En résumé
Le risque inhérent est le risque avant traitement. Le risque résiduel est le risque après traitement. La distinction paraît simple. Elle est pourtant souvent mal comprise : le risque inhérent est une construction théorique impossible à évaluer objectivement, et le risque résiduel n’est pas un solde statique — c’est un niveau de risque qui évolue avec le système, la qualité des contrôles et le contexte. Confondre les deux, c’est croire que les contrôles suffisent à maîtriser le risque.
Risque inhérent : une notion théorique, difficile à objectiver
La définition officielle
Le risque inhérent est défini par le COSO comme « le risque existant en l’absence d’action du management qui pourrait en modifier l’impact ou la probabilité »–. Le COSO ERM 2017 le présente comme le risque « brut », avant prise en compte des mesures de contrôle interne.
L’ISO 31000, dans sa version 2018, ne définit pas le risque inhérent. Ce n’est pas un oubli : c’est une position. Le comité technique de l’ISO a choisi de ne pas introduire cette distinction, considérant que le risque est toujours évalué dans un contexte donné.
Pourquoi cette notion pose problème
Évaluer un risque inhérent revient à se projeter dans un contexte supposé — ou dans un contexte passé — pour estimer un impact et une probabilité. Cette démarche ne répond ni à des critères d’objectivité, ni à une réalité factuelle facilement démontrable.
En effet, dès lors que l’entreprise a mis en place des règles, des processus ou des activités, elle a implicitement réduit l’impact ou la probabilité du risque. Le risque « pur », sans aucune action du management, n’existe pas dans une organisation en fonctionnement. Il n’existe que dans un modèle théorique.
Conformément au texte de l’ISO 31000 où le risque inhérent n’est pas défini, celui-ci ne répond pas à une réalité objective et factuelle.
Le risque évolue intrinsèquement
Le risque évolue en fonction d’un grand nombre de circonstances :
-
Liées à l’entreprise : le niveau des objectifs, la stratégie, les ressources.
-
Externes à l’entreprise : le contexte socio-économique, l’évolution de la réglementation, les attentes des parties prenantes.
Un risque inhérent évalué aujourd’hui ne sera pas le même demain. Ce n’est pas une photographie stable, c’est une hypothèse située dans le temps.
Risque résiduel : une notion opérationnelle, mais dynamique
La définition officielle
Le COSO Enterprise Risk Management Framework de 2004 définit le risque résiduel comme « le risque qui subsiste après que le management ait apporté des réponses à ce risque ». Le COSO 2013 précise que ces réponses ont été développées et mises en œuvre.
L’ISO 31000 le définit comme « le risque qui subsiste après le traitement du risque »–. La note technique précise que le risque résiduel peut contenir du risque non identifié–. C’est un point crucial : le risque résiduel n’est pas seulement ce qui reste après les contrôles, c’est aussi ce qu’on n’a pas vu.
Ce que le risque résiduel est réellement
Dans les faits, le risque résiduel est le risque actuel, dans un contexte réel et existant, avec des dispositions de maîtrise du risque en place. Il peut être évalué sur des bases tangibles ou factuelles par le risk manager, par le management ou par l’audit.
C’est un niveau de risque observable, mesurable, discutable. Il ne dépend pas d’une hypothèse théorique sur ce qui se passerait sans contrôles. Il décrit ce qui est, ici et maintenant.
Le risque résiduel n’est pas statique
Le risque résiduel évolue. Il dépend de l’efficacité réelle des contrôles, de la qualité de leur mise en œuvre, de l’évolution du contexte, et de l’apparition de nouveaux risques. Un contrôle qui fonctionnait hier peut ne plus fonctionner demain. Une menace qui était faible peut devenir critique.
La littérature récente sur le sujet insiste sur ce point : le risque résiduel doit être recalculé continuellement en fonction de l’efficacité des mesures, de leur complétude et des valeurs de réduction d’atténuation–. Ce n’est pas un chiffre figé dans une matrice, c’est un indicateur vivant.
