Analyse et gestion des risques

Objectif

L'analyse et gestion des risques a pour but de rendre visibles et gouvernables les incertitudes qui pèsent sur la valeur attendue d'un changement. Elle transforme des inquiétudes diffuses en objets nommés, chacun doté d'un niveau estimé, d'une réponse planifiée et d'un responsable désigné.

La décision qu'elle éclaire est double: engager ou non l'initiative au vu du risque qu'elle porte et, une fois l'initiative engagée, arbitrer les ressources consacrées à contenir les menaces les plus lourdes. Son livrable est le registre des risques, un tableau qui consigne pour chaque risque sa description, sa probabilité, son impact, son niveau, la réponse retenue, le propriétaire responsable et le risque résiduel après traitement.

La technique s'applique à trois horizons. Le risque stratégique touche la valeur de l'entreprise sur la durée. Le risque tactique est attaché à un changement précis. Le risque opérationnel pèse sur une solution une fois en service. Le registre est le même instrument dans les trois cas, seule l'échelle des enjeux change.

Usage

Quand l'utiliser

• Business case à défendre: chiffrer le risque porté par l'initiative pour que la valeur nette présentée au sponsor soit honnête.
• Incertitude matérielle: un délai, un budget ou une conformité sont exposés à des aléas dont la réalisation coûterait cher.
• Parties prenantes exposées: la réalisation d'un risque atteindrait des tiers (clients, régulateur, collaborateurs) qui doivent être protégés ou informés.
• Pilotage continu: le niveau des risques évolue au fil de l'avancement, la revue régulière du registre maintient les réponses ajustées.
• Risque opérationnel après mise en service: surveiller les incertitudes qui subsistent une fois la solution en production.

Quand ne pas l'utiliser

• Changement trivial à faible enjeu: le registre et la cotation coûtent plus que la décision ne vaut, tenir un simple journal des problèmes suffit.
• Aucun propriétaire ni cadence de suivi: préférer une simple checklist de risques, un registre coté sans responsable ni revue resterait lettre morte.
• Incertitude réellement inconnaissable: sur une nouveauté profonde, le score probabilité par impact fabrique une fausse précision, préférer l'analyse de scénarios et d'hypothèses ou une approche par expérimentation.

Description

La technique s'organise en quatre éléments qui, ensemble, remplissent puis entretiennent le registre. Ils forment une boucle: le suivi renvoie sans cesse à l'identification, et le risque résiduel d'un traitement est un nouveau risque à analyser.

Identification

L'identification recense les risques pertinents pour l'initiative. Elle mobilise le jugement d'expert, l'apport des parties prenantes, l'expérimentation, l'expérience passée et l'analyse historique d'initiatives comparables. Un événement de risque peut survenir une fois, plusieurs fois ou pas du tout, un même événement peut entraîner plusieurs conséquences et une conséquence remonter à plusieurs causes. L'objectif est un ensemble aussi complet que possible, qui réduit la part d'inconnu. C'est une activité permanente: réduire l'identification à un atelier unique en début de projet laisse passer les risques qui n'apparaissent qu'en cours de route, si bien que des risques importants ne sont jamais identifiés.

Analyse

L'analyse comprend chaque risque et en estime le niveau. La probabilité s'exprime par une valeur numérique ou par une échelle Faible / Moyenne / Élevée. L'impact se décrit au regard de la valeur menacée: coût, durée, périmètre ou qualité ou des facteurs convenus comme la réputation, la conformité ou la responsabilité sociale. Une échelle d'impact de trois à cinq niveaux donne un vocabulaire partagé pour interpréter la gravité. Le niveau de risque est fonction de la probabilité et de l'impact, souvent leur produit, et sert à hiérarchiser les risques les uns par rapport aux autres. Un risque proche dans le temps, ou relevant d'une catégorie sensible comme la conformité, peut être remonté au-dessus de son score brut. Ce score reste une convention partagée pour classer, le prendre pour une mesure exacte est le piège le plus fréquent de cette étape.

Évaluation

L'évaluation confronte le niveau analysé à la valeur potentielle du changement pour décider si ce niveau est acceptable. C'est un arbitrage: le risque porté par le changement se met en balance avec le gain qu'il doit produire. Un niveau de risque global, somme des niveaux individuels, donne une lecture d'ensemble utile au sponsor. C'est ici que le registre cesse d'être un inventaire pour devenir un instrument de décision: un risque jugé inacceptable appelle un traitement avant tout engagement supplémentaire.

