Déploiement d'un système de management du risque

La norme ISO 31000, consacrée au management du risque, préconise de dresser une liste exhaustive des risques auxquels l’organisme est exposé, en identifiant puis en évaluant l’ensemble des évènements redoutés, c’est-à-dire les menaces potentielles pesant sur l’atteinte des objectifs ; que ces menaces soient endogènes ou exogènes et quel que soit le niveau de maîtrise du risque que l’organisme possède ou peut espérer posséder. Respecter cette préconisation aboutit à la mise en place d’une cartographie globale des risques, livrable dont le client est la direction. Elle lui donne une vision synthétique de la vulnérabilité de l’organisme, de l’entreprise, de l’association… peu importe la forme juridique. Celle-ci change peut-être la nature de certains risques mais ne modifie pas la méthodologie d’appréciation des risques. L’établissement d’une cartographie globale des risques était l’objet de notre précédent article  [G 9 010] .

Mais, l’objectif de la norme 31000 (que nous avons présentée et commentée dans le tout premier article  [G 9 000] de cette « série ») est surtout la mise en œuvre d’un système de management. Certes, puisque l’on sait que l’implication de la direction conditionne la réussite d’un système de management, il est habile de proposer au dirigeant un outil adapté à son niveau de préoccupation. C’est un bon début. Toutefois, le déploiement d’un véritable système de management suppose que chaque acteur de l’organisme, quel que soit son poste, participe à la démarche et dispose d’outils l’aidant à mieux maîtriser les risques présents dans son périmètre de responsabilité. Or, la cartographie globale des risques ne fournit pas au management intermédiaire les éléments d’analyse qui lui permettront d’agir sur ses risques. Par exemple, chacun des processus y est sommairement représenté, souvent par une seule cotation résumant la solidité dudit processus. C’est peu pour engager des actions de progrès basées sur une réduction des risques...