Gestion des risques

La gestion des risques, ou l'anglicisme, management du risque (de l'anglais : risk management), est la discipline visant à identifier, évaluer et hiérarchiser les tisques liés aux activités d'une organisation, quelles que soient la nature ou l'origine de ces risques, puis à les traiter méthodiquement, de manière coordonnée et économique, afin de réduire et contrôler la probabilité des événements redoutés, et leur impact éventuel.

À ce titre, il s'agit d'une composante de la stratégie d'entreprise qui vise à réduire la probabilité d'échec ou d'incertitude de tous les facteurs pouvant affecter son projet d'entreprise. La gestion en continu de la grille de risques d'une entreprise suppose vision et vigilance du dirigeant et de ses conseils et cadres, pour la réadapter aux réalités du terrain et des systèmes régulateurs qui s'y appliquent.

Dans les grandes entreprises, on trouve des équipes spécialisées à la tête desquelles œuvre un gestionnaire du risque ou risk manager. Il a donc vocation à gérer les risques de l'entreprise qui l'emploie.

Les entreprises de taille moyenne sont encore peu préoccupées de gestion des risques. Selon une étude du cabinet d'audit Mazars, qui a interrogé environ 200 entreprises affichant des chiffres d'affaires de 100 millions à quelques milliards d'euros, les risques qui les inquiètent le plus sont ceux qui peuvent entraîner une sanction du client, suivis des risques techniques ou opérationnels. Viennent ensuite les risques industriels, juridiques, fiscaux et informatiques^[1].

La gestion des risques est liée à la Hiérarchie du contrôle des dangers qui permet d'orienter le choix des mesures vers celles qui sont les plus efficaces.

Selon le référentiel ISO Guide 73 – Vocabulaire du management du risque^[2] qui a été revu lors du développement de la norme ISO 31000:2009 – Management du risque — Principes et lignes directrices^[3], le risque est nouvellement défini comme « l’effet de l’incertitude sur les objectifs » et s'ajoute en note^[4] que « Un risque est souvent caractérisé en référence à des événements et des conséquences potentiels ou à une combinaison des deux. »

Le risque est l’association de quatre facteurs : un danger, une probabilité d'occurrence, sa gravité et de son acceptabilité^[5]. Le danger étant un événement redouté (par lui-même et par ses conséquences), le « risque » ne se confond donc pas avec le danger, mais résulte de ce que ce danger a une certaine probabilité de se manifester et entraînerait des conséquences d'une certaine gravité^[5].

La criticité d'un risque résulte de la combinaison de l'impact (ou effet ou gravité) et de la probabilité d'un risque (AFNOR).

La part d'incertitude qui représente réellement un risque est normalement faible, c'est-à-dire que le déroulement « normal » d'une activité raisonnable est celui où l'objectif visé est atteint (sauf accident). Cela ne signifie pas qu'il n'y a que peu d'incertitude dans un projet raisonnable, mais plutôt que le niveau d'incertitude habituellement rencontré est normalement maîtrisé, et n'est pas de nature à compromettre l'atteinte de l'objectif. Si par exemple je me propose de traverser une ville en voiture, je n'aurai clairement aucune certitude sur l'état des feux rouges, mais l'un compensant l'autre je peux espérer faire en général cette traversée dans un délai assez prévisible, tout en acceptant un certain risque résiduel (faible) de « me prendre tous les feux rouges » et d'arriver en retard, malgré la marge que j'avais prise.

Contrairement à l'appréciation de l'impact, la probabilité d'un événement redouté peut généralement être évaluée objectivement, même si c'est de manière très approximative : le caractère réaliste ou non d'un scénario peut en principe faire l'objet d'une analyse et d'un examen critique n'impliquant pas de jugement subjectif, même s'il est souvent inutile en pratique de procéder à une analyse très détaillée.

Lorsque le risque fait l'objet d'une analyse chiffrée, sa probabilité d'occurrence est donc normalement faible, voire très faible. Si la probabilité d'un scénario présenté comme « risque » est chiffrée à plus d'une dizaine de pour-cent, il s'agit en réalité d'un scénario alternatif de l'activité ; et si elle dépasse 50 %, ce que l'on qualifie de « risque » est en réalité devenu le scénario qu'un pronostic raisonnable doit retenir comme référence.

Le facteur de risque (quelquefois appelé péril ou danger) est un élément présent susceptible de causer un risque, c'est-à-dire la survenance de l'accident.

Les facteurs de risque se qualifient par leur domaine (humain, culturel, matériel, technique (risque toxique, thermique, d'explosion.., juridique, etc.) ou leur point d'application (le projet lui-même, et l'organisation au sein de laquelle il va s'insérer). Ils se quantifient en niveau d'incertitude et/ou de complexité.

Un accident de voiture pourra par exemple se produire pour un conducteur qui a bu de l'alcool, en présence d'un camion, sur une route dangereuse, alors qu'il pleut (quatre facteurs de risque), la probabilité et l'impact de l'accident étant d'autant plus importants que la dose d'alcool absorbée par le conducteur était importante, le camion puissant et lourd, la route sinueuse et sans visibilité, et la pluie battante (criticités).

Un événement n'est perçu comme un risque que dans la mesure où il peut avoir un impact (en principe négatif) sur l'atteinte d'un objectif que l'on cherche à réaliser, ou sur une valeur à laquelle on adhère et que l'on veut respecter dans son activité. Ainsi, si je veux organiser une promenade familiale, une mauvaise météo peut être un « risque », soit parce qu'elle m'obligerait à annuler la sortie (objectif abandonné), soit parce qu'elle transformerait la sortie en mauvaise expérience (valeur de confort compromise) ; inversement, si la pluie n'est pas jugée inconfortable, elle ne constitue pas un « risque » à proprement parler, mais une simple éventualité.

Contrairement à la probabilité, l'appréciation d'un tel impact est nécessairement subjective. Elle dépend de l'entité qui formule cette appréciation, des valeurs qu'elle respecte et de l'importance qu'elle accorde au projet potentiellement compromis.

Dans l'analyse et la gestion des risques, le « risque » est, par principe, un événement aux conséquences négatives. C'est par abus de langage que l'on entend parfois parler d'un « risque de gagner au loto » (la formulation correcte dans ce cas est que l'on a « une chance de gagner »). Pour parler des événements imprévus aux conséquences positives, on parlera plutôt d'une « opportunité ». La gestion des opportunités est tout à fait symétrique de celle des risques sur le plan des méthodes. Tout ce qui est dit des risques se transpose directement sur les opportunités. Cependant ces deux aspects se différencient radicalement, la plupart du temps, en termes de plus-value attendue et de fonctions d'entreprises : en règle générale, une entreprise responsable doit avant tout gérer ses risques à un niveau le plus souvent assez détaillé (risques HSCT notamment) ; rares sont les entreprises (placement boursier, conduite d'une bataille militaire…) où les opportunités sont effectivement gérées par le responsable au même titre que les risques.

