Gestion des risques · LEÇON 01 SUR 08
Comment formuler un risque en reliant incertitude, objectif, cause et conséquence ?
Relier risques et objectifs. Décrire l’incertitude, apprécier l’exposition et choisir une réponse cohérente avec les objectifs.
6 notions1 cas guidé5 questions1 livrable
Objectifs
Ce que vous saurez produire
Méthode directrice : Écrire cause, événement, conséquence, objectif touché et horizon.
Mobiliser 6 notions et justifier leur application aux faits.
Produire fiche de scénario de risque utilisable pour réviser, décider ou transmettre une analyse.
Notions clés
6 notions reliées à la leçon
Chaque notion est traitée par sa définition, son utilité, sa méthode, son principal piège et un exemple.
Risque inhérent et risque résiduel
Définition. Le risque inhérent précède les mesures de maîtrise, le risque résiduel subsiste après leur prise en compte.
Utilité. Distinguer l’exposition naturelle d’une activité de celle qui demeure avec les contrôles existants.
Méthode. Évaluer le scénario brut, examiner les contrôles, apprécier leur efficacité puis réévaluer l’exposition.
Piège. Réduire le score résiduel parce qu’un contrôle est prévu sans vérifier sa conception et son fonctionnement.
Exemple. Un paiement manuel présente un risque inhérent élevé, réduit après double validation et rapprochement.
Propriétaire de risque
Définition. Personne disposant de l’autorité pour gérer un risque et rendre compte de son niveau.
Utilité. Éviter qu’un risque significatif reste sans décideur capable d’agir sur ses causes ou conséquences.
Méthode. Choisir une personne proche de l’objectif exposé, avec autorité, information et capacité d’arbitrage.
Piège. Attribuer le risque à un analyste qui le documente mais ne peut décider ni mobiliser de ressources.
Exemple. Le directeur des opérations possède le risque de rupture d’une activité critique.
Tolérance au risque
Définition. Écart acceptable autour d’un objectif, d’une limite ou d’un niveau de risque défini.
Utilité. Transformer l’appétit général en bornes permettant de détecter et traiter les dépassements.
Méthode. Choisir une mesure reliée à l’objectif, définir la borne, l’horizon, le propriétaire et l’escalade.
Piège. Fixer une tolérance sans données fiables, responsable de suivi ni réponse prévue au dépassement.
Exemple. Une durée maximale d’interruption interne déclenche un plan d’action avant que le service ne soit compromis.
Capacité de risque
Définition. Niveau maximal de risque qu’une organisation peut supporter sans compromettre sa viabilité ou ses obligations.
Utilité. Éviter que l’appétit déclaré dépasse les ressources et marges réellement disponibles.
Méthode. Identifier les ressources critiques, modéliser les chocs et définir les points de rupture.
Piège. Confondre ce que l’organisation souhaite accepter avec ce qu’elle peut objectivement absorber.
Exemple. Une perte potentielle est comparée aux réserves et à la capacité de poursuivre l’activité.
Structure causes-événement-conséquences
Définition. Formulation qui distingue les facteurs déclencheurs, l’événement incertain et ses effets sur les objectifs.
Utilité. Éviter les énoncés vagues et concevoir des traitements adaptés à chaque partie du scénario.
Méthode. Écrire séparément « en raison de », « il pourrait arriver » et « ce qui entraînerait ».
Piège. Mélanger la cause et la conséquence dans un intitulé qui ne permet aucun traitement ciblé.
Exemple. Une compétence rare indisponible provoque un retard de clôture et dégrade la qualité de l’information.
Appétit pour le risque
Définition. Niveau et types de risque qu’une organisation accepte de prendre pour atteindre ses objectifs.
Utilité. Orienter les choix stratégiques et donner un cadre commun aux décisions exposées.
Méthode. Relier chaque catégorie de risque aux objectifs, aux choix possibles et aux mesures de pilotage.
Piège. Énoncer des formules générales sans lien avec des décisions, des limites ou des indicateurs.
