| La détermination des risques est l’une des étapes importantes de la gestion des risques, pour aboutir à un registre des risques accompagné de plans d’action en tant qu’étape intermédiaire. Ainsi, conformément au principe de subsidiarité, la personne la moins élevée dans la hiérarchie et capable de déterminer les risques de manière significative est la personne appropriée pour dresser la liste des risques nécessaires. Ce principe s’applique aux risques à tous les niveaux de l’organisation. | Dans cette contribution, j’écris ma propre opinion, et non celle d’une quelconque organisation. |
Auteur : Manu Steens
La première étape
La première étape consiste donc à déterminer le groupe cible du brainstorming sur les risques. Pour les risques opérationnels, il peut s’agir de gestionnaires de processus ou de projets, mais aussi de nouveaux venus qui n’ont pas encore une grande vision des risques. Pour eux, après tout, ils sont constamment en contact avec des problèmes imprévus, et le fait de participer à l’analyse des risques les sensibilise et les rend plus vigilants. Pour les risques tactiques et stratégiques, il peut s’agir des membres du conseil d’administration. Le public cible des risques doit également être déterminé. Pour les risques normaux, il peut s’agir des cadres, tandis que pour les risques majeurs et les risques stratégiques, il convient de rendre compte à la direction générale/au conseil d’administration.
Une fois que vous avez déterminé les groupes cibles pour l’identification et la notification des risques, vous devez identifier les risques vous-même. Pour ce faire, vous pouvez utiliser une typologie des risques, par exemple. Il existe plusieurs possibilités. Celles-ci dépendent toujours de l’organisation elle-même, qui doit donc être bien connue des personnes qui choisissent/conçoivent la typologie de risques appropriée. Nous donnons ci-dessous quelques exemples de typologies de risques (non exhaustifs).
Une première division possible est la suivante
- Risques financiers
- Exigences juridiques
- Conformité juridique
- Image
- Spécificité de l’industrie
- Intégrité et fiabilité des données
- Confidentialité des données
- Sécurité des données propres
- Planification de la reprise après sinistre et de la continuité
- Risques opérationnels
Une deuxième division possible est la suivante
- Risques externes
- Nature
- Politique / lois et règlements
- Social / sociétal
- Économie / marché, marchés boursiers, …
- Risques internes
- Stratégie
- Juridique / implications financières forme juridique
- Continuité
- Qualité
- Fraude / conformité …
- Risques matériels (pertes et dommages)
- Sécurité des personnes / des ressources
- Risques financiers
- Connaissances critiques
- Capacité …
Une troisième division possible est la suivante
- Risques opérationnels :
- (Willem De Ridder, ‘Value-added risk management’) : « Le risque de perte résultant de processus, de personnes et de systèmes inadéquats ou défaillants ou d’événements extérieurs.
- Risques stratégiques :
- (Lizanne Vroom, « Risk management from the Dynamic Business Model ») : « Le risque de perte (de capital) et/ou de survie de l’organisation en raison de changements dans l’environnement de l’organisation, de l’absence de réponse ou d’une réponse erronée aux changements dans l’environnement de l’organisation, de décisions commerciales défavorables ou d’une mise en œuvre incorrecte de la stratégie choisie.
Comment évaluer les risques à l’aide de la typologie des risques
Une manière utile de travailler avec cette typologie des risques est de faire un brainstorming en utilisant la méthodologie SWOT. Il convient toutefois de noter que cette méthode permet de faire la distinction entre les questions internes (forces et faiblesses) et les questions externes (opportunités et menaces), mais qu’elle ne constitue pas encore une analyse des risques en soi. Elle peut être utilisée pour formuler des déclarations de risque en fonction de chaque élément de la typologie des risques en relation avec des projets opérationnels, des processus, des objectifs ou des buts stratégiques. Il s’agit donc essentiellement d’une identification des risques. La typologie des risques utilisée peut également en dépendre. En outre, la méthode SWOT, avec sa matrice de confrontation, convient à la formulation de mesures.
Il est préférable d’organiser une séance de brainstorming avec un groupe d’environ 4 personnes, sous la direction d’un coach. Ce dernier doit toujours inciter le groupe à formuler correctement les énoncés de risques et, selon le principe du nœud papillon, à formuler les causes et les effets, les causes des causes et les effets des effets, etc. C’est ainsi que s’applique la méthode des 5 questions « pourquoi » et des 5 questions « et alors ». Les participants au brainstorming formulent ensuite les déclarations de risque sous la forme suivante : « L’organisation / le processus / le projet … a un problème / une opportunité … avec des causes … et des conséquences … ».
On peut ainsi choisir de décomposer les causes et les conséquences du problème en plusieurs énoncés de risques, ou de regrouper les causes et les conséquences. Celles-ci sont ensuite confrontées à des mesures préventives et réactives, respectivement. La méthode du nœud papillon est donc très appropriée pour indiquer si toutes les causes et conséquences énoncées sont traitées par des mesures.