La notion de risque d’entreprise
Chapitre 2 : Identification et classification des risques d’entreprise
2.1) La notion de « risque »
Plusieurs définitions du risque peuvent être retenues.
L’IIA (Institute of Internal Auditors) propose « Possibilité qu’il se produise un événement susceptible d’avoir un impact sur la réalisation des objectifs. Le risque se mesure en termes de conséquences et de probabilité ».
Un groupe de travail de l’IFACI a retenu comme définition du risque « Evénement, action, situation, comportement affectant la réalisation des objectifs de l’organisation ».
Les principales causes de risque sont étroitement liées. Ces causes sont le caractère aléatoire des événements, le caractère imparfait ou incomplet de nos connaissances et un contrôle insuffisant.
Le caractère aléatoire des événements inclut les différences naturelles (pratiquement tous les objets et tous les événements sont uniques, la nature se répète rarement de façon tout à fait identique) et le hasard.
De plus, lorsqu’il existe des données historiques, la fréquence des événements passés ne peut donner qu’une idée approximative de la probabilité future pour l’ensemble de la population concernée.
Le caractère imparfait ou incomplet de nos connaissances vise notamment le manque ou l’absence de données et d’informations fiables ou complètes, une connaissance imparfaite des processus sous-jacents qui sont à l’origine des risques ou des dangers, et le manque de précision des évaluations ou des observations et les petites erreurs qui en découlent, qui peuvent affecter les valeurs prévues, et ce à une date qui n’est pas toujours prévisible (« effet papillon ») .
En outre, les êtres humains sont conscients de leurs actes et peuvent modifier leur comportement s’ils en décident ainsi, parfois par simple caprice ou par dépit.
De même que les contraintes que nous subissons en termes de ressources et de temps limitent nos capacités à acquérir des informations et à améliorer la compréhension que nous en avons.
Enfin, nos capacités intellectuelles sont également limitées et nous ne pouvons gérer qu’un nombre relativement restreint de facteurs ou de variables (même si nous nous efforçons d’être rationnels, cette rationalité comporte toujours des limites) .
L’absence de contrôle ou le contrôle limité que nous pouvons exercer sur les événements est une source permanente de risques. Nous n’avons jamais la maîtrise entière des événements. Il existe toujours des facteurs dont nous n’avons pas la maîtrise.
L’un des paradoxes liés au risque réside dans le fait qu’il est simple en théorie, mais qu’il survient en pratique dans des conditions d’une complexité considérable. Le risque fait l’objet de nombreux débats théoriques et deux conceptions s’affrontent : la conception officielle
« objective » ou statistique du risque, selon laquelle le risque peut être quantifié, voire accepté en fonction de normes fixées et approuvées de façon rationnelle et une conception du risque qui repose sur sa perception quotidienne, qui est multidimensionnelle, qualitative et conditionnée par des facteurs sociaux.
- Conception objective ou statistique du risque
La conception « objective » du risque est probablement la plus connue. Elle sert de support à la plupart des définitions officielles du risque.
Selon les Normes de l’IIA, le risque est défini de la façon suivante : « la probabilité qu’un événement ou une action puisse avoir des conséquences néfastes sur l’activité ». On dénombre quatre principales composantes :
- L’existence d’un risque potentiel, d’un danger ou d’une menace
- La probabilité qu’un ou plusieurs événement(s) ou condition(s) non voulus se réalisent
- Les conséquences ou l’impact de ces événements ou conditions sur l’entreprise
- Et l’exposition aux risques qui est généralement définie comme le produit de la probabilité que ces événements ou conditions se réalisent par leur impact potentiel (c’est-à-dire comme le produit impact x probabilité) .
Les risques sont dits quantifiables si des valeurs numériques appropriées peuvent être affectées à la probabilité que des conditions ou événements non voulus se réalisent (généralement exprimée sous la forme d’un coefficient compris entre 0,01 et 0,99) et à leur impact potentiel sur l’entreprise exprimé sous une forme numérique (généralement une valeur monétaire, bien qu’il puisse s’agir aussi d’une valeur représentant les délais ou le non respect des normes de qualité …etc) .
Il est possible d’attribuer une valeur numérique à un risque. Par exemple, si le coût potentiel de l’impact s ‘élève à 10 000 euros et si la probabilité que les conditions ou les événements se réalisent est de 10 %, l’exposition aux risques est de 1 000 euros (soit 10 000 euros x 0,10) .
Le concept objectif de risque repose sur la théorie de la probabilité, par laquelle il est fortement influencé.
Un seul risque, qui paraît si simple en théorie, résulte en pratique d’un phénomène complexe d’interaction entre deux variables, la prévision (moyenne) et les écarts (variance) , qui représentent les incertitudes que comporte l’exposition au risque.
En outre, on se trouvera généralement en présence de nombreux risques qui interagissent les uns avec les autres de différentes manières, et le cours que prendront les événements dépendra non seulement de la question de savoir si ces risques vont se matérialiser, mais aussi dans quel ordre et quand.
