# Cartographier les risques Risques & Méthodes. Ressource gratuite du site. Édition du 21 octobre 2026. Passer d'une liste de dangers à des décisions documentées. ## Commencer par l'objectif Un risque prend son sens par rapport à un objectif. Avant de remplir une matrice, préciser le processus, la période, les parties concernées et le résultat attendu. Cette étape évite de réunir sous une même étiquette des événements qui appellent des réponses différentes. En pratique : Objectif : payer le bon fournisseur, au bon montant, à la bonne date. Scénario : un IBAN frauduleux détourne le règlement. ## Écrire un scénario exploitable Décrire ce qui peut arriver, pourquoi cela peut arriver et ce que cela affecte. Une formulation concrète permet de relier chaque risque à des opérations et à des contrôles. Éviter les intitulés trop généraux et séparer les scénarios dont les causes diffèrent. En pratique : Une validation réalisée par le demandeur lui-même peut laisser passer une facture fictive et générer une perte financière. ## Définir une convention de cotation Les échelles doivent préciser la période, les dimensions d'impact et les critères de chaque niveau. Utiliser les mêmes conventions dans le périmètre étudié. Conserver les informations qui justifient la note et signaler les données fragiles. En pratique : Une note d'impact 4 doit correspondre à un critère documenté, pas à une impression générale de gravité. ## Tester les contrôles Examiner séparément la pertinence du contrôle et son fonctionnement. Un dispositif bien conçu peut être appliqué trop tard, sur un périmètre incomplet ou sans traitement des anomalies. Les preuves doivent permettre de reconstituer l'action et sa conclusion. En pratique : Pour un rapprochement bancaire, vérifier la date, le périmètre, les écarts repérés et leur résolution. ## Lire le risque résiduel Le résiduel dépend des contrôles réellement opérationnels. Il ne devient pas acceptable parce qu'une case est verte. La décision tient compte des objectifs, des obligations, de l'appétence au risque et de la capacité à supporter les conséquences. En pratique : Un événement peu probable mais susceptible d'arrêter toute l'activité mérite une analyse complémentaire. ## Choisir un traitement vérifiable Une action utile répond à une cause précise. La formuler avec un responsable, une date et un résultat observable. Une formation ou une nouvelle procédure ne suffit pas si le problème provient d'un accès informatique trop large ou d'une validation impossible à réaliser. En pratique : Action : séparer la création d'un fournisseur et l'autorisation de paiement. Preuve : tests de droits et contrôles sur opérations. ## Faire vivre la cartographie Réexaminer les scénarios après un incident, une transformation ou un nouveau signal. Suivre quelques indicateurs dont les données sont fiables. Conserver la trace des arbitrages et expliquer les changements de cotation, pour distinguer une baisse réelle du risque d'un simple changement de méthode. En pratique : Une baisse des incidents accompagnée d'une chute du taux de déclaration ne prouve pas une meilleure maîtrise. ## Flashcards Question : Scénario de risque Réponse : Description d'une situation possible reliant causes, événement et conséquences sur un objectif. Exemple : une modification non vérifiée d'IBAN conduit à un paiement détourné. Question : Risque brut Réponse : Exposition évaluée avant prise en compte des mesures de maîtrise retenues dans la convention de cartographie. Cette convention doit être explicite et cohérente. Question : Risque résiduel Réponse : Exposition restant après les mesures de maîtrise existantes, en tenant compte de leur fonctionnement réel et des limites des preuves disponibles. Question : Probabilité et fréquence Réponse : La probabilité exprime une chance de survenance sur une période. La fréquence exprime un nombre d'événements par période. Elles ne sont pas interchangeables sans modèle. Question : Impact Réponse : Conséquence d'un événement sur les objectifs. Les dimensions financière, humaine, opérationnelle, juridique et réputationnelle peuvent demander des appréciations distinctes. Question : Prévention ou détection ? Réponse : Un contrôle préventif