Bien que les concepts mis en œuvre soient dans tous les cas essentiellement les mêmes, les buts et méthodes employés vont être très différents suivant que la gestion du risque s'intéresse à la maîtrise des risques d'un projet, à l'analyse de sécurité d'un système, à la maîtrise du fonctionnement d'une institution, du contrôle qualité ou du contrôle interne, à des risques de santé publique, à la couverture de risques de change…

Ainsi, l'analyse de risque d'un projet de petite taille (de l'ordre de vingt personnes sur cinq ans) pourra le plus souvent se contenter d'une grille de probabilité à trois niveaux (~10%=possible, ~1%=incertain, ~0.1%=envisageable) et une grille de conséquences à trois niveaux (A=remise en cause du projet même, B=contrat non respecté, C=gérable avec les marges disponibles). En effet, la conduite d'un projet est par nature pleine d'imprévus, il ne sert donc à rien de se préoccuper de scénarios très improbables, sachant que les hasards du projet conduiront de toute manière à en modifier la planification longtemps avant que quoi que ce soit d'« improbable » n'ait eu le temps de survenir. Pour les mêmes raisons, les classes de risques et de conséquences peuvent être larges, dans la mesure où l'information nécessaire est ici surtout qualitative.

Inversement, l'analyse de risque sur la santé et sécurité au travail d'une industrie chimique ICPE portera sur des événements situés sur une échelle de gravité très large (depuis « se couper légèrement » jusqu'à « nuage toxique faisant des milliers de morts extérieurs »). En conséquence, l'échelle de fréquence attendue doit être du coup également large (de « par semaine » à « par millions d'années »). En effet, le caractère préoccupant d'un risque étant fonction à la fois de son impact (coût) et de sa vraisemblance (probabilité), c'est-à-dire de l'espérance mathématique de perte qu'il entraîne (quand ces éléments peuvent être chiffrés), la gestion rationnelle du risque conduit à réduire en priorité ceux pour lesquels le produit « coût x probabilité » est le plus important. De ce fait, si cette analyse est conduite rationnellement, les risques que l'on accepte de subir en l'état, sans prendre de mesure complémentaire, tendent à être tous du même niveau « coût x probabilité », et donc l'échelle des coûts doit être aussi large que celle des probabilités.

Si donc (pour fixer les idées) « se couper légèrement » est jugé (subjectivement, par l'autorité responsable) cent fois moins grave que « dix jours d'arrêt maladie », lui-même jugé dix mille fois moins grave que « un accident mortel », on voit que dans cette hypothèse l'échelle de gravité d'une telle ICPE porte sur neuf ordres de grandeur : s'il paraît éthiquement acceptable de ne pas prendre de mesure complémentaire tant que « se couper légèrement » n'arrive que deux fois « par semaine », une gestion rationnelle du risque doit alors conduire à continuer de réduire l'éventualité d'un « nuage toxique faisant des milliers de morts extérieurs », tant que la probabilité d'une telle catastrophe reste plus forte qu'une fois « par millions d'années » (c'est-à-dire une probabilité de 10^-6 par an).

Sur ce dernier cas, on peut comprendre qu'une gestion purement qualitative est impossible pour apprécier l'importance respective d’événements s'étageant sur neuf ordres de grandeur. Un niveau de sûreté éloignant une catastrophe à un niveau de 10^-6 par an ne peut pas reposer sur des dispositifs simples, mais doit s'appuyer sur des mesures de conception, et des dispositions de sécurité et de contrôle multiples et indépendants, dont la fiabilité individuelle soit suffisante pour que la probabilité de leur défaillance simultanée (elle-même produit des probabilités individuelles de défaillances), laissant la porte ouverte à la catastrophe, soit au niveau attendu. Et l'analyse de risque associée ne peut plus être qualitative, mais doit être chiffrée en s'appuyant sur des données d'expérience objectives.

La fonction en théorie la moins maîtrisable de la gestion formelle des risques est leur perception initiale. Il ne s'agit ici, en principe, « que » de faire « simplement » l'inventaire d'événements redoutés, susceptibles d'avoir un impact significatif sur l'entreprise analysée^[5]. À ce niveau, il faut identifier le risque, c'est-à-dire, parmi les signaux faibles détectés, reconnaître ceux qui contiennent des risques importants.

Si l'on se place dans le contexte scientifique du risque^[6], ce qui est souhaitable, il paraît difficile de parler ici « d'identification » des risques : l'objet qui est initialement identifié est plutôt des dangers ou des accidents. Le « risque » étant la probabilité de réalisation d'événements aux conséquences dommageables, le processus conduisant à les « identifier » ne se préoccupe pas initialement de « probabilité ».

Mais cette fonction d'identification, primordiale en tant qu'elle conditionne toute la suite de l'analyse, souffre d'un problème épistémologique : aucune méthode ne peut garantir, dans l'absolu, que tous les événements redoutés significatifs ont été effectivement répertoriés. De ce fait, dans l'absolu, tous les moyens empiriques sont bons pour parcourir en tous sens et selon les points de vue les plus variés les différents types d'événements redoutés ; et plus les méthodes variées ont été employées, plus on peut être raisonnablement sûr que les principaux facteurs de risque auront été capturés. Cependant, l’exhaustivité absolue n'est jamais garantie, et c'est une des raisons pour lesquelles « le risque zéro n'existe pas » : rien ne peut garantir que tous les cas de figure et tous les points de vue ont été considérés. Il est impossible de garantir qu'un des scénarios de défaillance n'a pas échappé à l'analyse.

L'exemple évident d'une analyse de risque présentant une tache aveugle serait celle d'un entrepreneur administrativement naïf, ayant une bonne connaissance intuitive de son milieu d'affaires, mais une perception inexistante de la réglementation qui s'y applique. Un tel entrepreneur tombera victime du premier contrôle fiscal venu, non pas nécessairement qu'il ait volontairement fraudé, mais faute d'avoir conscience de ce danger, il n'aura pas mis en place les dispositions élémentaires (conservations des éléments de preuve fiscale) lui permettant d'y faire face.

« Oublier » ainsi un des points de vue à prendre en compte est une des premières causes d'exposition involontaire aux risques conduisant à l'accident.

