Les approches classiques de recensement des risques.
De nombreuses pratiques de recensement des risques sont mises en œuvre.
Voici quelques exemples.
- Une méthode souvent utilisée consiste à solliciter la direction de l’entreprise pour qu’elle exprime les risques perçus à son niveau.
- Une seconde méthode consiste à imaginer tous les événements qui pourraient se produire au sein d’une activité de l’entreprise sous forme de brainstorming.
- Une alternative pourrait être de recenser tous les sinistres, accidents ou problèmes que l’entreprise a rencontrés.
On voit rapidement les limites de ces façons de procéder qui conduisent invariablement à :
- se focaliser sur les préoccupations du moment.
- s’éloigner de la réalité opérationnelle et stratégique.
- considérer seulement les risques qui se rapportent à des événements qui se sont déjà produits.
Ces pratiques, qui sont justifiées et utiles ne constituent pas, à proprement parler un recensement des risques.
L’approche top-down.
Pour recenser les risques de l’entreprise, il convient toujours de se référer aux obligations de l’entreprise.
Parmi ces obligations, il faut commencer par les deux obligations vitales pour l’entreprise :
- respecter les obligations légales.
- garantir sa pérennité.
En commençant le questionnement de cette manière, chaque entreprise identifiera les risques en matière de droit.
Ensuite, pour garantir sa pérennité, elle identifiera tous les risques qui pourraient mettre en péril son modèle économique. La liste comprend des risques communs à toutes les entreprises ainsi que les risques spécifiques liés à son activité.
Ce recensement au plus haut niveau peut être complété par les risques qui pèsent sur les objectifs stratégiques.
Pour affiner encore le recensement des risques, il est maintenant possible d’identifier les risques qui pèsent sur les différents processus de l’entreprise, avant d’arriver au niveau de granularité le plus fin, à savoir les risques qui pèsent sur les différentes activités opérationnelles.
Cette première démarche d’identification est réalisée de manière descendante, plus connue sous l’appellation top-down.
L’approche bottom-up.
Il est très facile de compléter cette approche par le recensement des événements non prévus qui ont, ou qui auraient pu affecter significativement l’activité ou l’atteinte des objectifs. Ces événements sont à rapprocher des risques recensés dans l’approche top-down. Si un événement ne correspond à aucun risque pré-identifié dans la démarche top-down, un nouveau risque doit être créé.
Les analyses d’incidents sont une source précieuse d’information.
Les rapports d’audit fournissent aussi une matière abondante et étayée pour compléter la détection des risques dans une démarche bottom-up.
Pour compléter le processus d’identification, la mise en place d’une veille interne, mais surtout externe permet de capter les événements qui n’ont pas encore touché l’entreprise.
Un nombre important de risques identifiés.
L’identification des risques selon les moyens préconisés ci-dessus, conduit facilement à lister plusieurs centaines, et pourquoi pas, plusieurs milliers de risques.
De très nombreuses personnes considéreront qu’il s’agit là d’une perte de temps alors qu’en réalité ils viennent subitement d’améliorer leur compréhension de la réalité de l’entreprise. Rappelons simplement que les risques sont des événements potentiels qui, s’ils se produisent, affecteront significativement l’atteinte des objectifs. Dans ce recensement, bon nombre d’événements se sont déjà produits et il est fort probable qu’ils se produiront à nouveau.
Ce recensement des risques constitue en quelque sorte la « matière première » pour alimenter une gestion de l’amélioration continue, et le système de management associé.
Une approche méthodique et pragmatique permet de réduire de manière significative le nombre risques à mettre sous pilotage.
Ceci signifie que la direction générale pilote l’entreprise avec un tableau de bord constitué des risques et indicateurs associés pertinents..
L’expérience pratique en entreprise montre qu’il en va de même pour une ligne de produit ou pour un processus donné.
Comme il est possible de recentrer chaque niveau de pilotage sur un nombre restreint de risques qui le concernent, il est souhaitable de disposer d’un recensement des risques aussi exhaustif que possible.
Toute tentative de censure à cette étape peut conduire à des lacunes dans le système de management des risques.