Recruter un Risk Manager ou un Compliance Manager
C'est l'un des rares postes dont le travail consiste, une partie du temps, à empêcher l'entreprise de faire quelque chose qui rapporte. Cela suffit à en faire un recrutement à part : la personne devra tenir une position devant des interlocuteurs qui ont un chiffre à opposer, alors qu'elle n'en a pas. Le reste des difficultés vient d'un intitulé qui réunit deux métiers. Risque et conformité figurent ensemble dans presque toutes les annonces ; ce sont deux viviers, deux façons de décider, et surtout deux calendriers.
Aussi appelé Compliance Manager, Compliance Officer, Responsable des risques, Responsable Conformité, Responsable LCB-FT, Chief Risk Officer, Chief Compliance Officer, Head of Risk & Compliance.
Ce que nous observons
Pourquoi un recrutement de risk manager échoue.
La moitié conformité a des échéances, la moitié risque n'en a pas, et c'est toujours elle qui saute
Réunir les deux dans un seul poste est souvent légitime : séparément, aucun des deux ne remplit un temps plein. Ce qui est mal anticipé, c'est le mécanisme qui suit. La conformité arrive avec des dates que vous ne fixez pas : un texte qui entre en application, une liste de sanctions mise à jour, un questionnaire de l'autorité à rendre, une revue de vos pratiques de commercialisation, un dossier d'agrément. La gestion des risques, elle, n'en a aucune : une cartographie peut toujours être actualisée au trimestre suivant, une revue de limites attendre le prochain conseil. Une personne qui porte les deux traite ce qui a une date. Deux ans plus tard, la conformité est présentable et le risque est exactement où vous l'aviez laissé — sans qu'aucune faute n'ait été commise. Deux réponses, et une seule est la bonne selon les cas. Soit vous donnez à la moitié risque une échéance à elle, opposable au même titre : une revue annuelle des limites présentée au conseil, une revue d'incidents datée. Soit vous tranchez et vous recrutez d'abord la moitié qui porte le calendrier, l'autre devenant un second recrutement ou une mission. Ce qui ne fonctionne pas, c'est d'espérer qu'une seule personne arbitre toute seule, chaque semaine, entre une obligation datée et un chantier qui ne l'est pas.
L'appétence au risque a été votée, et rien n'en a jamais été déduit
Beaucoup de conseils ont approuvé une déclaration d'appétence au risque : une page, quelques formulations qualitatives, parfois deux ratios. Ce qui la rend opérante est l'étape d'après — sa traduction en limites qui mordent là où les décisions se prennent : une exposition maximale par contrepartie, un type de client refusé sans remontée, un pays qu'on n'ouvre pas, une concentration de sous-traitance à ne pas dépasser, un seuil au-delà duquel le groupe cesse de conserver le risque. Cette traduction est rarement faite, et c'est pourtant tout le métier. Sans elle, la personne recrutée oppose un avis à des dossiers qui, eux, ont des chiffres. Elle perd les arbitrages par construction, pas par faiblesse : il n'y a rien derrière elle. Avant d'ouvrir la recherche, listez trois décisions des douze derniers mois qu'un seuil écrit aurait tranchées sans réunion. Si vous n'en trouvez pas trois, le poste que vous décrivez n'est pas un poste qui fait appliquer des limites, c'est un poste qui doit les écrire et les faire adopter : ce n'est ni le même niveau, ni le même profil, et cela se dit. En entretien, la question utile n'est pas quelle était votre politique, mais quelles limites aviez-vous, qui pouvait les dépasser, et que s'est-il passé le jour où quelqu'un les a dépassées.
