Matrice des risques : comment construire, noter et lire une grille 5x5
Une matrice des risques place les risques selon leur probabilité et leur impact. Apprenez à construire et noter une grille 5x5, à définir l'appétence au risque et à éviter les pièges connus.
Une matrice des risques, ou carte de chaleur des risques, est une grille colorée qui place chaque risque selon sa probabilité et l'ampleur des dégâts qu'il causerait. Une probabilité élevée et un impact élevé se trouvent dans le coin rouge, une probabilité faible et un impact faible dans le coin vert. Les dirigeants s'en servent pour voir d'un coup d'œil où concentrer leur attention.
C'est l'un des outils les plus courants de la gestion des risques, et l'un des plus faciles à mal utiliser. Ce guide montre comment construire une matrice des risques 5x5, comment la noter et la colorer, comment y faire figurer l'appétence au risque, et ce que dit la recherche sur ses limites.
Comment fonctionne une matrice des risques 5x5
La grille comporte cinq niveaux de probabilité sur un axe et cinq niveaux d'impact sur l'autre, soit 25 cases.
Une façon courante d'obtenir un score consiste à multiplier les deux notes. Un risque noté Probable (4) et Majeur (4) obtient 16. Les scores vont de 1 à 25.
Les couleurs regroupent ensuite les scores en niveaux d'action. Ces seuils sont un point de départ courant, pas une norme. Fixez les vôtres.
| Score | Niveau | Couleur | Réponse type |
|---|---|---|---|
| 1 à 4 | Faible | Vert | Surveiller lors des revues régulières |
| 5 à 12 | Moyen | Jaune | Désigner un responsable et un plan d'atténuation |
| 15 à 25 | Élevé | Rouge | Alerter la direction et agir immédiatement |
Nous n'avons trouvé aucune norme qui impose ces couleurs. Les recommandations du COSO sur l'évaluation des risques nomment des niveaux plutôt que des couleurs, et le feu tricolore est simplement la convention familière.
Comment créer une matrice des risques en 6 étapes
- Définissez le périmètre et l'horizon temporel. « Probable » ne veut rien dire tant que vous n'avez pas précisé sur quelle période, par exemple les 12 prochains mois.
- Listez les risques. Décrivez chacun comme un événement et sa conséquence, par exemple « le fournisseur clé fait défaut, ce qui retarde la livraison d'un trimestre ».
- Définissez chaque niveau en termes simples. Par exemple, Probable pourrait signifier une probabilité de 60 à 80 % et Majeur une perte supérieure à un montant fixé. Ce sont des exemples : choisissez des fourchettes adaptées à votre organisation.
- Notez les risques ensemble. Les différentes fonctions ne seront pas d'accord, et cette discussion est souvent la partie la plus utile.
- Placez les risques et colorez la grille, puis nommez un responsable pour chaque risque situé au-dessus de votre seuil d'action.
- Fixez une date de revue. Une carte mise à jour une seule fois par an finit par ne plus décrire la réalité.
Exemple pratique
Ces risques sont fictifs, à titre d'illustration.
| Risque | Probabilité | Impact | Score | Niveau |
|---|---|---|---|---|
| Un ingénieur clé part | Probable (4) | Majeur (4) | 16 | Élevé |
| Le principal fournisseur augmente ses prix | Possible (3) | Modéré (3) | 9 | Moyen |
| Nouvelle réglementation sur un marché | Improbable (2) | Majeur (4) | 8 | Moyen |
| Le bail des bureaux n'est pas renouvelé | Rare (1) | Mineur (2) | 2 | Faible |
Risque inhérent et risque résiduel
Le risque inhérent est la note avant toute mesure de maîtrise. Le risque résiduel est la note après ces mesures. Une carte qui mélange les deux compare des choses différentes. Choisissez-en un pour la vue principale, ou tracez une flèche de la position inhérente de chaque risque vers sa position résiduelle pour montrer ce qu'apporte l'atténuation.
Comment montrer l'appétence au risque sur une matrice des risques
L'appétence au risque est la quantité de risque qu'une organisation accepte de prendre pour atteindre ses objectifs. Sur une carte de chaleur, elle détermine l'emplacement des limites entre couleurs.
Le document COSO Risk Assessment in Practice explique que les limites des niveaux se déplacent avec l'appétence : plus d'appétence les décale vers le coin supérieur droit, plus de prudence vers le coin inférieur gauche. Il précise aussi que les limites peuvent être asymétriques et donner plus de poids à l'impact qu'à la probabilité.
Un même risque peut donc être rouge pour une organisation et jaune pour une autre. Convenez des limites au niveau de la direction ou du conseil d'administration avant de placer quoi que ce soit, afin que personne ne les déplace pour s'adapter à un résultat.
Le COSO décrit aussi l'ajout d'une variable supplémentaire, par exemple la taille des points pour montrer la vitesse à laquelle un risque pourrait se manifester.
Matrice des risques 3x3 ou 5x5
| 3x3 | 5x5 | |
|---|---|---|
| Cases | 9 | 25 |
| Idéale pour | Petites équipes, premier passage rapide | Listes de risques plus longues, reporting régulier |
| Point fort | Rapide et simple | Distingue plus finement les risques |
| Point faible | La plupart des risques se tassent au milieu | Peut suggérer une précision que vous n'avez pas |
Commencez par la grille la plus simple qui change encore les décisions. Davantage de cases n'aide que si les gens peuvent honnêtement distinguer les niveaux.
Ce que dit la recherche sur les limites des cartes de chaleur
La critique la plus connue est l'article de Tony Cox de 2008, « What's Wrong with Risk Matrices? », paru dans la revue Risk Analysis. Il constate que les matrices classiques ne peuvent comparer correctement et sans ambiguïté que moins de 10 % des paires de risques tirées au hasard, et qu'elles peuvent attribuer des notes plus élevées à des risques quantitativement plus faibles. Sa conclusion n'est pas de les abandonner, mais de les utiliser avec prudence et des explications soignées.
