Aucune organisation n’échappe à l’incertitude : évolution des réglementations, défaillance d’un fournisseur, départ d’une compétence clé. Les normes récentes de systèmes de management ont fait de l’« approche par les risques » un élément central de la planification, plutôt que d’attendre que les problèmes surviennent.
Qu’est-ce qu’un risque ?
Dans les normes internationales, le risque est défini comme « l’effet de l’incertitude » sur les objectifs. Cet effet peut être négatif — ce que l’on appelle habituellement un risque — ou positif, c’est-à-dire une opportunité.
La norme ISO 31000, consacrée au management du risque, précise qu’un effet est un écart par rapport à ce qui est attendu, et que le risque s’exprime généralement en termes de sources de risque, d’événements potentiels, de leurs conséquences et de leur vraisemblance. Le risque n’est donc pas l’événement seul, mais l’événement associé à son effet sur ce que l’organisation cherche à accomplir.
Dans l’ISO 9001 : la prévention intégrée à la planification
L’ISO 9001 place l’approche par les risques au cœur du système de management de la qualité : l’action préventive n’y fait plus l’objet d’un article distinct, elle est intégrée à la planification courante. La norme demande à l’organisation de déterminer les risques et opportunités à prendre en compte, de planifier des actions proportionnées à leur impact potentiel sur la conformité des produits et services, puis d’évaluer l’efficacité de ces actions. Elle n’exige ni méthode formelle ni processus documenté de management des risques : chaque organisation reste libre de choisir une démarche adaptée à sa taille et à ses activités.
Une démarche pratique
- Identifier : qu’est-ce qui pourrait nous empêcher d’atteindre nos objectifs ou la qualité de nos services ? L’examen des réclamations et incidents passés, ainsi que des séances d’échange avec ceux qui font le travail, sont précieux à cette étape.
- Évaluer : quelle est la probabilité ? quelle serait la gravité ? Une matrice probabilité × impact suffit souvent.
- Traiter : éviter le risque, le réduire, le transférer ou l’accepter en connaissance de cause.
- Suivre : les actions ont-elles été efficaces ? De nouveaux risques sont-ils apparus ?
L’ISO 31000 encadre ces étapes par d’autres éléments : le processus commence par la définition du domaine d’application, du contexte et des critères de risque, qui garantissent que chacun évalue les risques avec la même échelle ; il est accompagné en permanence par la communication et la consultation avec les parties intéressées, ainsi que par l’enregistrement et l’élaboration de rapports, car des risques ignorés de ceux qui font le travail se gèrent difficilement.
Dans une matrice probabilité × impact, chaque facteur est coté sur une échelle simple à trois ou cinq niveaux, et leur croisement dans la grille donne le niveau de risque : les risques élevés sont traités en priorité, les risques moyens sont surveillés et les risques faibles peuvent être acceptés. L’ISO 9001 cite des options de traitement plus larges, notamment éliminer la source de risque, modifier la probabilité ou les conséquences, partager le risque avec d’autres parties, voire prendre un risque calculé pour saisir une opportunité.
Les résultats sont généralement consignés dans un registre des risques : le risque, sa cause, son effet, sa cotation, le traitement retenu, le responsable et la date de revue. Dans les activités techniques et de conception, on recourt souvent à l’AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité), qui évalue chaque mode de défaillance potentiel selon la gravité de son effet, sa probabilité d’occurrence et la possibilité de le détecter avant qu’il n’atteigne l’usager.
Exemples
Une petite entreprise industrielle dépend d’un fournisseur unique pour une matière essentielle. Probabilité moyenne, impact élevé car la production s’arrêterait. Traitement : qualifier un second fournisseur, garder un stock de sécurité, réexaminer la situation chaque trimestre. Le risque est réévalué après la mise en œuvre de ces mesures, pour vérifier que son niveau a réellement baissé.
Dans un centre de formation, un risque majeur peut être l’absence du formateur juste avant une session programmée. La probabilité est moyenne ; l’impact est élevé, car les stagiaires se déplaceraient pour rien et la réputation du centre en pâtirait. Traitement : tenir une liste de formateurs suppléants qualifiés, documenter les supports de formation pour qu’une autre personne que leur auteur puisse les animer, et prévoir une procédure pour prévenir rapidement les stagiaires de tout changement. Ce risque s’accompagne d’une opportunité : des supports documentés facilitent aussi l’organisation de la même formation ailleurs.
N’oubliez pas les opportunités
L’approche par les risques n’est pas du pessimisme. Les changements peuvent aussi porter des opportunités : une nouvelle technologie, une nouvelle demande des usagers, un partenariat possible.
L’ISO 9001 donne des exemples d’opportunités : adopter de nouvelles pratiques, lancer de nouveaux produits, ouvrir de nouveaux marchés, toucher de nouveaux clients, nouer des partenariats ou utiliser de nouvelles technologies. Il est donc judicieux que chaque revue pose deux questions parallèles : qu’est-ce qui pourrait mal tourner ? Et qu’est-ce qui pourrait s’améliorer si l’on s’y préparait bien ?
L’objectif n’est pas d’éliminer tous les risques, mais de décider à leur sujet en toute conscience.
Erreurs fréquentes
- Faire du registre des risques un document préparé pour l’audit, puis oublié.
- Coter probabilité et impact sans critères communs, si bien que l’évaluation varie d’une personne à l’autre.
- Ne considérer que les risques négatifs et ignorer les opportunités.
- Valider des actions de traitement sans responsable, sans échéance et sans indicateur de suivi.
- Compliquer la démarche à l’excès, alors qu’une méthode simple et régulière suffit à une petite organisation.
