L’activité d’analyse du risque s’inscrit dans le processus de management du risque. Elle a pour objectif, à partir de la liste des risques identifiés, d'évaluer la criticité de chacun des risques en fonction de différents critères préétablis (probabilité d’occurrence, impact, détectabilité, etc.).
Cette analyse doit permettre de répondre aux questions suivantes :
- Quelle est la probabilité que le risque se produise ?
- Quel est l'impact du risque ?
- Quand et comment peut-on le détecter ?
- De combien de temps disposons-nous pour faire face au risque ?
- Est-ce qu’il existe des facteurs pouvant atténuer l’impact du risque ou réduire la probabilité d’occurrence du risque ?
Cette analyse permettra de hiérarchiser les risques et de définir quels seront les risques à traiter et dans quel ordre.
Les bénéfices du management du risque sont donc multiples, entre autres :
- comprendre le risque et son impact sur les objectifs ;
- apporter une source d’information pour les décideurs ;
- contribuer à la compréhension du risque et donc choisir les meilleures options de traitement ;
- identifier les contributeurs de risques et les faiblesses de l’organisme.
Processus de management du risque selon ISO 31000
L’analyse de risque, si elle se veut efficace, doit s’intégrer dans le processus de management du risque. Aussi, la réussite d’une analyse de risque dépend de la communication et de la consultation des parties prenantes. Il convient, entre autres, de définir un plan de communication et de définir le contexte de l’organisme (interne et externe).
L’identification du risque peut provenir de différentes sources :
- documents d’organisme tels que les comptes rendus, les retours d’expériences ou les check-lists ;
- approche systémique des processus de l’organisme. Le groupe identifie les risques à chaque étape des processus et pas à pas ;
- outils d’identification inductifs, c’est-à-dire par l’observation des faits (méthode HAZOP…) ;
- diverses techniques : brainstorming, méthode Delphi…
L’analyse du risque consiste à définir les conséquences (gravité) et les probabilités d’occurrence en tenant compte de la présence ou non de contrôles existants. Cette analyse peut être :
- qualitative (entretien, collecte de données…) ;
- semi-quantitative (HAZOP semi-quantitatif…) ;
- quantitative.
L’évaluation du risque se fera à l’aide d’outils (AMDEC, arbre des causes…), mais également à l’aide d’experts (consultant, ingénieurs…) selon les besoins.
La documentation inhérente au processus d’analyse du risque peut contenir les objectifs et le domaine d'application, la méthodologie d'évaluation, les données, les hypothèses, leurs sources et la validation, les résultats de l'analyse des risques et leur évaluation, les conclusions et recommandations des experts, les diverses références.
