En bref. Les normes de management n’imposent aucune méthode d’analyse de risque. Elles imposent d’en avoir une, de l’appliquer aux enjeux identifiés, d’en tirer des actions et de vérifier que ces actions ont servi à quelque chose.
L’exigence a remplacé les anciennes actions préventives. Elle est souvent traitée comme un tableau à remplir une fois par an, alors qu’elle est censée orienter les décisions du système tout entier.
De quoi parle-t-on
Le risque, au sens des normes de management, n’est pas seulement un danger : c’est l’effet de l’incertitude sur l’atteinte des objectifs. Il peut donc être négatif — un risque à traiter — ou positif : une opportunité à saisir. Cette symétrie est explicitement demandée, et presque toujours oubliée.
Elle a une conséquence pratique : un tableau qui ne contient que des menaces montre une lecture partielle de l’exigence.
D’où viennent les risques à analyser
Ils ne se devinent pas. Ils se déduisent de deux analyses préalables que la norme demande également :
- les enjeux internes et externes — marché, réglementation, technologie, ressources, dépendances ;
- les parties intéressées pertinentes et leurs attentes — clients, personnel, autorités, banques, riverains, donneurs d’ordre.
Ces analyses se complètent processus par processus, à partir de la cartographie. C’est le seul moyen d’éviter le tableau générique qui pourrait s’appliquer à n’importe quelle entreprise du secteur.
Une méthode suffit
La norme laisse le choix. Une échelle simple à deux dimensions convient à la plupart des organisations.
| Étape | Ce qu’on produit |
|---|---|
| Identifier | L’événement redouté, formulé de manière concrète |
| Analyser | Vraisemblance et gravité, selon une échelle définie une fois pour toutes |
| Évaluer | Comparaison au niveau que l’organisation accepte de supporter |
| Traiter | Éviter, réduire, transférer, ou accepter en connaissance de cause |
| Suivre | Revue périodique et après tout changement significatif |
Le point le plus souvent négligé est l’échelle. Sans définition écrite de ce que signifient « grave » ou « probable », deux personnes cotent différemment le même risque et le tableau perd toute valeur comparative.
Formuler un risque correctement
« Risque informatique » n’est pas un risque : c’est un domaine. Un risque exploitable comporte trois éléments — un événement, une cause plausible, une conséquence sur un objectif.
- Faible : « risque fournisseur ».
- Exploitable : « rupture d’approvisionnement d’un composant à source unique, entraînant l’arrêt d’une ligne et le retard des livraisons contractuelles ».
La seconde formulation permet immédiatement de décider : chercher une seconde source, constituer un stock de sécurité, négocier une clause, ou accepter le risque. La première ne permet rien.
L’acceptation est une décision
Accepter un risque est une option légitime, à condition qu’elle soit explicite, motivée et validée au bon niveau. C’est exactement ce qu’un auditeur vérifie : non pas que tous les risques aient été traités, mais que ceux qui ne l’ont pas été l’aient été sciemment.
Une organisation qui affiche un plan de traitement pour la totalité de ses risques a généralement sous-évalué la cotation pour ne pas avoir à décider.
Faire vivre l’analyse
Une analyse de risque révisée uniquement avant l’audit ne remplit pas sa fonction. Trois déclencheurs devraient l’ouvrir :
- un changement significatif — nouveau marché, nouveau site, nouvel outil, départ d’une compétence rare ;
- une non-conformité sérieuse, qui pose la question de savoir pourquoi le risque n’avait pas été anticipé — voir non-conformité et action corrective ;
- la revue de direction, qui examine l’efficacité des traitements décidés — voir revue de direction.
Risques et référentiels spécifiques
Chaque norme oriente l’analyse vers son domaine, sans changer la logique : impacts environnementaux pour ISO 14001, dangers pour la santé et la sécurité des personnes pour ISO 45001, risques pesant sur la confidentialité, l’intégrité et la disponibilité de l’information pour ISO/IEC 27001. Une organisation certifiée sur plusieurs référentiels a tout intérêt à tenir un dispositif unique plutôt que trois tableaux parallèles.
Les risques financiers et fiscaux, eux, s’analysent utilement avec un conseil externe : au Maroc, un cabinet d’expertise comptable apporte une lecture des engagements et des obligations déclaratives que l’analyse interne couvre rarement correctement.
Questions fréquentes
Faut-il un logiciel de gestion des risques ?
Non. Un tableau maîtrisé, avec une échelle définie et un historique des révisions, satisfait l’exigence. L’outil devient utile quand le nombre de risques et le nombre de contributeurs rendent le suivi manuel coûteux, pas avant.
Combien de risques faut-il identifier ?
Aucun nombre n’est attendu. Un registre de plusieurs centaines de lignes n’est plus lu ; un registre de cinq lignes ne couvre pas l’activité. Ce qui compte est la cohérence avec les enjeux identifiés et la capacité à en tirer des décisions.
Qui doit conduire l’analyse ?
Les pilotes de processus pour leur périmètre, la direction pour les risques d’entreprise. Une analyse rédigée par le seul responsable qualité produit un document exact et sans effet, parce que personne d’autre ne s’y reconnaît.
Comment prouver l’efficacité du traitement ?
En rattachant le risque à un indicateur existant ou à un événement observable, et en constatant l’évolution après mise en œuvre. Si aucune donnée ne permet de le faire, c’est que le risque a été formulé trop vaguement pour être piloté.
En résumé
L’approche par les risques n’est pas un formalisme supplémentaire : c’est ce qui permet de justifier le reste du système — pourquoi ce processus est audité plus souvent, pourquoi cette activité fait l’objet d’une procédure écrite, pourquoi cette compétence est doublée. Sans elle, chaque exigence devient arbitraire. Le cadre commun des normes de systèmes de management est présenté par l’Organisation internationale de normalisation.