Gestion des risques en entreprise : démarche, plan et pilotage

Un fournisseur défaillant, une cyberattaque, un marché qui bascule : les risques sont partout. La gestion des risques transforme alors cette incertitude subie en décisions maîtrisées, de l’identification au pilotage anticipe les événements susceptibles d’affecter les objectifs de l’organisation. Elle consiste à identifier, analyser, évaluer et traiter les risques. 

Elle contribue ainsi à renforcer la résilience de l’organisation, à aider dans la prise de décision, à améliorer la performance et à répondre aux conformités. La norme ISO 31000 est le cadre de référence pour structurer cette démarche. Mais alors, comment mettre en place une gestion des risques efficace ? Quelles sont les étapes à suivre ? Les réponses dans cet article.

Qu’est-ce que la gestion des risques ?

Définition

La gestion des risques est un processus visant à identifier, évaluer et piloter les risques susceptibles de perturber une organisation. Elle permet de passer d’une situation réactive à une situation proactive où :

• On anticipe les menaces qui peuvent l’être et on cherche à se protéger de leurs conséquences potentielles
• On met en œuvre les moyens nécessaires pour profiter des opportunités

Cette gestion des risques se décompose en plusieurs étapes : 

• Identification du risque
• Analyse du risque
• Évaluation du risque
• Traitement du risque
• Contrôle continu

L’objectif principal de la gestion des risques consiste à classer les risques en fonction de leur occurrence et de la gravité de leur impact pour prioriser les plus importants et les traiter. 

Gestion des risques vs management des risques

Il ne faut pas confondre les deux notions suivantes : 

• la gestion des risques qui renvoie à l’attitude adoptée pour maîtriser ces risques : mettre en place des mesures préventives, définir un plan d’action ou encore suivre des indicateurs par exemple.

• le management des risques qui concerne la mise en place d’un système permettant de gérer les risques de manière pérenne. C’est une approche plus globale intégrée au fonctionnement de l’organisation. Elle englobe la définition des responsabilités, les méthodes d’évaluation, les ressources mobilisées et le suivi des actions.

Le cadre ISO 31000

L’ISO 31000 est la norme internationale qui fournit les principes et les lignes directrices du management des risques. Elle donne une approche globale pour identifier, analyser, évaluer, traiter et surveiller les risques dans une organisation. Son objectif est d’aider une entreprise à intégrer le management des risques dans sa stratégie globale.

Elle repose sur l’identification des risques, de leurs causes et de leurs conséquences potentielles. Elle suppose de prendre en compte les dispositifs de maîtrise déjà mis en place et déterminer les actions complémentaires à instaurer. 

💡: l’ISO 3100 n’est pas une norme certifiable. Il n’existe pas d’audit ou d’accréditation ISO 31000 officielle.

La démarche de gestion des risques en 5 étapes

1) Identifier 

Il existe différentes façons d’identifier les risques : 

• par l’analyse du contexte global de l’organisation (diagnostic, matrice SWOT…)
• par l’analyse des processus cartographiés
• par la réalisation d’activités opérationnelles et de gestion ainsi que les remontées terrain
• par la réalisation des audits internes

Lors de cette phase d’identification, il est important d’impliquer les parties prenantes pour croiser les points de vue et ne pas se limiter aux risques déjà connus.

À l’issue de cette phase, l’organisation peut identifier ses risques majeurs. 

2) Analyser

Ensuite, on essaie de comprendre les causes des différents risques. Plusieurs outils et méthodes comme les 5 Pourquoi ou Ishikawa peuvent l’y aider.

Une fois les causes identifiées, place à l’analyse des conséquences. Cette analyse prend en compte les dispositifs de maîtrise déjà existants (procédures, contrôles, mesures de prévention) visant à réduire les risques au niveau de l’évaluation, qui est la prochaine étape.  

L’idée est de comprendre chaque risque et d’estimer le niveau d’exposition de l’organisation avant de décider quelle action mettre en place. 