Des travaux plus récents vont plus loin. Une revue de 2021 par Krisper recense 24 problèmes et plaide pour des méthodes quantitatives, et Douglas Hubbard est un critique de premier plan des méthodes de notation en général.
Quatre limites comptent le plus en pratique.
Inversion des risques
Voici une illustration que nous avons construite. Le risque X a 20 % de chances d'entraîner une perte de 500 000 EUR, soit une perte attendue de 100 000 EUR. Le risque Y a 80 % de chances d'entraîner une perte de 50 000 EUR, soit une perte attendue de 40 000 EUR.
| Risque | Probabilité | Impact | Score | Perte attendue (EUR) |
|---|---|---|---|---|
| X | Improbable (2) | Majeur (4) | 8 | 100 000 |
| Y | Probable (4) | Modéré (3) | 12 | 40 000 |
Sur cette échelle, la matrice classe Y au-dessus de X, alors que X a une perte attendue plus de deux fois supérieure. La grille a inversé l'ordre.
Compression des écarts
Chaque case couvre une large plage. Une perte de 300 000 EUR et une perte de 3 millions d'EUR peuvent se retrouver dans la même colonne d'impact et sembler identiques.
Arithmétique trompeuse
Les nombres 1 à 5 sont des étiquettes de catégories ordonnées, pas des mesures. Le COSO relève qu'ils ne se prêtent pas aux opérations mathématiques, même si certaines organisations les multiplient pour un classement préliminaire. Utilisez les scores pour trier une liste, pas pour affirmer qu'un risque vaut exactement le double d'un autre.
Notes statiques et subjectives
Les notes reflètent le jugement des personnes présentes dans la salle ce jour-là. Calibrez-les avec des définitions partagées et mettez-les à jour dès que quelque chose change, plutôt que d'attendre le cycle annuel.
Comment prendre de meilleures décisions avec votre matrice des risques
- Examinez de près la zone jaune. Ces risques sont les plus susceptibles d'être mal gérés, car la couleur suggère qu'il n'y a pas d'urgence.
- Utilisez des fourchettes pour vos plus grands risques. Une fourchette comme 200 000 EUR à 800 000 EUR en dit plus qu'un seul niveau d'impact.
- Considérez les égalités comme une invitation à discuter, pas comme un résultat.
- Pour les principaux risques, estimez en argent le coût et le bénéfice de l'atténuation, car une couleur seule ne vous dit pas combien dépenser.
Matrice des risques et registre des risques
| Matrice des risques | Registre des risques | |
|---|---|---|
| Objectif | Montre où regarder | Consigne quoi faire |
| Format | Grille visuelle | Tableau détaillé |
| Contenu | Position et niveau | Description, score, responsable, actions, dates |
| Public | Conseils d'administration et direction | Responsables de risques et managers |
Il vous faut les deux. Construisez d'abord le registre et laissez-le alimenter la carte. Voir comment construire un registre des risques efficace.
Comment suivre les risques dans Aitraxus
Dans la Gestion des risques d'Aitraxus, vous ajoutez chaque risque avec une catégorie, une probabilité et un impact, et le score et le niveau sont calculés pour vous. Les risques sont triés avec le score le plus élevé en premier. Chacun a un responsable et un statut, les actions d'atténuation ont des responsables et des échéances, les actions en retard sont signalées en rouge, et les scores résiduels montrent de combien une action réduit le risque.
Pour approfondir, lisez comment gérer les risques stratégiques et notre guide des logiciels de reporting pour conseil d'administration.
Sources
- Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
- COSO, Risk Assessment in Practice, 2012
- Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint
Questions fréquentes
Qu'est-ce qu'une matrice des risques ou carte de chaleur des risques ?
C'est une grille colorée qui place les risques selon leur probabilité et leur impact, afin que les dirigeants voient rapidement quels risques demandent le plus d'attention.
Quelle est la différence entre une matrice des risques et une carte de chaleur ?
Les deux termes sont souvent utilisés indifféremment. Une matrice des risques est la grille des niveaux de probabilité et d'impact, et une carte de chaleur est cette grille affichée avec des couleurs et les risques placés dessus.
Comment calcule-t-on un score de risque 5x5 ?
Notez la probabilité de 1 à 5 et l'impact de 1 à 5, puis multipliez-les pour obtenir un score de 1 à 25. Utilisez le résultat pour trier et regrouper les risques plutôt que comme une mesure précise.
Quel score correspond à un risque élevé sur une matrice 5x5 ?
Cela dépend de votre appétence au risque. Un point de départ courant considère 15 à 25 comme élevé, 5 à 12 comme moyen et 1 à 4 comme faible.
Que signifient les couleurs d'une carte de chaleur des risques ?
En général, le vert désigne un risque faible à surveiller, le jaune un risque moyen qui nécessite un responsable et un plan, et le rouge un risque élevé qui exige une action et une remontée à la direction.
À quelle fréquence faut-il mettre à jour une matrice des risques ?
Révisez-la selon un cycle régulier, par exemple chaque trimestre, et chaque fois qu'un événement important survient. Les principaux risques méritent une attention plus fréquente.
Pourquoi les matrices des risques sont-elles critiquées ?
La recherche montre qu'elles peuvent noter des risques plus faibles au-dessus de risques plus grands, regrouper des risques très différents et reposer sur des notes subjectives. Elles sont utiles pour hiérarchiser la discussion, mais faibles comme base de décisions précises.
Essayez Aitraxus gratuitement et ouvrez le projet de démonstration ACME pour voir un registre de risques noté.