Les critères essentiels pour juger si un risque est acceptable

Un risque qui n’existe pas, une sécurité parfaite : voilà deux mythes qui traversent les discours, mais qui s’effondrent à la première analyse sérieuse. Dès qu’on cherche à comprendre ce qui rend un risque “acceptable”, la réalité se charge de brouiller les évidences, de faire surgir des dilemmes et d’imposer des choix parfois inconfortables. Oublier la théorie du risque zéro, c’est déjà avancer vers une gestion plus lucide, plus responsable.

Définition du risque

Un risque, c’est la possibilité d’un dommage qui pourrait survenir. Deux éléments permettent de le cerner : la gravité des conséquences potentielles, et la probabilité d’apparition de cet événement indésirable. Concrètement, on évalue le risque en croisant ces deux paramètres.

À découvrir également : Résilier son assurance habitation BNP Paribas en toute simplicité

1. La gravité : jusqu’où pourrait aller le préjudice ?
2. La probabilité d’apparition : quelle chance que cela se produise vraiment ?

Il faut bien comprendre qu’un risque ne se touche pas, ne se mesure pas directement. C’est une construction, un indicateur forgé par notre manière d’appréhender les dangers.

Dans certaines analyses, il est pertinent d’intégrer la notion de détectabilité ou encore l’efficacité des mesures de prévention. Ces paramètres s’ajoutent à la probabilité, que l’on peut alors détailler davantage, par exemple : Probabilité = Pdanger × Psituation dangereuse × Pundétecté × prévention inefficace × dommages.

Recommandé pour vous : Qui est la femme de Charlie Hunnam ?

Le risque zéro n’existe pas

C’est une conséquence directe de cette définition : aucun risque n’est tout à fait absent. Que l’on parle de probabilité ou de gravité, si l’une des deux tombe à zéro, il n’y a plus de risque, mais ce cas est rarissime hors du laboratoire.

Le mythe du risque zéro revient souvent dans le débat public. Il mérite quelques précisions :

• Lors de l’identification : on peut imaginer un danger, mais constater qu’il est en fait impossible. Il faut garder la trace de cette analyse et noter que le risque est “zéro”, puis passer à autre chose.
• Quand les critères d’acceptabilité sont mal posés : viser le risque zéro est une impasse, seule une gestion rigoureuse a du sens.
• Au fil des débats passionnés : mieux vaut éviter de s’attarder sur un “risque zéro” qui n’existe pas.

Risques : d’abord estimés, puis identifiés

Le processus comprend deux étapes qu’il faut distinguer :

1. D’abord, une estimation des risques, réalisée avant toute survenue, par exemple en amont d’un projet ou d’une catastrophe annoncée. On se base alors sur la technique disponible, les probabilités calculées et la gravité anticipée selon les scénarios plausibles.
2. Ensuite, une phase où le risque peut effectivement se manifester, par exemple une fois un produit lancé ou une épidémie déclarée. Cette fois, on s’appuie sur des données réelles, issues de la surveillance et des retours du terrain.

L’enjeu : soigner l’analyse initiale, puis la réajuster en fonction de l’évolution concrète de la situation.

Autres définitions utiles : danger, situation dangereuse, risque élevé…

Pour parler de risque, il faut maîtriser quelques notions associées. En voici les principales, qui structurent toute démarche :

• Danger : la source potentielle d’un dommage
• Situation dangereuse : contexte exposant une personne, l’environnement ou la société à ce danger
• Risque important : au-delà d’un seuil que vous fixez, ou qui dépend du contexte
• Catastrophe : risque devenu incontrôlable
• Gestion des risques : ensemble du processus, de l’identification à la surveillance en passant par les mesures de contrôle
• Identification des risques : imaginer et recenser les risques possibles, cette liste évolue constamment
• Estimation du risque : attribuer un niveau à chaque risque selon sa probabilité et sa gravité
• Évaluation des risques : juger si les risques sont tolérables, en s’appuyant sur les critères définis
• Gestion des risques (au sens restreint) : toutes les actions pour réduire ou supprimer les risques identifiés
• Risques restants : ce qui subsiste après toutes les mesures de maîtrise
• Communication : dialogue entre les parties prenantes, indispensable pour piloter la gestion des risques
• Surveillance : suivi régulier, pour adapter la gestion en continu

Risques “favorables” ?

Depuis que l’ISO 9001 s’est rapprochée de la structure HLS, on voit apparaître dans le domaine de la qualité la notion d’opportunité : la méthode SWOT (forces et faiblesses) croise désormais analyse des risques et analyse des opportunités. Un “risque favorable” n’est rien d’autre qu’une chance à saisir, mais le mélange des genres complique parfois la réflexion.

