La gestion des risques regroupe les actions coordonnées qui permettent à une organisation, ou à un foyer, de repérer ce qui menace ses objectifs, d’en mesurer l’importance puis de choisir une réponse : accepter, réduire, transférer (souvent à un assureur) ou éviter. La norme ISO 31000, dans sa version de 2018, organise la démarche en cinq temps : analyse du contexte, appréciation, traitement, surveillance et communication.
Vous voulez comprendre comment fonctionne la gestion des risques sans vous perdre dans le vocabulaire des auditeurs ? La logique tient en quatre questions : qu’est-ce qui peut mal tourner, avec quelle probabilité, pour quel impact, et que fait-on maintenant ? Ce guide suit la méthode reconnue au niveau international, propose une grille de criticité directement utilisable et montre où l’assurance trouve sa place, que vous dirigiez une PME ou que vous cherchiez simplement à protéger votre famille.
Gestion des risques : une définition qui dépasse la seule assurance
Le référentiel ISO 31000 décrit la gestion des risques comme un ensemble d’activités coordonnées destinées à diriger et piloter une organisation vis-à-vis du risque. Le risque, lui, s’entend comme l’effet de l’incertitude sur des objectifs. Cette formulation a une conséquence pratique : on ne gère pas un danger dans l’absolu, on gère ce qui pourrait empêcher d’atteindre un but précis (livrer un client à temps, préserver sa trésorerie, rester en bonne santé, conserver son logement en état).
Il faut aussi distinguer le danger du risque. Une canalisation ancienne est un danger. Le risque, c’est la combinaison entre la probabilité qu’elle cède et la gravité des dégâts si cela arrive. Toute la méthode repose sur cette combinaison, qui permet de comparer des menaces très différentes et de décider où placer ses efforts.
Les cinq étapes de la gestion des risques selon l’ISO 31000
La norme ne fixe pas de formulaire obligatoire, mais elle propose un enchaînement logique que la plupart des organisations reprennent :
- Analyser le contexte interne et externe : objectifs, activités, contraintes réglementaires, partenaires, environnement économique. Sans ce cadrage, l’inventaire part dans tous les sens.
- Apprécier les risques, ce qui recouvre trois gestes successifs : les identifier, les analyser (causes, conséquences, probabilité) puis les évaluer pour les classer par priorité.
- Traiter les risques en choisissant une option pour chacun et en rédigeant un plan d’actions avec un responsable et une échéance.
- Surveiller l’efficacité des mesures et l’apparition de nouveaux risques.
- Communiquer avec les personnes concernées, à chaque étape et pas uniquement à la fin.
Ces étapes forment une boucle. Un incident, un nouveau client, un déménagement ou une évolution de la réglementation relancent le cycle.
Identifier les risques sans angle mort
L’identification est l’étape la plus souvent bâclée. Pour limiter les oublis, croisez plusieurs sources : entretiens avec les personnes de terrain, historique des sinistres déclarés, analyse des processus un par un, retours clients, contrats fournisseurs et échanges avec votre assureur ou votre courtier. Une séance collective d’une heure, où chacun liste ce qui l’inquiète dans son périmètre, fait souvent remonter des points que la direction ignorait.
Mesurer la criticité : une grille probabilité et gravité
Pour hiérarchiser, l’outil le plus répandu est une échelle de 1 à 4 sur deux axes. Le tableau ci-dessous est un exemple à adapter à votre activité : les seuils doivent refléter vos propres enjeux financiers et humains.
| Niveau | Probabilité | Gravité |
|---|---|---|
| 1 | Rare : jamais observé, peu plausible | Mineure : gêne passagère, coût négligeable |
| 2 | Possible : déjà vu ailleurs | Modérée : perturbation de quelques jours |
| 3 | Probable : déjà survenu chez vous | Importante : perte financière sensible, client mécontent |
| 4 | Fréquent : se produit chaque année | Critique : arrêt d’activité, atteinte aux personnes |
La criticité s’obtient en multipliant les deux notes. Un dégât des eaux dans un entrepôt situé sous une toiture terrasse peut ainsi recevoir une probabilité de 2 et une gravité de 4, soit une criticité de 8. Une convention simple consiste à classer les scores de 1 à 4 comme acceptables, ceux de 5 à 8 comme à surveiller, et ceux de 9 à 16 comme prioritaires. L’intérêt n’est pas la précision mathématique : c’est d’obliger chacun à argumenter sa note et à comparer des risques de nature différente sur une même échelle.
