Scheda di revisione: Gestion Stratégique des Risques

📋 Plan du Cours

1. Définition du risque
2. Facteurs d'élargissement
3. Typologie AMRAE
4. Gestion des risques
5. Étapes de la gestion
6. Évaluation des risques
7. Cartographie des risques
8. Maitrise du risque
9. Suivi et apprentissage

📖 1. Définition du risque

🔑 Notions clés & Définitions

• Risque : AUBRY (2024) : un aléa privant un système d’une ressource et empêchant d’atteindre ses objectifs. Il s’agit d’une notion complexe, mêlant danger et opportunité, qui a évolué pour devenir une variable stratégique dans la gestion des organisations.
• Dimension historique du risque : La perception et la gestion du risque ont évolué avec le temps, intégrant à la fois la menace (danger) et la possibilité d’opportunités, notamment sous l’effet de facteurs tels que l’apparition de nouveaux risques ou la prise en compte de la subjectivité.
• Évolution du risque (danger et opportunité) : La conception du risque s’est élargie, intégrant non seulement la menace mais aussi la possibilité d’opportunités, ce qui influence la stratégie des organisations.
• Risque comme variable stratégique : AUBRY (2024) : le risque est devenu un paramètre clé dans la réflexion stratégique des entreprises, nécessitant une démarche de gestion proactive pour maîtriser ses impacts.

📝 Points essentiels

• La définition du risque, selon AUBRY (2024), reste une notion ancienne mais toujours pertinente, centrée sur l’aléa qui prive un système de ressources et empêche d’atteindre ses objectifs.
• La perception du risque a changé avec l’apparition de nouveaux risques (cyber, éthique) et la reconnaissance de leur imprévisibilité, ce qui complique leur identification et leur gestion.
• La dimension historique montre que le risque n’est pas seulement une menace, mais aussi une opportunité, ce qui a conduit à une gestion stratégique intégrée.
• La gestion du risque s’est professionnalisée avec la création de fonctions dédiées comme le Risk Manager, et la mise en place de démarches globales telles que l’ERM (Enterprise-Wide Risk Management).
• La typologie AMRAE, en quatre étapes, permet de nommer, décrire, identifier causes et conséquences d’un risque, avec une qualification qualitative des impacts.

💡 À retenir

Le risque, en tant que concept, a évolué d’une simple notion de danger à une variable stratégique intégrant danger et opportunité, nécessitant une gestion proactive et structurée dans les organisations.

📖 2. Facteurs d'élargissement

🔑 Notions clés & Définitions

• Apparition de nouveaux risques (depuis les années 90) : Émergence de risques inédits ou peu anticipés tels que le cyber-risque ou le risque éthique, pour lesquels l’agent ne peut pas définir la liste précise des conséquences possibles (AUBRY, 2024).
• Notion de subjectivité et perception du risque : La perception du risque varie selon les individus et les contextes, rendant sa gestion complexe. La communication devient essentielle pour prendre en compte cette subjectivité (AUBRY, 2024).
• Amplification du risque : Accroissement de l’impact des risques par l’action de régulateurs, législateurs (sanctions) et médias (bad buzz), qui accentuent la visibilité et la gravité perçue des risques (AUBRY, 2024).
• Affaires majeures impactant la réglementation : Incidents ou scandales comme Enron (2001) ou Maxwell (1991) qui entraînent des modifications réglementaires et une responsabilisation accrue des organisations et dirigeants (AUBRY, 2024).
• Réticence des compagnies d’assurances à couvrir les nouveaux risques : Les assureurs majorent les tarifs, relèvent les franchises ou réduisent la couverture, poussant les organisations à gérer elles-mêmes certains risques via des démarches internes ou captives (AUBRY, 2024).