Traitement

Le traitement choisit une réponse pour chaque risque retenu, parmi cinq approches combinables:

• Éviter: supprimer la source du risque ou ajuster le plan pour que le risque ne puisse pas se réaliser.
• Transférer: déplacer ou partager la charge du risque avec un tiers, par un contrat, une assurance ou une clause de niveau de service.
• Atténuer: réduire la probabilité ou la gravité des conséquences.
• Accepter: ne rien entreprendre pour l'instant, en prévoyant le cas échéant une solution de contournement si le risque se réalise.
• Augmenter: prendre davantage de risque pour saisir une opportunité, lorsque l'incertitude joue en faveur de la valeur.

Chaque risque reçoit un plan de réponse et un propriétaire doté de la responsabilité et de l'autorité nécessaires pour agir. Un risque sans propriétaire n'est surveillé par personne et son plan ne se déclenche jamais. Après traitement, on ré-analyse le risque pour établir son risque résiduel, sa probabilité et son impact recalculés une fois la réponse en place. Une analyse coût-bénéfice vérifie que la réponse vaut son prix, car une réponse plus coûteuse que le risque qu'elle couvre est une mauvaise affaire. Les parties prenantes sont informées des plans retenus. Ignorer le résiduel revient à croire un risque réglé alors qu'il subsiste sous une forme réduite.

Tenir le registre dans le temps

Le registre vit avec l'initiative. Les niveaux varient, un risque écarté hier redevient actif, un traitement crée un résiduel à surveiller. Une revue périodique réexamine les risques ouverts, met à jour les scores et clôt ceux qui ne se réaliseront plus. Le danger inverse guette aussi: un registre qui gonfle sans discernement devient illisible, car seul un sous-ensemble de risques peut être piloté. La discipline est de garder au registre les risques que l'on va gérer.

Considérations IA

L'IA aide surtout en amont et sur le volume. Elle peut proposer une première liste de risques à partir d'un brief de projet ou d'initiatives passées comparables, regrouper et dédoublonner un registre devenu volumineux, faire remonter des risques oubliés à partir de données historiques et de retours d'expérience et esquisser des options de plan de réponse à discuter.

Le jugement reste humain là où il engage une responsabilité. L'estimation de la probabilité et de l'impact est une convention négociée entre parties prenantes, un score suggéré par un modèle ne vaut pas mesure et doit être rediscuté. Le choix du traitement et la désignation du propriétaire portent une redevabilité qui ne se délègue pas à un modèle. Les risques sensibles, touchant la réputation, la conformité ou les personnes, demandent un cadrage et une discrétion que seul un humain peut assurer.

Exemples

Une PME de services de quarante collaborateurs remplace son logiciel de facturation et de comptabilité. Le registre cote cinq risques sur des échelles de 1 à 5 pour la probabilité et l'impact, le niveau étant leur produit (1 à 4 Faible, 5 à 9 Moyen, 10 à 16 Élevé, 17 à 25 Critique). La colonne à lire est la dernière: le risque résiduel montre l'effet du traitement, re-coté une fois la réponse en place.

Visualisations

La cotation d'un risque devient lisible quand on la place sur une matrice probabilité par impact: chaque risque s'y positionne selon ses deux coordonnées et la couleur de la case donne son niveau. Portée avant puis après traitement, la position d'un même risque rend visible ce que la réponse lui a retiré. La migration incomplète des données part d'une probabilité 3 pour un impact 4, en zone Élevée; une fois la reprise à blanc et la réconciliation en place, elle retombe à une probabilité 2 pour un impact 2, en zone Faible. La flèche qui joint les deux points est le traitement lui-même.

Coût

Outils

Un tableau blanc et des post-its suffisent pour l'identification en atelier, où la vitesse de collecte prime sur la mise en forme. Un tableur porte sans peine un registre de quelques dizaines de risques, avec un calcul automatique du niveau et un tri par priorité. Au-delà, quand plusieurs initiatives partagent des risques ou que la conformité impose une piste d'audit, un outil dédié de gestion des risques ou un module GRC (gouvernance, risque et conformité) d'une suite de pilotage de projet offre l'historisation, les alertes de revue et la consolidation d'un niveau global. Une matrice probabilité par impact, sous forme de gabarit, sert de support visuel commun aux séances de cotation.

Sources

• IIBA, A Guide to the Business Analysis Body of Knowledge (BABOK Guide) v3, §10.38 « Risk Analysis and Management »: les quatre éléments de la technique, les cinq approches de traitement, le niveau comme fonction de la probabilité et de l'impact, le risque résiduel et la tenue du registre. Source descriptive.
• ISO 31000:2018, Management du risque, Lignes directrices, ISO: le cadre et les principes du management du risque, dont le caractère continu de la démarche.
• IEC 31010:2019, Gestion des risques, Techniques d'évaluation des risques, IEC/ISO: le catalogue des techniques d'appréciation, dont la matrice probabilité-impact.
• Project Management Institute, The Standard for Risk Management in Portfolios, Programs, and Projects, PMI: le traitement normatif des réponses au risque, dont l'approche « saisir » une opportunité et le pilotage continu.