On achète quelqu'un qui a produit des cartographies, jamais quelqu'un dont une cartographie a changé une décision
La cartographie des risques est le livrable attendu, elle figure dans toutes les annonces, et tous les candidats en ont fait. Elle ne discrimine donc rien. Ce qui sépare les profils n'est pas la méthode — référentiels, ateliers, cotation, échelles — mais ce qui en est sorti. L'Agence française anticorruption est explicite sur ce point pour la cartographie exigée par la loi Sapin 2 : elle doit être construite sur mesure, la standardisation est à proscrire, et sa mise à jour est vérifiée en contrôle. Une cartographie faite pour être montrée se reconnaît à trois signes : elle est exhaustive, presque tout y est en orange, et rien en aval n'a bougé — ni le programme d'audit, ni le programme d'assurances, ni un comité d'investissement, ni un contrat fournisseur. Nommez avant de sourcer ce que la cartographie doit alimenter et qui la reçoit : c'est cela qui fixe le profil, bien plus que le nombre d'années. Et demandez au candidat un risque qu'il a fait redescendre, pas ceux qu'il a ajoutés. Savoir retirer est le seul indice fiable qu'il a hiérarchisé plutôt que couvert ses arrières.
Le variable du poste est indexé sur ce que le poste doit pouvoir bloquer
Dans beaucoup d'entreprises, la part variable du responsable des risques ou de la conformité est assise sur les objectifs de l'entreprise : chiffre d'affaires, résultat, nombre de clients entrés, tenue du plan de croissance. Personne ne l'a décidé, c'est simplement ainsi que sont construites toutes les autres primes de la maison. Dans le secteur financier, c'est un défaut de gouvernance identifié : la rémunération variable des fonctions de contrôle ne doit pas dépendre des résultats des activités qu'elles contrôlent, et le comité des rémunérations est censé s'en assurer. Ailleurs, rien ne l'interdit — et le dispositif produit exactement ce pour quoi il est conçu. Ajoutez-y le fait qu'un candidat venant d'un environnement régulé lit la structure de la rémunération avant d'en lire le montant : si la prime est adossée au plan commercial, il sait ce que vaudra son avis le jour d'un désaccord, et il n'a pas besoin de poser la question. Construisez le variable sur ce que la fonction maîtrise réellement — actions de remédiation soldées dans les délais, délais de traitement des dossiers sensibles, qualité de ce qui est remis au conseil — et dites-le dès le premier échange. Cela ne coûte rien, et c'est l'un des rares signaux qui ne se simulent pas.
Le seuil paramétré dans l'outil est votre politique réelle, et il appartient à quelqu'un d'autre
En lutte anti-blanchiment, en filtrage des sanctions et embargos, en surveillance des opérations, la posture réelle de l'entreprise n'est pas dans la politique écrite. Elle est dans le paramétrage : degré de tolérance du rapprochement de noms, listes retenues, scénarios d'alerte actifs, taux d'échantillonnage, fréquence de rejeu sur le stock de clients. Ces réglages ont été faits à l'installation, par un intégrateur ou par la direction des systèmes d'information, et beaucoup n'ont jamais été recalibrés depuis. La personne que vous recrutez en répondra sans les détenir : les desserrer ressemble à du laxisme et personne ne veut le signer, les resserrer multiplie les alertes et suppose des analystes que vous n'avez pas budgétés. C'est ainsi que des postes vendus comme des postes de politique se passent à vider une file de faux positifs. Avant d'écrire le profil, procurez-vous trois nombres : alertes par mois, part classée sans suite, ancienneté du plus vieux dossier ouvert. Ils fixent le niveau du poste mieux que n'importe quelle liste de critères — un stock de dossiers en retard n'appelle pas le même profil qu'une refonte de dispositif. Tranchez ensuite qui détient le paramétrage et son budget, et écrivez-le dans le brief : si la réponse est la direction informatique ou l'éditeur, le candidat a le droit de le savoir avant de signer.
