Management des risques : l’essentiel à savoir (2023)

Q: Quelles sont les compétences à avoir pour manager des risques ?

Occuper un rôle d’expert en risk management suppose au préalable l’acquisition de compétences spécifiques. Selon l’école des Arts et Métiers, il est utile d’avoir une expérience en gestion de projet. Mais aussi un bon relationnel, ainsi qu’un esprit rationnel à même de planifier sur le long cours. Surtout, un expert en risk management doit être formé à la méthodologie d’analyse et de contrôle des décisions et des risques associés.

Le risque est une composante indissociable de l’activité économique. Toute organisation qui veut rester compétitive doit donc être apte à déployer un plan de management des risques à chaque nouveau projet. Ci-dessous, on vous recense l’essentiel à savoir sur ce processus et ses objectifs.

Sommaire

Qu’est-ce que le management des risques ?

Au quotidien, le risque est partout autour de nous. Il y a des risques naturels, comme les incendies, les inondations, ou les séismes. Et il y a les risques industriels, liés aux produits chimiques et aux machines que les usines utilisent. C’est pour cette raison que les pouvoirs publics organisent des plans de gestion des risques. En vue de protéger la santé et le matériel des particuliers.

De la même façon, une entreprise doit composer avec le risque dans chacune de ses activités. Pour cela, elle fait appel à des experts en management des risques. Dans certains secteurs économiques, le management des risques est d’ailleurs imposé par la loi, et répond à des critères normés (on parle des « normes ISO 31000 »). En effet, dans certaines structures, on exige un haut niveau de sécurité.

Dans le cadre d’un projet d’entreprise, l’objectif premier du management des risques est d’identifier les risques potentiels et d’évaluer leur impact financier. Cela permet à l’entreprise de calculer l’espérance de gain liée aux projets qu’on lui soumet. Et ceci dans le but de ne sélectionner que les plus avantageux.

Par exemple, imaginons qu’une entreprise ait le choix entre deux projets. Sur le papier, le projet A est plus rentable que le projet B. Sans évaluation des risques, l’entreprise pourrait, a priori, tendre à le préférer. Mais si après évaluation, il apparaît que le projet A est beaucoup plus risqué, il faudra revoir son espérance de gain à la baisse, pour tenir compte de la fréquence où un ennui arrivera. Le projet A pourrait ainsi, finalement, s’avérer moins rentable statistiquement que le projet B, même s’il est plus rémunérateur au cas où tout se passe bien.

Les experts en management des risques ont une autre fonction : œuvrer pour réduire les facteurs de risques et leur impact potentiel. Pour cela, ils ont plusieurs cordes à leur arc. Par exemple, ils peuvent conseiller à l’entreprise l’emploi d’un outil ou d’une stratégie plutôt qu’une autre. En cas ou on démontre que ce choix implique une plus grande protection face au risque. Ils peuvent aussi mettre en place des solutions de secours en cas de problème.

Si, par exemple, le risque concerne une rupture de stock chez le fournisseur principal de l’entreprise, un conseiller en risk management pourra, en amont, superviser la contractualisation avec un fournisseur alternatif pour éviter la rupture d’approvisionnement pendant le suivi du projet.

Focus sur les différents types de management des risques

Pour caractériser un risque, on se fonde sur trois critères.

L’identification d’un probable événement futur,
Une probabilité d’occurrence quantifiée entre 0 et 1
Impact de cet événement au potentiel négatif sur les finances de l’organisation concernée

Le risque ne doit pas être confondu avec d’autres concepts qui lui sont proches, tels que l’imprévu, l’aléa et le problème. L’imprévu est un événement négatif qu’on n’a pas su identifier (« prévoir ») en amont. Contrairement au risque qui lui, est conscientisé. L’aléa est un événement qu’on a pu identifier en amont, mais dont on ne connaissait pas la probabilité d’occurrence. Et enfin, le problème est un événement négatif dont la survenue est certaine (probabilité d’occurrence égale à 1).

Il faut aussi noter que, en management des risques, on connaît un concept miroir de celui de risque : l’opportunité. Une opportunité est un événement futur incertain, qu’on a pu identifier et dont a pu quantifier la chance d’occurrence. À l’inverse du risque, il a un impact positif sur les finances de l’organisation.

Ci-dessous, une liste des risques les plus fréquemment identifiés dans le contexte d’une gestion de projet.

Risques stratégiques

Les risques stratégiques comprennent tous les événements potentiels qui risquent de remettre en cause la stratégie globale d’un projet. On compte dans ce type de risques les failles humaines liées à une méthode inadaptée, ou à des objectifs trop exigeants. On compte aussi les bouleversements de marché forçant à s’adapter vite, tels que l’arrivée d’un nouveau concurrent ou une chute drastique du volume de demande.

Risques juridiques

De bien des façons, le droit contraint l’activité des entreprises.

Par exemple, l’arrivée des RGPD a contraint les entreprises du web à modifier leurs services et leurs produits, parfois drastiquement, pour continuer à les distribuer.

Risques liés à l’environnement

On entend ici environnement au sens large. En effet, ces risques dépassent le cadre de l’entreprise et du marché sur lequel elle évolue. On compte dans les risques liés à l’environnement les krachs boursiers, les conflits et les guerres ou l’instabilité politique.

Risques informatiques et techniques

Ces risques sont liés à une défaillance des outils utilisés dans le cadre d’un projet. Cette défaillance peut être inhérente au système d’information de l’entreprise, ou de cause malveillante (cyberattaque, sabotage technique, …).

