Qu'est-ce que la gestion des risques en entreprise ?

C'est un processus structuré qui permet d'identifier, d'évaluer et de traiter les incertitudes susceptibles d'affecter les objectifs de l'organisation. Elle s'appuie sur des cadres de référence comme l'ISO 31000 et le COSO ERM.

Quelle est la différence entre l'ISO 31000 et le COSO ERM ?

L'ISO 31000 est une norme générique, flexible, adaptée à toute organisation. Le COSO ERM est un cadre plus structuré, qui met l'accent sur l'intégration du risque à la stratégie et à la gouvernance.

Qu'est-ce que le modèle des trois lignes de maîtrise ?

C'est un cadre de référence de l'IIA, promu en France par l'IFACI. Il répartit les responsabilités entre trois lignes : les opérationnels (première ligne), le risk management et le contrôle interne (deuxième ligne), et l'audit interne (troisième ligne).

Quelle est la différence entre une approche bottom-up et top-down en gestion des risques ?

L'approche bottom-up part du terrain pour identifier et évaluer les risques. L'approche top-down part de la direction pour déployer les plans d'action et mobiliser les moyens. Les deux se complètent dans une démarche de pilotage intégrée.

Quelles sont les étapes du processus de gestion des risques ?

Le processus comprend : l'établissement du contexte, l'appréciation des risques (identification, analyse, évaluation), le traitement des risques, la surveillance et la revue.

Qu'est-ce que l'appétence au risque ?

C'est le niveau de risque qu'une organisation est prête à accepter dans la poursuite de ses objectifs. Elle est définie par le conseil d'administration et guide les décisions de traitement.

Pourquoi la gestion des risques échoue-t-elle parfois ?

Parce qu'elle dépend de la qualité de l'identification initiale, qu'elle peine à traiter les interdépendances entre risques, qu'elle peut s'éloigner des réalités opérationnelles, et qu'elle se réduit parfois à un exercice de reporting.

Pourquoi certains risques échappent-ils à l'identification ?

Parce que l'identification se concentre sur les risques connus, documentés, associés à des indicateurs. Les risques qui ne sont sous-tendus par aucune mesure, aucun indicateur, aucune trace passent sous le radar. Leur combinaison avec des risques connus peut générer des effets systémiques que personne n'avait anticipés.

Qu'est-ce qu'un pattern dans l'analyse des risques ?

Un pattern est une configuration récurrente d'éléments interconnectés qui produit un effet identifiable. Dans le contexte des risques, il peut s'agir d'un enchaînement, d'une convergence, d'une divergence ou d'une boucle. Les patterns émergent de l'analyse des relations entre risques, pas de leur inventaire.

Pourquoi l'analyse des interactions entre risques dépasse-t-elle les capacités humaines ?

Parce que le nombre d'interactions croît de manière factorielle. Pour dix risques, le nombre de relations potentielles est de l'ordre de 3,6 millions. Au-delà de trois ou quatre risques interagissant simultanément, l'analyse humaine atteint ses limites. Au-delà de dix, aucune méthode déterministe ou statistique classique ne peut traiter l'espace des combinaisons.

Pourquoi l'IA ne peut-elle pas encore extraire les patterns pertinents du bruit ?

Parce que la base d'apprentissage est biaisée. Les données disponibles proviennent d'organisations qui ont survécu. Elles ne contiennent pas les combinaisons qui ont conduit aux catastrophes. Le système apprend que certains patterns se résolvent en sécurité parce qu'il n'observe que des patterns qui se sont résolus en sécurité.

Qu'est-ce que le survivorship bias dans l'analyse des risques ?

C'est le biais qui consiste à tirer des conclusions à partir des seules organisations qui ont survécu. Les données disponibles ne contiennent pas les cas où les combinaisons de risques ont conduit à une catastrophe, parce que ces catastrophes ont détruit les organisations qui les ont vécues.

Quel est le rôle du risk manager ?

Il coordonne le dispositif, fournit la méthodologie, consolide les informations. Il n'a pas la responsabilité des risques : elle appartient aux managers opérationnels qui les portent.

La gestion des risques est-elle obligatoire ?

Pour les sociétés cotées, le Cadre de référence de l'AMF impose des obligations en matière de contrôle interne. Pour les autres organisations, les normes comme l'ISO 31000 sont volontaires.

Les enjeux de l'IA Archives - Gouvernance - Risque

24/09/202624/09/2026

L’IA n’est pas un outil, c’est un acteur

En résumé

L’IA ne se contente pas d’exécuter des tâches. Elle produit des décisions, oriente des choix, façonne des trajectoires. Elle agit sur le système. La considérer comme un simple outil empêche de comprendre son rôle réel dans l’organisation.

L’outil n’agit pas

Un outil est un prolongement de la main. Il ne décide pas. Il ne recommande pas. Il ne produit pas de jugement. Un marteau ne choisit pas où frapper. Un tableur ne décide pas quel budget allouer. Un tableau de bord n’oriente pas la stratégie. Continuer la lecture de « L’IA n’est pas un outil, c’est un acteur »

24/09/202624/09/2026

La délégation sans responsabilité : le risque invisible de l’IA

En résumé

Le manager qui délègue une décision à l’IA reste comptable du résultat. Il ne peut pas transférer la responsabilité à une machine. Cette asymétrie entre le pouvoir cédé et la responsabilité conservée constitue le risque invisible de l’ère de l’IA.

Le mécanisme de la délégation

La délégation à l’IA suit un chemin prévisible. Le manager confie d’abord des décisions simples, bien cadrées, à faible risque. Il garde un œil sur les résultats, une capacité d’intervention, un reste d’autorité. Puis la confiance s’installe. Les décisions déléguées deviennent plus complexes, plus stratégiques. Le manager n’a plus le temps de vérifier. Il entérine. Continuer la lecture de « La délégation sans responsabilité : le risque invisible de l’IA »