(Partie I), le cours –

Management des risques

[Link] BERRIMI
 I. Définition des concepts clés
• NOTION DE RISQUE
• Le risque est l’effet de l’incertitude sur les objectifs (ISO
31000, 2018).
• Knight (1921) : Risque = incertitude mesurable.
• IIA (Audit interne) : Risque = événement incertain pouvant
affecter les objectifs.
• Exemples :
• Quotidien : Panne de bus → citoyens bloqués → impact
service public.
• Secteur privé : Défaillance fournisseur → impact financier et
opérationnel.

2
Concept du risque

Difficultéde définirle risque

Définition diffère selonle domaine,le contexte risque,
Le risque survient dans un environnement incertain,
généralement de nature aléatoire,
Difficulté de distinguer entre les problèmes, les causes,
les effets et les risques,
Association de la notion du risque à l’effet ou l’impact sur
les objectifs de l’organisation.

Management des risques 2

 Notion de Management

• Définition :
Le management est l’ensemble des activités de
planification, organisation, direction et contrôle
visant à atteindre les objectifs d’une organisation de
manière efficace et efficiente.
• Exemples :
• Planifier et organiser les tâches d’un service public
pour distribuer les allocations sociales.
• Superviser une équipe de production pour respecter
les délais et les standards de qualité.
4
 La notion de MANAGEMENT DES
RISQUES
1. Définition approfondie du Risk Management
• 🔹 Définition académique (ISO 31000:2018)
• Le management des risques est une activité coordonnée visant à diriger et
piloter une organisation face aux risques.
(ISO 31000:2018 — Risk Management Guidelines)
• Le Risk Management = processus systématique pour identifier, analyser,
traiter, suivre et communiquer les risques afin d’atteindre les objectifs.
• Objectifs :
• Protéger les ressources et actifs.
• Sécuriser les objectifs stratégiques et opérationnels.
• Saisir les opportunités tout en limitant les impacts négatifs.
• 🔹 Définition COSO ERM (2017)
• « Enterprise Risk Management is the culture, capabilities, and practices,
integrated with strategy-setting and performance, that organizations rely on
to manage risk in creating, preserving and realizing value. »

5
 Concept management des risques
Définition pratique du management des risques

Identifier, mesurer, maîtriser ou minimaliserles

événements de nature à:
Mettre en danger l’atteintedes objectifs del’institution,
Altérer sa performance,
Entraîner une perte d’opportunité.

Mettre en place un système de surveillance et de collecte

systématique des données pour déclencher les alertes.

Management des risques 6

 Combinaison du risque et du Risk
Management
•Processus combiné :

• Identifier le risque

• Évaluer le risque (probabilité & impact)

• Traiter le risque (réduire, transférer, éviter, accepter)

• Surveiller et communiquer

7
 exemple
Étape Projet : bus électriques
Identifier Panne batterie ou défaut technique
Probabilité moyenne, impact élevé →
Évaluer
risque critique
Traiter Maintenance, formation, assurance

Suivre Réévaluer après 6 mois d’exploitation

8
Analyse du risque

L'analyse des risques peut être faite en suivant un

processus logique débutant par une phase d'identification puis
d'évaluationdes risques pour ensuite les traiter.

Les risques peuvent être identifiéset analysés à partir

desgrandes catégoriesde risques déclinés en sous-
catégories, donc une décomposition structurée par
familles de risques.

Management des risques 7

Analyse du risque

Identification des risques:

Déterminer tous les évènements qui constituent un
risque pour l’organisation

Exemples de techniques d’identification des risques:

Brainstorming, Questionnaires, Audit et
inspection, Comparaisons sectorielles,
Enquêtes sur les accidents, Analyse de
scénario, Ateliers d’appréciation des risques,
Historiquedes pertes, Base de données….

Management des risques 8

Analyse du risque

Évaluer les risques:

Estimer les risques en terme d’impact et de fréquence,

Définir un score (niveau) global pour le risque, Décider

des plages d’acceptabilité de chaque risque.

Management des risques 9

Analyse du risque

Évaluer les risques:

Estimer les risques en terme d’impact et de fréquence:

Etablir une échelle d’impact et une échelle de fréquence

Evaluer la gravité des conséquences et la fréquence des événements

Validerles échelles par la direction

Management des risques 10

Analyse du risque

Évaluer les risques:

Définir une fonction qui agrège l’impact et la fréquence,

Un diagramme d’acceptabilité en fonction de l’impact et
de la fréquence

Management des risques 11

Analyse du risque
Traiter les risques:

Accepter: assumer le risque et le maitriser à un niveau donné: un risque

important et rare donc le contrôle est très coûteux.

Eliminerle risque. Réduire: atténuer les conséquences d'un risque et

diminuer la probabilité

qu'il survienne: mettre en place des contrôles.

Transférer ou partager: externaliser en tout ou partie les conséquences du

risque vers un tiers qui est jugé plus apte à en assurer le traitement et qui en

accepte les effets négatifs tout en bénéficiant des avantages.

Management des risques 12

Caractéristique
Caractéristiques du risque
Description Exemple public Exemple privé

Retard distribution allocations Perte financière suite à défaut

Impact / Intensité Effet potentiel sur l’organisation
sociales fournisseur

Défaillance fournisseur
Probabilité Chance que le risque se réalise Tempête exceptionnelle (rare)
(probable)

Capacité à résister ou absorber Centre de distribution sans

Vulnérabilité Stock limité sans plan B
le risque générateur

Combinaison vulnérabilité +
Service critique dépendant d’un Production stoppée sans stock
Exposition importance des actifs +
site unique tampon
environnement

15
 Types d’incertitude
Type Description Exemple quotidien Gestion

Événement hors Tempête détruisant Assurance, plan de

Aléa pur
contrôle humain bâtiment continuité

Informations Nouveau service

Étude de marché,
Ambiguïté insuffisantes ou public sans données
veille concurrentielle
contradictoires fiables

Incertitude Décisions internes à Investir dans un pays Analyse de scénarios,

stratégique haut risque instable audit stratégique

16
 Exemple pédagogique
CAS : RISQUE CYBER DANS UNE MAIRIE
Critère Analyse Exemple concret
Hacker bloque accès aux
Événement Attaque ransomware
données
Augmentation mondiale des
Probabilité Moyenne / élevée
cyberattaques

Interruption services, perte de

Impact Très élevé
données, réputation

Absence MFA, absence

Vulnérabilité Serveurs non protégés
sauvegardes
Dépendance totale au Tous services critiques
Exposition
numérique dépendants du système

17
 Exercice interactif avec correction
Contexte : entreprises introduit des bus électriques.
Questions :
Identifier un risque.
Décrire : événement, impact, probabilité, vulnérabilité, exposition.
Classer le risque et proposer des mesures.