Malgré cette limitation épistémologique indéniable, il existe des approches pragmatiques fiables permettant de dégrossir très fortement la question, voire de la réduire à ses éléments essentiels, quand l'activité est une activité courante et bien connue :

• Pour toutes les activités (ou sous-activités, ou approches méthodologiques, ou approches conceptuelles, ou…) « similaire » (d'une manière ou d'une autre) à ce que l'on cherche à maîtriser, une recherche historique ou une enquête de benchmarking permet d'identifier le genre de problème auquel a pu se heurter le responsable, et donc d'introduire une fiche d'étude d’événement redouté fondée sur ces précédents statistiques. Par exemple, tout organisme entreprenant un projet de type « construction » doit être conscient de ce que les chantiers de BTP sont des sources récurrentes d'accidents du travail, par exemple de chutes d'échafaudages, ou de chutes d'objets de grande hauteur : les statistiques sur ces points sont assez constantes au moins du point de vue qualitatif^[7], et la qualité d'un chantier en matière de prévention peut s'apprécier à la réduction ou l'absence d'accident de ce type^[8].
• De même, pour toutes ces activités « similaires », une étude critique des dispositions formellement prises pour la maîtrise de l'activité (non seulement les dispositions de la procédure elle-même, mais également celles de la réglementation nationale, ou celle interne des entreprises) révèle en creux des événements redoutés : d'une manière générale, chaque mesure prescriptive applicable à une activité est justifiée par un (ou plusieurs) événement redouté qu'elle réduit ou empêche. L'analyse de l'inventaire des mesures réglementaires (ou coutumières) permet donc d'identifier des risques que « la sagesse des anciens » (quelle qu'elle soit) a permis d'identifier et de réduire ; et ces événements redoutés sont utilement rappelés « pour mémoire » dans l'analyse des risques : la solution réglementaire ou coutumière est une réduction, mais elle n'est pas nécessairement optimale. Par exemple, l'obligation réglementaire de porter un casque en moto rappelle par lui-même qu'en l'absence de casque le risque de blessure par chute devient beaucoup plus important : l'obligation légale correspond directement à un événement redouté.

Ces approches statistiques et normatives doivent impérativement être prises en compte dans un système de gestion des risques, ne serait-ce que pour des questions de responsabilité légale (responsabilité civile, voire pénale) : si un accident survient, le responsable d'une activité ne pourra jamais s'exonérer de sa responsabilité (par un argument du type « le risque zéro n'existe pas »), précisément parce que l'événement redouté était en réalité prévisible s'il est examiné par les moyens ci-dessus.

Au-delà de ces deux sources, qui peuvent être objectivement déterminées et évaluées, des méthodes complémentaires, généralement plus ou moins fondées sur des techniques de brainstorming (remue-méninges en français), permettent d'inventorier des événements redoutés plus atypiques, non identifiables par les statistiques ou les dispositions coutumières ou réglementaires, donc a priori moins fréquents, ou d'un impact moindre.

Le remue-méninges sur les scénarios à risque peut être facilité par un changement de point de vue : au lieu de se focaliser sur la défense de l'entreprise en se demandant « quel genre d'événement peut être redouté », une approche plus constructive est paradoxalement de passer à l'attaque, en se demandant « s'il fallait saboter cette entreprise quel serait le moyen efficace de le faire ».

Une autre approche possible, par exemple pour une analyse HSCT, est d'identifier systématiquement les sources d'énergie, qui peuvent « faire bouger » le système d'une manière ou d'une autre (énergie cinétique, pression, potentiel chimique, électrique, gravitationnel, mais également tension sociale, appât du gain…). Ces énergies potentielles sont toujours « contenues » par un dispositif susceptible de défaillance : chaque élément qui contribue à contenir une énergie peut a contrario être un point d'échappement de cette énergie, donc une source de risque à surveiller.

Il parait intéressant ici de citer l'analyse des causes de défaillance du diagramme de causes et effets proposé par Kaoru Ishikawa : cette analyse recommande de regarder en effet l'événement redouté sous cinq aspects différents :

• Matière (défaillance sur les caractéristiques physiques des flux entrants) ;
• Matériel : défaillance sur l'équipement, les machines, le matériel informatique, les logiciels et les technologies ;
• Méthode : problème sur le mode opératoire, la logique du processus et la recherche et développement.
• Main-d'œuvre : problème sur les interventions humaines.
• Milieu : l'environnement, le positionnement, le contexte.

Le risque ou situation à risques découle d'une part de l'existence d'un danger (facteur de risque ou péril) et d'autre part de la présence de l'homme dans la zone de danger (objet du risque). Il est utile en la matière de se référer à la norme EN 1050. Lors de la phase d'identification des risques, on portera l'attention non seulement sur les causes (facteurs de risque ou périls), mais aussi sur les objets de risque, ressources de l'entreprise potentiellement concernées par ces facteurs de risque, en regardant les criticités associées.

À ce stade, l'analyse des vulnérabilités peut se cantonner aux facteurs de risque et aux objets de risque. Les risques qui engagent la responsabilité civile ou pénale de l'entreprise feront aussi l'objet d'une identification particulière, prenant en compte les aspects juridiques.

Outre ces recherches a priori, l'identification d'événements redoutés peut se placer en aval d'autres activités de contrôle :

• Les observations et suggestions remontées lors d'un audit n'ont de sens que s'ils peuvent se relier à un événement redouté. Ils peuvent s'analyser comme des défaillances ou des facteurs de risques susceptibles de conduire à des défaillances.
• Les relevés d'incidents ou d'anomalies reflètent des petits écarts non maîtrisés, qui à une échelle plus importante peuvent se transformer en facteurs de risques.
• En outre, un dispositif de veille sur le domaine technique ou environnemental où se situe le processus permet de relever des signaux faibles, afin de procéder à une analyse fouillée de leurs conséquences ou implications possibles. En matière économique, l'identification des risques nécessite de même la mise en place d'un dispositif d'intelligence économique coordonné.

Dans l'optique d'une identification large des risques, ces « sources faibles » doivent être institutionnellement valorisées par l'entreprise, parce que sans discours clair sur la remontée des risques, signaler des problèmes potentiels est le plus souvent perçu comme une attitude négative de la part des collaborateurs, contre-productive, et tendant à une obstruction. L'encadrement doit pouvoir dépasser cette vision (initialement naturelle) pour comprendre que l'identification des risques est un intérêt supérieur de l'entreprise, et qu'il est vital que les collaborateurs de base, qui traitent au quotidien les problèmes rencontrés, puissent signaler clairement ceux qui sont de nature à mettre en péril l'entreprise. Dans cette optique, il est impératif de valoriser l'expression (formalisée dans le système de gestion du risque) d'un risque nouvellement identifié : par sa prise en compte effective (même s'il est en réalité peu réaliste) et par son traitement (même si la conclusion est qu'il n'y a rien à faire dans l'immédiat).

Ces dispositions de retour d'expérience ne sont pertinentes que par rapport à une organisation permanente. Elle n'apparaît donc pas en tant que telle dans la gestion des risques d'un projet, du moins au niveau d'un projet proprement dit. En revanche, une organisation dont le métier est de gérer les projets pourra avoir un système de retour d'expérience au niveau de l'organisation dans son ensemble.

Une fois que le point d’entrée d'un événement redouté est identifié, la description formalisée du risque peut prendre place. Elle consiste à présenter le risque identifié dans un format structuré, par exemple un tableau.

Suivant les besoins, l’évaluation du risque peut se limiter à une évaluation qualitative des probabilités (possible, incertain, envisageable) et des conséquences (majeur, grave, mineur). Beaucoup d’organisations estiment qu’évaluer les conséquences et les probabilités selon une matrice 3x3 ou 5x5 répond tout à fait leurs besoins. Dans ce cas, l'analyse du risque n'a pas besoin d'être très détaillée, et peut également être très sommaire.

Des approches semi-quantitative et quantitative en termes de probabilité d’occurrence et de conséquences possibles peuvent être nécessaires. Cela demande alors un approfondissement du scénario accidentel et de ses conséquences.