Risques opérationnels

Enfin, les risques opérationnels sont liés au personnel de l’entreprise. Ils concernent une baisse de productivité liée à des évènements comme les départs d’agents centraux de l’entreprise, à des périodes de vacances, à des mouvements syndicaux …

Les quatre grandes étapes du management des risques

Le management des risques est une méthode qui ne s’improvise pas. Au contraire, l’analyse et la prévention des risques obéissent à un cadre méthodologique strict. En principe, le management global des risques, dans le cadre d’un projet, se déroule en quatre étapes.

Nous vous résumons l’objectif de chaque étape ci-dessous :

Étape #1 : identification des risques

Cette étape correspond à une phase d’analyse. Elle doit ainsi se dérouler en amont du projet. Sa fonction est d’identifier les différents risques encourus, et d’y apporter une réponse.

Durant cette étape, toute l’équipe du projet participe. Souvent dans le cadre de brainstorming, chaque membre de l’équipe est amené à exploiter son expertise pour identifier les risques sur son activité technique.

C’est le risk manager qui supervise le tout, qui recense les risques dans une grille de cotations des risques, et qui établit leur plan de traitement. Pour qu’un risque soit correctement recensé, son descriptif doit être le plus précis possible. Les causes de ces risques, et ses potentielles conséquences doivent aussi être évaluées. On rattache ainsi le risque à l’objectif du projet sur lequel il risque d’avoir un impact (échéance, gestion des ressources humaines …).

Enfin, un plan de traitement est défini par le risk manager. Pour chaque risque, le risk manager désigne ainsi un pilote, qui sera chargé de mettre en œuvre, au besoin, le plan de traitement. La plupart du temps, le pilote est un membre de l’équipe du projet. Mais au sein de grandes entreprises, des collaborateurs peuvent être dévolus à ce rôle précis.

Étape #2 : évaluation des risques

Une fois les risques d’un projet identifiés, il faut évaluer leur impact. L’évaluation des risques a deux pendants : quantitatif et qualitatif.

L’évaluation qualitative des risques

L’évaluation qualitative des risques s’intéresse d’abord à la probabilité d’occurrence de l’événement redouté. Pour l’estimer, on se fonde typiquement sur le retour d’expérience du pilote du risque identifié, sur la parole d’un expert externe à l’entreprise, ou sur des statistiques traitées par le risk manager.

La probabilité d’occurrence d’un risque est toujours comprise entre 0 et 1, et souvent exprimée en %.

Par ailleurs, l’évaluation quantitative d’un risque tient compte de la gravité de ses conséquences. Pour la noter, on emploie une échelle propre à chaque projet. Cette échelle hiérarchise l’impact de chaque risque relativement aux autres.

On considère que plus la probabilité d’occurrence et la gravité de son impact sont élevées, plus le niveau de protection doit être élevé.

L’évaluation qualitative des risques

L’évaluation quantitative sert à estimer les conséquences financières de chaque risque. Pour ce faire, il faut estimer le coût du plan de traitement associé à ce risque.

Cela peut se matérialiser par des heures supplémentaires d’ingénierie, par de la sous-traitance, ou par le versement d’avenants sur un contrat de livraison prenant du retard. L’évaluation quantitative des risques doit aider l’entreprise à mettre en réserve budgétaire des provisions suffisantes.

Étape #3 : traitement des risques

Le traitement des risques correspond à une stratégie de réponse au risque, prévue en amont. Quatre processus sont possibles :

L’acceptation, qui consiste simplement à ne rien faire, et poursuivre le projet normalement.
La réduction du risque. Elle se divise en actions de prévention, qui servent à réduire la probabilité d’occurrence d’un événement, et en actions de mitigation, qui servent à réduire la gravité de son impact.
Le transfert de responsabilité (par exemple, via la souscription à un contrat d’assurance)
L’éviction. Elle a pour but de contourner le risque par une déviation de la stratégie globale du projet. De la sorte l’incertitude est totalement éliminée, au prix d’un coût fixe supplémentaire.

Étape #4 : monitoring et reporting des risques

Enfin, le reporting des risques est assuré pendant tout le déroulé du projet, en temps réel. Il résulte de la collaboration entre le risk manager et le chef de projet.

Ainsi, le second fait remonter au premier les informations permettant de réévaluer les facteurs de risques. Ces informations sont transmises par les membres de l’équipe à chaque réunion.

Cela doit permettre au risk manager de réévaluer, en continu, la probabilité d’occurrence de chaque risque, ainsi que la gravité de son impact. Ce travail de monitoring est indispensable pour déclencher à temps les plans de traitement nécessaires.

FAQ – Management des risques

Dans quels cas la gestion des risques s’impose-t-elle ?

Toute organisation peut trouver des avantages dans la mise en place d’un plan de gestion des risques. Les experts en management des risques interviennent d’ailleurs aussi bien auprès d’entreprises privées que de services publics, dans le cadre d’aménagements urbains, de politiques de santé ou de transport.
Sachez toutefois que la loi impose le management des risques dans certaines situations, pour des raisons de sécurité publique. Par exemple, le président du conseil d’administration de chaque entreprise cotée en Bourse doit régulièrement rendre compte des moyens déployés pour gérer les risques financiers qui la concernent.

Quelles sont les compétences à avoir pour manager des risques ?

Occuper un rôle d’expert en risk management suppose au préalable l’acquisition de compétences spécifiques. Selon l’école des Arts et Métiers, il est utile d’avoir une expérience en gestion de projet. Mais aussi un bon relationnel, ainsi qu’un esprit rationnel à même de planifier sur le long cours. Surtout, un expert en risk management doit être formé à la méthodologie d’analyse et de contrôle des décisions et des risques associés.