3) Évaluer et coter

Une fois le risque identifié et analysé, on peut procéder à son évaluation, c’est-à-dire quantifier sa vraisemblance ainsi que sa gravité / son ampleur. Pour cela, vous pouvez vous appuyer sur les échelles de cotation de la vraisemblance et de la gravité.

Découvrez notre article dédié à la réalisation des échelles de cotation.

À l’issue de l’évaluation, chaque risque de l’entreprise aura une note finale, qui permettra de le prioriser et décider de la manière dont elle traitera le risque.

4) Traiter 

Une organisation peut choisir de traiter les risques identifiés de deux façons différentes : 

• De manière passive : L’organisation peut soit accepter le risque, soit le différer dans le temps s’il est jugé non prioritaire. 
• De manière active : Une entreprise peut aussi :
  • Circonscrire le risque, c’est-à-dire ajouter des mesures de maîtrise, de prévention et/ou de protection
  • Augmenter le risque pour mieux saisir une opportunité, ce qui revient soit à affronter un nouveau danger, soit à diminuer les dispositions de maîtrise existantes
  • Transférer le risque vers un tiers qui est jugé plus apte à en assurer le traitement et à en accepter ses effets négatifs et positifs
  • Supprimer le risque

Dans tous les cas, il faudra réaliser un plan d’action pour atteindre l’objectif choisi. À chaque action du plan, sera assigné un responsable qui indiquera comment réaliser les actions au fur et à mesure et informer le responsable du risque de l’avancement des progrès réalisés.

5) Contrôle en continu

Pour être certaines de bien gérer leurs risques, les organisations doivent suivre et revoir si besoin leurs plans d’action. Il convient alors d’évaluer si les actions déployées ont permis ou non au risque d’atteindre son objectif.

Suite à l’exécution des actions, le contrôle continu consiste aussi à réévaluer les risques à la lumière des actions faites pour voir si une organisation a réussi ou non à les diminuer, par exemple. 

💡: Des audits internes réguliers peuvent être mis en place en complément pour évaluer la bonne conduite générale des plans d’action et leur suivi. 

Le plan de gestion des risques

Le registre des risques : structure et contenu

Le registre des risques est un tableau permettant d’identifier et d’évaluer les risques, de les prioriser en fonction de leur gravité et leur probabilité. Il offre une vision globale des risques auxquels l’organisation est exposée et permet de suivre leur évolution dans le temps.

Voici les principales colonnes d’un registre des risques : 

Elément	Contenu
Risque	Événement incertain susceptible d’affecter un objectif
Cause	Facteur qui a provoqué l’événement
Conséquence	Effet sur l’organisation
Cotation	Niveau de vraisemblance et de gravité, ou niveau de criticité
Dispositif	Mesures déjà en place pour prévenir ou limiter le risque
Actions	Mesures complémentaires à mettre en oeuvre
Responsable	Personne chargée du suivi du risque ou de l’action
Echéance	Date prévue de réalisation

Du risque à l’action : responsable, échéance, mesure de maîtrise

Une fois le risque identifié, il faut le traiter. Pour chaque risque jugé prioritaire, vous devez mettre en place un plan d’action adapté à son niveau de criticité. 

Pour cela, chaque action doit obligatoirement être associée à : 

• un responsable (pilote) : une personne désignée, garante de l’exécution et de l’efficacité de l’action
• une échéance : un planning clair pour éviter un éparpillement dans la mise en place
• un indicateur de suivi : pour évaluer si le risque résiduel atteint un niveau acceptable

Pour faciliter ce pilotage, notre module de gestion des risques permet de structurer l’évaluation des risques et d’organiser le suivi des plans d’action au même endroit. Il vous aide à identifier vos risques les plus critiques grâce à notre matrice d’évaluation des risques.

Piloter et gouverner les risques

Les rôles : propriétaire du risque, risk manager, comité des risques

Pour piloter les risques, on retrouve trois niveaux de responsabilité : 

Le propriétaire du risque (risk owner) 

Il pilote la gestion de chaque risque, sur le portefeuille qui lui est attribué. Pour cela, il doit appliquer la stratégie de réponse préalablement définie et suivre l’avancée des plans d’action. Souvent, ils sont aussi pilotes du processus auquel sont rattachés leurs risques. 