Une des casquettes que vous empilez interdit les autres
Risque, conformité, LCB-FT, protection des données, sécurité des systèmes, assurances, parfois juridique : le poste finit par cumuler sept sujets, parce qu'aucun ne remplit un temps plein à lui seul. Le problème de charge est connu — l'AMF, dans sa synthèse de contrôles publiée en mars 2026, relève des cas où les moyens du responsable de la conformité étaient insuffisants précisément parce que la fonction cumulait d'autres attributions. Le second problème est moins connu, et il rend une partie de l'empilement irrégulière. Le délégué à la protection des données ne peut pas occuper en même temps une fonction qui l'amène à déterminer les finalités et les moyens des traitements : la Cour de justice de l'Union européenne l'a jugé en février 2023, et la CNIL a publié en août 2026 une grille d'analyse qui cite la direction générale, les ressources humaines, l'informatique et la sécurité des systèmes parmi les fonctions structurellement incompatibles. Un poste « risque, conformité et DPO » où la même personne choisit l'outil de filtrage, ses paramètres et sa durée de conservation est un conflit d'intérêts qu'un contrôle trouvera. Listez les casquettes avant d'écrire l'annonce, et sortez celle qui crée l'incompatibilité : un DPO externe ou mutualisé est expressément admis, et il coûte moins cher qu'un poste que vous ne pourrez pas défendre.
Vous recrutez dans une fenêtre de remédiation, et la recherche en consomme le tiers
Une part importante de ces postes s'ouvre juste après un événement qui a daté le calendrier : une inspection, une lettre de suite, un engagement pris devant une autorité ou devant un client, une certification à conserver, un incident. Le mandat réel est alors un plan que la personne n'a pas écrit, avec des échéances qu'elle ne peut pas déplacer, prises en son nom avant son arrivée. Rien là-dedans n'est disqualifiant : c'est souvent la période la plus intéressante de la fonction, et les bons candidats le savent. Ce qui coûte, c'est l'arithmétique. Un recrutement en CDI plus un préavis, ce sont quatre à six mois ; sur une fenêtre de douze, le tiers ou la moitié est consommé avant le premier jour, et le plan, lui, continue de courir. Comptez à rebours depuis l'échéance, pas en avant depuis aujourd'hui. S'il reste moins d'un an, ce n'est pas un recrutement mais deux mouvements : un manager de transition qui tient le calendrier — premiers profils sous 48 heures — et un recrutement permanent mené sans pression pour tenir la fonction ensuite. Et remettez la lettre d'engagement aux finalistes, sous accord de confidentialité si nécessaire. Un candidat qui accepte une remédiation en connaissance de cause reste ; celui qui la découvre au deuxième mois s'en va, et vous aurez perdu les deux.
Avant de chercher
Ce que nous cadrons avec vous.
Le brief conditionne tout le reste. Un cadrage approximatif se paie en candidatures hors sujet et en semaines perdues.
La ligne entre ce qui s'arbitre et ce qui s'applique
Un risque s'accepte, se réduit, se transfère ou se refuse : il se discute. Une règle ne se discute pas, elle s'applique ou elle est enfreinte. Nous traçons cette ligne sur votre périmètre avant de sourcer, parce qu'elle désigne le vivier, le niveau et la fourchette. Laissée floue, elle finit tranchée au dernier entretien, sur une personne.
Le circuit du désaccord
Qui arbitre quand la fonction s'oppose à une opération, dans quel délai, et ce qui reste écrit lorsque l'arbitrage lui donne tort. Savoir dire non n'est pas un trait de caractère, c'est un circuit. Les candidats qui savent le faire commencent par vérifier qu'il existe, et une réponse improvisée leur suffit pour conclure.
Le traitement d'un signalement visant un dirigeant
Qui reçoit, qui instruit, qui est écarté du dossier, qui informe le conseil. La question paraît théorique jusqu'au jour où elle ne l'est plus, et la réponse se décide au moment du rattachement, pas au moment des faits. Elle fait partie du cadrage au même titre que la rémunération.
Les casquettes, listées une par une
Risque, conformité, LCB-FT, données personnelles, sécurité des systèmes, assurances, juridique : lesquelles tiennent dans un seul poste, laquelle crée une incompatibilité, laquelle s'externalise. Un poste tenable se décrit en trois missions datées, pas en sept intitulés.
Lecture de marché
Ce que dit le marché aujourd'hui.
Fourchettes issues de notre baromètre des salaires, en brut annuel, pour la France.