Accepter, réduire, transférer ou éviter : quatre traitements possibles
Une fois les priorités établies, chaque risque reçoit une réponse. Les quatre grandes options se combinent souvent entre elles.
| Option | Principe | Exemple concret |
|---|---|---|
| Accepter | Le risque reste dans les limites fixées par la politique de l’organisation, ou le traiter coûterait plus cher que ses conséquences | Tolérer la casse occasionnelle de petit matériel |
| Réduire | Agir sur la probabilité ou sur la gravité | Installer des détecteurs de fuite, former les conducteurs |
| Transférer | Confier la charge financière à un tiers | Souscrire une assurance, sous-traiter une activité sensible |
| Éviter | Renoncer à l’activité qui génère le risque | Ne pas stocker de produits inflammables dans un local inadapté |
L’assurance occupe une place centrale, mais elle ne fait pas disparaître l’événement : elle en prend en charge tout ou partie des conséquences financières, dans la limite des garanties, des plafonds et des franchises. La prévention reste donc la première ligne de défense. Pour les locaux professionnels, les conseils réunis dans notre article 10 Astuces d’Expertise pour Prévenir et Gérer les Dégâts des eaux dans votre entreprise montrent comment réduire à la fois la fréquence des sinistres et le montant des dommages.
Réduire et transférer vont d’ailleurs souvent de pair. Certains assureurs valorisent les comportements qui font baisser la sinistralité, comme l’explique notre dossier Récompenses pour conduite prudente, consacré à l’effet de la conduite sur le coût de l’assurance auto. Pour une flotte de véhicules, c’est un levier direct de la gestion des risques.
Appliquer la gestion des risques à son foyer
La méthode n’est pas réservée aux directions financières. Un ménage peut dresser sa propre liste : incendie ou fuite au domicile, accident de la vie courante, perte de revenus après un arrêt de travail, dommages causés à un tiers par un enfant. La même grille de criticité aide à repérer ce qui mérite une vraie protection et ce qui peut rester à votre charge.
Pour le logement, commencez par Comprendre les bases de la protection de son logement : serrures, détecteurs de fumée, entretien des installations et lecture attentive du contrat habitation. Les enfants exposent la famille à des situations que l’on sous-estime, notamment entre l’école et la maison ; notre guide pour vous aider à Sécurisez le trajet retour de l’école avec une assurance extrascolaire détaille ce que couvre ce type de contrat.
La santé relève elle aussi de la gestion des risques personnels, avec la complémentaire santé et la prévoyance. Les règles varient selon le statut et l’employeur : les Agents territoriaux, par exemple, se demandent souvent s’ils peuvent refuser la mutuelle proposée par leur collectivité. Avant de renoncer à une couverture, vérifiez votre situation auprès de votre service des ressources humaines ou d’un conseiller.
Gouvernance du risque : qui fait quoi dans l’organisation ?
Dans les structures de taille moyenne ou grande, la responsabilité est répartie selon le modèle dit des trois lignes de défense. Les équipes opérationnelles gèrent les risques au quotidien. Les fonctions de contrôle (gestion des risques, conformité, contrôle interne) définissent le cadre et vérifient son application. L’audit interne, troisième ligne, apporte une assurance indépendante sur l’efficacité de l’ensemble. Au sommet, le conseil d’administration exerce une mission de surveillance sur le dispositif.
Le secteur financier ajoute des exigences spécifiques. Le règlement européen DORA impose ainsi un cadre de maîtrise des risques liés aux technologies de l’information et de la communication, avec une fonction de contrôle dédiée. Dans une petite entreprise, le dirigeant porte souvent toutes ces casquettes : l’astuce consiste alors à séparer les moments, en réservant par exemple un point trimestriel uniquement à la revue des risques, distinct des réunions commerciales.