Ceci leur permet, notamment : 

• d’engager les ressources nécessaires si besoin
• d’être informés des incidents ou failles des dispositifs de maîtrise
• de communiquer sur le terrain sur l’apport de la démarche

Le risk manager

Le risk manager a pour responsabilité de s’assurer que la méthodologie définie est bien appliquée dans la pratique, notamment grâce aux indicateurs et au reporting. Il est le chef d’orchestre et a accès à l’ensemble des informations concernant les risques, dont : 

• les travaux d’identification, de mesure et d’évolution des risques. Ils les synthétise et présente à la Direction
• les incidents, qui sont des matérialisations de risques. Il a aussi la mission d’identifier de nouveaux risques.

Le Risk Manager doit réaliser une veille technique et un benchmark de la méthodologie, tout en garantissant la communication et l’animation autour de celle-ci. Enfin, il assure une collaboration étroite avec d’autres fonctions de l’organisation comme par exemple l’audit.

Comité des risques

Il s’agit de l’instance décisionnelle, souvent rattachée à la Direction, qui valide l’appétence au risque, priorise les budgets et arbitre les décisions stratégiques.

Indicateurs et revue périodique (contrôle continu)

La gestion des risques n’est pas statique, et doit être revue régulièrement grâce à des indicateurs clés : les KPI de risque (KRI – Key Risk Indicators), qui permettent de détecter les seuils d’alerte avant qu’un événement ne survienne.

Ces indicateurs sont ensuite regroupés dans un tableau de bord et examinés lors de revues périodiques. L’objectif est de repérer les dérives, de réévaluer les risques et d’ajuster les mesures de maîtrise en fonction des évolutions du contexte.

Intégrer la gestion des risques au système de management

Pour être efficace, la gestion des risques doit devenir une composante du système de management et intégré aux décisions stratégiques et aux processus opérationnels, plutôt que traité comme un élément isolé.

C’est d’ailleurs le principe directeur de la norme ISO 31000 qui fournit les lignes directrices pour intégrer cette démarche à la gouvernance et aux activités de l’organisation. De son côté, la norme ISO 9001 demande de déterminer les risques et opportunités à prendre en compte pour assurer l’efficacité du système de management de la qualité.

Cette intégration favorise une approche cohérente entre gestion des risques, qualité et amélioration continue.

Exemple de gestion des risques (Cas concret)

Prenons l’exemple de l’entreprise X qui produit des appareils audio hauts de gamme et qui souhaite proposer un nouveau modèle de casque sur le marché. Avant d’entreprendre ce développement, elle aura tout intérêt à anticiper les risques. Pour cela, elle devra mettre en place une gestion des risques comprenant les 5 étapes suivantes.

1. Identification du risque : En s’appuyant sur l’analyse des processus cartographiés, l’entreprise X a identifié trois risques majeurs : 

• Risque de défaillance des composants du casque qui pourrait  entraîner des rappels du produit, des réparations et nuire à la réputation de l’entreprise X
• Risque de conformité si la réglementation sur la qualité sonore n’est pas respectée, l’entreprise X pourrait recevoir des amendes ou des litiges
• Risque de marché si celui des produits audio évolue rapidement avec l’émergence de nouvelles technologies

2. Analyse du risque : Grâce à la méthode des 5 Pourquoi, l’entreprise recherche les causes des risques. Ici, la défaillance potentielle peut être classée parmi les risques opérationnels internes, la conformité parmi les risques externes et le risque lié au marché parmi les risques financiers externes. 

Une fois les causes identifiées, l’entreprise X procède à l’analyse des conséquences. Par exemple, le risque de défaillance pourrait entraîner un rappel du casque, engendrant des coûts supplémentaires et nuisant à la réputation de l’entreprise. 

Ensuite, l’entreprise X examine les dispositifs de maîtrise déjà en place visant à réduire les risques au niveau de l’évaluation, qui est la prochaine étape.

3. Évaluation des risques : En s’appuyant sur les échelles de cotation de la vraisemblance et de la gravité, chaque risque a une note de criticité, qui permettra de le prioriser et décider de la manière dont elle traitera le risque. 

