Cartographie des risques : méthode, matrice, acteurs et livrables

Étape 1. Cadrer le périmètre et les objectifs

Avant d'identifier le moindre risque, définir ce que la cartographie va couvrir et ne pas couvrir. Une cartographie groupe consolidée n'est pas une cartographie site par site. Une cartographie « risques majeurs » ne se confond pas avec une cartographie « risques opérationnels courants ». Formaliser le périmètre (entités, activités, horizon temporel), l'objectif (conformité, aide à la décision, intégration stratégique) et les livrables attendus. Cette étape est négligée dans la plupart des premiers exercices et produit des cartographies ingérables parce que trop vastes.

Étape 2. Identifier les risques

Trois techniques complémentaires à mobiliser. Ateliers métiers : sessions de 2 heures avec les responsables opérationnels, technique de brainstorming cadré par une grille de familles de risques. Entretiens dirigeants : 30 à 45 minutes avec le COMEX, qui apporte la vision stratégique et les risques émergents. Analyse documentaire : RETEX internes, rapports d'audit, incidents passés, presse sectorielle, bases de données sinistres. L'objectif est d'obtenir une liste brute de 80 à 200 risques identifiés, que l'on consolidera à l'étape suivante.

Étape 3. Évaluer probabilité et gravité

Pour chaque risque identifié, deux évaluations. Probabilité : quelle est la chance que l'événement se produise sur l'horizon retenu (souvent 12 ou 36 mois). Gravité : quel serait l'impact si l'événement se produisait, selon plusieurs dimensions (financière, humaine, réputationnelle, réglementaire, continuité d'activité). Les échelles doivent être calibrées et écrites, pas laissées à l'appréciation de chaque évaluateur. Une échelle à 4 niveaux (faible, modéré, élevé, critique) est le meilleur compromis entre finesse et reproductibilité.

Étape 4. Cartographier visuellement

Reporter les risques sur une matrice à deux axes (probabilité en abscisse, gravité en ordonnée). Cette représentation visuelle est l'outil de décision central. Elle se lit immédiatement : la zone rouge regroupe les risques à traiter en priorité absolue, la zone verte les risques acceptables en l'état. Produire en parallèle un référentiel des risques sous forme de tableau, qui reprend pour chaque risque : intitulé, description, catégorie, probabilité, gravité, dispositifs existants, pilote, plan d'action.

Étape 5. Prioriser et traiter

Quatre stratégies de traitement possibles pour chaque risque. Accepter (le risque est faible ou la réduction serait plus coûteuse que l'exposition). Réduire (mettre en place des dispositifs de prévention et de protection). Transférer (assurance, sous-traitance, externalisation). Éviter (ne pas engager ou arrêter l'activité génératrice du risque). Chaque risque de la zone rouge doit recevoir une décision explicite, datée, avec un pilote nommé et un budget. Sans cette étape, la cartographie reste un document, jamais un outil. Ce travail d'arbitrage est au cœur de notre service cartographie des risques et des parties prenantes.

Étape 6. Maintenir et actualiser

Une cartographie qui n'est pas revue régulièrement perd rapidement sa valeur. Trois moments de mise à jour. Revue annuelle complète pilotée par le risk manager. Revue après incident sur les risques concernés par un événement significatif. Revue stratégique à chaque décision majeure (acquisition, nouvelle activité, changement de périmètre). La fréquence est moins importante que la discipline : une revue annuelle tenue vaut mieux qu'une revue trimestrielle théorique et jamais réalisée.

Une cartographie des risques qui ne change jamais est une cartographie morte. Les risques évoluent, les parades vieillissent, les priorités se déplacent. L'outil ne vaut que par la conversation qu'il provoque, pas par la beauté du fichier.