Critère Exemple réponse

Événement Panne batterie ou défaut technique
Élevé : interruption service,
Impact
mécontentement citoyens
Probabilité Moyenne : technologie récente
Moyenne à élevée : manque de
Vulnérabilité
formation, infrastructure limitée
Exposition Élevée : dépendance au parc de bus
Classification Risque élevé à critique
Formation, maintenance, assurance,
Mesures
stations recharge fiables
18
 [Link] des risques
• La typologie des risques est essentielle dans le Risk Management,
car elle permet de classifier, analyser et traiter les risques( identifier,
évaluer et traiter). auxquels une organisation peut être exposée.
Selon la norme ISO 31000:2018, comprendre la nature et l’origine
des risques est la première étape pour établir un plan de traitement

efficace.

19
 a. Typologie selon la nature
Type de risque Définition Exemples concrets Références

Lié aux choix et orientations de Mauvais positionnement sur le

Stratégique l’organisation, pouvant affecter marché, échec d’une fusion, Hopkin, 2018; COSO, 2017
ses objectifs à long terme perte d’avantage concurrentiel

Retard de production,
Lié aux activités quotidiennes et
Opérationnel défaillance d’équipements, Lam, 2014; Hillson, 2017
aux processus internes
erreurs humaines

Lié à la gestion financière, aux

Impayés clients, fluctuation des Aven, 2015; Frigo & Anderson,
Financier investissements et aux flux
taux d’intérêt, pertes de change 2011
monétaires
Non-conformité fiscale,
Lié au respect des lois, normes
Réglementaire / juridique sanctions environnementales, ISO 31000, 2018; Revelli, 2016
et réglementations
litiges

Lié aux systèmes d’information, Cyberattaques, obsolescence

ISO 27005, 2018; Fleisher &
Technologique / information cybersécurité et innovations des systèmes, défaillance
Bensoussan, 2015
technologiques logiciels

Catastrophes naturelles,
Lié à l’impact sur
Environnemental / sociétal pollution, atteinte à la Favier, 2014; Hillson, 2017
l’environnement et la société
réputation

20
[Link] selon l’origine du risque
• Risques internes : Proviennent de l’organisation elle-même (processus, RH,
technologies).
Exemples : erreur humaine, fraude, panne de système.
• Risques externes : Proviennent de l’environnement extérieur (économie,
politique, marché, catastrophes).
Exemples : crise économique, décisions gouvernementales, catastrophes
naturelles

21
 [Link] selon le niveau de contrôle
Niveau de contrôle Définition Exemples Références

L’organisation peut agir

Formation, procédures de
Maîtrisable directement pour réduire le Hillson, 2017
sécurité, contrôle interne
risque

Fluctuations de marché,
L’impact peut être réduit
Partiellement maîtrisable variation des prix des Lam, 2014
mais pas totalement évité
matières premières

Hors du contrôle direct de Catastrophes naturelles,

Non maîtrisable ISO 31000, 2018
l’organisation crises politiques, pandémies

22
 [Link] selon la fréquence et
l’impact
• Risques fréquents et faibles : Peu graves mais récurrents →
procédures standards suffisent.
• Risques rares et graves : Peu fréquents mais à fort impact →
nécessitent plans d’urgence et de continuité.

23
L’ISO 31000:Management de risques

Management des risques 13

 L’ISO 31000:Management de risques

Le management des risques est un prorocessus combiné : Finalité de la

démarche ISO 31000

•Identifier le risque
•Évaluer le risque (probabilité & impact)
•Traiter le risque (réduire, transférer, éviter, accepter)
•Suiver et communiquer
Etablissement du contexte

Définition des critères de risque: la nature et les types de causes et de

conséquences qui peuvent survenir, et la façon dont elles vont être mesurées, la
méthode de définition de la vraisemblance, l'échelle de la vraisemblance et/ou de la
(des) conséquence(s), la méthode de détermination du niveau de risque,

Management des risques 14

L’ISO 31000: Management de risques
Etablissement du contexte

Définition des critères de risque:

• les avis des parties prenantes, le niveau à partir du quel le risque

devient acceptable ou tolérable,

• la prise en compte ou non des combinaisons de plusieurs risques

et, le cas échéant, la méthode à utiliser et les combinaisons à considérer.

• le cadre légal en vigueur,

Management des risques 15

L’ISO 31000: Management de risques
Etablissement du contexte

Définition des critères de risque:

La réputationdel’organisation;
• les conséquences sur le milieu naturel, l’urgence
d’agir;
• les capacités d’intervenir sur le risque pour en
réduire

• l’importance; la sensibilité et la perception des risques.

Management des risques 16

 L’ISO 31000Management de risques

Identification du risque: Dresser une liste exhaustive des risques basée

Sur les événements susceptibles de provoquer, de stimuler, d'empêcher, de
gêner, d'accélérer ou de retarder l'atteinte des objectifs, identifier les risques
associés au fait de ne pas saisir une opportunité, procéder à une identification
exhaustive, identifier aussi les risques, que leur source soit ou non sous le
contrôle de l'organisme,

Management des risques 18

•L’identification des risques est le processus systématique visant à
repérer, recenser et décrire tous les risques pouvant affecter la
réalisation des objectifs de l’organisation, qu’ils soient internes ou
externes.
•Selon ISO 31000:2018, l’identification des risques doit être
exhaustive, continue et intégrée aux processus de l’organisation.
•Selon COSO ERM (2017), elle constitue le premier pilier du
processus de gestion des risques, aligné sur la stratégie et la
performance.
 C.Méthodes d’identification des risques
• A. Analyse documentaire.
• B. Entretiens et questionnaires
• C. Brainstorming et ateliers participatifs
• D. Cartographie des processus
• E. Analyse de scénarios
• F. Veille stratégique / Intelligence économique