Les approches quantitatives se fondent sur la mesure statistique d’événements ou de défaillances, et étudient les combinaisons de probabilités de défaillances dans des analyses de type AMDEC.

Les approches semi-quantitatives sont similaires aux précédentes, mais s'appuient en entrée sur des estimations intuitives de fréquences, qui sont ensuite combinées suivant des règles simplifiées.

Par exemple, une approche semi-quantitative pourra décider que les classes de probabilités prises en compte seront par convention les suivantes :

Classe	Quasi certain	Probable	Fréquent	Occasionnel	Rare	Exceptionnel	Jamais
Probabilité	70-100 %	20-70 %	7-20 %	2-7 %	0,7-2 %	0,2-0,7 %	<0,2 %
Coefficient	0	0,5	1	1,5	2	2,5	3

Avec une telle convention, la combinaison des probabilités se traduit simplement par une addition des coefficients, parce que l'échelle correspondante est logarithmique. Cela permet de réaliser des « calculs qualitatifs » : si dans un contexte par ailleurs « fréquent » (1) un événement se rencontre de manière « occasionnelle » (1,5), sa fréquence absolue reste « exceptionnelle » (2,5).

À partir d'un événement redouté, la première étape nécessaire pour caractériser quantitativement un risque est de formaliser le scénario de référence dont on parle. L'événement redouté est au centre de deux chaînes de causes et de conséquences, ce qui conduit à des représentations du type arbres logiques ou réseaux^[5]. En amont, il découle de circonstances plus ou moins normales, qui ne sont pas par elles-mêmes redoutées, mais dont la conjonction peut déclencher une situation anormale, l’événement redouté proprement dit. En aval, ce déclenchement est lui-même à l'origine d'un enchaînement dynamique de conséquences, interagissant avec son environnement matériel et organisationnel, pour atteindre un état final stabilisé où l'accident est achevé : c'est sur cet état stabilisé que l'impact de ce scénario pourra être évalué.

En amont, l'événement redouté se place dans un contexte qui en rend l'apparition plus probable voire certaine : « pourquoi » cet événement pourrait-il se matérialiser? Il s'agit ici de caractériser à la fois le périmètre dans lequel l'événement est le plus susceptible de se présenter, et les circonstances qui peuvent favoriser sa matérialisation.

Par exemple, un « départ de feu » (qui est un événement redouté pour la prévention des incendies de forêt) ne survient pas n'importe où et n'importe quand. On observera plus probablement un tel « départ de feu » quand plusieurs circonstances se superposeront : un sous-bois non nettoyé, un temps sec et chaud, un « point chaud » créé par un tesson de verre ou un mégot mal éteint.

L'explicitation de ces facteurs de risque permet une première évaluation semi-quantitative, voire quantitative : le risque d'incendie de forêt ne dépend pas uniquement de la taille de cette forêt, mais est d'autant plus faible que la proportion de sous-bois nettoyé est grande, que le temps chaud et sec est rare, et que les bas-côtés et fossés bordant les routes sont suffisamment larges pour recevoir les éventuels mégots jetés par les automobilistes. En comparant les caractéristiques d'une forêt particulière avec celles des forêts en général dans la région, il est ainsi possible de donner une évaluation raisonnable de la probabilité de cet événement redouté : si l'on constate en moyenne un départ de feu par 100 km² et par an dans la région, il y aura probablement un départ de feu tous les vingt ans dans cette forêt particulière.

En aval de l'événement redouté, les conséquences de l'accident peuvent être plus ou moins importantes, et dépendre ici encore d'un certain nombre de facteurs de risque. Pour prolonger l'exemple précédent, la surface brûlée sera d'autant plus grande que l'incendie aura été détecté tardivement, que l'accès des pompiers est difficile, et qu'un vent fort l'aura propagé rapidement.

L'exploration du scénario accidentel conduit finalement à un ou plusieurs résultats envisageables. Par exemple, un départ de feu survenant ici conduira typiquement à brûler une centaine d'hectares, mais un vent violent peut entraîner la perte d'une vingtaine de km² et peut-être entraîner des victimes. Le premier cas n'entraîne qu'une perte matérielle, le second met en échec la protection des personnes ; et ces deux types de conséquences ne sont pas directement comparables. Dans la mesure où les conséquences ne sont pas une simple question d'échelle, la caractérisation doit alors conduire à formaliser et analyser deux scénarios liés mais distincts.

Pour passer à une appréciation objective du risque, il est nécessaire de préciser les limites du scénario envisagé, dans le temps et dans l'espace. Dans le temps, l'unité d'analyse sera le plus souvent l'année, et les probabilités envisagées se mesurent en nombre d'événements par an. Il est clair que l'appréciation du risque varie avec cette limite : à l'échelle d'une année une crue centennale est un événement rare ; mais à l'échelle d'un siècle, c'est un événement quasi certain. De même, un risque de sécurité au travail n'aura pas du tout la même fréquence, suivant que l'on s'intéresse à une petite équipe de dix personnes, ou à un groupe de dix mille salariés. Dans un cas comme dans l'autre, l'ordre de grandeur d'un risque varie en raison de l'ordre de grandeur du périmètre englobé, un périmètre dix fois plus large permettant au scénario redouté de se manifester en moyenne dix fois plus souvent.

D'une manière générale, la pondération du scénario conduira à répondre aux questions suivantes :

• Périmètre réellement concerné : Un événement redouté est d'autant plus préoccupant que le scénario peut survenir sur de nombreux points propices. Quelle est la « taille » de la population concernée?
• Fréquence du contexte : Un événement redouté ne peut généralement pas survenir n'importe quand, mais dans des circonstances particulières. Pour la population concernée, le contexte est-il fréquent? Dans quel contexte le problème se manifeste-t-il, est-ce une situation générique ou spécifique à une activité?
• Facteurs de risque : En amont, qu'est-ce qui peut faciliter l'accident? En aval, quels sont les facteurs aggravants ? Ces facteurs de risque sont-ils fréquents ?
• Déroulement du scénario : Comment les choses s'enchaînent-elles pour que le risque se manifeste? Le scénario suppose-t-il des dysfonctionnements dans l'organisation en place, des contrôles inefficaces…
• Résultat typique : Quelle est la situation probable après déroulement du scénario et la mise en œuvre des actions correctives éventuelles ? Dans une approche quantitative, c'est le cas typique pour lequel la fréquence est évaluée.
• Conséquences envisageables : quels sont les objectifs ou les valeurs que le résultat compromet ?

Cette étape de pondération est indispensable pour apprécier la gravité réelle d'un scénario redouté. La tendance naturelle est d'imaginer un scénario catastrophe où les conséquences sont maximales : si ce gymnase s'effondre sous le poids de la neige, on l'imagine nécessairement bondé pendant la finale d'un match disputé. En réalité, « le pire n'est pas toujours certain », comme le montre l'exemple de l'effondrement de la Cathédrale Saint-Pierre de Beauvais en 1573, en pleine fête de l'Ascension, au moment où la foule des fidèles… venait de sortir en procession, ne faisant de ce fait que deux blessés (!)^[9].