Les fourchettes du baromètre situent un profil risque ou conformité confirmé de 3 à 7 ans entre 50 000 et 72 000 €, un senior de 7 à 12 ans entre 72 000 et 100 000 €, un Head of Risk ou Head of Compliance au-delà de 12 ans entre 100 000 et 150 000 € et plus, variable et intéressement compris, et un Chief Risk Officer ou Chief Compliance Officer entre 150 000 et 250 000 € et plus, souvent au comité exécutif. À l'intérieur d'une bande, ce qui déplace le curseur est le caractère régulé ou non de l'entité, le volume réellement traité, l'exposition internationale, et le fait que le poste porte ou non une désignation opposable à un tiers.
Il n'y a pas un vivier mais deux, et ils ne se paient pas de la même façon. Le vivier conformité vient des banques, des assureurs, des sociétés de gestion, des fintechs et du droit ; le vivier risque vient du quantitatif, de l'audit, des opérations et de l'assurance d'entreprise. Ce second point mérite d'être souligné pour les groupes industriels : le référentiel métier de l'AMRAE réunit sous le titre de risk manager les directions des risques, des assurances, de la prévention et des programmes internationaux. Dans l'industrie, « risk manager » désigne donc très souvent celui qui pilote les programmes d'assurance et, le cas échéant, une captive — un métier dont le centre de gravité est le contrat et le financement du risque, pas la réglementation. C'est le décalage le plus fréquent que nous rencontrons entre le titre affiché et le besoin réel.
Sur les entités régulées, certains postes sont conditionnés à une autorisation attachée à l'employeur. Chez les sociétés de gestion de portefeuille et les prestataires de services d'investissement, le responsable de la conformité est titulaire d'une carte professionnelle délivrée par l'AMF, obtenue sur dossier déposé par l'entreprise, suivi d'une journée de formation et d'un examen devant un jury. La carte est liée au couple personne-entreprise : un titulaire qui change d'employeur reprend la démarche avec le nouveau, avec un parcours allégé selon son expérience. La date d'entrée en fonction ne se résume donc pas au préavis, et c'est un point à poser dès le premier échange plutôt qu'au moment de l'offre.
Le calendrier réglementaire qui justifiait beaucoup de ces créations de poste a bougé. La directive européenne 2026/470, dite Omnibus, publiée le 26 février 2026, resserre fortement le champ de la CSRD : environ 10 000 entreprises concernées dans l'Union contre une cinquantaine de milliers auparavant, moins de 2 000 en France, sur un double seuil de 1 000 salariés et 450 M€ de chiffre d'affaires, et une réduction de l'ordre de 70 % des points de données exigés. Un brief écrit en 2023 ou 2024 autour du reporting de durabilité ne décrit plus le même poste. Le besoin ne disparaît pas — clients, donneurs d'ordre et banques continuent de réclamer ces données — mais il change de nature : moins de production réglementaire, davantage de réponses à des tiers. Relisez le brief avant de le publier, sans quoi vous attirerez des candidats sur un mandat que vous ne pouvez plus leur donner.
Le management de transition répond ici à des situations datées et fréquentes : fenêtre de remédiation après un contrôle, retard accumulé sur des dossiers d'entrée en relation, vacance d'une fonction désignée, préparation d'une inspection, constitution d'un dossier d'agrément. Les premiers profils sont présentés sous 48 heures.
- Risk / Compliance Confirmé (3-7 ans)50-72 k€
- Senior Risk / Compliance Manager (7-12 ans)72-100 k€
- Head of Risk / Compliance (12+ ans)100-150 k€+
- Chief Risk / Compliance Officer150-250 k€+
Questions fréquentes
Ce que les dirigeants nous demandent.
- Combien de temps pour recruter un risk manager ou un compliance officer ?
- Les premiers profils qualifiés vous sont présentés sous 10 jours ouvrés en CDI, et sous 48 heures en management de transition. La suite dépend de votre rythme de décision. Sur cette fonction, prévoyez un paramètre de plus : si le poste suppose une carte professionnelle délivrée par l'AMF, la démarche se fait avec vous, en tant que nouvel employeur, et elle se prépare pendant le préavis plutôt qu'après la prise de poste.
- Combien coûte le recrutement d'un risk manager ou d'un compliance officer ?
