Référentiel de gestion du risque et cartographie globale des risques

La mise en œuvre d’un système de management du risque commence bien souvent par l’établissement d’une première cartographie globale des risques, c'est-à-dire par une identification la plus exhaustive possible des risques encourus par l’organisme puis une évaluation des risques ainsi identifiés. C’est du moins ce que préconise la norme ISO 31000, consacrée au sujet et parue début 2010 qui, pour mémoire, demande « de dresser une liste exhaustive des risques basée sur les événements susceptibles de provoquer, de stimuler, d'empêcher, de gêner, d'accélérer ou de retarder l'atteinte des objectifs […] que leur source soit ou non sous le contrôle de l'organisme […] ».

Nous allons dans cet article tenter de décrire comment organiser un projet de cartographie, mais surtout quels sont les préalables nécessaires à la mise en œuvre d’un tel projet.

Comment initier la démarche ? Quels acteurs devons-nous réunir ? Pouvons-nous arriver en réunion avec une page blanche et demander sans ambages aux participants de nous dire les risques et ce qu’ils pensent de leur gravité ? Ne risquons-nous pas un résultat très partiel, basé sur des évènements récents, sur des craintes, voire des « dada » individuels ? Comment ensuite s’assurer que le mot « grave » à la même signification pour tous autour de la table ? Certes, il existe des évènements référence, effectivement inscrits dans la mémoire collective de l’organisme. Mais le contexte est-il le même que celui qui a prévalu à la survenance de ces évènements ? La gravité qu’ont alors eue ces évènements serait-elle la même aujourd’hui ?

Avant de répondre à toutes ces questions, il nous faut d’abord affirmer que l’appréhension du risque est toujours subjective, que l’appétence au risque diffère d’un individu à l’autre : ce qui est perçu comme majeur par l’un d’entre nous peut être considéré comme parfaitement dérisoire par un autre, et vice versa . Appréhension et appétence sont l’agrégation d’une foultitude de critères. Certains de ces critères fondent ce que nous sommes : notre éducation, nos études, nos valeurs, nos expériences, nos convictions, etc. D’autres sont beaucoup plus contextuels ou conjoncturels, intra ou extraprofessionnels : nos motivations professionnelles, notre situation personnelle, notre état de santé, etc.

Il devient donc évident que, pour établir une cartographie, il va falloir organiser l’évaluation des risques de façon à composer avec cette réalité. Il va falloir trouver des éléments rationnels qui permettent à chacun de comprendre et de partager les résultats d’une évaluation produite par d’autres. Certaines de nos entreprises manquent certes d’analyses des risques. Mais beaucoup d’autres, et particulièrement les plus importantes,...