Dans la dialectique nécessaire à une gestion du risque, cette pondération est nécessaire pour dédramatiser les débats, et permettre un examen objectif et sans passion des scénarios. Elle permet d'exprimer et d'enregistrer sans censure des scénarios potentiellement tragiques ; mais elle justifie, par ailleurs, qu'ils soient remis à leur place réelle d'hypothèses finalement improbables.

Comme souligné ci-dessus, l'appréciation de l'impact est nécessairement subjective. Elle dépend des priorités et des valeurs de celui qui est responsable de l'entreprise soumise au risque, et qui doit en assumer l'évaluation. L'évaluation des priorités peut être préparée par l'analyse formelle des scénarios de risques.

Les impacts potentiels peuvent être de nature très variée, et il est nécessaire de les ramener à une échelle unique pour pouvoir comparer les risques les uns aux autres.

La solution la plus simple en analyse quantitative est par exemple de ramener systématiquement ces impacts à une valeur financière : qu'est-on prêt à payer (virtuellement) pour éviter un impact de ce type, ou (symétriquement) que demanderait-on comme dédommagement pour avoir subi cet impact ?

Dans le cas où l'accident impliquerait le décès d'un tiers, cette mesure de l'impact impose de prendre en compte une certaine valeur de la vie.

Une solution alternative, en analyse semi-quantitative, est de ramener les différents types d'accidents à une fréquence qui paraît acceptable, suivant par exemple une grille de type :

Classe	Hebdomadaire	Mensuel	Annuel	Finit par arriver	Peut arriver	Envisageable	Improbable	Hypothétique	Impossible
Fréquence annuelle	~50	10	1	10 %	1 %	0,1 %	0,01 %	10-5	< 10-6
Coefficient (base annuelle=0)	-2	-1	0	1	2	3	4	5	6
Rang de priorité	0	1	2	3	4	5	6	7	8

Par ailleurs, l'impact ne dépend pas uniquement de l'objectif ou de la valeur affectée (comme « assurer la sécurité du personnel » ou « préserver l'environnement »), mais doit être apprécié par rapport à un cas concret d'accident. Si dans une entreprise de BTP un premier agent est victime d'une hyperthermie, un second se casse une jambe en glissant dans un escalier, et un troisième fait une chute de trente mètres du haut d'un échafaudage, il est clair que la volonté d'« assurer la sécurité du personnel » aura dans les trois cas été en échec, mais elle l'aura été à trois niveaux très différents.

Sur l'échelle précédente, le premier peut probablement être toléré à une fréquence annuelle (priorité 2), que le second finisse par arriver n'est pas aberrant (priorité 3) mais il serait douteux que le troisième soit toléré à un niveau qui « peut arriver », conduisant à mettre sa priorité comparativement à un niveau 5 (cela peut rester « envisageable » pour une entreprise de BTP).

Qu'est-on prêt à payer pour éviter tel type de risque ? Qu'est-on prêt à admettre comme fréquence pour tel autre type de conséquence ? Clairement, ces réponses ne peuvent pas être déterminées a priori. Elles relèvent du responsable de l'entité, celui qui en tant que tel est responsable de ses propres choix et de leurs conséquences ultérieures.

Cette classification étant arrêtée par le responsable de l'entité, il devient possible de comparer quantitativement des risques d'impact différents à travers le rapport entre « fréquence » et « impact » (ou pour des coefficients en échelle logarithmique, par la différence des coefficients) : un scénario de risque conduisant rarement (2) à une jambe cassée (3) est moins préoccupant un autre conduisant exceptionnellement (2.5) à une pollution importante (jugée ici de priorité 4).

Il faut remarquer que certaines « priorités » de l'entreprise, comme la protection des personnes ou celle de l'environnement, sont définies par la loi. Dans certains cas, des limites peuvent être imposées par une réglementation (cas du nucléaire) ou par une règle spécifique (cas des installations classées)^[5]. De ce point de vue, le risque envisagé est aussi celui d'éviter ces sanctions pénales. Mais l'analyse formelle, qui peut faire le cas échéant l'objet d'un examen judiciaire, doit supposer que la priorité intégrée par le dirigeant est bien de protéger les personnes ou l'environnement (sauf instruction contraire de sa part).

Veille, identification des risques par l'audit, analyse par la recherche des facteurs de risques et des vulnérabilités, maîtrise des risques par les mesures de prévention et de protection : c'est la démarche classique de gestion des risques.

La gestion du risque est l'avant-dernière phase de traitement du risque. Elle vise à en réduire les différentes formes ou sources. Dès que l'on a évalué les plus fortes vulnérabilités, on connaît mieux les causes, les objets de risque, et les conséquences pour ces vulnérabilités. Il existe diverses stratégies pour traiter les risques, telles que la prévention, les actions correctives et les palliatifs.

Après que chaque risque a été évalué individuellement, il devient possible de les comparer les uns aux autres et de les trier pour gérer les priorités. De toute évidence, les risques qu'il faut réduire en priorité sont ceux qui apparaissent à la fois avec une probabilité élevée, et des conséquences importantes.

Lorsque les risques sont positionnés dans une matrice de type 3x3 ou 5x5, ces risques prioritaires apparaissent dans les cases situées en haut et à droite. Dans une approche quantitative, ces risques peuvent de même être positionnés dans un plan, leur coordonnée étant donnée par la probabilité et l'impact (il est préférable dans ce cas de représenter les risques en coordonnées logarithmiques), et les risques les plus préoccupants apparaissent de même en haut à gauche. Dans ces représentations, les risques situés en bas à gauche sont à l'inverse relativement acceptables.

Cette représentation en deux dimensions est surtout utile pour présenter au responsable de l'entreprise une vision d'ensemble des risques identifiés, et discuter des principaux risques identifiés, mais elle est par elle-même peu exploitable. Elle doit être réduite en un classement unidimensionnel pour déterminer les priorités dans le traitement. Dans un traitement qualitatif, les différentes cases de la matrice sont réparties en catégories de priorités, par exemple « inacceptable », « problématique », « à surveiller » et « négligeable ». Dans un traitement quantitatif, ce classement est directement donné par le produit de la probabilité par la mesure de l'impact, ou si ces éléments sont représentés par des coefficients suivant une échelle logarithmique, par la somme de ces coefficients.

Ce classement correspond à une première décision du responsable de l'entreprise, dans sa stratégie de gestion des risques. Les risques jugés inacceptables doivent impérativement être réduits, parce qu'ils mettent en péril l'entreprise même ; et les opérations nécessaires pour réaliser ces réductions sont normalement mandatées et suivies au plus haut niveau. Les risques de niveau intermédiaire peuvent être gérés de manière plus déléguée, et seront réduits ou pas en fonction des budgets et des opportunités. Afin de pouvoir faire ultérieurement des arbitrages coût-efficacité, ils peuvent si nécessaire faire l'objet d'une évaluation quantitative plus fine, qui est le plus souvent inutile dans les autres catégories. En queue de classement, les risques jugés négligeables seront acceptés en l'état, sans aller plus loin dans l'analyse.

