Matrice probabilité-impact

Objectif

La matrice probabilité-impact classe par priorité les risques individuels d'un projet. Elle répond à une question de pilotage: sur quels risques l'équipe dépense-t-elle d'abord son temps et son budget? IEC 31010 en fait un outil de tri pour un registre qui compte beaucoup de risques. La matrice désigne ceux qui demandent une analyse plus poussée, ceux qui se traitent en premier et ceux qui remontent à la direction.

La technique produit des échelles qui définissent chaque niveau de probabilité et d'impact. Elle produit une grille qui attache une zone à chaque case et une règle de décision à chaque zone. Le registre des risques reçoit pour chaque risque sa cote, son score et sa zone.

La matrice est l'instrument de cotation de l'analyse et gestion des risques, qui décrit le processus complet. Le processus Analyser les risques du PMBOK Guide évalue chaque risque par sa probabilité et son impact tout au long du projet. Il ajoute une analyse quantitative quand le projet la demande. La tâche Gérer les risques de HERMES 2022 demande la même évaluation: la probabilité de survenance de chaque risque et l'ampleur des dommages qu'il causerait. L'équipe consigne le résultat dans le rapport sur l'état du projet.

Usage

Quand l'utiliser

• Registre de plusieurs dizaines de risques: trier ceux qui demandent une réponse, une analyse chiffrée ou une surveillance.
• Comité de pilotage à informer: montrer sur une page quels risques tombent en zone haute.
• Fin de phase ou de release: re-coter les risques ouverts avant de libérer la suite et voir lesquels ont changé de zone.
• Menaces et opportunités dans le même registre: les classer sur une échelle de probabilité commune.
• Échelles déjà fixées par l'organisation: le projet les reprend et cote dès le premier atelier.
• Supérieur hiérarchique dans la salle: la cotation silencieuse individuelle précède la discussion et garde visibles les avis divergents.
• Équipe répartie: chacun cote à distance dans un tableur partagé, la séance ne traite que les écarts.

Quand ne pas l'utiliser

• Décision qui dépend de l'exposition totale: les scores ne s'additionnent pas. Pour une réserve ou une date à tenir, passer à la simulation de Monte-Carlo.
• Montant à engager dans une réponse: la matrice ordonne sans chiffrer. Les arbres de décision comparent en francs plusieurs réponses dont l'issue est incertaine. L'analyse coûts-bénéfices compare le coût d'une réponse à la perte attendue qu'elle évite.

Description

Les éléments de la matrice

L'échelle de probabilité découpe en niveaux la chance qu'un risque survienne. Chaque niveau porte des bornes en pour cent. L'échelle d'impact découpe en niveaux l'effet du risque sur chaque objectif du projet. La grille croise les deux échelles. Chaque case porte un score et une zone. Chaque zone porte une règle de priorisation: ce que l'équipe fait d'un risque placé là.

Le PMBOK Guide admet des niveaux nommés (de très faible à très élevé) ou des valeurs numériques. Avec des valeurs numériques, le produit de la probabilité et de l'impact donne le score. Selon le PMBOK Guide, l'organisation peut fixer les règles de priorisation à l'avance dans ses actifs organisationnels. Le projet peut aussi les adapter à son contexte. Les étapes qui suivent construisent la matrice d'un projet qui ne reçoit rien de l'organisation. Un projet qui hérite d'échelles et de zones commence à l'étape 4. Il vérifie d'abord que les seuils de son mandant y correspondent.

1. Traduire l'appétence au risque en seuils

Le PMBOK Guide part de l'appétence au risque des parties prenantes. Le plan de gestion des risques l'exprime pour chaque objectif du projet en seuils mesurables. Ces seuils fixent l'exposition acceptable et fondent les définitions de probabilité et d'impact. L'analyste les obtient du mandant avant le premier atelier de cotation. Il pose une question par objectif: quel retard, quel surcoût, quelle perte de qualité tolérez-vous?

Un seuil devient une borne d'échelle. Sur un projet de CHF 1,2 million, le mandant tolère un retard de deux semaines et un surcoût de CHF 50'000. Ces deux valeurs forment la borne supérieure du niveau Faible de l'échelle d'impact. Un risque qui les dépasse entre au niveau Moyen. Une échelle construite sans ces seuils se discute à chaque séance, parce que personne ne sait ce que «moyen» veut dire.

2. Construire les échelles

Selon le PMBOK Guide, un processus simple compte en général trois niveaux et une analyse détaillée en compte le plus souvent cinq. IEC 31010 cite trois, quatre ou cinq points comme les plus courants. Trois niveaux suffisent à une équipe qui cote pour la première fois. Cinq niveaux séparent mieux les risques d'un registre de plusieurs dizaines de lignes.

