En résumé
Le recensement des risques est la première étape du processus de gestion des risques. Il consiste à identifier et à décrire les risques susceptibles d’affecter les objectifs de l’organisation. Il s’appuie sur une double démarche : descendante (top-down) pour couvrir l’ensemble des activités, et ascendante (bottom-up) pour capter les événements non prévus et les signaux faibles. Mais cette démarche se heurte à deux limites structurelles : le biais du survivant, qui conduit à ignorer les données des organisations qui n’ont pas survécu, et l’angle mort des risques qui ne sont sous-tendus par aucun indicateur. Ces limites sont rarement explicitées dans la littérature. Elles conditionnent pourtant la qualité de tout le dispositif de gestion des risques.
Qu’est-ce que le recensement des risques ?
La définition
Le recensement des risques consiste à trouver, reconnaître et décrire les risques, éventuellement en termes probabilistes. C’est un exercice de dépistage qui sert d’étape préliminaire conduisant à l’étape ultérieure de l’analyse des risques.
Il ne s’agit pas d’un exercice ponctuel. C’est un processus continu, qui doit être actualisé en fonction de l’évolution du contexte, des activités et des objectifs de l’organisation.
Ce que le recensement n’est pas
Le recensement des risques n’est pas l’analyse des risques. Il ne consiste pas à évaluer la probabilité ou l’impact des risques identifiés. Il ne consiste pas non plus à décider des actions de traitement. Il est l’étape qui précède : celle qui permet de savoir de quoi on parle.
Les approches classiques et leurs limites
L’approche par la direction
La première approche consiste à solliciter la direction de l’entreprise pour qu’elle exprime les risques perçus à son niveau. Cette approche a un mérite : elle mobilise les décideurs. Mais elle a une limite : elle reflète les préoccupations du moment, souvent éloignées de la réalité opérationnelle.
L’approche par brainstorming
La deuxième approche consiste à imaginer tous les événements qui pourraient se produire au sein d’une activité sous forme de brainstorming. Cette approche est utile pour explorer un périmètre précis. Mais elle dépend de la qualité et de la diversité des participants.
L’approche par les incidents passés
La troisième approche consiste à recenser tous les sinistres, accidents ou problèmes que l’entreprise a rencontrés. Cette approche a un mérite : elle s’appuie sur des faits. Mais elle a une limite structurelle : elle ne considère que les risques qui se sont déjà produits.
Ce que ces approches produisent invariablement
Ces trois approches, qui sont justifiées et utiles, conduisent invariablement à :
-
se focaliser sur les préoccupations du moment ;
-
s’éloigner de la réalité opérationnelle et stratégique ;
-
considérer seulement les risques qui se rapportent à des événements qui se sont déjà produits.
Elles ne constituent pas, à proprement parler, un recensement des risques.
L’approche top-down
Pour recenser les risques de l’entreprise, il convient toujours de se référer aux obligations de l’entreprise. Parmi ces obligations, il faut commencer par les deux obligations vitales :
-
respecter les obligations légales ;
-
garantir sa pérennité.
En commençant le questionnement de cette manière, chaque entreprise identifiera les risques en matière de droit. Ensuite, pour garantir sa pérennité, elle identifiera tous les risques qui pourraient mettre en péril son modèle économique. La liste comprend des risques communs à toutes les entreprises ainsi que les risques spécifiques liés à son activité.
Ce recensement au plus haut niveau peut être complété par les risques qui pèsent sur les objectifs stratégiques. Pour affiner encore le recensement, il est possible d’identifier les risques qui pèsent sur les différents processus de l’entreprise, avant d’arriver au niveau de granularité le plus fin : les risques qui pèsent sur les différentes activités opérationnelles.
Cette première démarche d’identification est réalisée de manière descendante. C’est l’approche top-down.
L’approche bottom-up
Il est très facile de compléter cette approche par le recensement des événements non prévus qui ont, ou qui auraient pu, affecter significativement l’activité ou l’atteinte des objectifs. Ces événements sont à rapprocher des risques recensés dans l’approche top-down. Si un événement ne correspond à aucun risque pré-identifié, un nouveau risque doit être créé.
Les analyses d’incidents sont une source précieuse d’information. Les rapports d’audit fournissent aussi une matière abondante et étayée pour compléter la détection des risques dans une démarche bottom-up.
