Dès que l’on aborde le sujet du risque ou de la sécurité, combien de fois entendont nous cette maxime trop courante « le risque Zéro n’existe pas ». L’existence, ou  non, du risque zéro n’est pas le débat, le risque zéro n’est globalement pas un objectif à rechercher et encore moins coûte que coûte. Car « coûte que coûte » c’est forcément trop cher. Je ne souhaite pas ici tenter d’apporter une définition formelle, ni mathématique, du risque. Je souhaite juste apporter ma vision et une approche pragmatique de la gestion de certains risques pour le bien de nos entreprises.

Toute entreprise comporte des risques, toute entreprise prend des risques.  L’objectif est de faire en sorte que les risques pris soient mesurés et acceptés. Le pire étant de prendre des risques sans le savoir, sans en connaître les conséquences. L’analyse de risque est un pré requis indispensable afin de pouvoir arbitrer en connaissance de cause. Je préconise toujours de débuter cette démarche par les projets. Il est plus naturel pour l’être humain de sécuriser quelque chose qu’il est en train de construire plutôt que de revenir sur un existant qui fonctionne parfois depuis plusieurs années. De plus, l’acceptation de la sécurité est bien meilleure quand elle s’inscrit dans la dynamique et la stratégie de l’entreprise.

Celui qui lance un projet est naturellement plus enclin à s’exposer : il perçoit le risque lié à ne pas faire le projet : manque à gagner, perte de parts de marché … le projet est associé à une promesse de gain. Le premier risque est celui qui pèse sur le projet lui-même. Tout ce qui pourrait faire que le projet n’aboutisse pas, ou moins bien que prévu. Mais selon moi, le risque le plus souvent oublié et qui nécessite souvent quelques explications est celui amené par le projet. On pourrait le nommer  « risque à mener le projet ». Ainsi présenté on conçoit facilement que cela ne soit pas très fédérateur et n’enthousiasme pas, outre mesure, les chefs de projet. Le métier même de chef de projet étant déjà réputé pour être difficile et comporter son lot d’heures supplémentaires, de difficultés, de contraintes, de retards et de dépassements.

Pourtant avec un peu de recul, prendre quelques heures pour se demander si le projet que l’on mène ne pourrait pas - éventuellement - mettre en danger l’entreprise, n’est pas totalement dénué de sens. Il est relativement aisé de démontrer l’intérêt d’identifier les risques majeurs et les traiter pour chaque nouvelle activité et chaque nouveau produit. Ce serait donc simple ! Il suffirait de conduire des analyses de risque dans les projets… En réalité, ce n’est pas si évident que cela à mettre en place.

Se former à l’analyse de risques est certes possible. Toutefois, le meilleur atoût reste, de loin, l’expérience acquise sur le terrain. Les outils et les méthodes sont plus adaptés à l’analyse des risques dans un gros projet sensible. Ils sont bien peu compatibles avec l’activité d’une entreprise qui mène des centaines de projets en parallèle. J’ai laissé tomber depuis longtemps l’espoir de trouver un programme pour réaliser ces analyses de risque. Il faut certainement accepter que ce soit des actions « cousues main » relevant du « best effort ».

J’ai souvent présenté 5 étapes de la gestion des risques dans un projet et conseillé qu’elles deviennent obligatoires. Deux de ces étapes sont du ressort de la maîtrise d’ouvrage (MOA), deux autres sont à la charge du maître d’œuvre (MOE). La dernière étape revient à ceux qui s’assurent que l’entreprise évolue et produit en maîtrisant ses risques majeurs.

• Étape 1 (MOA) : identifier les risques majeurs et coter ces risques. Il est illusoire de penser ainsi capter tous les risques, surtout l’imprévisible. Mais quelqu’un qui connaît le métier de l’entreprise arrive relativement vite à exprimer « ce qu’il craint le plus ». C’est bien cette question qu’il faut poser :  « que craignez-vous le plus une fois le projet en place ? » et non pas « pouvez-vous me fournir une analyse de risque ? ». Tout ceci est exprimé dans un langage métier et surtout pas informatique ou technologique. La cotation doit être une approximation des impacts qu’il faut obtenir : des pertes estimées en millions d’euros, des problèmes juridiques potentiels, des atteintes à l’image ou à la notoriété, etc. L’impact est suffisant pour alimenter la réflexion. Je ne cherche plus à faire estimer la probabilité de l’occurrence d’un risque. Pour être un brin provocateur je dirais que cela revient à chercher la probabilité de détourner un avion avec un cutter. Ou à calculer combien de temps va s’écouler avant que je ne me foule la cheville. Si je ne souhaite pas prendre ce dernier risque, je porte des chaussures montantes et si cela arrive alors je me strappe durant 10 jours.
• Etape 2 (MOE) : déterminer les mesures et les coter. Cela revient à proposer une gamme de chaussures plus ou moins onéreuses permettant de protéger les chevilles.
• Etape 3 (MOA) : choisir les mesures ou prendre le risque. Il est possible de traiter le risque autrement, en le transférant ou en s’assurant. Ou de prendre un risque pour un certain temps, en attendant une solution technique… C’est bien un arbitrage qui doit être fait à cette étape. La personne qui arbitre doit avoir le pouvoir de le faire. Donc quelqu’un qui a le bon niveau de délégation pour engager l’entreprise.
• Etape 4 (MOE) : mettre en œuvre les mesures retenues et les maintenir au bon niveau dans le temps
• Etape 5 : contrôler afin de garantir que le processus est respecté. C’est l’occasion d’une deuxième lecture des risques exprimés et des mesures proposées.

Ainsi à côté d'une approche formelle et méthodique de l'analyse de risque, il est nécessaires que les métiers et le terrain soient en mesure d'appréhender les risques que leurs projets peuvent faire peser sur l'entreprise et d'intégrer ces derniers à la vie de chaque projet, sans attendre une analyse formelle a postériori.