GESTION DES RISQUES
ISO 31000 : transformer la gestion des risques en véritable levier de performance
Comprendre la norme, dépasser la simple conformité, et en faire un atout compétitif pour votre organisation.
Chaque entreprise prend des risques, tous les jours, souvent sans même s'en rendre compte. Un fournisseur qui prend du retard, un projet informatique qui dérape, un nouveau marché qui ne réagit pas comme prévu : ce ne sont pas des accidents de parcours, ce sont des risques que l'on aurait pu anticiper, mesurer et, dans bien des cas, transformer en opportunité. C'est exactement l'objet de la norme ISO 31000.
Publiée par l'Organisation internationale de normalisation, l'ISO 31000 propose des lignes directrices pour le management du risque. Contrairement à d'autres normes ISO, elle n'est pas certifiable : elle ne vise pas à décrocher un tampon, mais à donner un cadre de pensée et d'action commun à toutes les organisations, quels que soient leur taille, leur secteur ou leur maturité. Elle s'articule autour de trois éléments indissociables, que nous allons détailler dans cet article : des principes qui posent le socle philosophique de la démarche, un cadre organisationnel qui ancre cette démarche dans la gouvernance, et un processus opérationnel qui la rend concrète au quotidien.
Une norme, mais pas une contrainte de plus
Beaucoup de dirigeants associent encore la gestion des risques à une obligation réglementaire, un exercice administratif de plus à cocher. L'ISO 31000 inverse cette logique. Elle part du principe que le risque n'est ni bon ni mauvais en soi : c'est l'effet de l'incertitude sur l'atteinte des objectifs. Bien géré, ce risque devient un outil de décision. Mal géré, ou pire, ignoré, il devient une source de pertes, de retards et parfois de crises majeures.
« Le risque n'est pas l'ennemi de la performance. C'est l'incertitude non maîtrisée qui l'est. »
Adopter cette norme, c'est donc changer de posture : passer d'une gestion des risques réactive, subie après coup, à une gestion proactive, intégrée dans chaque décision stratégique et opérationnelle. C'est cette bascule que les trois piliers de la norme permettent d'organiser concrètement.
Premier pilier : les huit principes qui fondent la démarche
Les principes de l'ISO 31000 ne sont pas de simples déclarations d'intention : ce sont les critères qui permettent de juger si une démarche de gestion des risques est réellement efficace, ou si elle n'est qu'une formalité déconnectée du terrain. La norme en retient huit.
1. Intégrée
Le management du risque n'est pas une fonction support isolée, avec son propre reporting et ses propres réunions déconnectées du reste. Il fait partie intégrante de la gouvernance, de la stratégie, de la planification, des opérations et même de la gestion de projet. Concrètement, cela signifie qu'un comité de direction ne devrait jamais valider un plan stratégique sans avoir discuté, dans le même temps, des risques associés.
2. Structurée et globale
Une approche structurée et cohérente produit des résultats comparables et fiables dans le temps. Cela ne veut pas dire rigide : cela veut dire que l'organisation utilise une méthode homogène pour identifier, analyser et traiter ses risques, plutôt que de réinventer une grille d'analyse à chaque service ou à chaque projet.
3. Adaptée
Le cadre et le processus doivent être proportionnés et adaptés au contexte externe et interne de l'organisation, y compris à ses objectifs. Une PME industrielle et une startup technologique n'ont ni les mêmes risques, ni les mêmes ressources à y consacrer : la norme ne demande jamais d'appliquer une usine à gaz disproportionnée par rapport aux enjeux réels.
4. Inclusive
L'implication appropriée et rapide des parties prenantes permet de tenir compte de leurs connaissances, points de vue et perceptions. Un risque identifié uniquement par la direction, sans consulter les équipes terrain qui vivent la réalité opérationnelle, a toutes les chances de passer à côté de l'essentiel.
5. Dynamique
Les risques apparaissent, changent ou disparaissent à mesure que le contexte d'une organisation évolue. Le management du risque anticipe, détecte, reconnaît et répond à ces changements de manière appropriée et en temps utile. Un registre des risques figé, jamais mis à jour, n'a de valeur que sur le papier.
6. Meilleure information disponible
Les décisions s'appuient sur des données historiques, des retours d'expérience, des informations actuelles et sur les projections disponibles, tout en tenant compte des limites et des incertitudes associées à ces informations. La norme n'exige pas la perfection des données, mais la transparence sur leur fiabilité.