📝 Points essentiels

• Depuis les années 90, l’élargissement des risques résulte de cinq facteurs principaux : l’émergence de nouveaux risques, la perception subjective du risque, la réticence des assureurs, les affaires majeures, et l’amplification par les régulateurs et médias.
• La difficulté de nommer et de caractériser ces risques s’accroît, notamment avec la diversité des risques (cyber, IA, changement climatique, éthique). La typologie AMRAE, en quatre étapes (nommer, décrire, causes, conséquences), facilite leur gestion.
• La perception subjective du risque nécessite une communication adaptée pour intégrer cette dimension dans la gestion.
• Les affaires majeures ont conduit à une réglementation renforcée, responsabilisant davantage les dirigeants et impactant la gestion des risques.
• L’amplification du risque par les médias et régulateurs modifie la perception publique et organisationnelle, augmentant la pression pour une gestion proactive.

💡 À retenir

Depuis les années 90, l’élargissement des risques résulte d’un ensemble de facteurs qui complexifient leur identification, leur perception et leur gestion, nécessitant une approche stratégique et intégrée.

📖 3. Typologie AMRAE

🔑 Notions clés & Définitions

• Nommer le risque : étape consistant à attribuer un libellé précis et un code au risque identifié, permettant de l’intégrer dans une famille ou typologie (ex : BRM).
• Décrire le risque : description détaillée de l’événement redouté, précisant la nature du risque et ses caractéristiques essentielles.
• Identifier ses causes : processus visant à déterminer les facteurs ou événements à l’origine de la survenance du risque, souvent par interviews ou ateliers (voir étape 2).
• Identifier ses conséquences : évaluation des impacts potentiels du risque sur l’organisation, incluant des aspects économiques, image, social, financier, juridique.
• Qualification des conséquences : processus de mesure qualitative ou quantitative des impacts, utilisant une échelle (ex : de 1 à 4), pour hiérarchiser et prioriser les risques (impact, probabilité).
• Les 4 étapes de caractérisation d’un risque : nommer, décrire, identifier causes, identifier conséquences, permettant une gestion structurée et efficace du risque (voir section 3).

📝 Points essentiels

• La typologie AMRAE facilite la nomination et la caractérisation des risques en structurant leur description à travers quatre étapes clés : nommer, décrire, identifier causes, et identifier conséquences.
• La qualification des conséquences est essentielle pour hiérarchiser les risques selon leur impact économique, image, social, financier ou juridique, en utilisant des échelles qualitatives (ex : 1 à 4).
• La démarche de caractérisation permet d’établir une cartographie des risques, qui synthétise leur criticité en combinant impact et probabilité, et facilite la priorisation des actions.
• La méthode s’appuie sur la création d’un code, d’un libellé, et d’une description précise pour chaque risque, souvent rattaché à une famille ou typologie via un registre ou un Business Risk Model (BRM).
• La démarche structurée en 4 étapes est essentielle pour une gestion proactive et cohérente des risques, notamment dans le cadre de la démarche ERM (Enterprise-Wide Risk Management).

💡 À retenir

La typologie AMRAE offre une méthode structurée en quatre étapes pour nommer, décrire, analyser et qualifier les risques, permettant une gestion efficace et priorisée des risques organisationnels.

📖 4. Gestion des risques

🔑 Notions clés & Définitions

• Gestion des risques : processus continu d’identification, d’évaluation et de maîtrise des risques, appliqué tout au long d’un programme ou d’un projet, visant à réduire ou à accepter le risque résiduel. (source : Caroline AUBRY, 2024)
• Objectifs principaux : transférer le risque (ex : assurance), le lever ou l’atténuer, ou l’accepter sous sa forme résiduelle, en fonction de l’appétence au risque de la direction. (source : Caroline AUBRY, 2024)
• Risk Manager : fonction dédiée à la gestion des risques, responsable de la mise en œuvre, du suivi et de l’amélioration continue du processus de gestion des risques. (source : Caroline AUBRY, 2024)
• Démarche ERM (Enterprise-Wide Risk Management) : approche globale et transversale de la gestion des risques, qui s’oppose à une gestion par silo, intégrant tous les niveaux et processus de l’organisation. (source : Caroline AUBRY, 2024)