agit avant l'événement. Un contrôle détectif signale une anomalie déjà produite ou en cours. Une organisation combine souvent les deux. Question : Preuve de fonctionnement Réponse : Élément daté et rattachable à une opération qui permet d'évaluer si le contrôle a été exécuté correctement. La seule existence d'une procédure ne suffit pas. Question : Propriétaire de risque Réponse : Responsable chargé de suivre un risque et de faire mettre en œuvre son traitement dans son périmètre. Son autorité, ses moyens et son obligation de compte rendu sont définis. Question : Indicateur de risque Réponse : Mesure choisie pour signaler une évolution de l'exposition ou une faiblesse de maîtrise. Elle comprend une définition, une source, une fréquence et une règle de réaction. Question : Limite d'une matrice de risques Réponse : Les scores sont des aides au dialogue, pas des mesures physiques précises. Une note identique peut recouvrir des profils différents et une forte incertitude. ## QCM corrigés Quelle formulation décrit le mieux un scénario de risque ? A. La fraude B. Un salarié modifie un IBAN fournisseur sans validation, ce qui peut détourner un paiement C. Le service achats D. Le nombre de contrôles réalisés Réponse : B. Un scénario relie une cause ou une faiblesse, un événement et ses conséquences. Une catégorie comme la fraude est trop large pour choisir un contrôle précis. Que représente ici le risque résiduel ? A. Le risque maximal théorique B. Le risque accepté automatiquement C. L'exposition qui subsiste après les mesures de maîtrise effectivement appliquées D. Le montant déjà perdu Réponse : C. La distinction brut/résiduel dépend d'une convention explicitée. Le résiduel tient compte des dispositifs existants et de leur efficacité étayée, sans supposer qu'un contrôle écrit fonctionne. Deux risques ont le même score probabilité × impact. Quelle conclusion est pertinente ? A. Il faut examiner aussi leurs profils, la gravité maximale et l'incertitude B. Ils sont strictement équivalents C. Il faut supprimer l'un des deux D. Le plus fréquent est toujours prioritaire Réponse : A. Une note agrégée peut masquer des situations différentes, par exemple un incident fréquent et modéré face à un événement rare et très grave. La décision exige d'autres éléments. Un contrôle est décrit dans une procédure, mais aucune preuve de réalisation n'est disponible. Comment le traiter ? A. Le considérer efficace à 100 % B. Supprimer le risque C. Déduire que personne ne le réalise D. Distinguer sa conception de son fonctionnement et rechercher des preuves Réponse : D. L'absence de trace ne prouve pas toujours l'absence d'action. Elle empêche néanmoins d'étayer l'efficacité du dispositif. Il faut vérifier les pratiques et leur traçabilité. Dans un modèle simplifié, la probabilité annuelle d'une perte unique de 80 000 € est de 5 %. Quelle est la perte annuelle espérée ? A. 400 € B. 4 000 € C. 16 000 € D. 80 000 € Réponse : B. 0,05 × 80 000 = 4 000 €. Ce montant est une moyenne théorique du modèle, pas une prévision de la perte de l'année ni une mesure du pire scénario. Quel indicateur suit le plus directement une faiblesse de maîtrise des paiements ? A. Le nombre total de salariés B. Le chiffre d'affaires annuel C. La part de changements d'IBAN exécutés sans contre-appel documenté D. Le nombre de pages de la procédure Réponse : C. Cet indicateur porte sur la réalisation du contrôle lié au scénario. Il reste nécessaire de vérifier la qualité du contre-appel et la fiabilité du dénominateur. Qui doit porter le traitement d'un risque opérationnel dans une organisation correctement définie ? A. Un responsable disposant de l'autorité et des moyens adaptés B. Uniquement l'auditeur interne C. Le fournisseur du logiciel de cartographie D. Personne, si le score est faible Réponse : A. Un propriétaire de risque pilote les décisions dans son champ de responsabilité. Les fonctions de contrôle et d'audit peuvent conseiller ou évaluer, sans se substituer systématiquement au management. Quel événement justifie une révision de la cartographie avant la prochaine échéance habituelle ? A. Un changement de couleur du fichier B. La fin d'une réunion sans décision C. L'ajout d'un logo