Et tout ceci suppose en premier lieu que le risque puisse être quantifié avec précision.
- La perception du risque ou la conception subjective
Il existe une conception radicalement différente du risque, fondée sur l’étude de la perception du risque. Le risque est perçu comme un élément « multidimensionnel par nature ». Il ne peut se réduire à une simple mesure, ou au produit mathématique des probabilités et des conséquences d’un événement.
Chaque risque donné revêt une signification différente pour différentes personnes, dans des contextes différents. Les différentes manières dont les personnes perçoivent le risque sont toutes valables en soi. Elles sont la résultante d’un large éventail de facteurs psychologiques, culturels et sociaux, parmi lesquels on peut citer :
- Le contrôle : les gens sont plus enclins à accepter les risques « naturels », ou les risques qu’ils s’imposent à eux-mêmes, que ceux qui leur sont imposés, par exemple, par la technologie moderne.
- La crainte ou l’ampleur de l’impact : la peur des risques catastrophiques ou exceptionnels est plus importante que la peur de risques comparables dont l’impact est moins important à l’origine mais qui durent dans le temps de telle sorte que leur effet cumulé est identique.
- L’habitude du risque : les gens sont plus enclins à accepter les risques dont ils ont l’habitude que les risques nouveaux.
- L’échéance : les risques immédiats ou à court terme sont plus facilement acceptables que ceux dont les conséquences sont différées, en particulier si leur incidence pour les générations futures n’est guère prévisible.
- L’amplification des craintes : les craintes peuvent être accrues en raison d’une couverture médiatique, de l’activité des groupes de pression et de la description donnée des événements, ou réduites en cas d’austérité économique.
- La confiance est un facteur clé de la façon dont les événements sont perçus par le public. Lorsque les personnes impliquées sont perçues comme étant ouvertes et responsables, elles ont plus de chances d’être crédibles aux yeux du public.
La façon dont les gens perçoivent les risques et les dangers auxquels ils sont confrontés s’explique, au moins en partie, par des schémas et des processus sociaux et institutionnels qui déterminent leur perception du monde. On peut dire, en ce sens, que la perception du risque est conditionnée par des facteurs sociaux.
La perception du risque et du seuil de tolérance du risque est fonction non seulement des jugements portés sur les caractéristiques et les conséquences concrètes d’une activité, mais aussi de facteurs sociaux et de facteurs plus généraux liés à l’entreprise, tels que la crédibilité et la fiabilité de management des risques et des instances réglementaires.
Bien que le seul moyen de comparer des risques différents soit de les quantifier, il n’est pas possible d‘établir une séparation claire et nette entre la conception « objective » et la conception « subjective » du risque.
Les conséquences concrètes des risques, telles que les décès, les blessures, et les dommages causés à l’environnement, sont des faits objectifs. Leur évaluation, en revanche, comporte toujours une part de subjectivité car elle implique l’exercice d’un jugement et la prise en compte de valeurs humaines.
Il est impossible de procéder à une évaluation des risques totalement objective, exempte de tout élément tel que jugement ou valeur. Ces éléments sont inhérents, et indispensables, à toute forme d’évaluation des risques.
Toute évaluation des risques est conditionnelle par nature. En pratique, ce type d’évaluation résulte souvent de la combinaison de divers éléments tels que méthodes scientifiques, valeurs et jugements, à propos desquels il n’existe pas forcément de réponse manifestement juste ou fausse.
La distinction entre le risque « réel » ou « objectif » et le risque « perçu » ou « subjectif » se résume souvent, en pratique, à l’opposition de deux types de perceptions différentes, celles des scientifiques et d’autres spécialistes opérant dans leur domaine de compétences d’une part, et celles des non-spécialistes et du public en général d’autre part.
Le bon équilibre entre la conception « objective » et la conception « subjective » du risque varie selon les risques concernés. Dans certains domaines où il existe un consensus sur les valeurs humaines en cause et où les méthodes scientifiques sous-jacentes sont bien établies, l’approche dite « objective » peut être aisément appliquée.
Par exemple, les connaissances en ingénierie sont suffisamment solides pour permettre de prévoir avec un niveau de confiance très élevé qu’un pont comportant une route est sûr.
Dans bien des domaines, y compris dans celui des théories de gestion et d’organisation des entreprises, les connaissances précises qui sont nécessaires pour être réellement objectif ne sont pas toujours disponibles.
Notre connaissance et notre compréhension des variables complexes qui caractérisent bien des situations sont souvent insuffisantes pour nous permettre d’en prévoir l’issue avec un quelconque degré de certitude. Il peut aussi exister des avis divergents quant aux valeurs relatives qu’il convient d’appliquer.
Dans ce genre de situation, il peut être opportun de tenir compte des perceptions et des avis personnels lors des prises de décision concernant la gestion de ces situations à risques.
