Structure de découpage des risques
La structure de découpage des risques (en anglais risk breakdown structure, RBS) est une représentation hiérarchique des sources potentielles de risque d'un projet. Le niveau 0 réunit toutes les sources. Le niveau 1 les partage en familles, par exemple technique, gestion, commercial et externe. Chaque niveau suivant détaille le précédent. L'équipe la parcourt pour identifier les risques sans oublier de source. Elle range ensuite chaque risque du registre sous une catégorie. Le regroupement montre où l'exposition se concentre. Lu ligne par ligne, le registre cache cette concentration.
Objectif
La structure de découpage des risques est une arborescence de catégories. Ses feuilles nomment des sources de risque: définition des exigences, qualité des données existantes, fournisseurs, réglementation. Les risques individuels restent au registre. Chaque ligne y reçoit le code de la feuille d'où vient le risque.
L'identification des risques produit une liste. Un registre de quarante lignes ne montre ni où l'exposition se concentre ni les thèmes qui reviennent ni les sources que personne n'a examinées. David Hillson a proposé la RBS en 2002 pour combler ce manque. Il l'a calquée sur la structure de découpage du projet (WBS). La WBS découpe le travail à faire. La RBS découpe les sources de risque.
La RBS sert à deux moments. Avant l'identification, l'équipe passe ses catégories en revue pour n'oublier aucune source. Après, elle répartit les risques identifiés par source.
Le livrable est la structure elle-même. Le plan de gestion des risques contient la RBS sous la rubrique «catégories de risque». Le registre et le rapport des risques la reprennent: le registre porte une colonne de catégorie, le rapport répartit les risques par catégorie.
Usage
Quand l'utiliser
- Registre de plusieurs dizaines de lignes: la liste ne montre plus où l'exposition se concentre.
- Atelier ou entretien d'identification: les niveaux 1 et 2 donnent l'ordre du jour et couvrent toutes les sources.
- Organisation qui conduit des projets semblables: une RBS commune donne aux projets le même langage et un reporting comparable.
- Comité de pilotage: le rapport agrège les risques au niveau 1 et le comité voit d'où vient l'exposition.
- Évaluation d'offres: une même RBS range les risques de chaque soumissionnaire et les offres se comparent catégorie par catégorie.
- Clôture du projet: rangés par source, les risques survenus alimentent les leçons apprises et corrigent la RBS de l'organisation.
Quand ne pas l'utiliser
- Petit projet à une dizaine de risques: la liste se lit d'un coup d'œil. Une colonne de catégorie au registre suffit.
- Question sur la partie du projet touchée: ranger les risques par lot de travail de la structure de découpage du projet (WBS).
Description
Une hiérarchie de sources
Le PMBOK Guide décompose les sources de risque, alors que Hillson regroupe les risques du projet par source.
L'exemple de RBS du PMBOK Guide compte trois niveaux. Le niveau 0 s'intitule «toutes les sources de risque du projet». Le niveau 1 réunit les familles risque technique, risque de gestion, risque commercial et risque externe. Le niveau 2 détaille chaque famille. Sous la famille technique figurent d'abord la définition du périmètre, la définition des exigences et les estimations, hypothèses et contraintes. Sous la famille externe figurent d'abord la législation, les taux de change et les sites et installations. Chaque élément porte un code hiérarchique: 1, 1.1, 1.2. Les exemples de Hillson descendent de deux ou trois niveaux sous le niveau 0.
Les feuilles restent des catégories. «Fournisseurs et prestataires» est une feuille. «Le fournisseur livre le module de facturation avec deux mois de retard» est un risque. Il entre au registre sous cette feuille, codée 3.3 dans l'exemple du PMBOK Guide.
Le sigle RBS désigne aussi la resource breakdown structure, qui découpe les ressources du projet par catégorie et par type. L'équipe écrit le terme complet à la première mention de chaque document.
