Une panne récurrente, un fournisseur défaillant ou une non-conformité documentaire ne deviennent pas des risques lorsqu’ils surviennent. Ils étaient déjà présents, mais sans visibilité, responsable désigné ni décision formalisée. Cet exemple de procédure de gestion des risques fournit une base opérationnelle pour transformer des signaux dispersés en actions pilotées.
Pour une PME industrielle, un service maintenance, une équipe qualité ou un responsable d’exploitation, la procédure ne doit pas produire un registre que personne ne consulte. Elle doit aider à arbitrer les priorités, protéger les objectifs de production et démontrer que les contrôles sont suivis. Sa valeur se mesure dans les décisions prises avant l’incident, pas dans le volume de tableaux créés après.
Finalité et périmètre de la procédure
La procédure de gestion des risques définit la manière dont l’organisation identifie, analyse, traite et surveille les événements susceptibles d’empêcher l’atteinte de ses objectifs. Elle s’applique aux activités, processus, équipements, projets, fournisseurs et obligations réglementaires concernés par le périmètre de management retenu.
Dans un atelier de production, ce périmètre peut couvrir la disponibilité des équipements critiques, la sécurité des intervenants, la qualité des produits, les stocks de pièces de rechange et la continuité des approvisionnements. Dans une fonction support, il peut inclure la fiabilité des données, la conservation des documents, la continuité informatique ou la conformité des prestataires.
Le bon niveau de détail dépend de l’usage. Une procédure trop générale laisse chaque responsable interpréter les critères à sa manière. Une procédure trop lourde ralentit les équipes et favorise une mise à jour annuelle purement administrative. L’objectif est d’obtenir un dispositif proportionné aux conséquences possibles et à la maturité de l’organisation.
Exemple de procédure de gestion des risques
Le texte ci-dessous peut être intégré à un système de management, puis adapté aux rôles, seuils et outils internes.
1. Identifier les risques et les opportunités
Chaque responsable de processus identifie les risques liés à son activité lors de la revue périodique du processus, d’un changement significatif, d’un incident, d’un audit ou du lancement d’un projet. Les informations utilisées comprennent notamment les historiques de panne, réclamations clients, écarts qualité, résultats d’inspection, indicateurs de performance, analyses fournisseurs et remontées du personnel.
Un risque doit être décrit de façon exploitable. Au lieu d’écrire « panne machine », il est préférable de préciser : « Défaillance du motoréducteur de la ligne A entraînant un arrêt de production supérieur à huit heures, en raison de l’absence de surveillance vibratoire et de pièce de rechange disponible. » Cette formulation fait apparaître la source, l’événement et la conséquence.
L’identification doit aussi prendre en compte les opportunités. La mise en place d’une maintenance conditionnelle, par exemple, peut réduire le risque d’arrêt non planifié tout en améliorant la disponibilité des actifs. L’opportunité n’efface pas le risque, mais elle peut orienter le choix du traitement.
2. Évaluer le niveau de risque
Chaque risque identifié est évalué selon deux critères : sa probabilité d’occurrence et son impact sur les objectifs de l’organisation. Une échelle de 1 à 5 est généralement suffisante, à condition que chaque niveau soit défini.
Une probabilité de 1 peut correspondre à un événement exceptionnel, tandis qu’un niveau 5 désigne un événement attendu ou fréquent. Pour l’impact, le niveau 1 peut représenter une perturbation sans effet mesurable, et le niveau 5 un arrêt prolongé, un accident grave, une non-conformité réglementaire majeure ou une perte client significative.
Le niveau de risque initial est calculé en multipliant la probabilité par l’impact. Ainsi, un risque évalué à 4 en probabilité et 5 en impact obtient un score de 20. L’organisation définit ensuite ses seuils de décision. À titre d’exemple, un score de 1 à 5 peut être acceptable sous surveillance, de 6 à 12 nécessite une action planifiée, et de 15 à 25 impose une action prioritaire avec validation du management.
La cotation seule ne remplace pas le jugement professionnel. Un risque réglementaire à faible fréquence peut exiger un traitement immédiat même si son score apparent est modéré. De même, plusieurs risques moyens affectant le même équipement ou fournisseur peuvent former une exposition globale élevée.
3. Définir le traitement et le responsable
Pour chaque risque non acceptable, le responsable de processus propose une réponse : éviter le risque, réduire sa probabilité, limiter son impact, transférer une partie de l’exposition ou accepter le risque avec une justification formelle. L’acceptation ne signifie pas l’inaction. Elle signifie que le niveau résiduel est connu, assumé et surveillé.
