Qu'est-ce que la gestion des risques en entreprise ?

C'est un processus structuré qui permet d'identifier, d'évaluer et de traiter les incertitudes susceptibles d'affecter les objectifs de l'organisation. Elle s'appuie sur des cadres de référence comme l'ISO 31000 et le COSO ERM.

Quelle est la différence entre l'ISO 31000 et le COSO ERM ?

L'ISO 31000 est une norme générique, flexible, adaptée à toute organisation. Le COSO ERM est un cadre plus structuré, qui met l'accent sur l'intégration du risque à la stratégie et à la gouvernance.

Qu'est-ce que le modèle des trois lignes de maîtrise ?

C'est un cadre de référence de l'IIA, promu en France par l'IFACI. Il répartit les responsabilités entre trois lignes : les opérationnels (première ligne), le risk management et le contrôle interne (deuxième ligne), et l'audit interne (troisième ligne).

Quelle est la différence entre une approche bottom-up et top-down en gestion des risques ?

L'approche bottom-up part du terrain pour identifier et évaluer les risques. L'approche top-down part de la direction pour déployer les plans d'action et mobiliser les moyens. Les deux se complètent dans une démarche de pilotage intégrée.

Quelles sont les étapes du processus de gestion des risques ?

Le processus comprend : l'établissement du contexte, l'appréciation des risques (identification, analyse, évaluation), le traitement des risques, la surveillance et la revue.

Qu'est-ce que l'appétence au risque ?

C'est le niveau de risque qu'une organisation est prête à accepter dans la poursuite de ses objectifs. Elle est définie par le conseil d'administration et guide les décisions de traitement.

Pourquoi la gestion des risques échoue-t-elle parfois ?

Parce qu'elle dépend de la qualité de l'identification initiale, qu'elle peine à traiter les interdépendances entre risques, qu'elle peut s'éloigner des réalités opérationnelles, et qu'elle se réduit parfois à un exercice de reporting.

Pourquoi certains risques échappent-ils à l'identification ?

Parce que l'identification se concentre sur les risques connus, documentés, associés à des indicateurs. Les risques qui ne sont sous-tendus par aucune mesure, aucun indicateur, aucune trace passent sous le radar. Leur combinaison avec des risques connus peut générer des effets systémiques que personne n'avait anticipés.

Qu'est-ce qu'un pattern dans l'analyse des risques ?

Un pattern est une configuration récurrente d'éléments interconnectés qui produit un effet identifiable. Dans le contexte des risques, il peut s'agir d'un enchaînement, d'une convergence, d'une divergence ou d'une boucle. Les patterns émergent de l'analyse des relations entre risques, pas de leur inventaire.

Pourquoi l'analyse des interactions entre risques dépasse-t-elle les capacités humaines ?

Parce que le nombre d'interactions croît de manière factorielle. Pour dix risques, le nombre de relations potentielles est de l'ordre de 3,6 millions. Au-delà de trois ou quatre risques interagissant simultanément, l'analyse humaine atteint ses limites. Au-delà de dix, aucune méthode déterministe ou statistique classique ne peut traiter l'espace des combinaisons.

Pourquoi l'IA ne peut-elle pas encore extraire les patterns pertinents du bruit ?

Parce que la base d'apprentissage est biaisée. Les données disponibles proviennent d'organisations qui ont survécu. Elles ne contiennent pas les combinaisons qui ont conduit aux catastrophes. Le système apprend que certains patterns se résolvent en sécurité parce qu'il n'observe que des patterns qui se sont résolus en sécurité.

Qu'est-ce que le survivorship bias dans l'analyse des risques ?

C'est le biais qui consiste à tirer des conclusions à partir des seules organisations qui ont survécu. Les données disponibles ne contiennent pas les cas où les combinaisons de risques ont conduit à une catastrophe, parce que ces catastrophes ont détruit les organisations qui les ont vécues.

Quel est le rôle du risk manager ?

Il coordonne le dispositif, fournit la méthodologie, consolide les informations. Il n'a pas la responsabilité des risques : elle appartient aux managers opérationnels qui les portent.

La gestion des risques est-elle obligatoire ?

Pour les sociétés cotées, le Cadre de référence de l'AMF impose des obligations en matière de contrôle interne. Pour les autres organisations, les normes comme l'ISO 31000 sont volontaires.