📝 Points essentiels

• La gestion des risques est un processus continu qui doit être déployé tout au long du cycle de vie d’un projet ou d’une organisation, impliquant plusieurs étapes : stratégie, identification, évaluation, maîtrise, suivi et apprentissage. (source : Caroline AUBRY, 2024)
• La démarche ERM vise à adopter une vision intégrée, permettant d’anticiper et de prioriser les risques majeurs, en utilisant des outils comme la cartographie impact/probabilité et le registre des risques. (source : Caroline AUBRY, 2024)
• Les objectifs principaux sont de transférer le risque via l’assurance, de le lever ou l’atténuer par des plans d’action, ou de l’accepter en fonction de l’appétence au risque définie lors de l’élaboration de la stratégie. (source : Caroline AUBRY, 2024)
• La fonction Risk Manager joue un rôle clé dans la coordination, la communication, et l’amélioration continue du processus de gestion des risques, en assurant la cohérence et la pertinence des actions. (source : Caroline AUBRY, 2024)
• La démarche ERM est transversale, intégrant tous les processus et niveaux de l’organisation, permettant une vision globale et cohérente de la gestion des risques. (source : Caroline AUBRY, 2024)

💡 À retenir

La gestion des risques, en tant que processus continu et global, permet aux organisations d’anticiper, de prioriser et de maîtriser leurs risques majeurs, tout en intégrant une démarche transversale et une fonction dédiée, le Risk Manager.

📖 5. Étapes de la gestion

🔑 Notions clés & Définitions

• Stratégie de définition des risques majeurs : Élaboration d’un cadre global pour identifier, prioriser et gérer les risques à l’échelle stratégique et opérationnelle, en tenant compte de l’appétence au risque de l’organisation (voir étape 1).
• Identification des risques passés, présents et émergents : Processus consistant à nommer, décrire et classer les risques selon leur temporalité, en utilisant des méthodes top-down, bottom-up ou mixtes (voir étape 2).
• Méthodes top-down, bottom-up, mixte : Techniques d’identification des risques ; top-down part de la stratégie globale pour remonter aux risques opérationnels, bottom-up part des processus opérationnels pour remonter à la stratégie, et la méthode mixte combine ces approches pour une vision complète (voir étape 2).
• Évaluation, quantification et hiérarchisation des risques : Analyse visant à mesurer la gravité (impact) et la probabilité de réalisation des risques, puis à prioriser ceux nécessitant une action immédiate, souvent via une cartographie impact/probabilité (voir étape 3).
• Maitrise du risque : Mise en place de contrôles, plans d’action et systèmes de surveillance pour réduire le risque résiduel à un niveau acceptable, en évaluant leur efficacité et en adaptant les mesures en conséquence (voir étape 4).
• Suivi, apprentissage et amélioration continue : Utilisation d’indicateurs, communication des résultats, retours d’expérience, mise à jour des plans et formation pour assurer une gestion dynamique et évolutive des risques (voir étape 5).

📝 Points essentiels

• La démarche de gestion des risques se déploie en 5 étapes : élaborer une stratégie, identifier, évaluer, maîtriser, suivre et apprendre (voir étape 1 à 5).
• La stratégie de définition des risques doit couvrir à la fois les objectifs stratégiques (via SWOT) et opérationnels (via le Business Model), permettant d’ajuster la gestion des risques aux processus clés (voir étape 1).
• L’identification des risques utilise des méthodes variées : top-down, bottom-up ou mixte, pour assurer une couverture exhaustive et pertinente (voir étape 2).
• L’évaluation repose sur une cartographie impact/probabilité, avec une hiérarchisation des risques selon leur criticité, facilitant la priorisation des actions (voir étape 3).
• La maîtrise du risque implique l’évaluation de l’efficacité des contrôles et la mise en œuvre de plans d’action ciblés pour réduire la criticité à un niveau acceptable (voir étape 4).
• Le suivi et l’apprentissage continu permettent d’adapter la gestion des risques en fonction des retours d’expérience, des indicateurs de performance et des évolutions du contexte (voir étape 5).

💡 À retenir

La gestion des risques s’organise en cinq étapes structurées, allant de la définition stratégique à l’apprentissage continu, pour assurer une maîtrise dynamique et adaptée aux enjeux de l’organisation.

