« Risque de retard fournisseur » : cette phrase ne dit ni la cause, ni la conséquence, ni le coût. Comment transformer une inquiétude vague en un risque réellement pilotable, du cadrage jusqu'au dernier jalon ?
Qu'est-ce qu'un risque, au sens strict ?
Selon la norme ISO 31000 (2018), un risque est « l'effet de l'incertitude sur l'atteinte des objectifs ». Il combine trois dimensions : un événement futur incertain, une probabilité d'occurrence (entre 0 et 1) et un impact (positif = opportunité, négatif = menace). Sa formulation rigoureuse suit le canevas : SI [cause] ALORS [événement] AVEC POUR CONSÉQUENCE [impact sur l'objectif]. On passe ainsi de « risque de retard fournisseur » à « SI le fournisseur ne livre pas avant fin mars, ALORS les tests seront repoussés, AVEC POUR CONSÉQUENCE un retard de 4 à 6 semaines et un surcoût de 50 à 80 k€ ».
Six catégories de risques projet
- Techniques — technologie immature, intégration de systèmes legacy (parade : POC, prototypage).
- Organisationnels / RH — départ d'un expert clé, équipe sous-dimensionnée (parade : RACI, montée en compétences).
- Financiers — sous-estimation budgétaire, taux de change (parade : provisions, audit).
- Contractuels / juridiques — pénalités, RGPD, propriété intellectuelle (parade : revue juridique, assurance).
- Externes / environnementaux — crise sanitaire, cyberattaque (parade : fournisseurs alternatifs).
- Pilotage / gouvernance — sponsor désengagé, exigences mouvantes (parade : cadrage formel, COPIL actif).
Un processus continu en 6 étapes
Le management des risques n'est pas une étape ponctuelle mais un processus itératif (ISO 31000 / PMI) qui s'exécute pendant toute la durée du projet, avec des revues formelles à chaque jalon majeur. La maturité d'une organisation se mesure à la régularité de ces revues, pas à l'épaisseur du registre initial. L'identification, la plus critique, combine brainstorming structuré, check-list métier, SWOT projet, analyse des hypothèses et méthode Delphi.
Analyser puis répondre : la matrice et les 4 stratégies
Après identification, on hiérarchise avec la matrice Probabilité × Impact, complétée par l'analyse quantitative Monte Carlo pour les enjeux majeurs. Face à chaque risque, quatre stratégies de réponse : éviter (supprimer la cause), transférer (assurance, sous-traitance), atténuer (réduire probabilité ou impact) et accepter (provisionner). Le tout est consigné dans le registre des risques, tenu à jour à chaque jalon.