[Link] pour l’identification des risques

• Registre des risques (Risk Register)
Tableau recensant tous les risques identifiés avec :

– Description du risque
– Origine (interne/externe)
– Responsable
– Liens avec les objectifs

31
 [Link] de l’identification des
risques
• Détecter les risques internes et externes
• Internes : liés aux processus, aux ressources humaines, à la
technologie ou aux systèmes.
• Externes : liés à l’environnement économique, réglementaire, sociétal
ou technologique.
• Fournir la base pour l’évaluation et le traitement
• Une identification complète permet une évaluation quantitative et
qualitative efficace, et facilite la priorisation des risques.
• Impliquer toutes les parties prenantes
• La participation des responsables opérationnels, managers et experts
métiers garantit l’exhaustivité et la pertinence des risques identifiés.
• Contribuer à la gouvernance et à la conformité
• Aligne le processus sur les exigences normatives et réglementaires,
notamment ISO 31000 et COSO ERM.

32
1. Diagrammes cause-effet (Ishikawa / fishbone)
le diagramme d’Ishikawa sert à identifier les causes possibles
d’un problème ou d’un risque en les classant par grandes
familles.
• Visualisation des causes principales et secondaires d’un risque
• Utile pour les risques opérationnels et techniques
• permet de représenter toutes les causes potentielles d’un
problème ou d’un risque.
• Il organise les causes en catégories principales (par exemple :
méthodes, matériel, personnel, environnement, processus,
systèmes).
• Chaque cause principale peut être décomposée en sous-
causes, ce qui aide à comprendre l’origine exacte d’un risque.
• Cet outil est particulièrement utile pour les risques
opérationnels (retards, erreurs, défaut de qualité) et
techniques (pannes, défaillances de systèmes).
33
 L’ISO 31000 Management de risques

Appréciation du risque

Analyse du risque:

fournir des données pour évaluer les risques, prendre la décision de les traiter ou
non, choisir les stratégies et méthodes de traitement les plus
appropriées, prendre en compte des causes et sources de risque, de leurs
conséquences positives et négatives, et de la vraisemblance (probabilité) que ces
conséquences surviennent (gravité), L'analyse peut être qualitative, semi-
quantitative, quantitative, ou une combinaison des trois, selon les circonstances.

Management des risques 20

 Management de risques

Analyse du risque:

L'évaluation qualitative utilisation des termes comme «élevé»,

«moyen» et «faible» et peut combiner conséquence et probabilité
pour évaluer le niveau de risque qui en découle en fonction de
critères qualitatifs;

-il convient que tous les termes utilisés soient clairement expliqués
et que la base de tous les critères soit enregistrée.

Management des risques 22

 Management de risques

Analyse du risque:
Les méthodes semi-quantitatives utilisation des échelles
d'évaluation numérique de probabilité et de conséquence et leur
combinaison pour obtenir un niveau de risque grâce à une formule.

L'analyse quantitative estime les conséquences et la probabilité

liées à des valeurs réalistes et produit des valeurs de niveau de
risque dans des unités spécifiques définies au début de l’analyse.

Management des risques 23

 Management de risques

Analyse du risque:
1. Evaluation des contrôles
2. Analyse des conséquences
3. Analyse de vraisemblance et estimation de la probabilité
4. Analyse préliminaire (dépistage des risques)
5. Incertitudes et sensibilités

Management des risques 24

 Management de risques

Evaluation des contrôles: Le niveau de risque dépend de

l’adéquation et de l’efficacité des contrôles existants.

répondre aux questions suivantes:

• quels sont les contrôles existants liés à un risque particulier?

• ces contrôles sont-ils en mesure de traiter le risque de

manière à le maintenir à un niveau tolérable?

• dans la pratique, les contrôles fonctionnent-ils comme prévu

et leur efficacité peut-elle être démontrée, le cas échéant?

Management des risques 25

 Management de risques

Analyse des conséquences: L'analyse des conséquences

permet de déterminer la nature et le type d’impact susceptible de
se produire, en supposant que des événements ou des
circonstances particuliers se sont produits.

Un événement peut avoir une série d’impacts de gravité

différente et affecter un ensemble d’objectifs et d’acteurs
différents.

Management des risques 26

 Management de risques

Analyse de vraisemblance et estimation de la probabilité

Trois approches utilisées individuellement ou conjointement:
• Utilisation de données historiques pertinentes afin d'identifier des
événements ou des situations qui se sont produits dans le passé et
extrapoler la probabilité de leur occurrence dans le futur;
• Prévision des probabilités à l'aide de techniques prédictives
telles que l'analyse par arbre de panne
• L'avis d'un expert peut être utilisé dans un processus
systématique et structuré pour estimer la probabilité.

Management des risques 27

 Management de risques

Analyse préliminaire (dépistage des risques) Procéder à un

dépistage des risques pour identifier les risques les plus significatifs,
ou pour exclure les risques insignifiants ou mineurs de l’analyse
ultérieure. S’assurer que les ressources sont concentrées sur les
risques les plus importants. Il convient de ne pas négliger le
dépistage des risques faibles qui surviennent fréquemment et qui ont
un effet cumulé significatif.

Management des risques 28

 Management de risques

Incertitudes et sensibilité

Il convient d’identifier les sources d'incertitude et il convient que

cela concerne les incertitudes liées aux données et au
modèle/méthode;

Il convient de définir les paramètres auxquels l'analyse est

sensible et le degré de sensibilité.

Management des risques 29

Management de risques

Appréciation du risque:

Evaluation du risque: comparer le niveau de risque déterminé au cours

du processus d'analyse aux critères de risque établis lors de l'établissement
du contexte. Sur la base de cette comparaison, il est possible d'étudier la
nécessité d'un traitement, l'évaluation du risque peut déboucher sur la décision
d'entreprendre une analyse plus approfondie, l'évaluation du risque peut
conduire à la décision de ne pas traiter le risque autrement qu'en maintenant
les moyens de maîtrise du risque existants.
Selon ISO 31000:2018, l’évaluation des risques doit être transparente,
documentée et basée sur des critères clairs et cohérents.

