Une cartographie des risques est un outil de représentation et de hiérarchisation des événements susceptibles de perturber une activité. Elle permet de passer d’une liste générale de menaces à une lecture structurée des priorités. Pour un entrepreneur, un indépendant ou un dirigeant de petite entreprise, l’objectif n’est pas de prévoir chaque incident, mais d’identifier les situations qui pourraient compromettre la sécurité des personnes, la continuité de l’activité, la trésorerie, la conformité ou la réputation.
La cartographie repose généralement sur deux critères principaux : la probabilité qu’un événement se produise et la gravité de ses conséquences. Le croisement de ces critères donne une criticité, c’est-à-dire un niveau de priorité pour agir. Un risque peu probable mais aux conséquences très lourdes peut ainsi nécessiter une préparation spécifique, tandis qu’un incident fréquent mais facilement maîtrisable appellera plutôt une action corrective régulière.
Cette démarche ne remplace ni une analyse technique, ni une consultation juridique, ni l’avis d’un spécialiste de la sécurité ou de l’assurance. Elle fournit un cadre de décision commun et permet de justifier pourquoi certaines mesures sont engagées avant d’autres.
Une cartographie utile commence par un périmètre clairement défini. Une analyse trop large devient rapidement abstraite et difficile à maintenir. Une analyse trop étroite laisse de côté des dépendances importantes. Il est donc préférable de choisir le niveau adapté à la question posée.
Le périmètre doit aussi préciser la période observée et les personnes concernées. Une activité saisonnière, un chantier temporaire ou une phase de croissance ne présentent pas nécessairement les mêmes risques qu’un fonctionnement habituel. Cette précision évite de produire une carte générale qui ne correspond à aucune décision concrète.
La qualité de la cartographie dépend fortement de la formulation des risques. Trois notions doivent être distinguées :
Une formulation opérationnelle peut suivre ce modèle : cause ou situation, événement, conséquences. Par exemple : absence de sauvegarde vérifiée, perte ou corruption de fichiers, impossibilité de facturer et interruption de l’activité. Cette rédaction facilite ensuite le choix des mesures, car elle montre où agir : réduire la cause, empêcher l’événement ou limiter ses conséquences.
Le recensement peut s’appuyer sur plusieurs sources : entretiens avec les personnes qui réalisent le travail, analyse des incidents passés, réclamations clients, contrôles de conformité, contrats fournisseurs, notices des équipements, données de maintenance et observation directe des tâches. Il est utile d’inclure les presque-accidents et les anomalies sans conséquence immédiate. Ils révèlent souvent une fragilité avant qu’un dommage important ne survienne.
La probabilité ne doit pas être réduite à une impression personnelle. Elle peut combiner la fréquence d’exposition, la fréquence historique des incidents et la possibilité qu’une situation dangereuse se reproduise. Même lorsque les données sont limitées, des critères explicites améliorent la cohérence des évaluations.
Une échelle de quatre niveaux est souvent suffisante pour une petite structure :
Ces catégories doivent être définies dans une note méthodologique. Pour un risque informatique, la fréquence peut être liée au nombre d’utilisateurs et de connexions. Pour un risque de manutention, elle dépendra du nombre de manipulations, de la charge et de la durée d’exposition. Pour un risque commercial, elle pourra s’appuyer sur la concentration du chiffre d’affaires, les délais de paiement ou la dépendance à un donneur d’ordre.
Il faut distinguer la probabilité avant mesures et la probabilité après mesures. Un contrôle existant, une procédure ou un équipement de protection ne supprime pas nécessairement le risque, mais peut en réduire la fréquence ou la possibilité de propagation.
La gravité représente l’ampleur des conséquences si l’événement survient. Elle peut concerner plusieurs dimensions simultanément : santé et sécurité, finances, fonctionnement, obligations réglementaires, environnement, image et confiance des clients.
Une échelle à quatre niveaux peut également être utilisée :
La gravité doit être estimée selon le scénario crédible le plus sérieux, sans retenir automatiquement l’hypothèse la plus catastrophique. Il est pertinent de documenter les raisons de la note : durée d’arrêt envisagée, nombre de personnes exposées, dépendance à un équipement, caractère récupérable ou non des données, existence d’une solution de remplacement et délai de reprise.
Pour les risques professionnels, l’évaluation doit s’intégrer dans la démarche de prévention prévue par le droit du travail. Le document unique d’évaluation des risques professionnels, couramment appelé DUERP, formalise cette évaluation pour les employeurs concernés. Les modalités applicables dépendent notamment de l’effectif et de la situation de travail. Une information juridique à jour ou l’accompagnement d’un professionnel peut être nécessaire.
