Registres des risques : avantages et exemples

Différents niveaux de registres de risques

Le niveau de détail et de sophistication d’un registre des risques varie en fonction du secteur d’activité, de la taille et du degré de maturité de l’organisation en matière de gestion des risques. Les petites entreprises utilisent souvent une feuille de calcul pour suivre les dangers et les réponses qu’elles prévoient d’y apporter. Les entreprises internationales, les sociétés cotées en bourse et les entreprises actives dans des secteurs réglementés tels que la finance ou la santé (qui sont toutes confrontées à des risques de plus en plus complexes et doivent rendre des comptes à un plus grand nombre d’entités) utilisent généralement des applications informatiques plus sophistiquées pour leurs registres des risques.

Terminologie

Un registre des risques est parfois appelé journal des risques, journal RAID (risques, actions, interrogations et décisions), plan de gestion des risques ou inventaire des risques. Certains utilisent également le terme de matrice des risques. Néanmoins, une matrice des risques, qui indique la priorité d’un danger ainsi que la criticité de l’actif menacé, fait généralement partie d’un registre des risques.

Pourquoi utiliser un registre des risques ?

Les organisations de toute nature, qu’il s’agisse d’agences gouvernementales, de structures à but non lucratif ou de géants mondiaux, ont toujours été confrontées à des menaces.

Aujourd’hui elles sont généralement confrontées à des risques plus nombreux et complexes que leurs homologues du passé. Les dangers actuels pour les entreprises comprennent la volatilité des conditions économiques, l’évolution rapide des mesures géopolitiques, les cybermenaces, la pénurie de talents, les vulnérabilités des tiers et les innovations de rupture.

Par conséquent, les organisations ont besoin d’un moyen systématique de visualiser l’ensemble de leurs risques et de leurs réponses.

Un registre des risques bien construit et bien tenu à jour donne aux dirigeants, aux membres du conseil d’administration, aux auditeurs et aux autres parties prenantes la visibilité dont ils ont besoin sur la situation de l’organisation en matière de risques, et leur donne l’assurance que son plan de gestion des risques permet d’atteindre les objectifs suivants :

• Identifier les principaux risques de l’organisation.
• Évaluer la probabilité et l’impact potentiel de chaque risque.
• Élaborer des réponses qui correspondent à la fois à la propension et la tolérance de l’organisation au risque.
• Affecter les ressources aux efforts de réponse en fonction de la gravité potentielle de chaque risque.
• Attribuer des responsabilités pour chaque risque afin de garantir la responsabilité des mesures de réponse.

En outre, les organisations peuvent utiliser un registre des risques pour suivre les activités de réponse à ceux-ci et les dépenses, ce qui, à son tour, peut aider les dirigeants à identifier les moyens d’améliorer l’efficacité et l’efficience de leurs processus de gestion des risques.

Elles peuvent considérer le registre des risques comme leur dispositif de suivi, relève Sarah Lynn, partenaire du cabinet d’assurance et de conseil BPM. « Il suit chaque risque et ce que vous vous engagez à faire », indique-t-elle, ajoutant que « si vous ne connaissez pas les risques, les gens commettront des erreurs ou feront ce qu’ils pensent être le plus facile à faire ».

D’autre part, certaines organisations sont tenues par les autorités réglementaires de disposer de ce registre. D’autres sont tenues d’en avoir un pour pouvoir faire des affaires avec certains partenaires ou dans certains secteurs d’activité. Par exemple, un fournisseur de services cloud qui souhaite faire des affaires avec le gouvernement fédéral américain doit se conformer au Federal Risk and Authorization Management Program (FedRAMP), qui exige un programme complet de gestion des risques.

Du reste, les investisseurs et les régulateurs exigent souvent des entreprises qu’elles tiennent un registre des risques, qu’ils considèrent comme la preuve d’une stratégie de gestion des risques mature.

En France, le document unique d’évaluation des risques professionnels (DUERP) constitue un registre des risques. Il est obligatoire pour toutes les entreprises, y compris celles avec un seul salarié. À cela s’ajoute notamment le registre de sécurité pour les établissements recevant du public et/ou des travailleurs, voire certains immeubles d’habituation.

Avantages des registres des risques

L’existence d’un registre des risques dans une organisation produit généralement les avantages suivants :

• Visibilité et transparence. Comme indiqué précédemment, un registre des risques fournit une vue d’ensemble des principaux risques auxquels l’organisation est confrontée, ainsi qu’une évaluation de chacun d’entre eux et une réponse planifiée.
• Une hiérarchisation précise des risques et des activités de réponse. Cette vue consolidée des risques de l’entreprise permet aux dirigeants et aux responsables des risques de classer efficacement les dangers et de hiérarchiser les activités de réponse, afin de s’assurer qu’ils allouent le maximum de ressources nécessaires.
• Responsabilité. De même, cette vision globale permet aux dirigeants de s’assurer que chaque risque est attribué à un responsable.
• Amélioration de la prise de décision. Les dirigeants, les parties prenantes et les chefs d’entreprise responsables des risques disposent des informations dont ils ont besoin, pour prendre des décisions plus efficaces et plus rapidement grâce à ce registre que s’ils devaient rechercher et rassembler des informations cloisonnées.
• Alignement et compréhension des risques dans l’ensemble de l’organisation. Les dirigeants, les gestionnaires et les responsables des risques peuvent utiliser le registre pour partager des informations avec les employés à tous les niveaux de l’organisation, en tirant parti de la visibilité offerte pour favoriser l’alignement et l’adhésion.
• Meilleure adhésion aux stratégies de gestion des risques. Cet alignement et cette compréhension conduisent généralement à une meilleure adhésion au programme de gestion des risques de l’organisation, car les gens comprennent la raison d’être des politiques de réduction des dangers et la manière dont elles protègent la structure et les individus.
• Soutien à la conformité réglementaire. De même, cet alignement et cette adhésion se traduisent par une meilleure conformité aux réglementations, et pas seulement aux politiques internes.
• Réduction des coûts du programme de gestion des risques. Le registre aide les organisations à hiérarchiser les risques et les réponses, ce qui leur permet d’être plus efficaces dans leurs dépenses. Par exemple, un registre des risques peut aider une entreprise à déterminer si elle a besoin d’un système d’extinction d’incendie sophistiqué ou simplement de quelques extincteurs pour faire face de manière adéquate à la menace d’incendie.

