, ICA ou CISA ?
- Ces certifications trient par périmètre plus que par niveau : la gestion des risques financiers, la lutte anti-blanchiment, la conformité réglementaire, l'audit des systèmes d'information. Elles renseignent donc utilement sur le terrain d'un candidat, rarement sur ce qui fait la différence dans le poste. En critère éliminatoire, elles coûtent plus de candidats qu'elles en qualifient. La seule condition réellement opposable en France est d'ailleurs d'une autre nature : c'est la carte professionnelle de l'AMF, qui est une autorisation, attachée à l'entreprise qui la demande.
- Peut-on confier la conformité et la protection des données à la même personne ?
- Oui, tant que le responsable conformité veille et conseille, et laisse à d'autres la décision sur les traitements. Le cumul devient irrégulier dès que la même personne choisit les outils, arrête des durées de conservation ou dirige la sécurité des systèmes : le délégué contrôlerait alors ses propres décisions, ce qu'excluent un arrêt de la Cour de justice de l'Union européenne de 2023 et la grille d'analyse de la CNIL. Dans ce cas, la réponse la plus simple est un DPO externe ou mutualisé, expressément admis. Nous vérifions ce point au cadrage, casquette par casquette.
- Recrutez-vous ces profils en management de transition ?
- Oui, en freelance, avec des premiers profils sous 48 heures. C'est la réponse adaptée à une fenêtre de remédiation après un contrôle, à un retard sur les dossiers d'entrée en relation, à la vacance d'une fonction désignée, ou à la préparation d'un dossier d'agrément. C'est aussi la façon de tenir un calendrier imposé pendant que le recrutement permanent se mène à son rythme.
- Intervenez-vous en dehors de Paris ?
- Oui, sur toute la France. Le siège est à Paris et une part importante des mandats est francilienne, mais les fonctions risque et conformité se recrutent aussi auprès des sièges régionaux, des mutuelles et des groupes industriels, et ces recherches font partie de notre activité courante.
- Que se passe-t-il si le recrutement échoue ?
- Le remboursement est intégral si le candidat renonce au poste. C'est la contrepartie logique de la facturation au succès : le risque de casting reste chez nous.
Aller plus loin
Les autres fonctions Finance que nous recrutons.
Sur les fonctions voisines :
Voir aussi la fiche métier détaillée, notre expertise Finance, nos outils gratuits ou les 6 mandats Entourage en Finance.
À propos de l'auteur
Consultant Sourcing chez Entourage Recrutement
Sourceur depuis sept ans sur les métiers financiers et technologiques, Bruno approche les profils qui restent loin des annonces. Il intervient sur les mandats en CDI comme sur les missions freelance.
Décrivez le poste, nous cadrons le reste.
Un consultant Finance vous recontacte sous 24 heures ouvrées pour qualifier le mandat et arrêter la stratégie d'approche.