7. Facteurs humains et culturels
Le comportement humain et la culture influencent de manière significative tous les aspects du management du risque, à chaque niveau et à chaque étape. Deux équipes confrontées au même risque objectif peuvent réagir très différemment selon leur culture du risque, leur tolérance à l'incertitude ou leur historique. Ignorer cette dimension revient à bâtir un dispositif théorique qui ne sera jamais réellement suivi.
8. Amélioration continue
Le management du risque s'améliore en permanence par le retour d'expérience et l'apprentissage. Chaque incident, chaque quasi-accident, chaque risque qui s'est matérialisé est une occasion de renforcer le dispositif, pas seulement de le documenter.
Deuxième pilier : le cadre organisationnel
Le cadre, ou « framework », est ce qui permet d'ancrer le management du risque dans la gouvernance de l'organisation, pour qu'il devienne un réflexe et non un projet ponctuel. L'ISO 31000 le décrit selon une logique proche du cycle PDCA (Planifier, Déployer, Vérifier, Améliorer), en six composantes.
Leadership et engagement
Tout part de la direction. Sans un engagement visible et assumé des dirigeants, sans intégration du risque dans les décisions stratégiques et sans allocation de ressources dédiées, le management du risque reste une déclaration d'intention. La direction doit notamment définir et approuver une politique de management du risque, s'assurer que le cadre est compatible avec le contexte de l'organisation, et rendre des comptes sur son efficacité.
Intégration
Le management du risque doit être intégré à la structure, aux rôles et aux processus existants de l'organisation, plutôt que superposé comme une couche supplémentaire. Cela implique de clarifier qui, dans l'organigramme, est responsable de quoi en matière de risque : ce n'est pas une affaire réservée à un « risk manager », mais une responsabilité partagée à chaque niveau.
Conception (planification)
Cette étape consiste à comprendre l'organisation et son contexte, interne comme externe, à formaliser l'engagement de la direction, à attribuer clairement les rôles, autorités, responsabilités et obligations de rendre compte, à allouer les ressources nécessaires, et à établir les mécanismes de communication et de concertation avec les parties prenantes.
Mise en œuvre
Le cadre conçu est déployé concrètement : élaboration d'un plan avec échéances et ressources, identification des points de décision où le risque doit être pris en compte, adaptation des processus de management du risque existants. C'est l'étape où la théorie devient pratique quotidienne.
Évaluation
Périodiquement, l'organisation mesure l'efficacité et la performance du cadre au regard de sa politique, de ses objectifs et des indicateurs définis. Il ne s'agit pas de vérifier que des documents existent, mais que le dispositif produit réellement de la valeur et une meilleure prise de décision.
Amélioration
Sur la base de cette évaluation, l'organisation adapte son cadre, comble les lacunes identifiées et améliore en continu la pertinence, l'adéquation et l'efficacité de sa démarche, ainsi que la manière dont elle s'intègre au management global.
Troisième pilier : le processus de management du risque
Si le cadre organise la gouvernance, le processus, lui, décrit l'enchaînement d'activités concrètes à mener face à un risque donné, qu'il s'agisse d'un projet, d'une activité ou de l'organisation dans son ensemble. Il s'articule autour de six composantes, qui ne sont pas strictement linéaires mais fonctionnent en interaction constante.
Communication et concertation
Cette activité traverse l'ensemble du processus plutôt que d'en être une étape isolée. Elle vise à faire connaître aux parties prenantes les enjeux de risque, à recueillir leur expertise et leurs points de vue, et à s'assurer que les personnes affectées par les décisions comprennent la manière dont celles-ci ont été prises.
Champ d'application, contexte et critères
Avant d'identifier le moindre risque, il faut définir précisément ce dont on parle : le périmètre de l'analyse (un projet, un processus, toute l'organisation), le contexte externe (marché, réglementation, concurrence) et interne (culture, ressources, objectifs stratégiques), ainsi que les critères qui serviront à évaluer la gravité et l'acceptabilité des risques. Sans cette étape, deux équipes peuvent évaluer un même risque de façon totalement incohérente.