Risque et opportunité : la confusion des registres

En résumé

Traiter une opportunité comme un « risque positif » conduit à deux échecs symétriques : on ne sait plus saisir l’opportunité, et on ne sait plus évaluer le risque. L’ISO 31000 a fusionné les deux registres dans une même définition, mais cette fusion dilue la fonction défensive du risk management et le transforme en exercice bureaucratique. Une opportunité n’est pas un risque de signe positif — c’est une autre nature, qui exige une autre logique.

Pourquoi cette question est structurante

Un risque peut-il être une opportunité ? La question semble simple. Elle engage pourtant la définition même du risk management, sa fonction, et sa place dans l’organisation.

Pendant longtemps, la réponse était claire : non. Le risque est une menace. L’opportunité est une chance. Les deux relèvent de registres différents. On ne gère pas une menace comme on saisit une chance.

Puis la définition a changé. L’ISO 31000, dans sa version de 2018, définit le risque comme « l’effet de l’incertitude sur les objectifs », précisant que cet effet peut être positif, négatif ou les deux–. Le « risque positif » est devenu une notion courante. La communauté des dirigeants a adopté cette définition.

Faut-il pour autant mettre le risque et l’opportunité sur le même plan ? Cette question n’est pas académique. Elle détermine ce qu’on attend du risk management, et ce qu’on lui demande de faire.

Risques-Menaces-Opportunites_Management - Conseil — Ce(tte) œuvre est mise à disposition selon les termes de la Licence Creative Commons Attribution – Pas de Modification 4.0 International.

L’infographie ci-dessus résume la distinction fonctionnelle entre risque et opportunité. L’article qui suit développe les arguments et situe cette position dans le débat actuel.

Ce que dit la définition classique du risque

Dans sa définition classique, le risque est la possibilité qu’un événement défavorable survienne et affecte l’atteinte des objectifs. Il est associé à la menace, à la perte, au dommage.

Sa fonction est défensive : il s’agit de réduire la probabilité de l’événement, ou d’en limiter les conséquences. Le risk management, dans cette acception, consiste à identifier les menaces, à les évaluer, à mettre en place des actions de prévention et de protection. Il produit de la lucidité : il oblige à regarder ce qui pourrait mal tourner, à nommer ce qui est souvent tu.

Cette définition a un mérite : elle est claire. Elle distingue le risque de l’opportunité. Le risque est ce qu’il faut éviter. L’opportunité est ce qu’il faut saisir. Les deux appellent des logiques, des outils, des compétences différentes.

L’évolution de l’ISO 31000 et ses conséquences

L’ISO 31000 a introduit une définition différente. Le risque n’est plus une menace, mais « l’effet de l’incertitude sur les objectifs ». Cet effet peut être positif ou négatif. On parle alors de « risque positif » pour désigner ce qui était autrefois appelé une opportunité.

Cette évolution n’est pas anodine. Elle a une conséquence structurelle : elle met le risque et l’opportunité sur le même plan. Elle traite les deux avec les mêmes outils, les mêmes processus, les mêmes indicateurs. Elle les intègre dans un même registre.

Pourquoi cette évolution a-t-elle été acceptée ? La réponse tient à un fait anthropologique : l’être humain a une aversion profonde au risque. Cette aversion est atavique, inscrite dans notre biologie et notre psychologie. Le risque est associé à la menace, à la perte. Nous sommes programmés pour l’éviter.

Mais les organisations ne peuvent pas fonctionner sans prendre des risques. Innover, investir, se développer, recruter : toutes ces décisions comportent une part d’incertitude. L’invention du « risque positif » résout ce dilemme. Elle permet de parler de risque sans avoir peur. Elle transforme l’opportunité en « risque positif », ce qui la rend gérable par les mêmes outils que la menace. Elle donne l’illusion de maîtriser ce qui, par nature, ne se maîtrise pas.

Pourquoi la confusion est problématique

La confusion entre risque et opportunité produit trois effets problématiques.

1. Elle dilue la fonction défensive du risk management. Le risk management a une mission : protéger l’organisation contre les menaces. Si on y intègre les opportunités, il perd sa spécificité. Il devient un fourre-tout. Il ne sait plus ce qu’il doit faire.

2. Elle détourne l’attention des risques réels. Pendant qu’on gère des « risques positifs » — des opportunités qui devraient être traitées par la stratégie — on néglige les menaces qui pèsent réellement sur l’organisation. Les risques systémiques, les risques humains, les risques de conformité : tout cela passe au second plan.

