Cartographie des risques : méthode, matrice et exemple concret

La cartographie des risques est un outil qui recense les événements susceptibles de perturber une activité, puis les classe selon leur probabilité et la gravité de leurs conséquences. Elle associe généralement une liste détaillée à une matrice visuelle. Son objectif : décider quels risques traiter en priorité, avec quelles actions et sous la responsabilité de qui.

Pour la construire, délimitez l’activité étudiée, identifiez les scénarios de risque, attribuez-leur des notes communes et examinez les mesures déjà en place. La matrice facilite ensuite la décision, mais c’est le plan d’action qui transforme le diagnostic en mesures concrètes.

À quoi sert une cartographie des risques ?

Une entreprise ne peut pas traiter tous ses risques en même temps. La cartographie rend les arbitrages visibles : elle montre les événements à prévenir, leurs conséquences possibles et les dispositifs qui limitent déjà leurs effets.

Elle aide notamment à protéger la continuité d’activité, à préparer les décisions de la direction et à orienter les contrôles. Elle peut aussi soutenir une démarche de conformité, sans remplacer les analyses ou documents propres à une obligation particulière.

Son usage dépasse les risques financiers. Elle peut porter sur un processus d’achat, un projet informatique, la sécurité des personnes ou la qualité d’un service. Le niveau de détail dépend de la décision recherchée : une direction peut comparer de grandes familles de risques, tandis qu’une équipe opérationnelle a besoin de scénarios assez précis pour agir.

Comment construire une cartographie des risques en 6 étapes ?

1. Définir le périmètre et les exclusions

Commencez par formuler la question à laquelle la carte doit répondre. Par exemple : « Quels événements peuvent empêcher notre entreprise de livrer ses clients ? » Précisez ensuite les activités, les sites, la période étudiée et les objectifs concernés.

Notez aussi ce qui reste hors champ. Une cartographie des livraisons peut couvrir les fournisseurs et le transport, tout en excluant le lancement de nouveaux produits. Cette limite évite de présenter une analyse partielle comme une vue complète de l’entreprise.

Désignez un pilote pour organiser les travaux et réunir les décisions. Associez les responsables des activités étudiées et des personnes qui connaissent le terrain. La direction arbitre les priorités et les ressources ; les équipes décrivent les situations et les contrôles réels.

2. Identifier des scénarios précis

Listez les événements redoutés à partir d’entretiens, de questionnaires, de l’analyse des pratiques et des réclamations. Reprenez aussi les incidents connus et les difficultés remontées par les équipes. Cherchez ce qui pourrait se produire, même si l’événement n’a pas encore eu lieu dans votre organisation.

Formulez chaque risque avec une cause, un événement et une conséquence. « Défaillance d’un fournisseur unique entraînant une rupture de stock et un retard de livraison » est plus exploitable que « risque fournisseur ». Distinguez les scénarios qui n’appellent pas les mêmes actions.

3. Choisir une échelle de cotation commune

Attribuez une note de probabilité et une note de gravité à chaque scénario. Une échelle de 1 à 5 offre une lecture assez fine, à condition de définir les niveaux avant de noter les risques.

Pour la probabilité, vous pouvez aller de 1, « très improbable », à 5, « très probable », sur la période retenue. Pour la gravité, allez de 1, « effet mineur », à 5, « effet critique ». Décrivez les niveaux intermédiaires avec des repères adaptés à votre activité : durée d’interruption, pertes financières, atteinte aux personnes ou effets sur les clients.

Retenez la conséquence la plus pertinente pour le scénario et expliquez la note choisie. Deux équipes pourront ainsi discuter d’un même risque sur une base commune, même si leur appréciation initiale diffère.

4. Évaluer le risque brut et les mesures existantes

Le risque brut décrit le scénario avant prise en compte des mesures de maîtrise. Dans une méthode simple, sa criticité est le produit de la probabilité par la gravité. Avec deux échelles de 1 à 5, le résultat se situe donc entre 1 et 25.

Recensez ensuite les mesures déjà appliquées : contrôle d’une opération, sauvegarde, fournisseur alternatif ou procédure de reprise. Précisez si elles agissent sur la probabilité, sur la gravité, ou sur les deux. Leur existence sur le papier ne suffit pas : une sauvegarde, par exemple, n’a de valeur opérationnelle que si elle peut être restaurée.