Les structures voisines
Le PMBOK Guide range la WBS, l'OBS, la resource breakdown structure et la VBS parmi les diagrammes hiérarchiques. Il traite la RBS dans le plan de gestion des risques. Les cinq structures partagent la forme de l'arbre. Chacune découpe un autre objet.
| Structure | Ce qu'elle découpe | Question traitée |
|---|---|---|
| Structure de découpage des risques (RBS) | Les sources de risque | D'où vient le risque? |
| Structure de découpage du projet (WBS) | Le périmètre, jusqu'aux lots de travail | Quel travail le projet livre-t-il? |
| OBS (organizational breakdown structure) | L'organisation, par unité | Quelle unité porte le travail? |
| Resource breakdown structure | Les ressources, par catégorie et par type | Quelles ressources le projet mobilise-t-il? |
| Structure de découpage de la valeur (VBS) | Les livrables, avec leur valeur estimée | Quelle valeur chaque livrable apporte-t-il? |
Le PMBOK Guide propose de ranger les risques par source avec la RBS ou par partie du projet touchée avec la WBS. Les deux classements se croisent. Une erreur de reprise des données vient d'une source technique et touche le lot de travail Migration. Un registre qui porte les deux codes répond aux deux questions.
Choisir la structure de départ
Selon le PMBOK Guide, l'organisation tient une RBS générique pour tous ses projets ou une RBS par type de projet. Sinon, l'équipe bâtit une RBS propre au projet. Une RBS générique définie par le bureau des projets standardise l'identification et le reporting dans un langage commun. Une RBS propre au projet correspond à ses besoins mais perd cette standardisation.
Une RBS publiée sert de point de départ. Chaque organisation adapte la sienne à son secteur et à ses projets. Un hôpital ajoute une famille «exploitation clinique». Une administration cantonale détaille «marchés publics» sous la famille commerciale. Une équipe qui recopie l'exemple du PMBOK Guide tel quel garde des familles génériques. Aucune ne nomme une source propre au secteur. L'équipe ne cherche donc aucun risque dans les sources du secteur.
Une feuille doit accueillir un risque sans ambiguïté. Quand deux feuilles se recouvrent, l'équipe code les risques d'une même source sous l'une ou sous l'autre. Chaque feuille ne montre alors qu'une partie de l'exposition. «Ressources» et «Compétences» en sont un cas courant. Le PMBOK Guide admet aussi une structure plus simple: une liste de catégories ou une structure fondée sur les objectifs du projet.
Consigner la RBS dans le plan de gestion des risques
Le plan de gestion des risques définit les catégories de risque du projet. La RBS y figure avec ses codes et une ligne de définition par feuille. Ces définitions règlent les cas limites d'avance. L'atelier d'identification ne débat alors d'aucun classement. En cours de projet, l'équipe ajoute une feuille au besoin. Renommer ou fusionner des feuilles rompt la comparaison d'une revue à l'autre.
Identifier les risques avec la RBS
En atelier, le groupe passe les éléments de la RBS en revue un par un. En entretien, la RBS fournit l'ordre du jour. L'équipe tire une liste de contrôle du niveau le plus bas: des risques génériques par feuille. L'animateur clôt l'atelier par une question sur les risques que la structure n'a pas prévus.
Le PMBOK Guide appelle prompt list une liste prédéfinie de catégories qui guide la production d'idées pendant l'identification. Les catégories du niveau le plus bas de la RBS en fournissent une pour les risques individuels. Pour les sources du risque global du projet, le PMBOK Guide cite d'autres cadres: l'analyse PESTLE, TECOP (technique, environnemental, commercial, opérationnel, politique) et VUCA (volatilité, incertitude, complexité, ambiguïté).
Ranger chaque risque sous une feuille
L'équipe attribue à chaque risque du registre une feuille du niveau le plus bas. Une feuille vide signale un angle mort possible. Personne n'y a trouvé de risque. Il reste à savoir si quelqu'un a cherché. Les risques trouvés par d'autres techniques passent aussi sous la RBS. Deux lignes sous la même feuille décrivent alors parfois le même risque.
L'équipe tient une courte séance sur une feuille vide avant de la déclarer sans risque. Un risque qui n'entre sous aucune feuille signale une RBS incomplète. L'équipe ajoute la feuille qui manque. Le ranger sous une feuille voisine fausserait la répartition.