Cartographie des risques : le livrable qui rend la démarche lisible
La cartographie transforme l’inventaire en document de pilotage. Les recommandations publiées par le ministère de l’Économie distinguent deux niveaux de restitution, que l’on peut résumer ainsi :
| Volet | Contenu attendu |
|---|---|
| Synthèse | Objectif de la démarche, périmètre analysé, résultat global (nombre de risques, nature, évaluation) |
| Présentation détaillée | Description des processus, focus sur les risques critiques, éléments de maîtrise existants, plans d’actions |
Le même référentiel insiste sur le suivi permanent : une cartographie n’a de valeur que si les plans d’actions sont suivis et si les résultats sont régulièrement confrontés à la réalité. Une matrice colorée affichée au mur, jamais relue, ne protège personne.
Les erreurs qui sabotent une démarche de gestion des risques
- Confondre liste et analyse : aligner cinquante risques sans les noter ni les classer ne permet aucune décision.
- Tout classer en critique : si chaque ligne est rouge, plus rien n’est prioritaire.
- Oublier le risque résiduel : après une mesure de prévention, le risque ne tombe pas à zéro. Il faut le réévaluer.
- Se reposer entièrement sur l’assurance sans lire les exclusions, les franchises et les plafonds du contrat.
- Laisser des actions sans propriétaire : une mesure sans nom ni date reste une intention.
- Négliger le numérique : panne informatique, perte de données ou fraude au virement figurent désormais parmi les scénarios les plus coûteux pour les petites structures.
- Travailler seul : un dispositif conçu sans les équipes de terrain passe à côté des signaux faibles.
Ancrer une culture du risque dans les équipes
Les approches purement procédurales montrent leurs limites face aux crises successives de ces dernières années. Les analyses récentes en management plaident pour une gestion des risques plus adaptative, intégrée à la stratégie et partagée par tous, plutôt qu’appliquée de façon mécanique une fois par an. Concrètement, cela passe par des gestes simples : encourager la remontée d’incidents sans chercher de coupable, partager les retours d’expérience, intégrer une question sur les risques dans chaque projet nouveau et reconnaître les personnes qui signalent un problème avant qu’il n’éclate.
En 2026, ce réflexe vaut autant pour une entreprise exposée à la volatilité économique que pour un foyer qui revoit ses contrats. La méthode reste la même : connaître ses objectifs, regarder lucidement ce qui peut les compromettre, puis agir avec mesure.
Gestion des risques : réponses aux interrogations courantes
Quelle différence entre gestion des risques et contrôle interne ?
La gestion des risques identifie et hiérarchise les menaces, puis choisit comment les traiter. Le contrôle interne regroupe les règles et vérifications qui s’assurent que les mesures décidées sont réellement appliquées. Les deux se complètent.
Une petite entreprise doit-elle formaliser sa gestion des risques ?
Aucune norme ISO n’est imposée, mais l’employeur doit évaluer les risques professionnels et les consigner dans un document unique. Au-delà de cette obligation, une cartographie d’une page suffit souvent à structurer les priorités et à dialoguer avec son assureur ou son banquier.
À quelle fréquence revoir une cartographie des risques ?
Une revue annuelle est un minimum raisonnable. Il est conseillé de la reprendre aussi après un sinistre, un changement d’activité, un déménagement ou une évolution réglementaire importante.
L’assurance suffit-elle à couvrir un risque ?
Non. Elle compense une partie des pertes financières, mais ne couvre ni l’atteinte à la réputation, ni le temps perdu, ni ce qui dépasse les plafonds. Elle doit s’appuyer sur des mesures de prévention.
Qu’appelle-t-on un risque résiduel ?
C’est le niveau de risque qui subsiste une fois les mesures de traitement mises en place. On le note à nouveau avec la grille de criticité pour vérifier qu’il reste dans les limites jugées acceptables.