📖 6. Évaluation des risques

🔑 Notions clés & Définitions

• Cartographie des risques : Outil synthétique multi-niveaux (corporate et BU) permettant de visualiser et hiérarchiser les risques en fonction de leur impact et probabilité, facilitant la priorisation des actions (voir section 7).
• Échelle qualitative d’impact et de probabilité : Outils d’évaluation utilisant une échelle de 1 à 4 pour mesurer respectivement la gravité des conséquences (impact) et la fréquence de réalisation du risque (probabilité), où 1 représente le niveau faible et 4 le niveau très fort (voir section 7).
• Criticité : Indicateur calculé par le produit de l’impact et de la probabilité (Criticité = impact * probabilité), exprimant la gravité globale du risque. Elle permet de hiérarchiser les risques et d’élaborer un top ten des risques majeurs.
• Interprétation des couleurs dans la cartographie : Méthode visuelle pour qualifier le niveau de risque : vert (respect des limites, surveillance régulière), jaune (approche des limites, surveillance active), rouge (dépassement des limites, plan d’action nécessaire).
• Hiérarchisation des risques et top ten : Processus de classement des risques selon leur criticité pour cibler ceux nécessitant une attention prioritaire et élaborer des plans d’action adaptés.

📝 Points essentiels

• La cartographie impact/probabilité est un outil clé pour l’évaluation synthétique des risques, permettant une visualisation claire des risques majeurs à différents niveaux (corporate et BU).
• L’échelle qualitative (1 à 4) facilite la quantification des impacts et probabilités sans recourir à des valeurs absolues, évitant ainsi la confusion avec des scores numériques simples.
• La criticité, en tant que produit de l’impact et de la probabilité, sert à hiérarchiser les risques et à définir un « top ten » pour concentrer les efforts de gestion.
• L’interprétation des couleurs dans la cartographie permet une lecture rapide du niveau de risque : vert pour risque acceptable, jaune pour risque à surveiller, rouge pour risque critique nécessitant une intervention immédiate.
• La hiérarchisation des risques repose sur leur criticité, ce qui oriente la mise en place de plans d’action spécifiques, notamment pour les risques majeurs.

💡 À retenir

L’évaluation des risques repose sur la cartographie impact/probabilité, utilisant une échelle qualitative et la criticité pour hiérarchiser efficacement les risques majeurs, facilitant ainsi la prise de décision stratégique.

📖 7. Cartographie des risques

🔑 Notions clés & Définitions

• Cartographie des risques : Outil synthétique multi-niveaux permettant de représenter visuellement la criticité des risques à l’échelle de l’organisation (corporate) et des unités opérationnelles (BU). Elle facilite la priorisation et la planification des actions de maîtrise (source : contenu source).
• Cartographies spécifiques : Représentations visuelles dédiées à certains types de risques (ex : cyber, environnement, corruption) pour une gestion ciblée et adaptée à la nature particulière de chaque risque.
• Rôle de la cartographie : Permet d’évaluer la criticité des risques, de hiérarchiser les risques majeurs, et d’orienter la mise en place de plans d’action pour leur maîtrise (source : contenu source).
• Typologie AMRAE : Méthode en 4 étapes pour caractériser un risque : nommer, décrire, identifier causes, identifier conséquences, avec qualification des impacts (économiques, image, social, financier, juridique) (source : contenu source).
• Gestion des risques (approche ERM) : Processus global et transversal d’identification, d’évaluation, de maîtrise, et de suivi des risques, déployé à l’échelle de toute l’organisation pour réduire la criticité résiduelle (source : contenu source).

📝 Points essentiels

• La cartographie des risques est un outil clé pour visualiser la criticité des risques à différents niveaux (corporate et BU), en utilisant une matrice impact/probabilité. Elle permet une hiérarchisation efficace des risques, notamment via un « top ten » des risques majeurs.
• La construction de la cartographie implique une évaluation qualitative de l’impact (échelle 1 à 4) et de la probabilité (échelle 1 à 4), puis le calcul de la criticité (impact * probabilité). La criticité exprimée en euros facilite la priorisation.
• La couleur dans la cartographie (vert, jaune, rouge) indique si le risque respecte l’appétence au risque de l’organisation, s’en approche ou la dépasse, guidant ainsi la nécessité ou non d’un plan d’action.
• Des cartographies spécifiques sont utilisées pour certains risques particuliers (cyber, environnement, corruption), afin d’assurer une gestion adaptée et ciblée.
• La cartographie sert également à orienter la maîtrise des risques, en identifiant les systèmes de contrôle et en évaluant leur efficacité, pour réduire le risque résiduel.

