PARTIE 2 : Evaluation des Risques

Le management identifie les événements potentiels qui, s’ils se réalisent, pourront affecter l’entreprise. Il détermine s’ils représentent une opportunité ou s’ils sont susceptibles de nuire sérieusement à la capacité de l’entité à mettre en œuvre avec succès sa stratégie et à atteindre ses objectifs. Les événements ayant un impact négatif constituent des risques qui demandent une évaluation du management et un traitement.

Lors de l’évaluation des risques, le management doit tenir compte des événements attendus ou non. De nombreux événements routiniers et récurrents sont déjà pris en compte via les plans d’actions et les budgets. Les événements, qu’ils soient attendus ou inattendus, susceptibles d’avoir un impact significatif sur l’entité, doivent faire l’objet d’une évaluation.

Quelles sont les bases de l’évaluation des risques ?

Il est important avant d’entamer les techniques d’évaluation des risques, de surtout bien faire la différence entre risque inhérent et risque résiduel. Le management doit examiner à la fois le risque inhérent et le risque résiduel.

Le risque inhérent est celui auquel une entité est exposée en l’absence de mesures correctives prises par le management pour en modifier la probabilité d’occurrence ou l’impact. Le risque résiduel est le risque auquel l’entité reste exposée après la prise en compte des solutions mises en œuvre par le management. Les risques inhérents sont évalués dans un premier temps puis, une fois les réponses du management définies, l’évaluation porte sur les risques résiduels.

La probabilité représente la possibilité qu’un événement donné survienne, tandis que l’impact en représente les conséquences. Probabilité et impact sont deux termes couramment utilisés, bien que certaines entreprises utilisent d’autres termes tels qu’éventualité et sévérité, gravité ou conséquence. Ces termes prennent parfois des connotations spécifiques, «éventualité» indiquant la possibilité de survenance d’un événement donné en termes qualitatifs (élevée, moyenne, faible ou d’autres types d’échelles de valeur) et «probabilité» indiquant une mesure quantitative comme un pourcentage, une fréquence d’occurrence ou une autre mesure chiffrée (des échelles de variables sont parfois définies).

Nous avons constaté qu’il est difficile pour les dirigeants de déterminer le degré d’attention accordé à l’évaluation de l’ensemble des risques auquel leurs entités sont exposées. Le management sait en général qu’il n’est pas nécessaire de s’attarder sur un risque ayant une probabilité d’occurrence faible et un impact potentiel mineur. En revanche, un risque ayant une probabilité d’occurrence élevée et un impact potentiel important exige une grande attention. L’appréciation des cas de figures situés entre ces deux extrêmes constitue un exercice complexe. Il est important que l’analyse soit rationnelle et rigoureuse.

Quelles sont les sources de données fiables pour réaliser l’évaluation des risques ?

La probabilité d’occurrence et l’impact du risque sont souvent estimés à partir de données historiques, qui constituent une base plus objective que de simples estimations. Les données générées en interne basées sur l’expérience de l’entreprise sont moins sujettes à la subjectivité des personnes et donnent de meilleurs résultats que les données provenant de sources externes. Toutefois, même lorsque les données utilisées sont principalement générées en interne, des données externes peuvent être utiles pour servir de point de référence ou pour renforcer l’analyse.

Par exemple, lorsque les managers d’une entreprise procèdent à l’évaluation des risques liés à un arrêt de la production provoqué par une panne, le management peut dans un premier temps examiner la fréquence et l’impact des précédentes pannes des équipements de production puis compléter cette évaluation par des données de référence du secteur. Ceci permet d’une part d’établir une estimation plus précise de la probabilité et de l’impact des pannes, et d’autre part de mieux planifier la maintenance ou l’entretien afin de les éviter. Les projections à partir des données historiques doivent être faites avec prudence car les facteurs ayant un impact sur la survenance des risques sont susceptibles de changer au fil du temps.

Quelles sont les méthodes les plus fréquentes ?

Les approches d’évaluation des risques sont généralement constituées d’une combinaison de techniques qualitatives et quantitatives. Le management utilise fréquemment des techniques d’évaluation qualitatives lorsque les risques ne se prêtent pas à la quantification ou lorsqu’il ne dispose pas des données nécessaires à une évaluation quantitative ou encore lorsque la collecte et l’analyse de ces données n’est pas rentable au regard du bénéfice attendu.

Les techniques quantitatives donnent en règle générale des résultats plus précis et sont utilisées pour compléter les techniques qualitatives sur les activités les plus complexes.

Comment peut-on représenter les résultats de l’évaluation des risques ?

Il existe de nombreuses méthodes pour représenter les résultats de l’évaluation des risques. Il est particulièrement important de représenter les risques de manière claire et concise, surtout dans le cas d’une évaluation qualitative, les risques n’étant alors pas caractérisés par une valeur ou un intervalle de valeurs, les méthodes utilisées peuvent prendre la forme de cartographie des risques et de représentations numériques.