Pour compléter le processus d’identification, la mise en place d’une veille interne, mais surtout externe, permet de capter les événements qui n’ont pas encore touché l’entreprise. La veille externe est un élément essentiel : elle permet de détecter les signaux faibles, les risques émergents, les évolutions réglementaires, les mutations technologiques, les tensions géopolitiques. Ces signaux ne sont pas encore des risques avérés, mais ils peuvent le devenir.
La combinaison du top-down et du bottom-up constitue une démarche de pilotage intégrée. L’identification et l’évaluation des risques pertinents ne peuvent pas se faire uniquement depuis la direction. Elles doivent s’appuyer sur ceux qui vivent les processus, qui manipulent les produits, qui sont au contact des clients. Ce sont eux qui sont les mieux placés pour repérer les signaux faibles, les dysfonctionnements naissants, les risques latents.
Mais l’identification ne suffit pas. Une fois les risques remontés et consolidés, le déploiement des plans d’action et la mobilisation des moyens relèvent d’une démarche top-down. C’est la direction qui arbitre les priorités, alloue les ressources, et engage les actions à l’échelle de l’organisation.
Le biais du survivant : une limite structurelle
L’histoire d’Abraham Wald
Pendant la Seconde Guerre mondiale, l’armée de l’air américaine a demandé au statisticien Abraham Wald d’étudier comment mieux protéger les avions de combat. Les ingénieurs avaient analysé les impacts de balles sur les avions qui étaient revenus de mission. Ils avaient constaté que les impacts se concentraient sur les ailes, le fuselage, les stabilisateurs. Leur conclusion logique : il fallait renforcer ces zones.
Wald a renversé le raisonnement. Les avions qui revenaient étaient ceux qui avaient survécu malgré ces impacts. Les zones qui ne montraient jamais d’impacts sur les survivants étaient précisément celles où un impact était fatal : le moteur, le cockpit, le système de carburant. Ces avions-là ne revenaient pas. Ils n’étaient pas dans les données.
Sa conclusion : il fallait renforcer les zones non touchées sur les avions revenants, parce que c’étaient celles dont la destruction empêchait le retour.
Ce que cela signifie pour le recensement des risques
Le recensement des risques se heurte au même biais. Les données disponibles proviennent d’organisations qui ont survécu. Elles contiennent des quasi-accidents, des reprises, des alertes. Elles ne contiennent pas les combinaisons qui ont conduit aux catastrophes, parce que ces catastrophes ont détruit les organisations qui les ont vécues.
Le système apprend que certains risques se résolvent en sécurité parce qu’il n’observe que des risques qui se sont résolus en sécurité. Ce biais est structurel. Il ne se résout pas en collectant plus de données. Il ne se résout pas en analysant plus finement les incidents passés.
Pour le dépasser, il faut construire une base de connaissances qui contient ce que les données existantes ne contiennent pas : les combinaisons de risques qui n’ont pas encore produit de catastrophe, mais qui pourraient en produire.
L’angle mort : les risques sans indicateur
Ce que l’identification laisse de côté
L’identification se concentre naturellement sur les risques connus, ceux qui sont documentés, suivis, associés à des indicateurs. Mais certains risques échappent à ce filtre. Non pas parce qu’ils sont maîtrisés, mais parce qu’ils ne sont sous-tendus par aucun indicateur, aucune mesure, aucune trace. Ils ne produisent ni écart, ni incident, ni action corrective. Ils passent sous le radar.
Pourquoi ces risques sont dangereux
Ces risques invisibles ne sont pas nécessairement graves en eux-mêmes. Mais leur combinaison avec des risques connus peut produire des effets systémiques. Un risque non identifié, associé à un ou plusieurs risques documentés, peut générer un pattern que personne n’avait anticipé. C’est là que se situent les déclencheurs de crise et les black swans.
La veille externe comme réponse partielle
La veille externe permet de capter certains de ces signaux. Elle détecte les événements qui n’ont pas encore touché l’entreprise : évolutions réglementaires, mutations technologiques, tensions géopolitiques, signaux faibles. Mais elle ne suffit pas. Les risques sans indicateur sont, par définition, ceux que personne n’a encore pensé à surveiller.
Un nombre important de risques identifiés
L’identification des risques selon les moyens préconisés ci-dessus conduit facilement à lister plusieurs centaines, et pourquoi pas plusieurs milliers de risques. De très nombreuses personnes considéreront qu’il s’agit là d’une perte de temps, alors qu’en réalité elles viennent subitement d’améliorer leur compréhension de la réalité de l’entreprise.