💡 À retenir

La cartographie des risques est un outil stratégique visuel qui synthétise la criticité des risques à différents niveaux, permettant de prioriser, planifier et suivre efficacement leur maîtrise.

📖 8. Maitrise du risque

🔑 Notions clés & Définitions

• Systèmes de contrôle : Ensemble de dispositifs, procédures et actions mis en place pour réduire ou maîtriser le risque résiduel, en évaluant leur efficacité à partir du risque résiduel (voir étape 4).
• Risque résiduel : Risque qui subsiste après la mise en œuvre des mesures de contrôle. Il peut être surcontrôlé (risque très faible), acceptable (risque bien maîtrisé), ou sous-contrôlé (risque encore élevé) (voir étape 4).
• Typologie des plans d’action : Classification selon la cible du contrôle — agir sur la probabilité, l’impact, ou les deux (voir étape 4).
• Hiérarchisation des risques : Processus de classement des risques selon leur criticité (impact * probabilité), permettant de prioriser les actions à mener (voir étape 3).
• Diffusion et désignation des responsables : Attribution claire des responsabilités pour la mise en œuvre, le suivi et la communication des plans d’action, ainsi que leur diffusion auprès des parties concernées (voir étape 4).

📝 Points essentiels

• La gestion du risque repose sur une démarche structurée en 5 étapes, intégrant l’identification, l’évaluation, la maîtrise, et le suivi (voir étape 4).
• La maîtrise du risque implique l’évaluation de l’efficacité des systèmes de contrôle en place, en se concentrant sur le risque résiduel. Selon AUBRY (date), un risque résiduel très faible indique un surcontrôle, un risque acceptable correspond à un contrôle efficace, tandis qu’un risque sous-contrôlé nécessite la mise en place d’un nouveau plan d’action.
• La hiérarchisation des risques se fait via la cartographie impact/probabilité, où chaque risque est évalué par une criticité (impact * probabilité). La couleur (vert, jaune, rouge) indique le niveau de maîtrise et la nécessité d’action (voir étape 3).
• La planification des plans d’action doit considérer leur coût, leur efficacité, et leur mode de financement (assurance, budget, provisions). La diffusion et la désignation des responsables assurent la mise en œuvre effective (voir étape 4).
• L’analyse, le suivi, et l’apprentissage sont essentiels pour ajuster en continu la gestion des risques, en intégrant des indicateurs dans les tableaux de bord, en partageant les retours d’expérience, et en réalisant des tests de scénarios de crise (voir étape 5).

💡 À retenir

La maîtrise du risque repose sur une démarche structurée d’évaluation du risque résiduel, de hiérarchisation, et de mise en œuvre de plans d’action ciblés, avec une attention particulière à la diffusion, la responsabilité, et l’apprentissage organisationnel.

📖 9. Suivi et apprentissage

🔑 Notions clés & Définitions

• Suivi via indicateurs dans tableaux de bord : Utilisation d’indicateurs spécifiques pour suivre l’état d’avancement des actions, la maîtrise des risques, et la performance globale du processus de gestion des risques. Ces indicateurs permettent une vision synthétique et actualisée pour la hiérarchie.

• Communication des résultats à la hiérarchie : Transmission régulière et structurée des données, analyses et retours d’expérience issus du suivi des risques, afin d’assurer une prise de décision éclairée et un pilotage efficace.

• Formalisation des retours d’expérience et apprentissage organisationnel : Processus systématique de documentation, d’analyse et de partage des leçons tirées des événements, incidents ou exercices, visant à améliorer continuellement la gestion des risques. AUBRY (date) souligne l’importance de cette formalisation pour l’apprentissage organisationnel.