- Les honoraires sont dus au succès, et uniquement au succès : rien à l'ouverture du mandat, rien pendant la recherche, aucun retainer. Ils ne deviennent exigibles qu'une fois l'offre acceptée. Si la personne ne prend finalement pas ses fonctions, l'intégralité de ce qui a été versé vous est remboursée.
- Quelle rémunération proposer ?
- Le baromètre situe un profil confirmé entre 50 000 et 72 000 €, un senior entre 72 000 et 100 000 €, un Head of Risk ou Head of Compliance entre 100 000 et 150 000 € et plus, et un Chief Risk ou Chief Compliance Officer entre 150 000 et 250 000 € et plus. Positionnez-vous sur le périmètre réellement porté et sur le caractère régulé de l'entité. Regardez aussi la structure du variable : sur cette fonction, l'assiette du bonus en dit plus long au candidat que son montant.
- Risk manager ou compliance officer : lequel recruter ?
- Posez la question par la nature de ce qui est en jeu. Si le sujet admet un résiduel — on peut décider de le conserver, de l'assurer, de le réduire ou de l'accepter en connaissance de cause —, c'est un poste de gestion des risques, et vous évaluerez une capacité à quantifier et à arbitrer. Si le sujet n'admet aucun résiduel parce qu'une règle s'applique, c'est un poste de conformité, et vous évaluerez une capacité à documenter, à instruire et à tenir une position. Les deux cohabitent très bien dans une même direction, à condition d'avoir été recrutés chacun sur son propre critère.
- Faut-il exiger une certification, FRM, CAMS, ICA ou CISA ?
- Ces certifications trient par périmètre plus que par niveau : la gestion des risques financiers, la lutte anti-blanchiment, la conformité réglementaire, l'audit des systèmes d'information. Elles renseignent donc utilement sur le terrain d'un candidat, rarement sur ce qui fait la différence dans le poste. En critère éliminatoire, elles coûtent plus de candidats qu'elles n'en qualifient. La seule condition réellement opposable en France n'est d'ailleurs pas une certification : c'est la carte professionnelle de l'AMF, qui est une autorisation, attachée à l'entreprise qui la demande.
- Peut-on confier la conformité et la protection des données à la même personne ?
- Pas dans tous les montages. Le délégué à la protection des données ne peut pas occuper simultanément une fonction qui le conduit à déterminer les finalités et les moyens des traitements ; la Cour de justice de l'Union européenne l'a jugé en 2023 et la CNIL en a publié la grille d'analyse. Un responsable conformité qui se contente de veiller et de conseiller peut porter les deux ; celui qui choisit les outils, arrête des durées de conservation ou dirige la sécurité des systèmes se retrouve juge et partie. Quand le cumul coince, la réponse la plus simple est un DPO externe ou mutualisé, expressément admis.
- Recrutez-vous ces profils en management de transition ?
- Oui, en freelance, avec des premiers profils sous 48 heures. C'est la réponse adaptée à une fenêtre de remédiation après un contrôle, à un retard sur les dossiers d'entrée en relation, à la vacance d'une fonction désignée, ou à la préparation d'un dossier d'agrément. C'est aussi la façon de tenir un calendrier imposé pendant que le recrutement permanent se mène sans précipitation.
- Intervenez-vous en dehors de Paris ?
- Oui, sur toute la France. Le siège est à Paris et une part importante des mandats est francilienne, mais les fonctions risque et conformité se recrutent aussi auprès des sièges régionaux, des mutuelles et des groupes industriels, et ces recherches font partie de notre activité courante.
- Que se passe-t-il si le recrutement échoue ?
- Le remboursement est intégral si le candidat ne prend pas son poste. C'est la contrepartie logique de la facturation au succès : le risque de casting reste chez nous.
Aller plus loin
Les autres fonctions Finance que nous recrutons.
Voir aussi la fiche métier détaillée, notre expertise Finance ou les 6 offres ouvertes en Finance.
Décrivez le poste, nous cadrons le reste.
Un consultant Finance vous recontacte sous 24 heures ouvrées pour qualifier le mandat et arrêter la stratégie d'approche.