Management des risques 31

 [Link] de l’évaluation des risques
•Prioriser les risques
• Identifier les risques critiques nécessitant une action immédiate et ceux pouvant être suivis
ou contrôlés avec des mesures standard.
•Déterminer les ressources et actions nécessaires
• Allocation optimale des ressources (humaines, financières, techniques) pour réduire ou
gérer les risques.
•Faciliter la prise de décision
• Fournir aux décideurs un outil analytique et visuel pour choisir les mesures de traitement et
planifier les actions.
• Assurer la conformité et la gouvernance
• L’évaluation doit être alignée sur les normes et meilleures pratiques pour renforcer la
fiabilité du processus de gestion des risques.

47
[Link] Étapes de l’évaluation des risques
• A. ANALYSE QUALITATIVE
• Objectif : classer les risques selon probabilité et impact
sans recours à des mesures chiffrées précises.
• Méthode : utiliser des échelles de notation, par exemple
:
– Probabilité : Très faible → Faible → Moyenne → Élevée →
Très élevée
– Impact : Mineur → Modéré → Majeur → Critique →
Catastrophique
• Cette étape est particulièrement utile lorsque les
données quantitatives sont limitées.

48
 .LES Étapes de l’évaluation des risques
• A. ANALYSE QUALITATIVE
• Objectif : classer les risques selon probabilité et impact
sans recours à des mesures chiffrées précises.
• Méthode : utiliser des échelles de notation, par exemple
:
– Probabilité : Très faible → Faible → Moyenne → Élevée →
Très élevée
– Impact : Mineur → Modéré → Majeur → Critique →
Catastrophique
• Cette étape est particulièrement utile lorsque les
données quantitatives sont limitées.

49
 B. Analyse quantitative
• Objectif : fournir une évaluation chiffrée des risques
pour une priorisation précise.
• Formule académique :
• Risque=Probabilité×Impact
• Outils et méthodes
– Simulation Monte Carlo
– Analyse de sensibilité
– Value at Risk (VaR) pour les risques financiers
• Permet de mesurer les conséquences potentielles en
termes financiers, opérationnels ou stratégiques.

50
Élaboration cartographie des risques

Un risque se mesure principalement par deux caractéristiques :

—la fréquence , qui mesure la probabilité d’occurrence de

l’événement dommageable ;
—la gravité, l’impact, qui mesure les conséquences du
sinistre.

Management des risques 32

Élaboration cartographie des risques
Impact : Quelle est la gravité de la
conséquence si le risque se réalise ? (Y-axis)
Probabilité : Quelle est la chance que le risque
se réalise ? (X-axis)
lus un risque est haut et à droite, plus il est
critique pour l’organisation.”
Zones couleur
Vert = Risque faible → peut être surveillé, pas
besoin d’action urgente.
Orange = Risque modéré → nécessite des
mesures préventives.
Rouge = Risque élevé → priorité absolue,
traiter rapidement.
.

Management des risques 33

 Élaboration cartographie des risques

Exemple: cartographie KPMG Les 10 premiers risques majeurs

1) Stratégie d’acquisition inappropriée
2) Perte de confiance des investisseurs du fait de critiques médiatisées
3) 3) Incapacité à satisfaire aux exigences réglementaires et légales
4) 4) Défaillances des systèmes informatiques
5) 5) Incapacité de disposer du temps suffisant pour valoriser la stratégie commerciale
6) 6) Incapacité à gérer l’incertitude économique et d’y réagir correctement
7) 7) Plans de continuité et anti-sinistre inadéquats, ne permettant pas de faire face à une
défaillance majeure du réseau informatique
8) 8) Incapacité de protéger la marque
9) 9) Division internationale incapable d’appliquer la stratégie de croissance escomptée
10)10) Départs de collaborateurs clés et planification inadéquate de leur remplacement

[Link]

Management des risques 34

 Exemple: cartographie KPMG Critères de quantification de la
vraisemblance/ probabilité d’occurrence

Événement attendu
dans la plupart des
cas
Événement
probable dans la
plupart des cas
Événement devant
se produire à un
moment donné
Événementrisquant
de se produire à un
moment donné

Événement risquant
de se produire
uniquement
dans des cas
exceptionnels

[Link]
Management des risques 35
Exemple: cartographie KPMG Critères de
quantification de l’impact/gravité

36
Élaboration cartographie des risques
Exemple: cartographieKPMG
Critères dequantificationdel’impact/gravité
1 Non 2 3 4 5 Très
significatif M i M o M a significatif
n e d é r j e
Résolution Résolution
temps qui devait u r
Résolution éRésolution u r
Résolution nécessitant
être finalisée nécessitant nécessitant nécessitant l’intervention
l’intervention l’intervention l’intervention du conseil
de l’équipe de l’équipe de l’équipe
régionale de direction de projet
générale dédiée

CA Impact faible Impact de 1 à Impact de 3 à Impact de 10 Impact

ou nul 3% 10% à 25% supérieur à
25%

[Link]

Management des risques 37

Élaboration cartographie des risques
ref risque Risque brut Descriptiondu Efficacité Risque net Action responsa
contrôle du résiduel bilité/dél
Impact Freq. contrôle Freq. ai
Impact
1 Stratégie 5 4 Recours à des Faible 4 4 Élargissement Directeur
d’acquisition conseillers de la fonction financier
inappropriée externes pour les recherche
. audits préalables. d’acquisitions.
Réunion annuelle
Perte de 4 3 avec les Médiocre 3 3 Formation aux Directeur
confiance des médias pour de
investisseurs
investisseurs du clés. l’ensemble des communi
fait des critiques dirigeants. cation
des médias. Journées
portes
ouvertes.