L'échelle d'impact porte une colonne par objectif. Le tableau 4-2 du PMBOK Guide en donne trois: le délai, le coût et la qualité. Le guide note qu'un risque éthique, de réputation ou de moral d'équipe peut n'entrer dans aucune de ces colonnes. L'équipe définit alors avec le mandant une colonne d'impact pour l'objectif que ce risque menace. À défaut, elle inscrit le risque au registre hors de la grille et note pourquoi. Un risque reçoit une cote sur chaque objectif qu'il touche. Le registre garde toutes ces cotes. L'équipe place le risque dans la grille selon la plus forte. Sinon, un risque qui retarde peu mais coûte cher se classe sur sa faible cote de délai. Sa forte cote de coût passe inaperçue.

Selon IEC 31010, la définition de chaque niveau doit être aussi univoque que possible. Une définition chiffrée porte son unité. «Probable» signifie 60% pour l'un et 90% pour l'autre; «plus de 60 à 85% sur la durée du projet» signifie la même chose pour tous. L'échelle d'impact court de la conséquence crédible la plus grave à la plus faible qui mérite l'attention. La probabilité la plus basse doit rester acceptable pour l'impact le plus fort. Sinon, toute activité dont la pire conséquence est grave devient intolérable, quelle que soit sa probabilité.

Les deux échelles peuvent croître à des pas différents. Dans l'exemple de la figure 5-14 du PMBOK Guide, la probabilité monte de 0,10 à 0,90 par pas égaux. L'impact double à chaque niveau: 0,05, 0,10, 0,20, 0,40, 0,80. Ce choix donne plus de poids à l'impact qu'à la probabilité. Un risque quasi certain d'impact très faible y vaut 0,90 × 0,05 = 0,045. Un risque très improbable d'impact très élevé vaut 0,10 × 0,80 = 0,08 et passe devant. Sur deux échelles de 1 à 5, les deux vaudraient 5. IEC 31010 laisse la pondération de la grille ouverte: plus de poids à la conséquence, plus de poids à la probabilité ou un poids égal. L'équipe tranche avant la cotation et inscrit son choix au plan de gestion des risques.

3. Délimiter les zones et leurs règles

Le produit des poids donne vingt-cinq scores, arrondis à deux décimales comme dans la figure 5-14. Le PMBOK Guide colore sa grille en trois teintes sans publier de seuil entre elles. Comme les règles de priorisation, les seuils relèvent de l'organisation ou du projet. Le projet fixe la zone haute à 0,20 et plus. Il fixe la zone basse à 0,05 et moins. Les scores intermédiaires forment la zone moyenne.

Une zone sans règle colore la grille sans rien décider. IEC 31010 relie chaque niveau de risque à une règle de décision: l'attention de la direction, le délai de réponse. Le projet inscrit les siennes au plan de gestion des risques. Les seuils de l'étape 1 bornent les échelles. Les règles des zones décident qui traite le risque. Le mandant intervient en zone haute.

Avant de valider les zones, l'analyste applique la règle d'IEC 31010 sur la probabilité la plus basse: un impact très élevé reste-t-il acceptable au niveau Très faible? Dans la grille du projet, un risque de 15% au plus de causer un surcoût de plus de CHF 250'000 tombe en zone moyenne (0,08). Si le mandant juge ce risque inacceptable, la borne du niveau Très faible est trop haute. Le projet l'abaisse ou ajoute un niveau en dessous.

4. Coter les risques en séance

L'équipe cote les risques en entretien ou en réunion. Les participants sont des membres de l'équipe et des experts du domaine extérieurs au projet. Ils connaissent les types de risques du registre. Pour chaque risque, ils estiment la probabilité et l'impact sur chaque objectif avec les définitions du plan de gestion des risques. Ils consignent les hypothèses qui justifient chaque niveau. Selon le PMBOK Guide, des écarts entre participants sont à prévoir et à examiner.

Un écart de deux niveaux signale souvent une information que l'un détient et l'autre pas. Le développeur cote «élevé» parce qu'il connaît le retard de l'éditeur sur un autre mandat. Le chef de projet cote «faible» parce qu'il a lu le contrat. L'animateur fait coter chacun en silence avant la discussion. Une cote donnée d'abord à voix haute par le participant le plus haut dans la hiérarchie ancre toutes les suivantes.