• Mise à jour des supports : Actualisation régulière des documents, procédures, scénarios et outils de gestion des risques pour refléter l’expérience acquise, les évolutions réglementaires ou contextuelles, et renforcer la pertinence des dispositifs.

• Tests des activités critiques et scénarios de crise : Exercices et simulations visant à vérifier la robustesse des plans d’action, la réactivité des équipes, et la pertinence des dispositifs en situation de crise ou d’incident critique. Ces tests alimentent le processus d’apprentissage et d’amélioration continue.

📝 Points essentiels

• Le suivi par indicateurs dans des tableaux de bord permet de mesurer la progression des actions et la maîtrise des risques, facilitant la communication à la hiérarchie et la prise de décision (voir section 8).
• La communication régulière des résultats à la hiérarchie est essentielle pour ajuster la stratégie et assurer une gouvernance efficace.
• La formalisation des retours d’expérience, comme le recommande AUBRY (date), est une étape clé pour transformer l’expérience en apprentissage organisationnel, évitant la répétition des erreurs.
• La mise à jour des supports (procédures, scénarios, outils) doit être continue, intégrant les leçons tirées des tests et retours d’expérience, pour garantir la pertinence et l’efficacité des dispositifs.
• La réalisation de tests et simulations des activités critiques ou scénarios de crise permet d’évaluer la capacité de l’organisation à réagir, d’identifier les faiblesses, et d’améliorer les plans d’action, renforçant ainsi la résilience globale.

💡 À retenir

Le suivi efficace, la communication structurée, et la formalisation des retours d’expérience sont essentiels pour l’apprentissage organisationnel et l’amélioration continue de la gestion des risques.

📅 Repères chronologiques

Date	Événement
1990s	Apparition de nouveaux risques (cyber, éthique)
2001	Scandale Enron, impact sur la réglementation
1991	Scandale Maxwell, renforcement réglementaire

📊 Tableaux de Synthèse

Critère	Définition / Description	Auteur / Référence
Risque	Aléa privant un système d’une ressource, mêlant danger et opportunité	AUBRY (2024)
Typologie AMRAE	Quatre étapes : nommer, décrire, identifier causes, conséquences	AMRAE
Gestion des risques	Processus d’identification, évaluation, maîtrise	Caroline AUBRY (2024)
Démarche ERM	Approche globale de gestion intégrée des risques	AUBRY (2024)

⚠️ Pièges & Confusions Fréquentes

1. Confondre risque et danger : le risque inclut aussi l’opportunité, pas seulement la menace.
2. Sous-estimer la subjectivité dans la perception du risque, qui varie selon les individus.
3. Confondre typologie AMRAE et autres classifications non structurées.
4. Croire que la gestion du risque se limite à la phase d’identification, alors qu’elle doit être continue.
5. Confondre gestion du risque et transfert (ex : assurance) : ce dernier n’est qu’un aspect.
6. Négliger l’importance de la qualification qualitative des conséquences pour hiérarchiser.
7. Confondre la démarche ERM avec une simple procédure de gestion isolée.

✅ Checklist Examen

• Connaître la définition du risque selon AUBRY (2024), intégrant danger et opportunité.
• Savoir comment la perception du risque a évolué avec l’apparition de nouveaux risques depuis les années 90.
• Maîtriser la typologie AMRAE en quatre étapes : nommer, décrire, identifier causes, identifier conséquences.
• Être capable d’expliquer le processus de qualification des conséquences et son rôle dans la hiérarchisation des risques.
• Connaître les objectifs principaux de la gestion des risques : transfert, réduction, acceptation.
• Identifier le rôle du Risk Manager dans la gestion des risques.
• Comprendre la démarche ERM et ses principes fondamentaux.
• Savoir citer deux événements majeurs (Enron, Maxwell) ayant influencé la réglementation.
• Connaître les facteurs d’élargissement des risques depuis les années 90.
• Être capable de distinguer la gestion proactive de la gestion réactive des risques.
• Maîtriser la notion de cartographie des risques et son utilité dans la priorisation.
• Vérifier la maîtrise de la définition de la typologie AMRAE et ses quatre étapes clés.