Un risque favorable correspond en réalité à un gain potentiel. On le traite en évaluant sa probabilité d’occurrence et l’ampleur de l’effet positif attendu, à l’image de la gravité pour un risque classique.

Étape 1/7 : Plan de gestion des risques

Avant toute chose, il faut clarifier les missions et les responsabilités. Deux axes sont à définir :

• La politique d’acceptation des risques, les critères qui relèvent, dans l’entreprise, de la direction
• La liste des tâches à accomplir pour gérer les risques, exposée dans les étapes suivantes

Étape 2/7 : Identifier les risques

La précision de votre analyse dépend de votre connaissance du contexte. Il est donc utile de décrire :

• Les personnes, l’environnement, les équipements concernés
• Les dangers potentiels
• Les scénarios menant à des situations dangereuses
• Les dommages susceptibles d’en découler

Ce travail implique une mise à jour des connaissances techniques :

• Identification des risques déjà connus
• Recensement des mesures existantes
• Consultation des référentiels : guides, normes, réglementations…
• Évaluation des moyens techniques disponibles

Étape 3/7 : Estimation des risques

C’est ici que l’exercice se complique : il s’agit d’estimer, de façon qualitative, ou mieux, quantitative, la probabilité et la gravité de chaque scénario. Deux situations typiques :

• On s’appuie sur une échelle très large (de l’événement rarissime à la catastrophe majeure), mais il faut souvent raisonner sur des intervalles plus restreints.
• Il arrive que l’incertitude soit grande, et que l’on manque d’éléments pour trancher.

Les premières estimations sont donc souvent grossières, à affiner grâce aux données :

• Issues de la littérature et de l’état de l’art
• Obtenues par l’expérience ou l’expérimentation
• Produites par la modélisation
• Remontées du terrain

Estimations du niveau de risque par matrice probabilité/gravité

La plupart des analyses reposent sur des matrices, en général des grilles 3×3 ou 5×5, qui croisent gravité et probabilité pour attribuer un niveau de risque :

Cette méthode, conforme à l’ISO/TR 24971 (§5.5.5), a ses limites :

• Elle ne prend pas en compte les risques cumulés
• Elle pose problème pour les cas extrêmes (faible probabilité et forte gravité, ou l’inverse)
• Elle introduit trop tôt la notion d’acceptabilité : on ne devrait juger un risque acceptable qu’après avoir examiné les solutions possibles
• Elle manque de précision pour les analyses comparatives ou critiques

Mais son intérêt reste sa simplicité, ce qui explique sa popularité.

Les risques quantitatifs

Autre approche, plus mathématique (voir les annexes de l’XP S99-223) : on quantifie dommages et probabilités :

• Les probabilités sont exprimées en pourcentage
• Les dommages sont évalués sur une échelle, par exemple : 5 pour le maximum, 4 pour critique, 3 très élevé, etc. jusqu’à -1 pour très faible

L’ampleur des dommages dépend du type de risque. Changer de niveau (par exemple de 4 à 5) correspond à multiplier la gravité par dix.

On peut alors calculer : Niveau de risque = log (probabilité × 10^{niveau de dommages}), et pour les risques cumulés, Niveau de risque cumulé = log (somme des probabilités × 10^{niveau de dommages})

L’utilisation de niveaux permet d’automatiser les comparaisons : NR = NP + NG, Nmax, où NP est le niveau de probabilité, NG le niveau de gravité, Nmax la valeur maximale (en général 5).

Cette méthode offre plusieurs avantages :

• Elle écarte l’idée de risque zéro (le calcul log ne le permet pas)
• Elle permet d’agréger les risques cumulés
• Elle distingue clairement les gros risques des petits
• Elle autorise des comparaisons objectives et le suivi des performances
• Elle sert aussi à démontrer un rapport bénéfice/risque favorable en utilisant le même raisonnement pour les gains

Étape 4/7 : Gérer les risques

Principes

L’objectif est de réduire le risque en suivant une logique d’action hiérarchisée, du plus efficace au moins direct :

1. Suppression du danger à la source
2. Recours à des équipements de protection
3. Mise en place de mesures préventives, notamment par l’information et la formation
4. Compensation si le risque subsiste malgré tout

La pertinence des méthodes utilisées dépend de la façon dont la société juge le risque admissible. Par exemple, certains risques sont socialement tolérés (climatiques, inégalités) et la compensation financière prime, même si elle ne fait pas disparaître le danger.

