La gestion des risques ou comment « anticiper » …

Anticiper

La réalisation d’un projet n’est pas une entreprise qui s’improvise, d’où la nécessité d’une vision et d’un plan …
Mais disposer d’un bon plan bien pensé ne garantit pas toujours que tout va se passer comme prévu …
Il y a quasiment toujours des aléas, des imprévus qui font que ce fameux plan ne peut plus être suivi à la lettre et doit donc être adapté.
Vous direz, pas de problème … Il suffit d’être réactif et de s’adapter … Oui, en effet ce n’est déjà pas mal du tout.
Mais il y a encore mieux : anticiper, càd prévoir à l’avance ce qui pourrait se passer (ou ne pas se passer ) et se préparer à y faire face …

C’est la gestion des risques (ou le « What if  » des militaires qui prévoient des plans B, C, D , … si le plan A échoue …).

Tout risque risque est caractérise par :

• une cause
• une probabilité
• une élément déclencheur / signal avertisseur de survenance
• un impact (des conséquences).la première phase dans la gestion des risques

Quelles sont les attitudes possible face à un risque ?

A priori, face à un risque, deux attitudes de base se propose à nous :

• Accepter de prendre le risque
  – comme tel sans aucune mesure complémentaire (Acceptation pure et simple)
  – après avoir diminuer la probabilité d‘occurence (Réduction par Prévention)
  – après avoir diminuer l’impact (Réduction par Protection)
  – en le transférant à un tiers (Externalisation)
• Refuser de prendre le risque (Refus)
  Càd renoncer à prendre le risque qui signifie également renoncer au projet.
  Cela revient donc à abandonner la réalisation de l’objet (produit ou service) devant être produit par le projet ou à décider de se le procurer d’une manière tout à fait différente. C’est le cas ou les risques restent inacceptables qu’elles que soient les mesures ci-dessus.

Ceci me permet d’introduire une autre notion « essentielle » est matière de gestion des risques : l’appétence au risque (ou risk appetite). L’appétence au risque est le niveau global de risque qu’une entité est prête à prendre, dans la réalisation de ses objectifs et de ses projets. Cette appétence est une caractéristique de l’organisation et/ou de l’équipe de projet. En fonction de cette appétence, un même risque pourra être abordé et donc traité de façon relativement opposée dans différentes organisations.

La cartographie des risques

La démarche tout juste préalable au traitement des risques est l’établissement de la matrice des risques qui va positionner visuellement l’ensemble des risques identifiés et évalués.

Une démarche semblable doit être effectuée pour tous les risques (menaces (threats) et les opportunités (opportunities). La démarche ci-dessous ne concerne que les menaces mais peut très facilement être reproduites pour les opportunités. La visualisation de cette hiérarchisation des risques (menaces) va se faire par la création d’une matrice des risques (« Probabilité / Impact ») qui va visualiser le positionnement et l’évaluation de chaque risque (R1 à R12 dans l’exemple ci-dessous…).

• Rouge :      Extreme Severity
• Orange :   High Severity
• Jaune :     Moderate Severity
• Vert :        Low Severity

Cette matrice des risques sera complétée par un registre des risques reprenant, de manière exhaustive, l’ensemble des informations récoltées et rassemblées jusqu’à présent.

Le traitement des risques

De manière très simplifiée (même simpliste :-)), pour déterminer l’attitude adéquate face aux différents risques projet (qui sera influencée par l’appétence au risque :-)), on peut diviser la matrice des risques en quatre groupes de risques.

Ces quatre combinaisons correspondent à quatre attitudes particulières (familles de traitement) face aux risques.

• Impact faible / Fréquence faible => Acceptation pure et simple
  Ce sont des “bruits de fond » qui, à priori, ne pourront pas perturber la bonne marche du projet. On aura tendance à les accepter comme tels sans prendre aucune mesure complémentaire.
• Impact faible / Fréquence forte => Réduction ou Externalisation
  Ce sont les risques de fréquence élevée pour lesquels on va essayer de réduire la fréquence d’occurrence par des mesures de prévention interne ou en externalisant (transférant) le risque vers une société d’assurance.
• Impact fort / Fréquence faible => Réduction ou Externalisation
  Ce sont les risque de gravité pour lesquels on va réduire l’impact pour le projet en prenant des mesures de protection ou en externalisant (transférant) le risque vers un sous-traitant mieux armé pour faire face à ce type de risque.
• Impact fort / Fréquence fort => Refus/Rejet
  Ce sont les risques que l’organisation considère comme inacceptables et qu’elle aura choisi délibérément d’éviter car jugés beaucoup trop dangereux pour sa survie même.

Ceci dit, la réalité est beaucoup plus complexe qu’une simple répartition dans ces quatre groupes de risques. Ne tombant pas vraiment parfaitement dans aucune de ces quatre groupes, il faudra regarder avec une attention toute particulière les risques à fréquences moyennes et à impact moyen pour pouvoir leur appliquer le meilleur mixte de mesures.

Maintenant que les risques jugés non acceptables ont été identifiés, évalués et hiérarchisés, chacun de ceux-ci doit recevoir un traitement spécifique adéquat.

Pour chaque risque retenu, la détermination de ce traitement adéquat se fera sur base de ses spécificités propres et par comparaison/confrontation des différents traitements possibles. Ce choix se fera principalement sur base des critères suivants :

• Efficacité du traitement : la mesure de la façon dont les mesures de traitement prises vont atténuer la sévérité du risque traité.
• Coût de la mise en œuvre de la mesure de traitement : la somme des coûts (directs et indirects) résultant de l’acquisition et de la mise en œuvre des mesures de traitement visée.

Il apparaît souvent que le meilleur choix n’est pas nécessairement celui qui offre la meilleure réduction du risque mais bien celui qui offre le meilleur rapport efficacité / coût (rendre le risque résiduel acceptable pour un prix supportable).

Sur cette base, pour chacun des risques retenus, la combinaison la plus rentable de traitements sera déterminée et planifiée dans le « Risk Management Plan ».

Chacun de ces traitements aura comme répercussion de réduire le risque auquel il s’applique.

Chaque traitement d’un risque donnera lieu à une adaptation de la matrice des risques.

Les risques identifiés peuvent évoluer et des risques nouveaux peuvent surgir à tout moment. Suivant la logique « Plan – Do Check – Act », il est donc absolument indispensable de suivre ces différents risques et de contrôler et éventuellement d’adapter le contenu et l’application du « Risk Management Plan ».