Appliquée au management du changement, l’analyse des risques vise à identifier, évaluer et anticiper les événements ou facteurs susceptibles de compromettre une démarche de changement.
Un CMO ou Change Manager effectue une analyse des risques pour anticiper les obstacles potentiels au changement. Cela permet de développer des plans de protection, d'ajuster la démarche et de garantir une gestion plus sûre de la transformation.
L'analyse des risques est avant tout une démarche volontaire du manager du changement qui peut se composer en trois grandes actions :
Une analyse des risques conduit plus précisément à :
- identifier et lister les risques liés au projet de changement ;
- organiser ces risques par criticité
- regrouper tous ces risques dans un registre unique des risques et les documenter;
- réfléchir avec les parties prenantes à la manière de gérer activement ces risques ;
- suivre la gestion active de ces risques.
Etape 1 : identifier et lister les risques liés au projet de changement
Cette identification peut être réalisée avec l’aide de parties prenantes lors d’ateliers ou d’entretiens exploratoires, avec l'aide de brainstormings, de cartes de pensées ou cartes mentales, de jeux de post-its qui peuvent aider à lister le plus complètement possible la multitude de risques imaginables.
L’identification des risques est cependant vite vécue par les acteurs du changement comme un exercice long, pénible et déprimant. Nous ne pouvons que plaider cependant pour une identification la plus complète possible au moins au début de la réflexion.
Il est important de ne pas trier ou sélectionner pendant la collecte, elle-même, les risques jugés importants ou inintéressants.
Il est enfin possible d’utiliser des grilles d’analyse des risques plus thématiques, plus pragmatiques qui pourront parler plus directement aux opérationnels, aux managers ou aux décideurs :
- Pour les risques opérationnels : analyses 8F
- Pour les risques managériaux internes : grille 5M
- Pour les risques managériaux globaux : PESTEL
- Pour les risques stratégiques : grille VUCAL
Etape 2 : qualifier et prioriser ces risques par criticité
L'analyse des risques permet de classer les risques selon leur probabilité d’occurrence et leur impact potentiel (humain, organisationnel, technique, réputationnel…).
Elle repose sur des outils comme les grilles de criticité, les matrices de risques.
Elle est menée avec les parties prenantes concernées pour renforcer la vigilance collective et bâtir des parades adaptées.
Elle constitue un outil de pilotage préventif, qui favorise l’agilité et la résilience du changement. Elle permet l’identification des dangers et ouvre la réflexion à des actions de mitigation.
 |
| Exemple de calcul de criticité |
L'enjeu est de faire émerger au moins trois catégories
- Risques acceptables : on intègre un point de vigilance dans le suivi de la démarche
- Risques critiques : on intègre une gestion volontaire de ce risque dans la démarche
- Risques inacceptables : on refuse ce risque, on change la démarche ou on l’abandonne
Pour classer les risques dans ces trois logiques nous pouvons tout d’abord en évaluer la criticité et les analyser en revue des risques avec le demandeur.
Dans cette évaluation de la criticité nous pouvons tenir compte de différents facteurs d’aggravation :
- Importance : étendue des dégâts possibles.
- Fréquence : nombre total d’exposition à ce risque.
- Probabilité : nombre de chances que cela tourne mal lors de chaque exposition.
- Acceptabilité : humaine, technique, économique des conséquences du risque.
- Réversibilité : possibilité de retour à la situation précédant l’opération risquée.
- Prévisibilité : par les acteurs de l’imminence du danger.
- Maîtrise : capacité d’agir pour mettre fin à l’exposition en cas de danger.
