La matrice des risques

Une matrice des risques dresse un inventaire des principaux risques pouvant altérer le bon fonctionnement d’une organisation, voire compromettre sa survie.
Outil stratégique, il permet aussi de venir alimenter et challenger le SWOT de l’organisation.

La matrice des risques permet l’identification des risques, leur appréciation et la mise en place de mesures préventives réduisant leur survenue et/ou leur gravité. Les principales catégories permettant de décrire les risques sont :

– Niveau de l’organisation & processus concerné (domaine, secteur)
– Numéro et intitulé du risque
– Description du risque et causes probables
– Évaluation du risque : Probabilité x gravité = criticité
– Mesures correctives ou préventives
– Responsabilité et fréquence du contrôle
– Évaluation du risque résiduel : probabilité x gravité = criticité
– Procédure en cas de survenue

La criticité est quant à elle définie comme la multiplication de la probabilité de la survenue d’un risque par la gravité de ses conséquences : probabilité × gravité = criticité.
L’exemple ci-dessous illustre un exemple théorique de matrice des risques pour une organisation.

Le nombre de risques pouvant être relativement important, pour une lecture facilitée, la criticité et la criticité résiduelles peuvent être mises en valeur par des couleurs, allant du vert au rouge.

De même, les risques peuvent être représentés dans une matrice distribuant les risques selon le même code couleur. Dans ce schéma, les risques peuvent être considérés selon 4 zones :

– Les risques peu probables mais critiques (haut ; gauche) : s’assurer de leur couverture pour en réduire l’impact ;
– Les risques probables et critiques (haut ; droite) : prendre toutes les mesures possibles pour les éviter et en réduire d’impact ;
– Les risques peu probables et mineurs (bas ; gauche) : accepter les risques ;
– Les risques probables mais mineurs (bas ; droite) : prévenir les risques en en réduisant la probabilité.

Commentaire
Nombre de matrices des risques sont des faire-valoir des SCI (système de contrôle interne) et sommeillent au fond d’un tiroir jusqu’à ce qu’une réelle crise ne survienne. Pour y remédier, il faut au minimum tenir compte des éléments suivants :

– Une analyse des risques ne supprime pas les risques ; elle en réduit possiblement la probabilité et l’impact : une matrice des risques n’économise donc pas de la nécessité à mettre en place une gestion de crise.
– Éviter la politique de l’autruche : passer régulièrement en revue les risques potentiels, même improbables, et mettre à jour la matrice.
– Lors d’événements s’apparentant à un risque identifié dans la matrice, revoir l’analyse des risques pour capitaliser sur les apprentissages du contexte et du traitement de l’événement.