Appréciation du risque
C'est le cœur analytique du processus, qui se décompose lui-même en trois temps :
- Identification du risque : rechercher, reconnaître et décrire les risques, en s'appuyant sur des sources variées : retours d'expérience, avis d'experts, analyse de processus, veille sectorielle;
- Analyse du risque : comprendre la nature du risque, ses causes, ses conséquences possibles, sa probabilité d'occurrence et les facteurs qui l'influencent, afin d'en déterminer le niveau;
- Évaluation du risque : comparer les résultats de l'analyse aux critères définis en amont pour décider si le risque est acceptable en l'état ou s'il nécessite un traitement, et pour le prioriser par rapport aux autres.
Traitement du risque
Une fois les risques priorisés, il s'agit de choisir et de mettre en œuvre une ou plusieurs options : éviter le risque en renonçant à l'activité qui l'engendre, le réduire en agissant sur sa probabilité ou son impact, le partager ou le transférer par exemple via une assurance ou un contrat, ou encore l'accepter et le conserver en connaissance de cause lorsque le coût du traitement dépasserait le bénéfice attendu. Le choix n'est jamais automatique : il résulte d'un arbitrage coûts / bénéfices assumé par l'organisation.
Surveillance et revue
Les risques et leur environnement évoluent, tout comme l'efficacité des mesures de traitement mises en place. Cette activité consiste à vérifier régulièrement que rien n'a été oublié, que les hypothèses de départ restent valables et que les dispositifs de traitement fonctionnent réellement, pas seulement sur le papier.
Enregistrement et élaboration de rapports
Le processus, ses résultats et les décisions prises doivent être documentés et communiqués de manière appropriée. Cette traçabilité n'est pas une contrainte bureaucratique : elle permet de justifier les décisions, de capitaliser sur l'expérience acquise et de faciliter l'amélioration continue évoquée plus haut.
Ce que cela change réellement pour votre entreprise
Les organisations qui structurent leur démarche autour de ces trois piliers en tirent des bénéfices concrets, bien au-delà de l'image de sérieux qu'elle renvoie :
- Des décisions plus robustes : les choix stratégiques s'appuient sur une vision claire des risques et des opportunités, pas sur l'intuition seule;
- Moins de surprises coûteuses : les difficultés sont anticipées plutôt que subies, ce qui limite les coûts de crise;
- Une meilleure résilience : l'organisation s'adapte plus vite aux imprévus, qu'ils soient économiques, technologiques ou humains;
- Une crédibilité renforcée : clients, partenaires et investisseurs sont naturellement rassurés par une gouvernance des risques visible et structurée.
Les erreurs à éviter
La démarche échoue le plus souvent pour les mêmes raisons :
- un registre des risques rempli une fois puis oublié dans un tiroir, contraire au principe de dynamique ;
- une gestion des risques confiée à une seule personne isolée du reste de l'organisation, contraire au principe d'intégration ;
- un cadre calqué sur celui d'une autre entreprise sans adaptation au contexte réel, contraire au principe d'approche sur mesure.
Dans tous les cas, l'objectif n'est jamais le zéro risque, qui n'existe pas, mais une prise de risque éclairée et assumée, à chaque niveau de l'organisation.
Par où commencer ?
Mettre en œuvre l'ISO 31000 ne nécessite pas de tout révolutionner du jour au lendemain, ni de dérouler les trois piliers dans leur intégralité dès la première semaine.
Un diagnostic initial du contexte et de la maturité actuelle, l'engagement formel de la direction, quelques ateliers avec les équipes clés pour un premier cycle d'identification et d'évaluation des risques, suffisent souvent à enclencher une dynamique durable.
L'essentiel est de démarrer avec méthode, puis d'ancrer progressivement la démarche dans les habitudes de pilotage de l'entreprise.
Prêt à démarrer?
Vous envisagez de structurer, ou de renforcer, la gestion des risques au sein de votre organisation ? Nous accompagnons les entreprises dans le diagnostic, la mise en œuvre et le suivi d'une démarche de management du risque alignée sur l'ISO 31000, adaptée à votre secteur et à votre taille. Contactez-nous pour en discuter.
A lire aussi sur la gestion des risques (GESTION DES RISQUES EN ENTREPRISE PME/TPE au Maroc : anticiper les risques pour sécuriser sa croissance - NOVAEL AUDIT & CONSEIL)
Durée totale : 8 à 10 jours ouvrés en moyenne, adaptable selon la taille et la complexité de votre entreprise.