Quand arrêter la gestion des risques ?

Toute la difficulté réside dans le moment où l’on considère le risque suffisamment maîtrisé. Deux logiques se côtoient :

1. Sur le papier, on s’arrête quand le risque résiduel passe sous un seuil fixé à l’avance
2. Dans les faits, on s’arrête quand il n’est plus possible d’agir davantage

Les normes oscillent entre deux philosophies peu applicables :

• Réduction AFAP : “Autant que possible”, mais il est toujours possible de faire plus, ce qui rend l’objectif flou et source d’innombrables discussions
• Réduction ALARP : “Aussi bas que raisonnablement possible”, notion toute aussi insaisissable en pratique

Dans la réalité, on applique plutôt le principe “AFACP” : on va aussi loin que le contexte le permet. En clair, la maîtrise s’arrête lorsque l’état de l’art est respecté, que les solutions en place égalent ou dépassent celles déjà acceptées ailleurs, et que le contexte ne justifie pas d’aller plus loin. Ce seuil doit être réexaminé dès que les connaissances ou les techniques évoluent.

Étape 5/7 : Évaluer l’acceptabilité des risques résiduels

Après identification, estimation et réduction “AFACP” des risques, il reste à examiner :

• Les mesures mises en œuvre
• Le niveau de risque résiduel
• Les dispositifs de surveillance et d’actualisation de la gestion des risques

Il s’agit alors de statuer sur l’acceptabilité du niveau de risque restant. Ce jugement doit s’inscrire dans la durée, alimenté par le suivi et la réévaluation.

Étape 6/7 : Informer, communiquer, sensibiliser

La communication joue un rôle déterminant dans la gestion des risques : il faut partager l’information avec :

• Les personnes exposées, pour renforcer leur conscience du niveau de risque
• Les bénéficiaires, pour adapter la maîtrise à leurs besoins
• Les parties prenantes, pour encourager la collecte et la remontée d’informations, notamment sur les incidents et difficultés

Étape 7/7 : Surveillance des risques

Le choix des indicateurs est décisif pour suivre les risques connus et détecter ceux qui émergent. Ces indicateurs doivent évoluer avec l’expérience et l’avancée des connaissances.

Il faut garder à l’esprit que les données recueillies sont toujours sujettes à interprétation ou à biais. Pour choisir les bons indicateurs de suivi, plusieurs critères entrent en jeu :

• Améliorer la précision de l’estimation des risques connus
• Repérer les signaux faibles annonçant de nouveaux risques
• Utiliser des indicateurs existants pour des risques similaires ou liés
• Privilégier des indicateurs faciles à interpréter
• Tenir compte de leur format, des modalités de collecte, d’analyse et de restitution

Principaux types de risque

Chaque secteur, chaque situation impose sa propre lecture du risque. Voici quelques exemples parmi les plus courants, sans prétendre à l’exhaustivité, les familles de risques sont innombrables et nourrissent sans cesse la réflexion.

Risques naturels

Ils découlent de phénomènes naturels susceptibles d’affecter la population, les biens ou les infrastructures. Leur gestion implique souvent les pouvoirs publics, mais aussi des acteurs privés selon les cas.

• Canicule
• Grand froid, neige, grêle
• Inondations
• Sécheresse
• Feux de forêt
• Tempête
• Tsunami
• Avalanches
• Mouvements de terrain
• Retrait/gonflement d’argile
• Cyclones
• Éruptions volcaniques
• Tremblements de terre

Risques sanitaires

Ces risques concernent la santé humaine (et parfois animale), avec un contrôle assuré par les autorités et, quand nécessaire, des acteurs privés. Souvent liés à la pollution, ils s’étendent aussi aux technologies et aux risques naturels.

Un risque sanitaire franchit le seuil de la catastrophe quand il échappe à tout contrôle.

Exemples de dangers :

• Biologique (virus, parasites, bactéries…)
• Chimique (hydrocarbures, métaux lourds…)
• Physique (rayonnements, températures extrêmes, matières dangereuses…)

Exemples de situations dangereuses :

• Exposition digestive
• Exposition respiratoire
• Contact avec les muqueuses

Catégories de risque pour la santé animale en France :

1. 1ère catégorie : impact possible sur la santé publique
2. 2ème catégorie : conséquences économiques
3. 3ème catégorie : la gestion implique le secteur privé

Risques médicaux

Ces risques touchent d’abord les patients mais aussi leur entourage et les professionnels de santé. Ils surviennent dans le cadre des soins, et leur gestion relève des professionnels sous le contrôle des autorités compétentes. Le patient doit être associé à l’évaluation de l’acceptabilité.