3. Elle rend le risk management bureaucratique. Un risk management qui traite tout — menaces et opportunités — de la même manière produit des cartographies, des matrices, des rapports. Il ne produit pas de lucidité. Il devient un exercice de conformité, pas un outil de pilotage.

Cette critique n’est pas isolée. Des voix issues du monde du management des risques dénoncent une confusion conceptuelle : le risque est par nature une menace, l’opportunité relève de la stratégie–.

La distinction fonctionnelle : défense et offense

Plutôt que de trancher sur la définition, il est plus utile de distinguer les fonctions.

Le risk management a une fonction défensive. Il identifie les menaces, évalue leur probabilité et leur impact, met en place des actions de prévention et de protection. Il protège l’organisation contre ce qui peut lui nuire.

La stratégie a une fonction offensive. Elle identifie les opportunités, évalue leur potentiel, décide des investissements, organise les ressources. Elle permet à l’organisation de saisir ce qui peut la faire croître.

Les deux fonctions sont nécessaires. Elles ne s’opposent pas. Mais elles ne se confondent pas. Elles appellent des outils, des compétences, des processus différents. Mettre le risque et l’opportunité sur le même plan, c’est confondre ces deux fonctions. C’est demander au risk management de faire de la stratégie, et à la stratégie de faire du risk management. Les deux y perdent.

Ce que cela change concrètement

Pour le risk manager. Sa mission est de protéger l’organisation, pas de saisir les opportunités. Il doit rester dans son registre : identifier les menaces, évaluer les vulnérabilités, proposer des actions de réduction. S’il se disperse dans la gestion des opportunités, il perd sa légitimité et son efficacité.

Pour le dirigeant. Il doit distinguer les deux registres. Le risk management ne remplace pas la stratégie. La stratégie ne remplace pas le risk management. Les deux sont nécessaires, mais ils ne se confondent pas.

Pour l’organisation. Un risk management qui se détourne de sa fonction — protéger contre les menaces — perd son utilité. Il devient un rituel. Il ne protège plus l’organisation. Il la rassure faussement.

Questions fréquentes

Un risque peut-il être une opportunité ?
Non, si l’on distingue les registres. Le risque est une menace, l’opportunité une chance. Les traiter avec les mêmes outils conduit à ne plus savoir saisir l’opportunité ni évaluer correctement le risque.

Qu’est-ce que l’ISO 31000 dit du risque et de l’opportunité ?
L’ISO 31000:2018 définit le risque comme « l’effet de l’incertitude sur les objectifs », précisant que cet effet peut être positif, négatif ou les deux. Cette définition fusionne risque et opportunité dans un même registre.

Pourquoi cette fusion est-elle problématique ?
Elle dilue la fonction défensive du risk management, détourne l’attention des menaces réelles, et rend le risk management bureaucratique. Un risk management qui traite tout de la même manière ne produit plus de lucidité.

Quelle est la différence entre risk management et stratégie ?
Le risk management a une fonction défensive : protéger l’organisation contre les menaces. La stratégie a une fonction offensive : identifier et saisir les opportunités. Les deux sont nécessaires, mais elles ne se confondent pas.

Pourquoi le « risque positif » a-t-il été inventé ?
Pour résoudre un dilemme : l’humain a une aversion atavique au risque, mais les organisations ne peuvent pas fonctionner sans en prendre. Le « risque positif » permet de parler de risque sans avoir peur, en le rendant gérable par les outils de la menace.

Le risk management doit-il gérer les opportunités ?
Non. Sa mission est de protéger l’organisation contre les menaces. Les opportunités relèvent de la stratégie, qui mobilise d’autres compétences, d’autres processus, d’autres indicateurs.

Pour aller plus loin

Le facteur humain — pourquoi l’humain est le point où le système se révèle.
L’innovation externalisée — pourquoi les entreprises n’innovent plus en interne.
Le droit à l’erreur dans les organisations — la condition de l’apprentissage.
Le Guide du manager systémique — comprendre les organisations comme des systèmes. À paraître.
Le Guide du manager managé — les effets du système sur ceux qui le subissent. À paraître.
Le Guide du manager à l’ère de l’IA — ce que l’IA change au management. À paraître.

Cet article fait partie du parcours « Management ». Il pose une question. Les livres l’explorent.

Partagez cette page

Risque et opportunité : pourquoi la confusion des registres affaiblit le risk management