Dimension organisationnelle : Approche multi-niveau

La gestion des risques s'est étendue à de nombreux domaines pour être présente pratiquement partout dans les entreprises ou la collectivité. La gestion des risques s'applique donc à un domaine très vaste, avec des spécificités propres à chaque secteur qui nécessitent de plus en plus de recourir à des spécialistes. Le schéma suivant présente une approche classique de gestion des risques

La problématique de la gestion des risques est bien définie. Quel que soit l'auteur, la méthode repose sur un cycle de gestion qui se positionne dans une démarche d'amélioration itérative. Le nombre de phases peut varier, mais le schéma suivant en représente la philosophie générale.

Successivement, les quatre étapes sont les suivantes :

• Identifier les risques

  Cela consiste à recenser les risques présents dans le système. Diverses méthodes essaient de proposer une systématisation de l'identification des risques qui repose avant tout sur une bonne connaissance du système étudié et du domaine d'application.

• Evaluer les risques

  Il s'agit d'évaluer, soit qualitativement, soit quantitativement les risques. Les paramètres les plus courants sont la probabilité d'occurrence, la gravité, mais certaines méthodes proposent d'autres paramètres comme la détectabilité, etc. Cette étape est la plus cruciale du cycle. Une approche mathématique probabiliste permet d'obtenir une évaluation quantitative pertinente, mais elle n'est applicable que sur certains risques particuliers pour lesquels des bases de données issues de retour d'expérience sont disponibles.

• Analyser les risques

  L'analyse des risques va permettre de les hiérarchiser, de détecter ceux qui sont acceptables, de ceux que l'on doit réduire. Cette étape débouche sur des propositions de solution pour traiter les risques inacceptables. Ces actions peuvent prendre différentes formes, depuis la mise en oeuvre de solutions techniques pour diminuer le risque, des actions de préventions pour minimiser les effets de la crise, des actions d'évitement ou de transferts.

• Réaliser les actions de réduction des risques

  Sur la base de l'identification des actions de réduction des risques, il convient de réaliser effectivement celles-ci. Notons qu'une action a généralement un coût, mais pour décider de sa programmation, dans un contexte de contrainte budgétaire, il est intéressant de quantifier le bénéfice qu'elle apporte sur la réduction des risques et son impact stratégique pour le gestionnaire. Effectivement, certaines actions peuvent ne pas coûter chères et apporter un gain très important sur la réduction des risques, et inversement. Bien évidemment cette démarche se positionne dans une logique de capitalisation de connaissances qui permet à chaque cycle d'enrichir le savoir-faire et les bases de données pour devenir plus performant.

Le gestionnaire doit prendre en compte une multitude de risque concernant des aléas très divers,conduisant à des risques techniques, économiques, réglementaires, environnementaux, etc.

Dans le contexte multitechnique ou multi-risque, il est indispensable de développer une stratégie transversale d'étude des risques pour intégrer les risques induits et limiter ce qui est appelé l'effet domino.

En plus de la diversité des domaines d'étude impliqués dans la gestion des risques, se rajoute un effet d'échelle.

La gestion des risques s'opère à différents niveaux, chacun se caractérise par un domaine d'action fonctionnel, la capacité décision et la possibilité d'actions accordés au gestionnaire de risque. Selon ce niveau de décision, les risques à prendre en compte ne seront pas les mêmes.

Le schéma suivant illustre une organisation à trois niveaux de gestion des risques.

• Le niveau du spécialiste

  Le spécialiste (sismique, incendie, sûreté, etc.) réalise une analyse de risque à son niveau. Il s'agit souvent d'une approche monotechnique ne développant pas ou peu d'interaction avec les autres spécialités. Ce spécialiste à son niveau proposera des actions qu'il arrive à hiérarchiser assez aisément dans la mesure où sa démarche repose sur des critères de spécialiste qu'il maîtrise. Sa capacité d'action et de décision est en générale assez limitée. Par exemple, pour la sécurité incendie, le spécialiste peut disposer de l'autorité pour ajouter un extincteur, ajouter un bloc autonome d'éclairage de sécurité mais n'a pas la capacité de déplacer l'activité d'une zone. Pour simplifier, ses actions se positionnent dans le cadre d'évolution ou d'action de maintenance courante, de faible coût. Par conséquent, pour la plupart des actions, il opère un transfert de risque vers le niveau supérieur, à destination du responsable de la gestion du patrimoine. Cela consiste souvent à transmettre un plan d'actions sous la forme d'une liste de travaux à réaliser.