La matrice croise la probabilité et la gravité. La méthode la plus simple consiste à attribuer une note à chaque critère, puis à calculer une criticité selon la formule suivante : criticité = probabilité × gravité. Avec quatre niveaux sur chaque axe, le résultat se situe entre 1 et 16.
| Probabilité / gravité | Faible 1 | Significative 2 | Majeure 3 | Critique 4 |
|---|---|---|---|---|
| Rare 1 | 1 | 2 | 3 | 4 |
| Occasionnelle 2 | 2 | 4 | 6 | 8 |
| Probable 3 | 3 | 6 | 9 | 12 |
| Fréquente 4 | 4 | 8 | 12 | 16 |
Cette matrice peut être associée à trois zones de décision. Les scores de 1 à 3 correspondent généralement à une surveillance et au maintien des mesures existantes. Les scores de 4 à 8 appellent un plan d’action programmé. Les scores de 9 à 16 nécessitent une action prioritaire, avec un responsable et une échéance rapprochée. Ces seuils sont des repères internes, et non une règle universelle : chaque organisation doit les adapter à son activité, à ses obligations et à son niveau de tolérance.
La note ne doit jamais devenir un automatisme. Un risque légal, humain ou réglementaire peut être prioritaire même si son score arithmétique est modéré. Une attention particulière doit aussi être portée aux risques interdépendants : une panne informatique peut empêcher la facturation, retarder les livraisons et provoquer une tension de trésorerie.
Imaginons une entreprise de services qui travaille avec des données clients, dépend d’un logiciel de gestion et réalise une partie de ses prestations chez ses clients. Trois risques sont recensés.
Le premier risque obtient la note la plus élevée, mais les deux autres ne sont pas équivalents pour autant. L’accident potentiel peut justifier des mesures immédiates en raison de la gravité humaine, même si sa probabilité est moindre. Le risque fournisseur peut être réduit par un stock minimal, une solution de remplacement ou une clause contractuelle. Le risque de perte de données peut conduire à organiser des sauvegardes automatisées, des tests de restauration, une gestion des accès et une procédure en cas d’incident.
Cet exemple montre que la matrice sert à organiser la discussion, pas à remplacer le jugement. La décision finale tient compte de la nature du dommage, du coût des mesures, du délai de mise en œuvre et des obligations applicables.
Une cartographie sans action associée devient un document descriptif. Chaque risque prioritaire doit être relié à une mesure précise, à un responsable et à une échéance. Une action bien formulée indique le résultat attendu et le moyen de vérification.
La hiérarchie des mesures de prévention constitue un repère utile. Il est généralement préférable de :
Pour les risques financiers ou commerciaux, les mesures peuvent inclure la diversification des clients, le suivi des encours, des conditions de paiement mieux définies, une réserve de trésorerie ou une solution de continuité. Pour les risques numériques, elles peuvent porter sur les mises à jour, les droits d’accès, les sauvegardes, la sensibilisation et la préparation à une indisponibilité.
Le plan peut être présenté dans un tableau comportant au minimum : risque, causes, conséquences, probabilité initiale, gravité initiale, mesures existantes, action décidée, responsable, échéance, indicateur et niveau résiduel attendu.
Après la mise en œuvre d’une mesure, il faut réévaluer le risque. Le risque résiduel correspond au niveau qui subsiste malgré les contrôles. Une sauvegarde peut réduire la conséquence d’une panne sans empêcher la panne. Une procédure peut limiter les erreurs sans les éliminer. Cette distinction permet de vérifier que l’action agit bien sur le bon facteur.
Le suivi doit combiner des indicateurs simples et vérifiables :
La cartographie doit être révisée au moins lors d’un changement significatif : nouveau local, nouvel équipement, recrutement, sous-traitance, évolution réglementaire, incident, lancement d’une offre ou modification importante du système informatique. Pour les risques professionnels, l’employeur doit également tenir compte des règles applicables au DUERP et à sa mise à jour. Le ministère du Travail et l’Institut national de recherche et de sécurité, notamment, publient des ressources de référence sur la prévention des risques professionnels.
La norme ISO 31000 fournit de son côté des principes et des lignes directrices pour le management du risque. Elle ne dispense pas de respecter les exigences propres au secteur concerné, mais peut aider à structurer le vocabulaire, la gouvernance, l’évaluation et l’amélioration continue.
Plusieurs pratiques réduisent la valeur de l’exercice :
Pour rester utile, la cartographie doit être compréhensible par les personnes qui vont appliquer les mesures. Un document plus court, précis et révisé régulièrement vaut mieux qu’un registre très détaillé que personne ne consulte.
Le registre décrit les risques, leurs causes, leurs conséquences et les actions associées. La cartographie les représente généralement selon deux axes, comme la probabilité et la gravité. Les deux outils sont complémentaires : le registre documente, tandis que la matrice facilite la hiérarchisation.
Il n’existe pas une échelle unique adaptée à toutes les activités. Trois niveaux sont simples, quatre offrent un compromis utile et cinq permettent davantage de nuances. L’essentiel est de définir chaque niveau avec des critères observables et de les appliquer de manière constante.
Non. Si sa gravité est critique, il peut nécessiter une mesure immédiate, une assurance adaptée, un plan de continuité ou une procédure d’urgence. La hiérarchisation doit tenir compte des conséquences humaines, réglementaires et opérationnelles, pas seulement du score.
Les personnes qui connaissent concrètement les tâches doivent être associées à la démarche. Selon le sujet, il peut s’agir du dirigeant, des salariés, d’un référent sécurité, du responsable informatique, du comptable ou d’un prestataire spécialisé. La diversité des regards limite les angles morts.