Certaines équipes numérotent les risques selon la RBS. Le risque 1.2-03 est alors le troisième risque de la feuille 1.2. Le code dit d'où vient le risque sans ouvrir le registre. Un risque reclassé change pourtant d'identifiant. Son historique et sa traçabilité se rompent. L'équipe garde donc un identifiant stable au registre et porte le code RBS dans une colonne à part.
Mesurer la concentration
Le nombre de risques par feuille trompe. Une feuille peut porter dix risques mineurs. Une autre n'en porte que deux, mais majeurs. L'équipe calcule donc le score par élément que propose Hillson: la somme des scores probabilité × impact des risques qui s'y rattachent. Le plan de gestion des risques fixe les échelles de cotation. La matrice probabilité-impact les applique risque par risque. Sans cotes, l'équipe compte seulement les lignes et tient ce compte pour provisoire.
L'équipe additionne ensuite les scores du niveau 2 pour obtenir ceux du niveau 1. Le score additionne des cotes ordinales. Il classe les feuilles entre elles. Il ne chiffre ni une perte ni un délai.
Une somme récompense aussi le volume: dix risques cotés 3 dépassent un risque coté 25. L'équipe affiche donc le score le plus élevé de chaque feuille à côté de la somme. Elle peut aussi signaler à part tout risque au-dessus du seuil que fixe le plan de gestion des risques.
Le registre compte des menaces et des opportunités. L'équipe additionne leurs scores séparément pour chaque feuille. Une somme mixte cache une exposition derrière une opportunité.
Lire la répartition et orienter les réponses
Selon le PMBOK Guide, le regroupement par catégorie rend les réponses plus efficaces. L'équipe concentre l'attention et l'effort sur les zones les plus exposées. Elle peut aussi bâtir une réponse générique pour un groupe de risques liés. Le choix de la réponse relève des stratégies de réponse aux risques.
La répartition montre aussi le type d'exposition du projet et ses sources principales. Une carte des affinités des risques d'une même feuille révèle des causes communes. Le PMBOK Guide range aussi les risques par cause racine commune. L'analyse des causes racines confirme ces causes. Le regroupement aide enfin à repérer les risques dépendants, qui surviennent ensemble.
Rapporter par niveau
La RBS règle le niveau de détail du rapport des risques. Le comité de pilotage lit le niveau 1. Le propriétaire d'une feuille lit le détail de ses risques. L'organisation nomme un responsable par famille.
Capitaliser à la clôture
À la clôture, l'organisation range sous sa RBS les risques relevés dans la revue de fin de projet. Les risques qui reviennent d'un projet à l'autre apparaissent alors par feuille. L'organisation corrige la RBS et ses listes de contrôle. Le bureau des projets tient aussi un catalogue des risques type. Chaque projet achevé y verse les risques rencontrés. La RBS les classe.
Dans HERMES
HERMES 2022 confie au chef de projet la tâche Gérer les risques. Il y identifie les risques, les regroupe, puis les analyse et les évalue. La tâche ne nomme pas ces groupes. HERMES distingue deux types de risques. Les risques inhérents au projet concernent son déroulement. Les risques inhérents à l'exploitation concernent l'utilisation de ses résultats. Ces deux types classent les risques selon ce qu'ils touchent. Ils s'ajoutent à la RBS. Son niveau 1 reste celui des sources. Une RBS donne aux groupes de risques une structure stable d'un projet à l'autre. Le chef de projet documente les risques dans le rapport sur l'état du projet.
Considérations IA
Un modèle de langage propose une première RBS à partir de la description d'un projet et du secteur. Il range les lignes d'un registre exporté sous les feuilles et signale celles qui entrent sous deux feuilles ou sous aucune. Il repère les doublons. Il écrit la formule ou le tableau croisé qui compte les risques et additionne les scores par feuille, puis par famille. Le tableur calcule. Pour une liste de contrôle, il rédige des risques génériques par feuille.