• le niveau du gestionnaire

  A son niveau le gestionnaire collecte les plans d'actions des divers spécialistes. Ces informations s'avèrent largement insuffisantes, car la notion de risque a été gommée, pas plus que ne sont communiqués les bénéfices ou le retour attendu pour chaque action. Néanmoins, le gestionnaire doit entreprendre à son niveau une nouvelle analyse de risque, sur la base des éléments communiqués par chacun de ses spécialistes, cela pour deux raisons :

  • Les positionner dans son système de valeurs,

  • Détecter et évaluer les interactions entre les risques « élémentaires »

  A son tour, le gestionnaire disposera d'une certaine capacité d'actions dans le cadre du plan pluriannuel de travaux qui intègre des besoins de maintenance prévisionnelle, de mise en conformité réglementaire, d'évolution fonctionnelle et de diminution de risques. Cependant, compte tenu des contraintes budgétaires et des limites de son champ de compétence, l'intégralité des risques ne peut être prise en compte à son niveau et il opère de fait un transfert de risques au niveau de la direction.

• Le niveau de la direction

  La direction est sensée intégrer l'ensemble des risques qui remontent des différents sous-direction (immobilière, production, commerciale, ressources humaines, juridiques, etc.). De la même manière elle doit gérer les risques à son niveau pour les mêmes raisons que précédemment : prise en compte des interactions et mise en valeur dans son système d'évaluation. A ce niveau terminal, la capacité de transfert est peut être explicite (vers les assurances et l‘état) ou implicite (vers la collectivité).

Ce fonctionnement idéal et simplifié implique plusieurs commentaires :

• L'évaluation dépend d'un système de valeur propre à chaque niveau.

• Il repose sur la nécessité de formaliser le transfert de risque entre niveau. Il s'agit de la conséquence du point précédent. Un niveau doit fournir les bonnes informations au niveau supérieur pour permettre une mise en valeur du risque dans ce système différent.

• Les trois niveaux correspondent à une organisation minimaliste. Plusieurs niveaux intermédiaires sont envisageables, selon l'organisation du gestionnaire, par exemple, un niveau local, un autre régional, un national. De la même manière, toutes les combinaisons sont envisageables en fonction de l'organisation technique du gestionnaire et des priorités stratégiques, par exemple l'analyse d'un risque spécifique peut être décidée au niveau national ( ex plan de grippe aviaire).

La problématique de risque s'avère très complexe, selon deux axes, dans la diversité de connaissances à mettre en jeu et dans la prise en compte des niveaux de l'organisation. Si l'on peut restreindre son champ technique pour l'élargir progressivement avec le temps, il semble impossible de ne pas considérer la gestion du risque dans une approche multi-niveau. Effectivement, il est courant dans une organisation d'assister à une incompréhension entre services, car d'un coté le spécialiste est persuadé de communiquer sur les risques en préconisant les bonnes solutions, de l'autre le décideur planifie des actions considérées comme aberrantes par les spécialistes. Ce phénomène est amplifieé par la différence de culture et de formation d'un niveau organisationnel à l'autre. En général la technicité décroît en montant dans la hiérarchie, au profil d'un compétence de gestion croissante.

Pour cela, il est fondamental d'assurer correctement le transfert de risque d'un niveau à l'autre. Il s'agit d'une part pour le niveau supérieur de spécifier la forme et le niveau de connaissance que doit respecter ce transfert afin qu'il puisse disposer de toutes les informations pour les intégrer à son niveau. Il est de la charge au niveau inférieur de produire la bonne information sur la base de sa méthode d'analyse de risque.

Dans ce système là, il ne faut pas se limiter à la proposition d'actions, il faut aussi transmettre l'évaluation du risque et le bénéfice attendu de l'action.