[Link]

Management des risques 38

Élaboration cartographie des risques
Exemple: cartographie KPMG

[Link]

Management des risques 39

 1. Matrice Probabilité × Impact
• Principe : On évalue chaque risque selon deux critères :
• Probabilité : la chance que le risque se produise (ex. faible, moyenne,
élevée)
• Impact : la gravité de ses conséquences sur l’organisation ou le projet
(ex. mineur, modéré, critique)
• Visualisation : On place chaque risque dans une grille ou matrice. Les
cases avec probabilité et impact élevés représentent les risques les
plus critiques.
• Avantages :
• Très simple et visuel
• Facilite la priorisation des risques
• Sert de base pour construire une cartographie des risques (heat map)

59
 Exemple Matrice Probabilité × Impact
Score Niveau Couleur
• On prend un risque : 1–5 Faible Vert
🔹 “Retard d’un fournisseur”6 – 10 Moyen Jaune
• On lui donne : 11 – 15 Élevé Orange
• Probabilité : 3/5 (moyenne)16 – 25 Critique Rouge

• Impact : 4/5 (important)

• On calcule :
• Score= la probabilité*l’impact
• =3*4=12
• 🔹 Le score 12 = Orange = élevé.
• Interprétation : ce risque doit être suivi de près.
60
 Exemple Diagrammes de Pareto
• On veut repérer les risques qui coûtent le plus
cher.
• Imaginons 4 risques :
Risque Coût
R1 80 000
R2 40 000
R3 15 000
R4 5 000

Total = 80 000 + 40 000 + 15 000 + 5 000 = 140 000

61
 Résultat finaL
Risque Coût Cumul % du total
R1 80 000 80 000 57%
R2 40 000 120 000 86%
R3 15 000 135 000 96%
R4 5 000 140 000 100%

Résultat à retenir
Les 2 premiers risques (R1 + R2) → 86 % du total.
C’est ça le Pareto :
➡ 2 risques seulement expliquent presque tout l’impact.

62
 Simulation Monte Carlo et Value at Risk
(VaR)
• Simulation Monte Carlo – À quoi ça sert ?
• But : Estimer les pertes ou les résultats quand il y a de l’incertitude.
• Utilité :
– Permet de prévoir différentes situations possibles et leur probabilité.
– Aide à calculer la perte moyenne ou d’autres mesures de risque quand le
problème est trop complexe pour être résolu à la main.
• Value at Risk (VaR) – À quoi ça sert ?
• But : Mesurer la perte maximale probable pour un certain niveau de
confiance.
• Utilité :
– Permet à une entreprise ou une banque de savoir combien elle pourrait
perdre dans la majorité des cas.
– Sert à préparer des réserves financières ou des stratégies pour limiter les
pertes.

63
•
Scénarios et simulations
Monte carlo et VaR
• Exemple
• Une entreprise a 1 risque : Probabilité que le risque se réalise :
50 %
• Impact si le risque se réalise : 100 MAD
• On veut :
1. Simuler 5 tirages de perte.
2. Calculer la perte moyenne (Expected Loss).
3. Estimer la VaR 80 %.
• On tire 5 fois si le risque se réalise ou non (50 %) :
1. Simulation Monte Carlo (tirages aléatoires)
Tirage Risque réalisé ? Perte
1 Oui 100
2 Non 0
3 Oui 100
4 Non 0
5 Oui 100
64
• 2. Perte moyenne (Expected Loss)
• Perte moyenne=Nombre de tirages/Somme des pertes​
• Perte moyenne=(100+0+100+0+100)/5=300/5=60
• VaR 80 %
• On trie les pertes : 0, 0, 100, 100, 100
• VaR 80 % = valeur que l’on dépasse seulement 20 % du
temps → ici 100 MAD
• Interprétation :
• Avec 80 % de confiance, la perte ne dépassera pas 100
MAD
• Trouver la valeur qui n’est dépassée que 20 % du temps
(car 80 % de confiance) :
• Position = ⌈5×0.8⌉=4
• 4ᵉ élément = 100 MAD
65
 Management de risques

Traitement du risque
Le traitement du risque implique un processus itératif:
décider si les niveaux de risque résiduels sont tolérables;
Si les risques résiduels ne sont pas tolérables, générer un nouveau
traitement du risque; apprécier l'efficacité de ce traitement.

Management des risques 41

Management de risques

Traitement du risque
Les options du traitement du risque peuvent inclure:
a) un refus du risque marqué par la décision de ne pas commencer ou
poursuivre l'activité porteuse du risque,
b) b) la prise ou l'augmentation d'un risque afin de poursuivre une
opportunité,
c) c) l'élimination de la source de risque,
d) d) une modification de la vraisemblance,

Management des risques 42

Management de risques

Traitement du risque
Les options du traitement du risque peuvent inclure:
e) une modification des conséquences,
f) un partage du risque avec une autre ou d'autres parties (y compris les
contrats et le financement du risque,
g) un maintien du risque fondé sur un choix argumenté.

Management des risques 43

 Management de risques

Traitement du risque
La sélection des options du traitement du risque

comparer les coûts et les efforts de mise en œuvre par rapport aux avantages
obtenus, tenir compte des risques dont le traitement n'est pas justifiable au
plan économique, surveiller le traitement qui peut lui-même engendrer des
risques, le traitement du risque peut également engendrer des risques
secondaires qui doivent être intégrés au même plan de traitement que le risque
original.

Management des risques 44

Management de risques

Traitement du risque
Élaboration et mise en œuvre des plans de traitement du risque : les
informations fournies dans ces plans comportent: les raisons ayant motivé le
choix des options de traitement, y compris les avantages attendus, les
personnes responsables de l'approbation du plan et celles responsables de
sa mise en œuvre, les actions proposées,

Management des risques 45

Management de risques

Traitement du risque
Élaboration et mise en œuvre des plans de traitement du risque les
informations fournies dans ces plans comportent: les besoins en
ressources, la mesure des performances et les contraintes, les exigences
en matière de rapports et de surveillance, le calendrier et le
séquencement.

Management des risques 46

Les actions seront classées en fonction de leur nature : préventives pour éviter les risques,
correctives pour rectifier les anomalies détectées, de mitigation pour réduire l’impact des risques,
et a posteriori pour analyser et tirer les enseignements après la survenance des incidents.

A) Préventive
Définition : Action ou contrôle visant à empêcher un problème avant qu’il ne se produise.
Exemple : Formation du personnel pour éviter les erreurs de saisie comptable, mise en place de
procédures de validation avant paiement.
Caractéristique clé : Proactive, agit avant l’événement.