La neutralisation des risques se fait par la recherche de toutes les barrières de prévention et de protection, qu’il est possible d’identifier pour éviter la production d’événements et leur enchaînement^[5].

La protection la plus efficace est de s'organiser de telle manière que l'événement redouté n'a pas la possibilité matérielle de se manifester. Si par exemple le risque d'inondation est critique pour une entreprise d'archivage, implanter l'entreprise au sommet d'une colline règle définitivement ce problème. Des mesures de réduction peuvent consister à modifier l'organisation, mettre en place des dispositifs de surveillance et d'alerte, former et sensibiliser le personnel… Mais il faut garder en tête que plus on intervient en amont, à la racine du problème, et plus la prévention est efficace et robuste ; inversement ajouter des dispositifs et des règlements est souvent un facteur de complexification, par lui-même porteur de risques.

Une fois ces barrières établies on peut vérifier si le risque est devenu acceptable, en analysant les nouvelles pondérations associées au scénario redouté, compte tenu de l'existence de ces mesures.

Empêcher que l'événement redouté se produise

La prévention consiste à diminuer la probabilité d'occurrence du risque en diminuant ou supprimant certains des facteurs de risque. Nous pouvons citer comme exemple les nombreuses actions faites pour empêcher de conduire sous l'emprise de l'alcool. La prévention est souvent la meilleure stratégie pour ses ressources propres. Par exemple, former son personnel aux risques professionnels, choisir une méthode de fabrication sécurisée. Exemple d'action préventive : face au risque de coupure de réseau de courant électrique un hôpital s'équipera d'un groupe électrogène à démarrage automatique.

Des actions préventives peuvent être mises en œuvre pour limiter l'apparition de l'événement redouté (on parle de « tuer le risque »). Cette stratégie est le plus souvent appliquée en premier lieu, et surtout lorsque le danger est grand (brûlure grave, chute de grande hauteur, coupure, pouvant entraîner la mort ou des effets sublétaux).

La prévention peut aussi se faire par « évitement », c'est-à-dire l'activité présentant un risque peut être suspendue. Du point de vue des décideurs, cette stratégie est la moins risquée et la moins chère, mais est parfois un frein au développement de l'entreprise ou peut consister à reporter (externaliser) le risque sur d'autres entreprises, ou à le repousser dans le temps.

Concernant les entreprises, de nombreux retours d'expérience montrent que prévenir améliore la performance économique et globale des entreprises. Ainsi, dans le secteur du bâtiment en France dans les années 2010 : « pour 100 euros engagés dans une action de prévention, l’entreprise du bâtiment peut retirer 220 euros de gain, soit un excédant de 120 euros »^[10].

Diminuer les conséquences de l'événement redouté

En sus des actions préventives (voir ci-dessus) des actions correctives peuvent être mises en œuvre pour limiter les conséquences de l'apparition de l'événement redouté.

Les actions correctives visent à diminuer l'effet du risque lorsque celui-ci intervient. Par exemple, un harnais de protection sur un échafaudage n'a aucun effet sur les risques de chute, mais diminue fortement (voire supprime complètement) les traumatismes causés par la chute.

Minimiser l'impact est souvent une stratégie efficace lorsque l'on ne peut agir sur le facteur de risque lui-même, mais que l'on peut agir sur ses conséquences. Par exemple, on ne peut pas empêcher une avalanche, mais on peut aménager des couloirs d'avalanche pour la canaliser.

L'indemnisation résultant d'un contrat d'assurance est un moyen pour l'assuré de réduire le coût de la survenance d'un risque.

Transformer l'aléatoire en surcoût déterminé

Différents types de contrat permettent de transférer au moins partiellement le risque sur un tiers (ex : contrats de caution ; contrats d'assurance).

Le palliatif, ou changement de périmètre, consiste en quelque sorte à « profiter de l'occurrence du risque », non pas pour en diminuer la probabilité ou les conséquences, mais en utilisant à son profit l'événement. C'est le cas typique de l'assurance, qui n'empêche ni l'accident, ni votre maison de brûler, mais qui vous propose un « dédommagement » pour le préjudice subi. S'assurer est le dernier moyen de traiter les conséquences d'événements aléatoires complètement subis. La gestion des risques consiste donc à agir sur tous les paramètres de la vulnérabilité sur lesquels on a un levier d'action possible, les causes endogènes, ou les causes exogènes sur lesquelles l'organisation aurait des moyens d'action (parties prenantes proches), les ressources, en cherchant à en diminuer les faiblesses, et à en augmenter les forces (voir SWOT) et les conséquences, en prenant les décisions propres à éviter les plus grands dangers.

À titre financier, le transfert de risque s'établit lorsqu'une assurance ou toute autre forme de couverture de risque financier ou garantie financière est contractée par le dirigeant confronté au risque (ex. assurance crédit). Ces garanties ne sont pas exhaustives pour couvrir le risque économique et financier. En cas de risque pénal pris par le dirigeant, ce transfert peut être réduit à néant.

À titre opérationnel et économique, ce transfert s'effectue lorsque l'entreprise sous-traite l'activité à risque sous une forme ou une autre (sous-traitance directe, en cascade, co-traitance, externalisation ou outsourcing en anglais) ; un sous-traitant sérieux et qualifié pourra faire payer très cher sa prestation mais aussi démontrer qu'il gère mieux le risque pour un prix équivalent voire inférieur, et le recours à un sous-traitant non qualifié ou dédaigneux du risque fera courir un risque encore plus grand.

Bien qu'apparemment très similaires, ces deux approches aboutissent à des stratégies et des prises de décision très différentes et parfois opposées. C'est très vrai dans le cadre de la gestion de projets, et en particulier de projets informatiques, où la question posée en elle-même (comment minimiser les risques de dérapage de date d'un côté, ou comment « assurer » une date de l'autre) renvoie à un aspect négatif ou positif de l'équation économique. La connotation négative associée au risque conduit malheureusement plus souvent à « minimiser les risques » qu'à « maximiser les gains ».

Le risque est trop faible pour justifier le coût d'une réduction

L'acceptation d'un risque fait suite à une étude de danger. Cette étude permet d'évaluer les dommages pouvant être causés à des personnes exposées si l'événement redouté a lieu. Ainsi, un risque sans gravité conséquente peut être accepté par les travailleurs au compte de l'entreprise. Par exemple "certains électriciens refusent de porter de gros gants en caoutchouc lorsqu'ils travaillent hors-tension, et de devoir les retirer toutes les 10 minutes pour dénuder un fil". L'acceptation est aussi valable lorsque le moyen de protection coûte trop cher ou gêne énormément l'ouvrier dans sa tâche. Cette approche ne permet pas de protéger le personnel ni l'outil de production tant qu'aucune volonté de réduction du risque ne se manifeste.