5. Classer et décider des actions

Placez les scénarios dans la matrice, puis comparez leur niveau résiduel, c’est-à-dire celui qui reste après prise en compte des mesures existantes. La note aide à trier, mais elle ne décide pas seule. Un événement rare aux conséquences très graves peut mériter une attention immédiate, même si son produit est inférieur à celui d’un incident fréquent et moins dommageable.

Pour chaque risque prioritaire, choisissez une réponse : éviter l’activité à l’origine du risque, réduire sa probabilité, limiter ses conséquences ou accepter le niveau restant. Vous pouvez aussi transférer une partie des conséquences financières, par exemple par une assurance, sans considérer que l’événement lui-même disparaît.

6. Attribuer, suivre et réviser

Chaque action doit avoir un responsable, une échéance, un résultat attendu et une preuve de réalisation. La personne responsable de l’action peut différer du propriétaire du risque, qui reste chargé de surveiller le scénario et son niveau.

Prévoyez une revue régulière et réévaluez les risques après un incident, une modification importante de l’activité ou la mise en place d’une mesure. Conservez la date et le motif des changements : vous pourrez comprendre pourquoi une note a augmenté ou diminué.

Comment calculer la criticité résiduelle ?

La criticité résiduelle représente le risque qui subsiste avec les mesures en place. Une méthode consiste à réestimer séparément la probabilité et la gravité après examen de ces mesures, puis à multiplier les deux nouvelles notes. Cette approche montre plus clairement l’effet attendu de chaque contrôle.

D’autres méthodes appliquent un coefficient de maîtrise au score brut. Dans ce cas, définissez le sens du coefficient avant de l’utiliser : un coefficient de 0,5 peut par exemple représenter une réduction conventionnelle de moitié du score. Ce résultat reste une estimation, pas une mesure exacte de la perte future.

Évitez surtout de compter deux fois la même protection : si vous avez déjà réduit la probabilité grâce à un contrôle, n’appliquez pas ensuite un second abattement pour ce même contrôle sans justification.

Exemple de matrice des risques pour une PME

Imaginons une PME qui prépare sa cartographie des livraisons. Elle adopte une échelle de 1 à 5 pour les deux critères. Pour cet exercice, elle classe les scores de 1 à 4 en zone verte, de 5 à 9 en zone orange et de 10 à 25 en zone rouge. Ces seuils sont des choix de pilotage, pas une règle universelle.

La rupture d’un fournisseur unique reçoit une probabilité brute de 4 et une gravité de 4, soit une criticité brute de 16. L’entreprise dispose déjà d’un stock de sécurité. Elle estime que celui-ci réduit la gravité à 3, sans changer la probabilité de défaillance du fournisseur. Le score résiduel est alors de 4 × 3 = 12 : le risque reste en zone rouge.

Elle décide donc de qualifier un second fournisseur. Une fois cette solution opérationnelle et testée, elle réévaluera le scénario : une simple intention de diversification ne justifie pas encore une baisse de note. L’équipe peut conserver le score brut de 16 pour comprendre l’exposition initiale et comparer les effets des mesures.

Que contient un plan d’action exploitable ?

La matrice montre où se trouvent les priorités ; le registre des risques et le plan d’action indiquent quoi faire. Pour chaque scénario important, rassemblez au minimum :

• sa formulation, son périmètre et son propriétaire ;
• les notes brutes et résiduelles, avec leur justification ;
• les mesures existantes et les éléments qui montrent leur fonctionnement ;
• la décision prise : réduire, éviter, transférer ou accepter le risque ;
• l’action à mener, son responsable, son échéance et son état d’avancement ;
• la date de la prochaine revue et le niveau de risque attendu après l’action.

Dans l’exemple précédent, « disposer d’un second fournisseur qualifié » constitue un résultat attendu plus utile que « améliorer les achats ». La preuve peut être une commande d’essai livrée et contrôlée.

Quel outil choisir et quelles erreurs éviter ?

Un tableur suffit pour démarrer avec un périmètre limité : une feuille pour le registre, une pour la matrice et une pour les actions. Il permet de partager les cotations et de filtrer les priorités sans multiplier les outils.

Une solution de gestion des risques devient intéressante lorsque plusieurs équipes doivent contribuer, suivre de nombreuses actions ou conserver un historique commun. Le critère de choix n’est pas seulement la qualité du graphique : l’outil doit permettre d’attribuer les actions, d’enregistrer les décisions et de retrouver les changements de cotation.

Enfin, évitez trois erreurs fréquentes : mélanger des risques trop généraux avec des scénarios très précis, noter sans définir les échelles, et fermer une action sans vérifier son effet.