B) Corrective
Définition : Action visant à corriger un problème après qu’il s’est produit pour éviter qu’il ne se
reproduise.
Exemple : Rectification d’une erreur comptable détectée lors d’un audit, mise à jour des procédures
après un incident.
Caractéristique clé : Réactive, agit après l’événement.
C) Mitigation

Définition : Action visant à réduire l’impact ou la gravité d’un risque ou d’un problème, même si
le risque se réalise.
Exemple : Souscrire une assurance, installer des extincteurs, ou avoir un plan de continuité
d’activité.
Caractéristique clé : Réduit les conséquences, mais ne supprime pas forcément le risque.

D) A posteriori
Définition : Analyse ou action faite après l’événement, souvent pour comprendre ce qui s’est passé
et en tirer des leçons.
Exemple : Audit ou revue d’un projet terminé, rapport d’incident après une fraude.
Caractéristique clé : Évaluation après coup, souvent pour ajuster les contrôles futurs.
Exemple de tableau de Plan de
Traitement des Risques
Risque Impact Probabilité
Option de Action Responsab
Ressources Échéance
Indicateur
traitement prévue le de suivi
Mise en
place d’un
Retard des % des
calendrier Logiciel de
paiements Service 30/12/202 paiements
Élevé Moyen Réduire strict de gestion
fournisseur financier 5 effectués à
paiements financière
s temps
et suivi
automatisé
Formation
du
Non- Nombre
personnel
conformité Direction Budget 31/01/202 d’incidents
Élevé Faible Éviter et audit
réglementa juridique formation 6 réglementa
réglementa
ire ires
ire
semestriel
Sauvegarde
% de
Perte de s
Service données
données quotidienn Serveurs & 15/12/202
Très élevé Moyen Réduire informatiq récupérabl
informatiq es et plan cloud 5
ue es en cas
ues de reprise
d’incident
d’activité
75
Management de risques

Management des risques 47

Management de risques

Surveillance du risque
s'assurer que les moyens de maîtrise sont efficaces et performants aussi bien
dans leur conception que dans leur utilisation, obtenir des informations
supplémentaires pour améliorer l'appréciation du risque, Identifier les risques
immergent, analyser et tirer les leçons des événements (y compris des
incidents), des changements, des tendances, des succès et des échecs,

Management des risques 48

Communication et consultation (en continu)
La communication et la consultation constituent un processus transversal et permanent,
présent à toutes les étapes du schéma. Elles jouent un rôle essentiel dans l’efficacité du
dispositif en garantissant :
L’implication des parties prenantes
L’association continue des responsables, services concernés et acteurs clés permet une
meilleure compréhension des enjeux, favorise la responsabilisation et renforce l’adhésion au
processus.
Le partage de l’information
La circulation fluide et régulière de l’information (objectifs, risques, décisions, actions) assure
une vision commune, réduit les asymétries d’information et améliore la coordination entre
les acteurs.
L’acceptation des décisions
La consultation en amont facilite l’appropriation des décisions prises, limite les résistances au
changement et renforce la légitimité des mesures mises en œuvre.
L’amélioration de la qualité des risques identifiés
Les échanges continus permettent de croiser les points de vue, d’intégrer l’expertise terrain
et d’identifier des risques plus pertinents, réalistes et exhaustifs.
 4. Gestion des Risques : De la Maîtrise
au Pilotage
• La gestion des risques s’exerce à deux niveaux
complémentaires, qui se nourrissent mutuellement :
• Maîtrise des risques (opérationnelle) : se concentre sur la
réduction et le contrôle des risques au niveau des processus
et opérations quotidiennes.
• Pilotage des risques (stratégique) : vise l’alignement de la
gestion des risques avec la stratégie, la gouvernance et la
performance globale de l’organisation.
• Selon ISO 31000:2018, la gestion des risques doit être
intégrée à tous les niveaux de l’organisation, de l’opérationnel
au stratégique, pour assurer cohérence et efficacité dans la
prise de décision et la protection des objectifs
organisationnels

79
 Maîtrise des risques (niveau
opérationnel)
• Définition
• La maîtrise des risques correspond à la mise en place de
mesures concrètes visant à réduire la probabilité ou l’impact
des risques identifiés sur les activités quotidiennes. Elle
permet d’assurer la continuité des opérations et de minimiser
les pertes.
• Objectifs
• Réduire les pertes et impacts négatifs sur les opérations.
• Garantir la continuité des activités et la sécurité des
processus.
• Assurer la conformité réglementaire et procédurale,
conformément aux standards ISO et COSO ERM.

80
 Méthodes et outils
• Procédures et contrôles internes : assurer l’application correcte des règles
et normes internes.
• Plans de prévention et de mitigation : anticiper les risques opérationnels et
définir des mesures correctives.
• Registre des risques opérationnels : documenter et suivre les risques
identifiés.
• Indicateurs de performance et de risque (KPI/KRI) : mesurer l’efficacité des
contrôles et la criticité des risques.
• Audits internes : évaluer régulièrement l’efficacité des mesures mises en
place.

81
Pilotage des risques (niveau stratégique)
• Définition
• Le pilotage des risques consiste à utiliser l’information sur les risques
pour orienter les décisions stratégiques, maximiser les opportunités
et sécuriser la performance globale de l’organisation. Il s’agit d’une
approche proactive et intégrée à la gouvernance et à la stratégie.
• Objectifs
• Intégrer la gestion des risques dans la stratégie et la gouvernance de
l’organisation.
• Prioriser les risques selon leur impact sur les objectifs stratégiques.
• Optimiser la prise de décision et l’allocation des ressources.
• Anticiper les risques émergents et macro-environnementaux pour
sécuriser la performance future.

82
 Méthodes et outils
• Cartographie stratégique des risques : visualisation des risques
clés selon leur criticité et impact sur les objectifs stratégiques.
• Reporting aux instances de gouvernance : communication
régulière au comité de direction ou conseil d’administration
pour orienter la stratégie.
• Évaluation de la tolérance et appétence au risque : définir le
niveau de risque acceptable pour l’organisation.
• Scénarios prospectifs et simulations stratégiques : anticiper les
effets des décisions sur l’ensemble des risques.
• Balanced Scorecard et KPI intégrés avec KRI : aligner la
performance stratégique et les indicateurs de risque pour un
suivi global.