Les trois erreurs fréquentes
1. Croire que le risque résiduel est « sûr »
Le risque résiduel n’est pas un risque nul. C’est le risque qui reste après traitement. Il peut être acceptable, tolérable, ou inacceptable. La frontière entre ces catégories n’est pas évidente à tracer–.
Un risque résiduel qui dépasse le niveau de tolérance défini par l’organisation est inacceptable et nécessite des recommandations d’atténuation supplémentaires–. Le risque résiduel n’est pas un état final. C’est un état transitoire, à surveiller.
2. Oublier que le risque résiduel évolue
Beaucoup d’organisations évaluent le risque résiduel une fois, l’inscrivent dans une cartographie, et n’y reviennent plus. C’est une erreur. Le risque résiduel doit être réévalué régulièrement, en fonction de l’évolution du contexte et de l’efficacité des contrôles.
L’ISO 31000 précise que le risque résiduel doit être documenté et soumis à un suivi, un examen et une révision réguliers–. Sans ce suivi, la cartographie des risques devient une photographie périmée.
3. Confondre contrôle et maîtrise
La présence d’un contrôle ne garantit pas la maîtrise du risque. Un contrôle peut être mal conçu, mal appliqué, ou contourné. Le risque résiduel mesure ce qui reste après prise en compte de l’efficacité réelle des contrôles, pas de leur simple existence.
C’est la différence entre le risque résiduel théorique (ce qui resterait si les contrôles fonctionnaient parfaitement) et le risque résiduel réel (ce qui reste dans les faits). Le second est le seul qui compte pour la décision.
Risque résiduel et appétence au risque
La distinction fondamentale
L’appétence au risque est le niveau de risque qu’une organisation est prête à accepter dans la poursuite de ses objectifs. La tolérance au risque est le niveau maximal de risque qu’elle peut supporter sans remettre en cause ses objectifs.
La relation entre ces notions et le risque résiduel est structurante : les réponses au risque doivent être conçues de telle sorte que le risque résiduel après prise en compte des contrôles ne dépasse pas les limites fixées par l’appétence et la tolérance–.
Autrement dit, l’appétence définit la cible. Le risque résiduel mesure l’écart. Si l’écart est trop grand, il faut renforcer les contrôles, réduire l’activité, ou réviser l’appétence.
Une distinction souvent mal comprise
Il est fréquent de confondre appétence et tolérance. Certains auteurs proposent une distinction utile : l’appétence est basée sur le risque inhérent, tandis que la tolérance est basée sur le risque résiduel–. L’organisation exprime ce qu’elle est prête à risquer (appétence), et les contrôles déterminent ce qu’elle risque effectivement (tolérance).
Cette distinction a une implication pratique : on ne peut pas évaluer l’appétence sans référence au risque inhérent, et on ne peut pas évaluer la tolérance sans référence au risque résiduel. Les deux notions sont liées, mais elles ne se substituent pas l’une à l’autre.
Comment intégrer la distinction dans une analyse dynamique
1. Documenter le risque résiduel, pas le risque inhérent
Puisque le risque inhérent est une construction théorique difficile à objectiver, l’effort d’évaluation doit porter sur le risque résiduel. C’est lui qui est observable, mesurable, et pertinent pour la décision.
2. Suivre l’évolution du risque résiduel dans le temps
L’intention de définir un risque inhérent est louable : elle permettrait de mesurer l’efficacité des moyens de prévention déployés, et d’en justifier le coût. Si tel est le besoin, il n’est pas indispensable de remonter à l’origine de l’entreprise. Il suffit de s’appuyer sur les évaluations successives du risque pour constater l’évolution du niveau de maîtrise.
L’évaluation initiale du risque se rapproche le plus de ce que l’on pourrait qualifier de risque inhérent. Le niveau cible après le déploiement du plan de remédiation correspond à un niveau de risque futur. Ce niveau cible reflète souvent le risque jugé tolérable par le management et, de ce fait, il peut matérialiser l’appétence au risque.
3. Intégrer la distinction dans le pilotage par les risques
Le risque résiduel est un indicateur de pilotage. Il dit si les contrôles fonctionnent, si l’appétence est respectée, si des actions correctives sont nécessaires. Il doit être suivi en continu, pas évalué une fois par an.