La gestion du risque fait parfois appel à la théorie des jeux qui associe une équation économique à des événements aléatoires, et donc un chiffre (généralement un coût) au risque. Cette théorie apporte un éclairage particulier sur la gestion des risques. Il existe en effet deux stratégies très différentes d'optimisation qui consistent soit à maximiser les gains soit minimiser les pertes. Pour minimiser les pertes, il s'agit de faire en sorte que l'espérance mathématique des pertes soit la plus faible possible. Celui qui cherche à maximiser les gains fera en sorte que l'espérance mathématique des gains soit la plus forte possible. Dans cette optique, ignorer les risques est malheureusement souvent la meilleure stratégie.

Une fois qu'elles ont été définies, les dispositions de maîtrise de risque doivent faire l'objet de contrôles au même titre que n'importe quelle autre disposition gouvernant l'entreprise :

• Au premier niveau, assurer que les dispositions sont connues et appliquées par les opérateurs eux-mêmes, par exemple à travers une formation initiale et une sensibilisation périodique.
• Au second niveau, assurer que l'encadrement responsable d'une activité inclut ces dispositions dans les points qu'il fait respecter, et qu'il est capable de détecter et corriger les éventuels écarts.
• Au troisième niveau, contrôler la solidité et la permanence des niveaux précédents, par des audits réguliers assurant qu'elles sont définies, connues et appliquées.

Le contrôle périodique doit également porter sur les dispositions associées à chaque risque identifié, de manière à assurer que ces dispositions (ou l'absence de disposition supplémentaire dans les risques acceptés) restent pertinentes et suffisantes par rapport à l'actualisation éventuelle de l'appréciation de ce risque :

• Méthodologie : Existe-t-il une méthode de référence pour accomplir l'activité en maîtrisant les risques ? Y a-t-il une conduite à tenir face à certaines situations ? La manière de procéder est-elle suffisamment claire, précise, documentée ?
• Éléments matériels : Quels sont les moyens nécessaires (personnel, outils…) pour l'exécution et la prévention, sont-ils disponibles et adaptés? Quels sont les éléments à analyser en cas de problème, sont-ils conservés de manière adéquate ?
• Organisation, responsabilité, clarification des objectifs : Les responsabilités en la matière sont-elles identifiées, documentées, et connues des intéressés? Chacun sait-il ce qu'on attend de lui ?
• Formation & sensibilisation : Les acteurs du processus se sont-ils suffisamment approprié la méthode, les objectifs, et les facteurs de risques? Les profils et compétences sont-ils adaptés à la maîtrise du processus? La manière de procéder est-elle connue et appliquée ?
• Contrôle : Comment le contrôle du bon fonctionnement est-il organisé ? Y a-t-il des vérifications systématiques, par sondage, par audit… ? Quels sont les indicateurs qui permettent de déceler une dégradation de la situation et une augmentation du risque? Sont-ils suivis, avec quelle fréquence, quel formalisme… ?
• Maîtrise de la crise : Y a-t-il des dispositions spécifiques à appliquer si le scénario se déroule : évaluation de la gravité, organisation de crise, communication de crise…

Certains risques doivent faire l'objet de statistiques régulières, de manière à vérifier que la fréquence d'occurrence reste dans les limites fixées.

L'exploitation de ces statistiques peut conduire à définir des tableaux de bords et des niveaux d'alerte, ou se limiter à un examen périodique à l'occasion du réexamen périodique du portefeuille de risques.

La surveillance statistique peut être une obligation légale, par exemple dans le cas des accidents du travail.

Un projet présente la double caractéristique d'avoir une organisation et des objectifs qui évoluent très fortement dans le temps suivant l'avancement du projet, et d'être le plus souvent un processus défini pour l'occasion, avec par conséquent une part importante de risques liée à l'organisation elle-même et au bon déroulement de ses différentes tâches.

Par rapport à une gestion des risques « classique », la gestion des risques d'un projet reflète cette originalité :

• Les niveaux de risque étudiés sont généralement élevés, parce que l'occurrence d'événements imprévus étant une quasi-certitude, la gestion des risques faibles serait une perte de temps.
• Les événements redoutés sont souvent les mêmes d'un projet à l'autre : mauvaise expression du besoin, défaillance ou indisponibilité d'une ressource, dérapage financier et calendaire, spécification non tenue.
• La gestion du risque consistant le plus souvent à modifier la planification du projet, ou à se préparer à le faire, la gestion des risques d'un projet tend à être une fonction opérationnelle (contrairement à une gestion des risques classique, plutôt fonctionnelle et transverse).
• La gestion du risque peut généralement se contenter d'une approche purement qualitative en ce qui concerne les probabilités d'occurrence, mais demandera souvent une analyse beaucoup plus poussée pour ce qui est des impacts financiers et calendaires.
• La gestion du risque est généralement modulaire, chaque sous-traitant étant responsable de sa partie et de ses marges ; ce qui entraîne des problèmes de coordinations spécifiques.

Prise au niveau d'une collectivité voire d'une nation, la gestion des risques présentent deux caractéristiques atypiques :

• L'échelle de temps considérée est typiquement séculaire, au contraire des entreprises où elle est plus couramment annuelle.
• L'enjeu majeur est la détection très en amont des risques émergents, à partir de signaux faibles qu'il faut recueillir et traiter.

De ce fait, les risques traités (santé publique, risque sismique, conflit armé…) sont généralement très éloignés des préoccupations quotidiennes de la collectivité, qui ne les perçoit qu'à travers les crises qu'ils peuvent engendrer.

L'étude de dangers ou EDD se place dans le cadre réglementaire de la sécurité industrielle. Ce cas particulier de gestion des risques présente deux particularités :

• L'inventaire des dangers à prendre en considération est le plus souvent imposé par la réglementation, ce qui supprime en pratique la problématique de perception et d'explicitation des risques.
• Le périmètre à prendre en compte ne se limite pas à l'entreprise, mais doit intégrer tout son environnement géographique. Elle cite les zones habitées à proximité du site ainsi que les sites industriels à proximité.

L'étude de dangers peut s'articuler de 6 façons différentes :