83
Pourquoi les organisations doivent
gérer les risques ?
 a) Protection des actifs : une obligation
stratégique

• 1. Les actifs physiques: Parcs machines ,Infrastructures, Installations industrielles

,Flotte informatique

• 2. Les actifs financiers: Trésorerie, liquidités investissements ,contrats en cours

•3. Les actifs immatériels :Marques ,Brevets ,Données clients, Réputation ,Capital

humain

86
 b) Performance globale et avantage
compétitif
1. Une organisation qui maîtrise ses risques :

2. réduit ses coûts (moins d’accidents, moins de contentieux)

3. évite les interruptions (rupture fournisseur, panne, cyber-attaque)

4. améliore ses prévisions (vision claire des aléas)

5. décide plus vite et plus efficacement

6. fidélise ses clients et partenaires

87
Techniques en Management de risque

Le choix de la ou les techniques sur la base de facteurs

applicables, tels que:
• les objectifs de l'évaluation des risques;
• les besoins des décideurs;
• le type et l'ensemble des risques en cours d'analyse;
• l'amplitude potentielle des conséquences;
• le degré de compétence, le besoin en ressources;
•la disponibilité des informations et des données;
• toutes exigences réglementaires et contractuelles.

Management des risques 50

Techniques en Management de risque

Il n’existe pas de bonne ou mauvaise technique

La technique adaptée possède les caractéristiques suivantes:

• justifiée et adaptée à la situation ou à l'organisation considérée;
• les résultats obtenus se présentent sous une forme permettant
une meilleure compréhension de la nature des risques et de la
manière dont ils peuvent être traités;
• utilisée de telle sorte qu'elle soit traçable, reproductible et
vérifiable.

Management des risques 51

Méthodes/Techniques en Management de risque

Exemple de méthodes d'identification des risques

«Brainstorming» stimuler et encourager la libre conversation au
sein d'un groupe de personnes compétentes afin d'identifier (les
modes de défaillances potentielles et les dangers, risques)

Les avantages :
• il stimule l'imagination et permet donc d'identifier de nouveaux
risques et des solutions originales;
• il implique des acteurs clés et facilite donc la communication
globale;
• il est relativement rapide et facile à mettre en place.

Management des risques 55

Méthodes/Techniques en Management de risque

Exemple de méthodes d'identification des risques

«Brainstorming»
Les limites : • les participants peuvent manquer de compétences
ou de connaissances pour être des contributeurs efficaces;
• étant donné qu'il est relativement peu structuré, il est difficile de
démontrer que le processus est exhaustif;
• il peut exister une dynamique de groupe variable. Cette situation
peut être résolue par le «brainstorming» informatique, par
l'intermédiaire d'un forum de discussion ou d’une technique de
groupe nominal.

Management des risques 56

Méthodes/Techniques en Management de risque

Exemple de méthodes d'identification des risques

Technique Delphi La technique Delphi est un mode opératoire
permettant d'obtenir un consensus fiable sur les avis d'un groupe
d'experts.

onsiste à permettre à des experts d'exprimer leurs avis de

manière individuelle et anonyme, tout en ayant accès aux avis de
leurs homologues au fur et à mesure de l'avancée du processus.

Management des risques 57

Méthodes/Techniques en Management de risque
Exemple de méthodes d'identification des risques
Technique Delphi
La procédure est la suivante:
• formation d’une équipe pour engager et surveiller le processus
Delphi;
• sélection d’un groupe;
• développement du questionnaire ;
•essai du questionnaire;
• envoi du questionnaire à chaque membre du groupe;
• les informations provenant du premier jeu de réponses sont
analysées et combinées et retransmises aux membres du groupe;
• les membres du groupe répondent, puis le processus est de
nouveau enclenché tant que le consensus n’a pas été obtenu.

Management des risques 58

Méthodes/Techniques en Management de risque

Technique Delphi
Les avantages :
• compte tenu de leur caractère anonyme, les avis impopulaires sont
plus susceptibles d’être exprimés;
• tous les points de vue sont pondérés de manière égale;
• permet d’obtenir la propriété des résultats;
• il n’est pas utile que les personnes soient rassemblées en même
temps au même endroit.
Les limites : • technique qui demande beaucoup de travail et de
temps; • les participants doivent être capables de s’exprimer
correctement
.

Management des risques 59

Méthodes/Techniques en Management de risque

Méthode AMDE (Analyse des Modes de Défaillance et de leurs Effets)

L’AMDE est une méthode préventive et systématique permettant d’identifier les modes de
défaillance, leurs mécanismes et leurs effets sur un système, un produit ou un processus, afin de
réduire les risques de dysfonctionnement.

Types d’AMDE
AMDE Conception (ou Produit) : appliquée aux composants et aux produits dès la phase de
conception.
AMDE Système : utilisée pour analyser les interactions et défaillances possibles au niveau d’un
système global.
AMDE Processus : appliquée aux processus de fabrication, d’assemblage ou de réalisation des
activités.
Objectifs de l’AMDE
Identifier les modes de défaillance potentiels
Analyser les effets des défaillances sur le système
Déterminer les causes possibles de chaque défaillance
Prévenir les dysfonctionnements avant leur apparition

Management des risques 60

Méthode AMDEC (AMDE avec Analyse de la Criticité)
L’AMDEC est une extension de l’AMDE intégrant une analyse de criticité, qui permet de hiérarchiser les
risques selon leur importance.
Analyse de criticité
• La criticité d’un mode de défaillance est évaluée selon :
• la probabilité d’apparition de la défaillance,
• la gravité des effets sur le système,
• le niveau de risque associé,
• ou le degré de priorité du risque.
Cette analyse peut être :
• qualitative,
• semi-quantitative,
• ou quantitative.
Apports de l’AMDEC
L’AMDEC permet d’identifier :
• tous les modes de défaillance potentiels des différentes parties du système,
• les effets de ces défaillances sur le fonctionnement global,
• les causes à l’origine des défaillances,
• les priorités d’action pour réduire les risques.
Méthodes/Techniques en Management de risque

les avantages de l’AMDEC:

• appliquéeslargement aux différents modes de défaillance
• identifier les modes de défaillance du composant, leurs causes et
leurseffets sur le système, et de les présenter dans un format lisible;
• éviter les modifications onéreuses de l’équipement en service par une
identification précoce des problèmes dans le processus de conception;
• identifier les modes de défaillance localisée et les exigences pour
lessystèmes redondants et de sécurité.
Méthodes/Techniques en Management de risque

Les limites de l’AMDEC: •utilisées pour identifier les modes de

défaillance localisée,
et pas les combinaisons de modes de défaillance;

• peuvent prendre du temps et être onéreuses;si les études

ne sont pas convenablement contrôlées et mises au point

• peuvent s’avérer difficiles et fastidieuses pour les systèmes

complexes.
Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité).