Selon IEC 31010, la probabilité cotée est celle de la conséquence retenue. Une panne du serveur des salaires survient deux fois par an. Une panne qui bloque le versement des salaires du mois est plus rare. Si l'équipe retient ce blocage, elle cote sa probabilité. L'équipe choisit entre la conséquence la plus fréquente et la conséquence crédible la plus grave. Quand les deux comptent, elle les inscrit en deux lignes du registre.

5. Classer et relire le classement

Dans une zone, le score ordonne les risques: le PMBOK Guide donne ce rôle au produit des deux valeurs. Le registre garde le couple probabilité-impact à côté du score. Deux risques de même score peuvent appeler des réponses différentes. Pour l'un, la réponse réduit la probabilité. Pour l'autre, elle limite l'impact.

Le PMBOK Guide cite d'autres critères pour l'analyse qualitative: le moment où l'impact surviendrait, la maîtrise que l'équipe a sur le risque, ses liens avec d'autres risques, les causes ou les effets communs. La grille n'en montre aucun. L'équipe les lit dans le registre. Elle peut remonter un risque au-dessus de sa zone et note pourquoi.

Le PMBOK Guide place les risques de faible probabilité et de faible impact sur une liste de surveillance du registre. L'analyse se répète tout au long du projet. À chaque revue, l'équipe re-cote les risques ouverts. La revue cherche les risques qui changent de case.

Menaces et opportunités sur la même grille

Le PMBOK Guide fixe un double but au domaine de performance Risques: augmenter la probabilité et l'impact des risques positifs et diminuer ceux des risques négatifs. Le guide porte les deux sur une même matrice. Une définition d'impact négative cote la menace. Une définition positive cote l'opportunité. La figure 5-14 dessine la grille en miroir: les menaces à gauche, les opportunités à droite, la même échelle de probabilité des deux côtés.

La même échelle se lit dans les deux sens. Pour une menace, le niveau Moyen signifie plus de deux à quatre semaines de retard ou plus de CHF 50'000 à 100'000 de surcoût. Pour une opportunité, il signifie plus de deux à quatre semaines gagnées ou plus de CHF 50'000 à 100'000 économisés. Une opportunité en zone haute appelle une réponse au même titre qu'une menace. Les réponses propres aux opportunités relèvent de l'analyse des opportunités.

HERMES 2022 définit les risques comme des événements potentiels dommageables. Une équipe qui s'en tient à cette définition ne cote que des menaces et laisse vide la moitié droite de la grille.

Ce que la grille ne montre pas

Cox (2008) relève les défauts des matrices de risque. Une même case reçoit des risques très différents. Un risque plus petit peut recevoir une cote plus haute qu'un plus grand. La grille ne donne aucune base pour répartir les ressources entre les réponses.

Avec les échelles du projet, un risque A de 16% sur CHF 55'000 et un risque B de 38% sur CHF 95'000 tombent dans la même case (0,30 × 0,20 = 0,06). Leurs pertes attendues valent CHF 8'800 et CHF 36'100: un rapport de quatre.

Un risque C de 62% sur CHF 22'000 tombe en zone moyenne (0,70 × 0,10 = 0,07). Un risque D de 14% sur CHF 240'000 tombe en zone basse (0,10 × 0,40 = 0,04). D porte pourtant une perte attendue de CHF 33'600. C en porte CHF 13'640. La grille inverse l'ordre des deux.

Ces calculs supposent une estimation en francs que la grille n'utilise pas. Quand l'équipe a cette estimation, elle la garde au registre. Elle vérifie le classement des risques proches d'une limite de zone.

Selon IEC 31010, les risques ne s'additionnent pas: aucun nombre de risques bas n'équivaut à un risque moyen. La grille ne donne donc aucune exposition globale. La cotation est subjective. Deux évaluateurs cotent souvent le même risque à des niveaux différents. Les risques de catégories différentes se comparent mal. Deux conséquences distinctes d'une même cause restent deux lignes du registre. Le défaut vient d'une conséquence découpée en scénarios de plus en plus fins: chaque ligne reçoit une probabilité plus basse, si bien que la grille sous-estime le risque total. L'équipe fixe le découpage avant la cotation.

Krisper (2021) recense vingt-quatre problèmes des matrices à échelles ordinales, où chaque niveau suit le précédent sans mesurer l'écart entre eux. Il plaide pour des méthodes entièrement quantitatives. En pratique, la matrice trie une trentaine de risques en une séance de comité et désigne ceux qui méritent un calcul. L'analyse quantitative du processus Analyser les risques fait ce calcul: l'exposition globale, la réserve pour aléas, la probabilité de tenir une date. La simulation de Monte-Carlo en est l'outil courant. Les arbres de décision comparent en francs plusieurs réponses dont l'issue est incertaine. L'analyse coûts-bénéfices décide si une réponse se justifie: elle compare son coût à la perte attendue qu'elle évite.