4. Traitement du risque : L’entreprise X traite les risques identifiés de deux façons différentes : 

• de manière passive : l’entreprise X accepte le fait que le marché des produits audio évolue rapidement. Elle va faire son maximum pour développer un produit de haute technologie, tout en reconnaissant qu’elle ne pourra pas anticiper les technologies émergentes qui sont hors de son contrôle.   
• de manière active : l’entreprise X va ajouter des mesures de maîtrise et de prévention pour minimiser les risques de défaillance des composants. En ce qui concerne le risque de conformité, elle va transférer ce traitement à un expert en réglementation sur le sujet, minimisant ainsi toute menace de litige.  

5.  Contrôle continu : L’entreprise X devra suivre et revoir si besoin ses plans d’action. Il convient alors d’évaluer si les actions déployées ont permis ou non au risque d’atteindre son objectif. 

Le résultat : registre et plan d’action

Voici un exemple de registre des risques : 

Risque identifié	Typologie	Cotation (C)	Traitement	Plan d’action & Pilote
Défaillance composants	Opérationnel	Élevée (12)	Réduction (Actif)	Contrôle qualité renforcé chez les fournisseurs (Pilote : Responsable Qualité)
Non-conformité sonore	Réglementaire	Moyenne (8)	Transfert (Actif)	Audit externe par un cabinet d’experts réglementaires (Pilote : Juriste)
Obsolescence marché	Stratégique	Faible (4)	Acceptation (Passif)	Veille technologique et ajustement continu (Pilote : Chef de Produit)

FAQ : questions fréquentes sur la gestion des risques

Quelle différence entre gestion et management des risques ? 

La gestion des risques (ou risk management) désigne les actions concrètes visant à identifier, analyser, évaluer et traiter les risques. Le management des risques correspond à une approche plus globale et continue, qui intègre ces actions dans la stratégie, la gouvernance et le fonctionnement de l’organisation. Ces deux expressions sont souvent utilisées comme synonymes.

Qu’est-ce que l’ISO 31000 ?

L’ISO 31000 est la norme internationale de référence qui donne les lignes directrices du management des risques. Elle est non certifiable, mais donne un cadre méthodologique pour identifier, analyser, évaluer et traiter les risques.

Comment coter un risque ?

La cotation d’un risque repose sur l’évaluation de sa criticité à l’aide d’une matrice croisant deux facteurs clés : 

• la vraisemblance (probabilité) : fréquence à laquelle le risque a de se produire
• la gravité (impact) : l’ampleur des conséquences (financières, opérationnelles, réputationnelles…) si l’événement survient

Le calcul se fait selon la formule suivante : Criticité = vraisemblance x gravité

Ces deux critères permettent de déterminer le niveau de criticité, souvent représenté dans une matrice des risques, pour hiérarchiser les risques et de définir les actions prioritaires.

Qui est responsable de la gestion des risques ? 

La gestion des risques est une responsabilité partagée à plusieurs niveaux : 

• la Direction qui fixe la politique et l’appétence du risques
• le propriétaire du risque (risk owner) qui assure le suivi opérationnel du risque. Il gère l’évaluation et l’exécution des actions associées
• le Risk manager qui anime la démarche, accompagne les équipes et met à disposition les outils

Pour conclure, la gestion des risques est bien plus qu’un simple outil opérationnel, il s’agit d’un processus clé guidant les décisions stratégiques et anticipant les évolutions. Il est important de retenir que l’important n’est pas de passer du temps à essayer de tout anticiper (risques, incertitudes) mais plutôt de faire une réflexion sur les principales menaces de son secteur d’activité et opportunités existantes afin de mettre en place des actions / moyens de maîtrise pertinents pour renforcer la protection de votre organisation. 

Passez à l’action et listez vos 5 risques majeurs, côtez-les et affectez un pilote à chacun. Découvrez comment PYX4 Risk centralise vos cartographie, vos échelles de cotation et l’ensemble de vos plans d’action au même endroit.

Image à la Une : Aziz Acharki – Unsplash