•examen structuré et systématique d’un produit, d’un processus,

d’un mode opératoire ou d’un système planifié ou existant.

•permet d’identifier les risques auxquels sont confrontés les

personnes, les équipements, l’environnement et/ou les objectifs
de l’organisation. •l’équipe chargée de l’étude peut, dans la
mesure du possible,

d’apporter des solutions visant à éliminer le risque en question.

HAZOP = Hazard and Operability Studies

Management des risques 72

Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité).

L’analyse HAZOP ressemble à l’analyse AMDE puisqu’elle
identifie les modes de défaillance, leurs causes et leurs
conséquences.

La différence:
•HAZOP tient compte des résultats et écarts indésirables par
rapport aux résultats et conditions prévus, et revient aux causes et
modes de défaillance possibles. •AMDE commence par identifier
les modes de défaillance.

Management des risques 73

Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité). La procédure

d’une étude HAZOP : • nomination d’une personne responsable; •
définition des objectifs et du domaine d’application de l’étude; •
établissement d’un ensemble de mots-clés ou de mots-guides
correspondant à l’étude • constitution de l’équipe HAZOP. En
principe, il s’agit d’une équipe pluridisciplinaire • collecte de la
documentation requise.

Management des risques 74

Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité). Procédure

dans un atelier avec l’équipe d’étude:

• découpage du système, du processus ou du mode opératoire en
éléments plus petits;
• acceptation de la conception prévue pour chaque sous-élément,
en appliquant successivement les mots-guides;
• en cas d’identification d’un résultat indésirable, acceptation de la
cause et des conséquences dans chaque cas, puis suggestion de
la manière dont ils peuvent être traités;
• documentation de la discussion et acceptation des actions
spécifiques pour traiter les risques identifiés.

Management des risques 75

Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité).

Les avantages :
• offre le moyen d’examiner de manière systématique et
rigoureuse un système, un processus ou un mode opératoire;
• implique la constitution d’une équipe pluridisciplinaire;
• génère des solutions et des moyens de traitement du risque;
• est applicable à un large éventail de systèmes, de processus et
de modes opératoires;

Management des risques 81

Méthodes/Techniques en Management de risque

Méthode HAZOP(Etude de danger et d’exploitabilité).

Les limites :
• elle peut prendre beaucoup de temps et donc être onéreuse;
• elle nécessite un niveau élevé de documentation ou de
spécification de système/processus et de mode opératoire.
•le processus s’appuie fortement sur l’expertise des concepteurs,
ces derniers pouvant trouver difficile de rester suffisamment
objectifs quant aux problèmes que peuvent présenter leurs
conceptions.

Management des risques 82

Techniques en Management de risque

Analyse par arbre de panne : Technique commençant par

l'événement indésirable (événement de tête) et déterminant
toutes les manières dont il pourrait se produire (une arborescence
logique). Par la suite considérer les manières de réduire ou
d'éliminer les causes/sources potentielles Analyse par arbre
d’événements: Utilisation du raisonnement inductif pour traduire
la probabilité d'événements initiateurs différents en résultats
possibles.

Management des risques 83

Méthodes/Techniques en Management de risque

Analyse par arbre de panne

Procédure:

• L’événement de tête à analyser est défini.

• En commençant par l’événement de tête, les causes possibles
immédiates ou les modes de défaillance donnant lieu à
l’événement de tête sont identifiés.
• Chacun de ces causes/modes de défaillance est analysé pour
savoir comment la défaillance a pu se produire.
• En suivant progressivement l'identification du fonctionnement
indésirable du système jusqu'aux niveaux successivement
inférieurs.

Management des risques 84

 Exemple d’arbre de panne

Echec du démarrage automatique de

la génératrice du secours

Pas de signal de démarrage Défaillance de la génératrice diesel

Manque de Défaillance
Défaut Défaut de Défaut de carburant mécanique de la
d’envoi transmission réception génératrice
du signal du signal du signal

Défaillance
Conduct du module Pas de
Admissi
eur de contrôle on carbura
brisé bloquée nt

Porte ET-la défse produit si tous les événements

d’entrée sont vrais

Def. du Def. du Porte OU-la défse produit si l’un des

circuit A événements d’entrée sont vrais
circuit B
Evénement de base-Analyse supplémentaire inutile
Evénement ne faisant pas l’objet d’une analyse
supplémentaire à cette étape
Evénement faisant l’objet d’une analyse
s upplém entair e
Evénement analyse au point A sur une page
dif f erente

Management des risques 85

Méthodes/Techniques en Management de risque

Analyse par arbre de panne

Les avantages :

•Elle constitue une approche disciplinée et suffisamment souple

pour permettre d'analyser divers facteurs, y compris les
interactions humaines et les phénomènes physiques.
• L’application de l’approche «du haut vers le bas», met l'accent
sur les effets de défaillance qui sont en rapport direct avec
l'événement de tête.
• La représentation graphique permet de comprendre plus
facilement le comportement du système et de ses facteurs
inhérents.

Management des risques 86

Méthodes/Techniques en Management de risque

Analyse par arbre de panne

Les limites :

• Les incertitudes liées aux probabilités des événements

principaux sont prises en compte dans les calculs de la probabilité
de l’événement de tête. Ceci peut donner lieu à des
niveaux élevés d’incertitude lorsque les probabilités de défaillance
de base ne sont pas connues avec exactitude.

• Un arbre de panne ne permet pas d’intégrer aisément les

défaillances conditionnelles.

Management des risques 87