Défis liés à l’utilisation d’un registre des risques

Bien que les chefs d’entreprise reconnaissent généralement l’importance de disposer d’un registre des risques, nombre d’entre eux éprouvent des difficultés à créer et à utiliser cet outil. Ce n’est pas surprenant, étant donné les multiples défis qui accompagnent l’élaboration et la tenue de ce document.

Le premier défi consiste à identifier les risques qui doivent figurer dans le registre. Il s’agit d’un exercice d’équilibre, car ce document doit donner une vue d’ensemble des risques, sans pour autant s’enliser dans des détails sur toutes les éventualités.

« Le registre des risques sert à classer les risques, à donner une vue d’ensemble et une perspective », explique Caitlin Holmes, directrice générale chez FTI Consulting. « Il ne faut pas faire preuve d’un excès de zèle ».

Une fois les risques identifiés, les dirigeants sont confrontés à un autre défi : évaluer et classer chaque danger en fonction de sa probabilité et de son impact potentiel sur l’organisation.

Un autre grand défi consiste à utiliser réellement le registre des risques. Celui-ci ne doit pas être une activité « check-the-box », ni une liste de points à faire, une fois pour toutes. Il doit plutôt être consulté, intégré au programme de gestion des risques et mis à jour au fur et à mesure des activités et de l’évolution des dangers. Si ce n’est pas le cas, l’investissement dans l’élaboration du registre pourrait être gaspillé.

« Il ne faut pas que le registre des risques se résume à une liste de contrôle des mesures prises. Cela n’a aucun sens », relève Martin Grace. « Son objectif n’a pas de sens s’il n’y a pas de phase de suivi, s’il n’est pas activement revu tous les mois ou tous les trimestres. »

Que contient un registre des risques ?

Il existe de nombreux modèles de registres des risques et de nombreux logiciels d’entreprise (en particulier ceux destinés à la gouvernance, au risque et à la conformité) comportent des éléments de registre des risques. Ces documents contiennent généralement des champs pour les informations suivantes :

1. Le risque lui-même, y compris un identifiant unique tel qu’un nom ou un code.
2. Une description du risque, avec des détails concis à l’appui.
3. La catégorie du risque (par exemple, stratégique, opérationnel, processus, financier, technique, etc.).
4. La probabilité de survenance du risque.
5. Des informations sur l’impact du risque, s’il se produit.
6. Les détails sur la criticité de l’actif affecté par le risque.
7. Un classement des priorités, pour comprendre dans quel délai un risque doit être traité.
8. Un score de risque, qui est souvent indiqué numériquement sur une échelle de 1 à 3 ou de 1 à 5, ou parfois sous la forme rouge-jaune-vert.
9. Un plan de réponse sur l’acceptation, le transfert, l’atténuation ou l’élimination du risque et un résumé de la manière d’accomplir la réponse prévue.
10. Un responsable de chaque risque.
11. Des rapports de situation.
12. Un espace réservé à l’enregistrement de toute autre information pertinente.

« Enfin, il est important de savoir combien de temps et d’argent sont consacrés à chaque risque », ajoute Martin Grace.

Comment créer un registre

La rédaction d’un registre des risques efficace est un effort de collaboration dans toutes les entreprises, à l’exception des plus petites. Elle doit impliquer les dirigeants, les professionnels du risque et, dans certains cas, les responsables opérationnels, voire les travailleurs de première ligne.

À un niveau élevé, ces équipes devraient prendre les mesures suivantes :

1. Déterminer si le registre concerne l’ensemble de l’organisation, un département spécifique ou un projet particulier.
2. Identifier, décrire et classer les dangers.
3. Évaluer chaque risque en fonction de sa probabilité d’occurrence et de sa gravité potentielle.
4. Attribuer une note à chaque risque.
5. Classer les dangers par ordre de priorité en fonction de leur probabilité et de leur impact afin de se concentrer sur les plus critiques.
6. Élaborer un plan de réponse pour chaque risque.
7. Attribuer un responsable à chaque risque.
8. Désigner une personne en charge du registre général des risques, afin de s’assurer que celui-ci est utilisé pour informer les activités de gestion des risques et qu’il soit mis à jour de manière continue.

Conclusion

Le registre des risques est un élément clé d’une stratégie de gestion réussie, à condition qu’il soit considéré comme un document évolutif qui change aussi souvent que les risques, de sorte à guider efficacement les dirigeants de l’organisation.

Lorsqu’il est utilisé dans le cadre d’un programme spécifique, il se révèle très utile, car il permet aux dirigeants d’anticiper les risques tout en minimisant le coût de cette anticipation. Cela contribue à la réussite de l’organisation, même si elle est confrontée à des risques nombreux et complexes évoluant constamment. 

« Un registre des risques donne une vue d’ensemble de la situation de l’organisation en matière de risques », souligne Caitlin Holmes, « et permet aux dirigeants d’être plus proactifs dans leur gestion, ce qui signifie qu’ils devront utiliser moins de ressources pour y faire face, tout en gagnant en efficacité. »