Exemple. Une organisation accepte l’expérimentation commerciale mais refuse toute pratique compromettant l’intégrité.
Cas guidé
Un risque mal formulé. Angle de travail : relier risques et objectifs
Le registre contient la ligne suivante : « Cyberattaque, critique ». Aucune cause, conséquence ni mesure n’est précisée.
Étape 1. Risque inhérent et risque résiduel
Réécrivez le scénario de risque.
Guide de résolution
Évaluer le scénario brut, examiner les contrôles, apprécier leur efficacité puis réévaluer l’exposition. Repères de contrôle : Scénario identique aux deux évaluations · Efficacité des contrôles étayée · Écart entre niveaux expliqué.
Afficher la réponse attendue
Relier une menace et une vulnérabilité à un événement et à des conséquences.
Étape 2. Propriétaire de risque
Proposez des critères d’évaluation.
Guide de résolution
Choisir une personne proche de l’objectif exposé, avec autorité, information et capacité d’arbitrage. Repères de contrôle : Autorité compatible avec le risque · Responsabilité explicitement acceptée · Suivi et escalade organisés.
Afficher la réponse attendue
Définir probabilité, impacts opérationnels, financiers, réglementaires et réputationnels.
Étape 3. Tolérance au risque
Listez les informations nécessaires au suivi.
Guide de résolution
Choisir une mesure reliée à l’objectif, définir la borne, l’horizon, le propriétaire et l’escalade. Repères de contrôle : Mesure reliée à l’objectif · Borne et horizon explicités · Dépassement assorti d’une réponse.
Afficher la réponse attendue
Ajouter contrôles, responsable, indicateurs, plan d’action et date de revue.
Synthèse attendue. La réponse finale doit relier les faits aux notions mobilisées, expliciter les hypothèses et aboutir à fiche de scénario de risque.
Auto-évaluation
Vérifier la maîtrise avant de poursuivre
Répondez sans consulter les cartes, puis comparez avec les éléments attendus.
Définissez Risque inhérent et risque résiduel.
Comparer avec la réponse
Le risque inhérent précède les mesures de maîtrise, le risque résiduel subsiste après leur prise en compte.
Quelle utilité professionnelle attribuez-vous à Propriétaire de risque ?
Comparer avec la réponse
Éviter qu’un risque significatif reste sans décideur capable d’agir sur ses causes ou conséquences.
Quelle méthode appliquez-vous pour traiter Tolérance au risque ?
Comparer avec la réponse
Choisir une mesure reliée à l’objectif, définir la borne, l’horizon, le propriétaire et l’escalade.
Quel piège faut-il éviter avec Capacité de risque ?
Comparer avec la réponse
Confondre ce que l’organisation souhaite accepter avec ce qu’elle peut objectivement absorber.
Donnez un exemple d’application de Structure causes-événement-conséquences.
Comparer avec la réponse
Une compétence rare indisponible provoque un retard de clôture et dégrade la qualité de l’information.
Production attendue
Fiche de scénario de risque
Rédigez fiche de scénario de risque sur une à deux pages. Appuyez chaque conclusion sur un fait, une notion du cours et une trace attendue.
Les faits, hypothèses et informations manquantes sont séparés.
Au moins trois notions sont appliquées : Risque inhérent et risque résiduel, Propriétaire de risque, Tolérance au risque.
La méthode, la conclusion et la prochaine action sont formulées sans ambiguïté.
Les limites de l’analyse et les pièces à conserver sont indiquées.
Sources officielles
Textes et référentiels à consulter
Ces liens mènent vers les organismes qui publient les programmes, normes ou recommandations mobilisés par la matière.
SOURCE 01 · ISO
Famille ISO 31000, management du risque
Cadrer principes, gouvernance, processus et vocabulaire de gestion des risques.
SOURCE 02 · The Institute of Internal AuditorsGlobal Internal Audit Standards
Relier gouvernance, évaluation des risques et activité d’audit interne.
SOURCE 03 · ACPRContrôle interne
Situer les contrôles dans le pilotage des risques d’un organisme financier.
Navigation du programme