Considérations IA

Un modèle de langage rédige un premier jet des définitions d'échelle à partir des seuils du plan de gestion des risques. L'analyste vérifie que chaque borne reprend un seuil du mandant. Le modèle relit aussi le registre. Il signale les risques sans conséquence écrite, les cotes qui contredisent l'hypothèse notée à côté et les risques découpés en scénarios voisins. Un tableur ou un script calcule les scores et trace la grille. Le modèle repère les risques proches d'une limite de zone, que l'équipe relit en séance.

La cote revient au groupe. Elle repose sur ce que les participants savent de l'éditeur, de l'équipe et du contexte. Le modèle ne le sait pas. Si l'animateur montre la cote d'un modèle avant la cotation silencieuse, elle ancre toutes les autres. L'animateur la montre après la cotation. Elle y compte comme l'avis d'un participant supplémentaire. Les seuils engagent le mandant: lui seul les fixe.

Le registre d'un projet nomme des fournisseurs, des contrats et parfois des collaborateurs. Les données personnelles relèvent de la loi fédérale sur la protection des données (LPD). L'analyste les retire avant de soumettre le registre à un modèle hébergé hors de l'organisation.

Exemples

Le projet de CHF 1,2 million remplace le logiciel des salaires d'une commune. Son registre applique ses échelles et ses zones à cinq risques.

M1 touche aussi le coût au niveau Faible (0,10). Le registre garde cette cote. La grille place M1 selon sa cote de délai, qui est la plus forte.

M1 est la menace la plus probable du registre. M2 passe devant elle parce que l'échelle d'impact double d'un niveau à l'autre. Un paramétrage fiscal manqué au 1er janvier atteint le niveau très élevé. Sur deux échelles de 1 à 5, M1 vaudrait 16 et passerait devant M2 à 15.

Visualisations

Les échelles, les zones et le registre tiennent en lignes et en colonnes: ce sont des tableaux HTML. La grille demande un schéma. La position d'un risque dans la grille, à gauche pour une menace et à droite pour une opportunité, porte sa probabilité, son impact et sa zone d'un coup d'œil. Un second schéma place les risques A, B, C et D dans leurs cases avec leur perte attendue. Il montre où l'ordre des cases et l'ordre des pertes divergent.

Coût

Outils

Un tableur suffit pour la plupart des projets. Une formule calcule le score. Une mise en forme conditionnelle colore la zone. Un tableau croisé place les références des risques dans les cases. En salle, une grille tracée sur un tableau blanc reçoit une note repositionnable par risque. L'équipe voit les risques bouger d'une case à l'autre pendant la discussion. Pour une équipe répartie, un tableau blanc numérique comme Miro ou Mural reprend la même grille. Un formulaire en ligne recueille les cotes individuelles avant la séance.

Les logiciels de gestion de projet et les modules de gouvernance, risque et conformité (GRC) tirent la grille du registre et la tiennent à jour. Ils gardent l'historique des cotes d'une revue à l'autre. Pour l'analyse quantitative, des outils comme @RISK ou Oracle Primavera Risk Analysis prennent le relais de la grille.

Sources

• Project Management Institute, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8^e éd., PMI: le double but du domaine de performance Risques (§2.7); le processus Analyser les risques et ses critères d'évaluation (§2.7.2.3, figure 2-50); l'appétence au risque, les définitions de probabilité et d'impact, le nombre de niveaux et l'échelle par objectif (Section 4, tableau 4-2); la grille commune aux menaces et aux opportunités, le score et son exemple chiffré (Section 5, figure 5-14); la cotation en groupe, les écarts entre participants et la liste de surveillance (Section 5).
• IEC 31010:2019, Management du risque, Techniques d'appréciation du risque, IEC/ISO: la matrice comme outil de tri, les exigences sur les échelles, la pondération de la grille, les règles de décision par niveau, le choix de la conséquence cotée et les limites de la technique.
• Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet, tâche 5.4.3.41 Gérer les risques: l'évaluation de la probabilité de survenance et de l'ampleur des dommages et leur consignation dans le rapport sur l'état du projet.
• Cox, L. A. Jr., « What's Wrong with Risk Matrices? », Risk Analysis 28(2), 2008, p. 497-512: la faible résolution des cases, les erreurs de classement et l'absence de base pour répartir les ressources.
• Krisper, M., « Problems with Risk Matrices Using Ordinal Scales », arXiv:2103.05440, 2021: un inventaire des problèmes des matrices à échelles ordinales. L'auteur plaide pour des méthodes quantitatives.