Rappelons simplement que les risques sont des événements potentiels qui, s’ils se produisent, affecteront significativement l’atteinte des objectifs. Dans ce recensement, bon nombre d’événements se sont déjà produits et il est fort probable qu’ils se produiront à nouveau. Ce recensement des risques constitue en quelque sorte la matière première pour alimenter une gestion de l’amélioration continue et le système de management associé.
Une approche méthodique et pragmatique permet de réduire de manière significative le nombre de risques à mettre sous pilotage. Ceci signifie que la direction générale pilote l’entreprise avec un tableau de bord constitué des risques et indicateurs associés pertinents. L’expérience pratique en entreprise montre qu’il en va de même pour une ligne de produit ou pour un processus donné.
Comme il est possible de recentrer chaque niveau de pilotage sur un nombre restreint de risques qui le concernent, il est souhaitable de disposer d’un recensement des risques aussi exhaustif que possible. Toute tentative de censure à cette étape peut conduire à des lacunes dans le système de management des risques.
Questions fréquentes
Qu’est-ce que le recensement des risques ?
Le recensement des risques consiste à trouver, reconnaître et décrire les risques, éventuellement en termes probabilistes. C’est un exercice de dépistage qui sert d’étape préliminaire conduisant à l’étape ultérieure de l’analyse des risques.
Quelle est la différence entre recensement et analyse des risques ?
Le recensement identifie et décrit les risques. L’analyse évalue leur probabilité et leur impact. Le recensement précède l’analyse. Il permet de savoir de quoi on parle avant de décider quoi faire.
Qu’est-ce que l’approche top-down ?
C’est une démarche descendante qui part des obligations de l’entreprise (obligations légales, pérennité, objectifs stratégiques) pour identifier les risques qui pèsent sur les processus, puis sur les activités opérationnelles.
Qu’est-ce que l’approche bottom-up ?
C’est une démarche ascendante qui part du terrain pour remonter les événements non prévus, les incidents, les signaux faibles. Elle complète l’approche top-down en captant ce que la direction ne voit pas.
Qu’est-ce que le biais du survivant ?
C’est le biais qui consiste à tirer des conclusions à partir des seules organisations qui ont survécu. Les données disponibles ne contiennent pas les cas où les combinaisons de risques ont conduit à une catastrophe, parce que ces catastrophes ont détruit les organisations qui les ont vécues.
Qu’est-ce qu’un risque sans indicateur ?
C’est un risque qui n’est sous-tendu par aucune mesure, aucun indicateur, aucune trace. Il ne produit ni écart, ni incident, ni action corrective. Il passe sous le radar. Sa combinaison avec des risques connus peut générer des effets systémiques que personne n’avait anticipés.
Pourquoi la veille externe est-elle importante ?
Elle permet de capter les événements qui n’ont pas encore touché l’entreprise : évolutions réglementaires, mutations technologiques, tensions géopolitiques, signaux faibles. Elle complète la veille interne et permet d’anticiper les risques émergents.
Pourquoi recenser un grand nombre de risques ?
Parce que le recensement est la matière première du système de management des risques. Un recensement trop restreint conduit à des lacunes. Une approche méthodique permet ensuite de réduire le nombre de risques à mettre sous pilotage, mais il faut d’abord les avoir identifiés.
Quelle est la différence entre risque brut et risque résiduel ?
Le risque brut est le risque avant prise en compte des dispositifs de maîtrise. Le risque résiduel est le risque après prise en compte de ces dispositifs. Le recensement identifie les risques bruts.
Comment articuler top-down et bottom-up ?
Le top-down couvre l’ensemble des activités et des objectifs. Le bottom-up capte les événements non prévus et les signaux faibles. Les deux démarches se complètent. Le top-down donne le cadre, le bottom-up l’enrichit. Le déploiement des plans d’action relève ensuite du top-down.
Pour aller plus loin
-
La gestion des risques en entreprise — le cadre, le processus et les limites.
-
L’évaluation des risques — la deuxième étape du processus.
-
Risque inhérent et risque résiduel — pourquoi la distinction est mal comprise.
-
Appétence au risque — ce que valider un niveau de risque veut vraiment dire.
-
Le contrôle interne — les dispositifs de maîtrise et leur articulation avec la gestion des risques.
-
Les principales fonctions de l’entreprise — la place de la gestion des risques dans l’organisation.
Une réponse sur “Le recensement des risques : une étape préliminaire et décisive”