Ce qui permet de classer les risques dans des échelles de criticité encore plus précises de type :
Risque "Mortel / Létal"- Expose directement à un danger mortel
- Risque de destructions d’équipements vitaux
- Rends définitivement inacceptable le coût du changement on renonce définitivement
Risque "Extrême"
- Mets en danger le fonctionnement de l’entreprise
- Conduit à des dégâts irrécupérables
- Rends difficilement acceptable le coût du changement, on arrête le projet
Risque "Critique"
- Expose à des lésions graves et définitives
- Peut conduire à l’arrêt durable de fonctions techniques critiques, peut conduire à la faillite
- On repart sur un autre cahier des charges
Risque "Majeur"
- Mets temporairement en danger le fonctionnement global de l’entreprise
- Conduit à des dégâts irrécupérables et à la remise en cause du changement
- Rends difficilement acceptable le coût du changement, on présente une alternative
Risque "Marqué"
- Mets en danger une partie du fonctionnement normal
- Conduit à des dégâts rendant le changement inintéressant, augmente le coût du changement
- On présente une alternative ou une couverture du risque
Risque "Limité"
- Mets en danger un périmètre circonscrit
- Conduit à des dégâts chiffrables
- À intégrer dans le coût du changement avec une couverture du risque
Risque "Modéré"
- Peut perturber, mais ne pas arrêter le fonctionnement
- Conduit à des dégâts ponctuels et récupérables
- On présente un moyen de gestion de ce risque
Risque "Mineur"
- Peut perturber le dispositif, mais pas le fonctionnement
- Peut impliquer des délais
- On prépare un système de gestion de ce risque
Risque "Négligeable"
- Traces sans conséquences
- Effet très indirect, non perceptible
- Suivi avec des points de vigilance
Etape 3 : regrouper ces risques dans un registre unique et les documenter
Il s’agit alors de regrouper ces risques dans un document unique que ce soit un document texte ou un tableau que nous nous appellerons « le registre des risques » de la démarche.
- Regrouper tout dans un seul endroit
- Donner une identification unique par risque un numéro de référence par exemple
- D’y accéder ensuite facilement pour en faire le suivi et poursuivre sa documentation
- D'en programmer des passages en revue réguliers, jusqu'au bilan final (capitalisation)
Dans ce registre nous documenterons ces risques avec une fiche synthèse de l’analyse de risques spécifique qui comprend fréquemment:
- l’identification de la source de danger ;
- les zones et périodes d’exposition ;
- les acteurs à informer ;
- l’environnement de contrôle mis en place ;
- la description des symptômes à surveiller ;
- les réactions à avoir en cas d’incident ou d’accident ;
- le matériel disponible pour gérer les incidents ;
- le système d’information, de relais et d’aide à mettre en œuvre.
L’ensemble des fiches peut donner lieu à une cartographie par étape, par zone de changement ou par acteur.
Etape 4 : gérer activement ces risques
Lorsque la criticité des risques est qualifiées, il convient absolument de les passer en revue avec le demandeur et les responsables internes de la gestion des risques de l’organisation.
L’enjeu est de porter à leur connaissance les risques, à trouver des actions de gestion ou de régulation pour les mitiger voire de repositionner, redimensionner ou abandonner un projet de changement dont la criticité serait inacceptable.
Etape 5 : suivre activement la gestion des risques
Si la décision de lancer la démarche est prise, alors il faudra assurer un suivi actualisé du registre unique des risques avec notamment :
- Les suivis prévus réalisés
- L’adaptation de la couverture des risques
- La mise en place des éléments de prévention
- L’enregistrement des incidents ou accidents
- Les actions correctrices effectuées
- Leurs résultats
Ce qui permet d’informer le commanditaire, le comité de pilotage ou encore les membres de l’équipe d’accompagnement du changement.
Nous pouvons aussi actualiser notre registre des risques pour d'éventuels évènements rattachés à ces risques et mettre sur pied un système d’enregistrement centralisé des :
- anomalies, non-conformités,
- quasi-accident, incident,
- accident, accident graves.
Remarque importante
Préconisation de structure du rapport d’analyse des risques
Une fois que les risques ont été identifiés, qualifiés et accompagnés d’une gestion adéquate, nous pouvons alors boucler cette analyse des risques par un rapport d’analyse initial qui sera remis au demandeur. Une synthèse pourra en être extraite puis partagée avec tous ceux qui seront confrontés aux risques du projet.
Dans ce rapport final on peut trouver classiquement :
- Rappel des travaux et des sources d’analyse
- Liste des risques identifiés et classés par criticité
- La gestion décidée pour chacun de ces risques
- Modalités prévues de suivi des principaux risques
Pour aller plus loin dans l’analyse des risques
La directive-cadre européenne 89/391/CEE concernant la mise en exécution des mesures en faveur de l'amélioration de la sécurité et de la santé des travailleurs au travail.
Le référentiel COSO2, référentiel de contrôle interne rédigé par le Committee Of Sponsoring Organizations of the Treadway Commission. Utilisé notamment dans le cadre de la mise en place des dispositions relevant des lois Sarbanes-Oxley (SOX) LSF, pour les entreprises assujetties respectivement aux lois américaines ou pour les entreprises françaises. Dans le cadre de la loi de sécurité financière.
L’association française http://www.amrae.fr/
Sécurité civile du Québec http://www.ascq.org/