Référentiel de gestion du risque et cartographie globale des risques

La mise en œuvre d’un système de management du risque commence bien souvent par l’établissement d’une première cartographie globale des risques, c'est-à-dire par une identification la plus exhaustive possible des risques encourus par l’organisme puis une évaluation des risques ainsi identifiés. C’est du moins ce que préconise la norme ISO 31000, consacrée au sujet et parue début 2010 qui, pour mémoire, demande « de dresser une liste exhaustive des risques basée sur les événements susceptibles de provoquer, de stimuler, d'empêcher, de gêner, d'accélérer ou de retarder l'atteinte des objectifs [...] que leur source soit ou non sous le contrôle de l'organisme [...] ».

Nous allons dans cet article tenter de décrire comment organiser un projet de cartographie, mais surtout quels sont les préalables nécessaires à la mise en œuvre d’un tel projet.

Comment initier la démarche ? Quels acteurs devons-nous réunir ? Pouvons-nous arriver en réunion avec une page blanche et demander sans ambages aux participants de nous dire les risques et ce qu’ils pensent de leur gravité ? Ne risquons-nous pas un résultat très partiel, basé sur des évènements récents, sur des craintes, voire des « dada » individuels ? Comment ensuite s’assurer que le mot « grave » à la même signification pour tous autour de la table ? Certes, il existe des évènements référence, effectivement inscrits dans la mémoire collective de l’organisme. Mais le contexte est-il le même que celui qui a prévalu à la survenance de ces évènements ? La gravité qu’ont alors eue ces évènements serait-elle la même aujourd’hui ?

Avant de répondre à toutes ces questions, il nous faut d’abord affirmer que l’appréhension du risque est toujours subjective, que l’appétence au risque diffère d’un individu à l’autre : ce qui est perçu comme majeur par l’un d’entre nous peut être considéré comme parfaitement dérisoire par un autre, et vice versa. Appréhension et appétence sont l’agrégation d’une foultitude de critères. Certains de ces critères fondent ce que nous sommes : notre éducation, nos études, nos valeurs, nos expériences, nos convictions, etc. D’autres sont beaucoup plus contextuels ou conjoncturels, intra ou extraprofessionnels : nos motivations professionnelles, notre situation personnelle, notre état de santé, etc.

Il devient donc évident que, pour établir une cartographie, il va falloir organiser l’évaluation des risques de façon à composer avec cette réalité. Il va falloir trouver des éléments rationnels qui permettent à chacun de comprendre et de partager les résultats d’une évaluation produite par d’autres. Certaines de nos entreprises manquent certes d’analyses des risques. Mais beaucoup d’autres, et particulièrement les plus importantes, souffrent au contraire d’en avoir beaucoup, sans toutefois avoir la clé de lecture permettant de rapprocher l’évaluation faite par Mr X de celle réalisée par Mr Y. Pourtant c’est « cette clé » qui fait de l’évaluation des risques un véritable outil d’aide à la décision. C’est « cette clé » qui conférera à la gestion des risques le titre de système de management. Elle permettra à tous de partager une même vision des risques auxquels l’organisme est exposé, qu’ils soient stratégiques ou opérationnels, financiers ou techniques, et d’agir ensemble, de manière cohérente, à réduire ces risques. En effet, un des grands enjeux du management du risque est sans aucun doute de passer d’une gestion individuelle et intuitive des risques à une maîtrise collective et coordonnée du risque.

Repositionnons maintenant cet article comme le second d’une série de trois, tous consacrés à la problématique du risque. Le premier de ces articles [G 9 000] nous a permis de poser les concepts liés à la notion de risque, de donner quelques définitions clés, puis de résumer les recommandations et attendus de la norme EN NF ISO 31000. Naturellement, nous y ferons fréquemment référence ici. Une fois le référentiel de gestion des risques construit et la première cartographie établie, objets du présent document, le troisième article [G 9 200] s’attachera à décrire comment organiser le management du risque de façon à ce qu’il imprègne le quotidien de l’entreprise, le fonctionnement des processus, le déroulement des projets, les choix de ressources, etc.

Rappelons pour finir cette introduction que notre sujet est ici d’aborder le management du risque, de tous les risques. Il ne se limite donc pas aux risques SST (santé et sécurité au travail) ou aux risques environnementaux.