• L'APR (Analyse Préliminaire des Risques), elle arrive en premier lieu pour identifier les risques aux prémices de la conception d'un projet.
• L'AMDE (Analyse des modes de Défaillance et de leur Effets), traite et qualifie le moment à partir duquel un système ou un élément n'est plus apte à fonctionner correctement. Elle analyse les effets provoqués par la défaillance d'un élément du système.
• L'AMDEC (Analyse des Modes de Défaillance et de leurs Effets et de leur Criticité), similaire à l'AMDE elle ajoute cependant l'évaluation semi-quantitative des causes (probabilité) et effets (gravité).
• L'HAZID (HAZard IDentification) est une revue d’identification des dangers et d’analyse des risques. Elle a pour but d'estimer les causes et les conséquences et de définir des dispositifs pour pallier ses dysfonctionnements. Elle se base sur une analyse de l'accidentologie et distingue des scénarios d'accidents potentiels.
• L'HAZOP (HAZard Operability) méthode prépondérante dans l'analyse de la sécurité des industries de process (chimique, pharmaceutique, pétrolière). Elle est presque indispensable pour l'examen de systèmes dont la sécurité de l'installation dépend en grande partie de la maîtrise des conditions opératoires (débit, pression, température…). Ces revues se basent sur analyse systématique de la potentialité et des conséquences d'une dérive des paramètres du système. Les dérives potentielles sont produites par l'articulation de mot-clés caractérisant une situation inhabituel opératoire (comme « plus de », « moins de »…) et les paramètres opératoires du procédé. Les plans de circulation des fluides ou schémas PID (Piping and Instrumentation Diagram) transposent le fonctionnement du procédé. Des groupes de travail animé par un chairman réalisent ces revues. Il est composé de spécialistes capables d’identifier les causes, les conséquences des dérives, et d’évaluer si les moyens de prévention/protection sont suffisants.
• La « What-if » de l'anglais « que-si » est une méthode d'analyse semblable à l'HAZOP mais plus succincte, elle se limite aux conséquences sans identifier les causes. Son procédé se base sur la supposition d'apparition d'événements lorsqu'une anomalie dans le fonctionnement d'un composant survient.

Les mesures d’urbanisme ou constructives sont mises en place sur la base de l'EDD (servitudes d’utilité publique : SUP, plan de prévention des risques technologiques : PPRT). Elle permet l’élaboration des plans d’urgence et de secours (plan de défense contre l’incendie : PDCI, plan des opérations internes : POI, plan particulier d’intervention : PPI). Enfin, elle détermine les moyens de communication mis en place avec le personnel et le public (CSE, CLIC…).

L’EDD détermine l’acceptabilité du risque généré par l’ICPE (Installation Classé pour la Protection de l'Environnement) pour les personnes et l’environnement.

Le risque financier est un des rares domaines où la gestion du risque peut traiter de manière quasi symétrique à la fois les risques et les opportunités.

La vulnérabilité d'une entreprise se caractérise par les pertes induites par la réalisation d'un événement aléatoire frappant une ressource de l'entreprise.

La vulnérabilité est identifiée par les trois paramètres : l’objet du risque, ses causes (facteurs de risque, périls) et ses conséquences, son résultat potentiel. C'est donc un concept plus englobant que celui de criticité.

Le but de l’analyse de vulnérabilité est d’identifier les éléments vulnérables d’un site, c’est-à-dire, les éléments dont la perte pourrait mettre en péril la pérennité du site. Ces éléments sont majoritairement les machines, des fonctions de procédés, des locaux.

Une hiérarchisation des points vulnérables permet de définir les zones priorités dans la mise en place d'amélioration de la sécurité.

• Diagnostic des risques : Identifier, analyser et cartographier les vulnérabilités. Sophie Gaultier-Gaillard, Jean-Paul Louisot. Éditions AFNOR. 2007. (ISBN 2124755757).
• Revue trimestrielle Riseo (Risques : études et observations) sur www.riseo.fr
• "Norme ISO", 31000:2009 Management du risque - Principes et lignes directrices novembre 2009.
• "Norme ISO/CEI", 31010:2009 Management du risque - Techniques d'évaluation des risques novembre 2009.
• Management du risque. Approche globale. AFNOR. 2002. (ISBN 2-12-169211-8)
• Management du risque - Principes et lignes directrices. ISO 31000:2009(F)
• Management et économie des entreprises - Ch 22 La gestion des risques. Bressy G., Konkuyt C., Aide-mémoire SIREY - Ed. Dalloz, 2018
• 100 questions pour comprendre et agir. Gestion des risques. Jean-Paul Louisot. AFNOR et CARM_Institute (Cercle des Associés en risk-management & The Institutes) (ISBN 2-12-475087-9)
• Gestion des risques, Michel Lesbats, Dunod, 2012, (ISBN 978-2-10-057740-8)
• Fonction Risk manager, Catherine Véret, Richard Mekouar, Dunod, 2005 (ISBN 2-10-048697-7)
• La cartographie: un outil de gestion des risques .2007 Collection AMRAE www.amrae.fr.
• Cambon, J., Guarnieri, F., 2008, Analyse des défaillances organisationnelles, la méthode TRIPOD. Collection Sciences du Risque et du Danger, Éditions Lavoisier.
• Martin C., Guarnieri, F., 2008, État des pratiques de prévention dans les PME-PMI. Collection Sciences du Risque et du Danger, Éditions Lavoisier.
• Rasse G., 2008, Les plans de prévention des risques, Collection Sciences du Risque et du Danger, Éditions Lavoisier.
• Van Wassenhove W., Garbolino E., 2008, Retour d'expérience et prévention des risques, Collection Sciences du Risque et du Danger, Éditions Lavoisier.
• G. Jousse, Traité de riscologie – La science du risque, Imestra éditions, 2009, 2015
• La gestion publique des risques. Mieux coordonner les actions, faire émerger une vision d’ensemble
• Cour des Comptes (juin 2023) Rapport : La gestion publique des risques. Mieux coordonner les actions, faire émerger une vision d'ensemble ; Chambres régionales et territoriales des Comptes juin 2023, 185 p. (télécharger (Pdf)).

• Ressource relative à la santé :
  • Medical Subject Headings
• Notices dans des dictionnaires ou encyclopédies généralistes :

  • Britannica
  • Nationalencyklopedin
  • Universalis
• Notices d'autorité :

  • LCCN
  • GND
  • Israël
  • Tchéquie
• Norme internationale ISO 31000 en management des risques : International Organization for Standardization
• Certification des personnes : Certification internationale ISO 31000 proposée par The Global Institute for Risk Management Standards (G31000)
• Article ISO 31000 : la future norme internationale en gestion des risques face à la crise, Alex Dali, RiskAssur-hebdo, numéro 110, 16 janvier 2009
• Article Les enjeux de la norme ISO 31000 en gestion des risques, Alex Dali, Tribune de l’Assurance, Février 2009
• Article La norme ISO 31000 en 10 questions, Gilles motet, Les Cahiers de la sécurité industrielle, Mai 2009
• Article ISO 31000 : The Gold Standard, Alex Dali and Christopher Lajtha, Strategic Risk, September 2009
• Article L’approche globale du risque avec la norme ISO 31000, Lettre Finyear, 15 mars 2010
• Article : DGPR - La Direction Générale de la Prévention des Risques
• Présentation Présentation Powerpoint par Kevin W Knight, Chairman du comité international ISO 31000,2004-2011
• Présentation : cours de gestion des risques sous licence cc by-NC-SA, diapositives, modèle de plan de gestion des risques, 1h20 de vidéos (5 chapitres)
• Cadre de référence de la gestion des risques traduit de la norme anglaise IRM, FERMA (Federation of European Risk Management Associations), 2011.
• IRIAF Institut des Risques Industriels, Assurantiels et Financiers
• Cours de gestion des risques - Daniel Cohen, département d'informatique de l'université de Bordeaux 1
• (en) Project Risk Management Handbook: A Scalable Approach, Caltrans, June 2012.

• Portail du management
• Portail des risques majeurs
• Portail de la finance