C’est ici que le pilotage prédictif par les risques prend tout son sens : il ne s’agit pas de produire une cartographie statique, mais de suivre l’évolution des risques résiduels et d’anticiper les dérives.
Questions fréquentes
Qu’est-ce que le risque inhérent ?
Le risque inhérent est le risque existant en l’absence d’action du management qui pourrait en modifier l’impact ou la probabilité. Il est défini par le COSO comme le risque « brut », avant prise en compte des contrôles.
Qu’est-ce que le risque résiduel ?
Le risque résiduel est le risque qui subsiste après le traitement du risque. Il est défini par l’ISO 31000 comme le risque restant après application des mesures de maîtrise.
Pourquoi le risque inhérent est-il difficile à évaluer ?
Parce qu’il suppose de se projeter dans un contexte où l’entreprise n’aurait mis en place aucune action. Or, dès qu’une organisation fonctionne, elle a des règles, des processus, des activités qui réduisent implicitement l’impact ou la probabilité du risque. Le risque « pur » n’existe pas dans une organisation en fonctionnement.
Pourquoi l’ISO 31000 ne définit-elle pas le risque inhérent ?
Parce que le comité technique de l’ISO a choisi de ne pas introduire cette distinction, considérant que le risque est toujours évalué dans un contexte donné. Le risque inhérent ne répond pas à une réalité objective et factuelle.
Quelle est la différence entre risque résiduel et appétence au risque ?
L’appétence au risque est le niveau de risque qu’une organisation est prête à accepter. Le risque résiduel est le niveau de risque qui reste après traitement. Les réponses au risque doivent être conçues pour que le risque résiduel ne dépasse pas l’appétence définie.
Le risque résiduel est-il statique ?
Non. Le risque résiduel évolue en fonction de l’efficacité réelle des contrôles, de l’évolution du contexte et de l’apparition de nouveaux risques. Il doit être réévalué régulièrement, pas évalué une fois pour toutes.
Le risque résiduel peut-il être supérieur au risque inhérent ?
En théorie, non : le risque résiduel est ce qui reste après traitement, il devrait être inférieur au risque inhérent. En pratique, il peut arriver que le risque résiduel soit supérieur au risque inhérent évalué, si le risque inhérent a été sous-estimé ou si de nouveaux risques sont apparus entre-temps.
Comment suivre l’évolution du risque résiduel ?
En s’appuyant sur les évaluations successives du risque pour constater l’évolution du niveau de maîtrise. L’évaluation initiale se rapproche du risque inhérent. Le niveau cible après remédiation correspond au risque futur. Le suivi continu permet de détecter les dérives et d’ajuster les contrôles.
Quelle est la différence entre risque acceptable et risque tolérable ?
Un risque acceptable est un risque qu’il n’est pas nécessaire de réduire davantage. Un risque tolérable est un risque qui n’a pas été considéré comme acceptable, mais pour lequel des actions de maîtrise ont été prises–. La frontière entre les deux n’est pas évidente à tracer et dépend du contexte de l’organisation.
Pourquoi la distinction entre risque inhérent et résiduel est-elle importante ?
Parce qu’elle permet de mesurer l’efficacité des contrôles et de justifier leur coût. Elle permet aussi de distinguer ce qui relève de l’appétence (ce que l’organisation accepte de risquer) et ce qui relève de la tolérance (ce qu’elle risque effectivement après contrôles).
Pour aller plus loin
-
Risque et opportunité — pourquoi la confusion des registres affaiblit le risk management.
-
L’évaluation des risques — comment apprécier le niveau d’exposition aux risques.
-
Le recensement des risques — les approches classiques et leurs limites.
-
Le diagramme de Pareto — ce que le 80/20 fait bien (et ce qu’il ne peut pas voir).
-
SWOT Analysis — ce que cet outil fait bien (et ce qu’il ne peut pas faire).
-
Le Guide du manager systémique — comprendre les organisations comme des systèmes. À paraître.
Cet article fait partie du parcours « Management des risques ». Il analyse une distinction fondamentale et ses implications pour le pilotage.