Le plan de traitement indique l’action décidée, le pilote, les ressources nécessaires, l’échéance, l’indicateur de suivi et le niveau de risque attendu après action. Sans ces éléments, le registre de risques devient une liste de préoccupations sans mécanisme de contrôle.
Dans le cas du motoréducteur de la ligne A, le plan pourrait prévoir l’installation d’un contrôle vibratoire mensuel, la constitution d’un stock minimal de pièce critique et la révision du plan de maintenance préventive. Le responsable maintenance pilote les actions. Le responsable production valide que les fenêtres d’intervention sont compatibles avec le planning. Le score résiduel attendu est ensuite réévalué.
4. Enregistrer les informations dans le registre des risques
Tous les risques évalués sont consignés dans un registre unique ou dans des registres reliés par processus. Le format doit rester lisible pour les opérationnels et exploitable lors d’un audit ou d’une revue de direction.
Le registre contient au minimum les informations suivantes :
- le processus, l’activité ou l’actif concerné ;
- la description de la cause, de l’événement et de la conséquence ;
- les contrôles déjà en place ;
- les scores de probabilité, d’impact et de criticité initiale ;
- la décision de traitement, les actions, le pilote et l’échéance ;
- le risque résiduel, le statut et la date de dernière revue.
Rôles, validation et escalade
Le responsable de processus est propriétaire des risques de son périmètre. Il s’assure que les évaluations sont actualisées, que les actions sont engagées et que les retards sont signalés. Les pilotes d’action réalisent les mesures décidées et apportent les preuves de réalisation.
La fonction qualité, QHSE, contrôle interne ou gestion des risques peut animer la méthode, vérifier la cohérence des cotations et consolider les risques transversaux. Elle ne doit toutefois pas devenir propriétaire de tous les risques opérationnels. La maîtrise reste au plus près de l’activité concernée.
Le management valide les risques majeurs, les acceptations au-delà du seuil autorisé et les arbitrages nécessitant des ressources importantes. Un risque critique dont l’action est en retard, dont le niveau augmente ou dont les contrôles échouent doit être escaladé sans attendre la prochaine revue programmée.
Revoir les risques au rythme de l’exploitation
Une fréquence trimestrielle convient souvent aux processus stables. Les activités exposées à des changements fréquents, à des incidents répétitifs ou à des contraintes réglementaires fortes peuvent nécessiter une revue mensuelle. La procédure doit également imposer une révision après un accident, une panne majeure, une modification d’équipement, un changement de fournisseur critique ou un constat d’audit significatif.
La revue ne consiste pas à reconduire les scores précédents. Elle vérifie l’efficacité des actions, les dates échues, les indicateurs associés et l’apparition de nouveaux scénarios. Si la pièce de rechange est désormais disponible mais que les interventions préventives ne sont pas réalisées, le risque n’est pas maîtrisé : sa source a seulement changé.
Les indicateurs peuvent inclure le nombre de risques critiques ouverts, le taux d’actions clôturées dans les délais, les incidents liés à des risques connus et la part des risques réévalués à la fréquence prévue. Ils servent à mesurer la discipline de pilotage, non à masquer les problèmes. Une baisse artificielle du nombre de risques déclarés est rarement un signe de progrès.
Les erreurs qui affaiblissent la procédure
La première erreur consiste à confondre risque et incident. Un incident est un fait survenu ; il doit alimenter l’analyse des risques, mais ne remplace pas la prévention. La seconde consiste à utiliser des critères vagues, tels que « faible » ou « élevé », sans définition partagée. Deux responsables peuvent alors attribuer des scores opposés au même événement.
Une autre faiblesse fréquente est l’absence de date ou de pilote. Une action sans responsable nommé reste disponible pour tout le monde, donc réellement prise en charge par personne. Enfin, un registre non relié aux processus de maintenance, d’audit, d’achat ou de revue de direction perd rapidement sa fonction de pilotage.
Une procédure efficace tient dans un document clair, soutenu par un registre rigoureux et des revues régulières. Pour accélérer sa mise en place, un modèle structuré comme ceux proposés par EKO INDUSTRIALS peut fournir le cadre documentaire initial, à condition de l’adapter aux risques réels, aux responsabilités et aux seuils de votre organisation.
Le point de départ le plus utile est souvent simple : choisissez un processus critique, formalisez ses cinq principaux risques, attribuez un pilote et vérifiez les actions à la prochaine réunion opérationnelle. La procédure prend alors sa vraie place : un outil de contrôle qui aide les équipes à agir avant que la performance ne se dégrade.