Une RBS générée reprend les exemples publiés. Elle omet les marchés publics, la protection des données et les autres sources propres au secteur et au contexte suisse. L'équipe la confronte aux leçons apprises de l'organisation. Le propriétaire d'un risque ambigu le classe. Une feuille vide pose une question aux experts du domaine. Un modèle qui la remplit de risques plausibles gonfle le registre et masque l'angle mort. Le registre nomme des fournisseurs et des faiblesses contractuelles. Ces données relèvent du secret d'affaires: le contrat et les accords de confidentialité décident si le registre peut partir vers un service d'IA externe. Le registre nomme aussi les propriétaires des risques. La loi fédérale sur la protection des données (LPD) s'applique à ces noms de personnes. L'équipe les retire ou les pseudonymise avant l'envoi.
Exemples
Un hôpital régional remplace son logiciel de facturation. Le registre compte 23 risques cotés de 1 à 5 en probabilité et en impact. L'équipe range chaque risque sous une feuille et additionne les scores.
RBS adaptée au projet. Valeurs d'exemple. Score: somme des scores probabilité × impact. Échelles de 1 à 5.
La feuille 1.1 Exigences porte le plus de lignes: six risques mineurs, pour 22 points. La feuille 1.2 Qualité des données existantes en porte deux, pour 32 points. Le comité porte l'effort de réponse sur ces données. La famille technique réunit 81 des 149 points du projet. La feuille 3.2 Sous-traitants reste vide, alors qu'un sous-traitant conduit la reprise des données.
Visualisations
La RBS se dessine en arbre. Le niveau 0 occupe la gauche. Les familles puis les feuilles s'étendent vers la droite. Chaque élément porte son code. L'arbre sert à l'atelier d'identification. Le comité de pilotage reçoit des barres par famille de niveau 1. Le rapport des risques montre une carte proportionnelle (treemap) ou un arbre coloré selon le score. La copie de travail reste une liste indentée avec ses codes dans le tableur.
Coût
| Phase | Niveau | Justification |
|---|---|---|
| Préparation | Moyen | Adapter une RBS existante au projet et définir chaque feuille dans le plan de gestion des risques. Élevé sans RBS de départ dans l'organisation. |
| Exécution | Faible | Coder chaque risque du registre à l'identification, puis additionner les scores par feuille à chaque revue. |
| Documentation | Faible | Une colonne au registre et une répartition au rapport. La RBS change rarement en cours de projet. |
Outils
Un tableur suffit dans la plupart des projets. Un tableau croisé compte les risques et additionne les scores par feuille et par famille. Un logiciel de carte heuristique (XMind, MindManager) dessine l'arbre pendant l'atelier qui construit la RBS. Un outil de suivi comme Jira gère le code RBS dans un champ à valeurs imposées qui empêche les catégories inventées. Un outil de tableaux de bord comme Power BI dessine la répartition en carte proportionnelle à partir d'un export du registre.
Sources
- Project Management Institute, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8e éd., PMI: le processus Effectuer l'analyse des risques, dont la catégorisation des risques est un outil (§2.7.2.3); la définition de la RBS, ses trois variantes et l'exemple de la figure 4-5 (Section 4, entrée Risk management plan, rubrique Risk categories); la répartition par catégorie dans le rapport des risques (Section 4, entrée Risk report); la catégorisation par source, par partie touchée et par cause racine (Section 5, entrée Risk categorization); la RBS comme prompt list, PESTLE, TECOP et VUCA (Section 5, entrée Prompt lists).
- David Hillson, «The Risk Breakdown Structure (RBS) as an aid to effective risk management», PMI Europe 2002, Cannes, juin 2002: l'article qui définit la RBS comme un regroupement des risques par source; les RBS publiées comme points de départ; ses usages en identification (atelier, entretien, liste de contrôle, question finale sur les risques imprévus), en classement (feuille vide, doublons, numérotation selon la RBS), en évaluation par score, en lecture du type d'exposition, en comparaison de projets, en reporting et en leçons apprises.
- PMI France, Cercle des Entreprises, Optimiser l'utilisation du Registre de Risques, version 2, janvier 2015, §3.3 et §3.4: le terme français, l'usage des niveaux et le responsable par famille, RBS générique et RBS de projet, le catalogue des risques type.
- Chancellerie fédérale, HERMES 2022, Manuel de référence Gestion de projet: la tâche Gérer les risques (5.4.3.41), regroupement des risques, risques inhérents au projet et à l'exploitation.