D. L'externalisation d'un processus critique à un nouveau prestataire Réponse : D. Un changement de processus, d'acteur ou de dépendance peut modifier les causes, les impacts et les contrôles. La cartographie doit suivre ces transformations. ## Cas pratiques ### Atelier Boréal : le faux changement d'IBAN Cas fictif. Atelier Boréal paie 1 200 factures par mois. L'équipe a recensé 50 demandes de changement d'IBAN sur le trimestre. Dans 12 dossiers, aucun contre-appel n'est documenté. Le dirigeant retient, pour un exercice de décision simplifié, une probabilité annuelle de 4 % d'un détournement unique de 120 000 €. Un dispositif coûtant 2 400 € par an ramènerait cette probabilité à 1 %, sous une hypothèse à valider. Les autres conséquences ne sont pas chiffrées. Formuler le scénario et calculer la part de dossiers sans trace. Calculer les pertes annuelles espérées avant et après le dispositif. Proposer une décision en explicitant les limites du calcul. Corrigé Décrire et mesurer Une demande frauduleuse peut faire remplacer l'IBAN d'un fournisseur, puis détourner un règlement si l'identité du demandeur n'est pas vérifiée par un canal fiable. La part sans contre-appel documenté atteint 12 ÷ 50 = 24 %. Il s'agit d'un défaut de preuve sur les dossiers examinés, pas d'un taux de fraude. Comparer les espérances Avant traitement : 4 % × 120 000 € = 4 800 €. Après traitement : 1 % × 120 000 € = 1 200 €. La réduction attendue est de 3 600 € par an. Après déduction du coût de 2 400 €, le gain attendu du modèle est de 1 200 € par an. Décider et contrôler Le calcul soutient l'investissement si les probabilités sont crédibles, mais ne suffit pas. Il faut considérer les pertes extrêmes, la réputation et les obligations applicables. Mettre en place un contre-appel vers un numéro déjà connu, une validation distincte, une trace horodatée et un suivi des exceptions. Revoir l'hypothèse de réduction après un premier cycle de tests. À retenir : Un contrôle se juge sur son effet démontré et sur les conséquences qu'il réduit, pas sur son existence dans une procédure. ### Nova Distribution : deux risques, une même note Cas fictif. Nova Distribution utilise des notes de probabilité et d'impact de 1 à 5. Le retard de livraison est coté 4 × 2 = 8. L'indisponibilité complète de l'entrepôt est cotée 2 × 4 = 8. Le premier scénario affecte une commande pendant une journée. Le second peut bloquer toutes les expéditions pendant deux semaines. Un stock externalisé existe, mais sa disponibilité n'a pas été testée. L'équipe propose de classer les deux risques à égalité et de traiter seulement le moins coûteux. Expliquer pourquoi l'égalité des scores ne tranche pas la priorité. Définir les informations manquantes. Concevoir un plan d'action avec un critère de clôture. Corrigé Lire le profil Le produit 8 résume deux profils différents. Les notes sont ordinales, leur multiplication ne crée pas une mesure monétaire. L'arrêt complet a une portée, une durée et des dépendances que la seule note ne montre pas. Une décision fondée uniquement sur le coût du contrôle peut négliger une rupture majeure. Compléter les données Documenter les délais acceptables par activité, les volumes interrompus, les contrats clients, les stocks disponibles, les dépendances au transport et les scénarios d'accès au site. Vérifier si le stock externalisé peut réellement être mobilisé et dans quel délai. Identifier également les mesures déjà efficaces contre les retards courants. Transformer l'analyse en action Le responsable logistique organise un exercice de reprise dans les six semaines. Le critère proposé est l'expédition de 80 % du volume prioritaire sous 48 heures, objectif pédagogique à faire valider par le métier. Le dossier de clôture comprend les résultats, les écarts, les actions restantes et l'acceptation explicite du résiduel par l'autorité compétente. À retenir : Une cartographie utile débouche sur une décision, un responsable et une preuve de traitement. ## Sources AFA · Recommandations et cartographie : https://www.agence-francaise-anticorruption.gouv.fr/toutes-les-ressources/les-recommandations-de-lafa Légifrance · Recommandations de l'AFA : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000042932087