Exemples :

• Invalidité permanente
• Invalidité temporaire
• Douleur intense
• Décès
• Conséquences génétiques

Exemples de dangers :

• Erreur technique
• Défaillance organisationnelle
• Infection nosocomiale
• Erreur de prescription
• Problème matériel

Exemples de mesures de maîtrise :

• Formation du personnel
• Mise en place d’un système qualité
• Suppression des risques par la conception
• Ajout d’équipements de protection
• Information, sensibilisation, prévention

Risques professionnels / santé au travail

Ces risques concernent les salariés et sont à la charge de l’employeur, qui y est légalement tenu (voir le Code du travail).

Exemples :

• Exposition à l’amiante
• Travail en hauteur
• Risques psychosociaux
• Troubles musculo-squelettiques
• Chutes
• Exposition au froid ou à la chaleur
• Accidents de trajet
• Bruit
• Travail en espaces confinés
• Substances dangereuses (peinture au plomb, soudure…)

L’évaluation repose sur le DUER, document unique dont la forme reste libre.

Risques psychosociaux

Ils relèvent de la santé au travail et renvoient à des atteintes physiques ou psychiques, causées par l’humain sur l’humain.

Exemples de dommages :

• Stress (pouvant résulter d’horaires imprévisibles, d’une gestion défaillante…)
• Violence ou harcèlement (physique, sexuel, entre collègues ou provenant de l’extérieur)
• Burn-out (lié aux heures supplémentaires, à une mauvaise organisation…)

Risques technologiques

Liés à l’innovation, ils peuvent toucher les personnes, les infrastructures et l’environnement. Leur gestion est souvent réglementée.

Exemples :

• Transport et stockage de matières dangereuses
• Accident industriel (ex : AZF)
• Accident nucléaire
• Rupture de barrage
• Pollution des sols
• Émissions de gaz à effet de serre
• Pollution des réseaux
• Industrie pétrolière et gazière
• Déchets dangereux
• Explosion de silos

En France, le suivi repose sur les PPRT (plans de prévention des risques technologiques), notamment pour les inondations et la sécheresse.

Risque numérique / cybersécurité

Les risques numériques concernent à la fois les produits et leurs utilisateurs. Leur gestion revient aux concepteurs des solutions digitales. Aujourd’hui, la cybersécurité occupe une place centrale dans tous les secteurs sensibles.

Exemples de dommages :

• Atteinte à la confidentialité
• Intrusion ou altération de l’intégrité
• Indisponibilité des services
• Diffusion de fausses nouvelles
• Incitation à la haine
• Manipulation de masse

Exemples de dangers (types d’attaquants) :

• États
• Organisations terroristes
• Personne interne à l’organisation
• Individu isolé
• Amateur passionné
• Réseau de robots (botnet)

En France, l’ANSSI utilise la méthode EBIOS pour l’analyse de ces risques.

Risques sociaux

Très larges, ces risques impactent la société dans son ensemble, avec des origines multiples.

Exemples :

• Risques pour la santé
  • Maladies (ex : sida)
  • Accidents (ex : accidents du travail)
  • Invalidité (ex : accidents de la route)
  • Décès (ex : pollution majeure)
  • Maternité (ex : mortalité infantile, mortalité maternelle)
  • Vieillissement (nombre de risques sont liés à l’âge)
• Risques économiques ou liés à l’emploi (précarité, chômage, retraite…)
• Risques d’inégalité ou d’exclusion (selon le sexe, l’âge, l’origine, la religion…)
• Risques familiaux
• Risques liés au logement (prix, densité, équipements…)
• Risques démographiques (immigration, émigration…)
• Risques liés aux compétences (manque, obsolescence…)

Risques financiers

Ces risques se traduisent par une perte financière pour un individu ou une organisation, dans le cadre d’opérations économiques. Les causes sont variées, la gestion est souvent individuelle, parfois réglementée.

Exemples :

• Volatilité des marchés
• Fluctuations de taux
• Mauvaise gestion
• Crédits non remboursés
• Événements climatiques

Risques géographiques

La géographie distingue le danger et la vulnérabilité (facteur d’exposition au dommage). Les dangers peuvent être naturels ou issus de l’activité humaine.

L’approche par la vulnérabilité met l’accent sur ce qui rend une population plus sensible au risque que sur la cause elle-même.

Exemples de vulnérabilités :

• Sous-équipement
• Surpopulation
• Dépendance technologique
• Manque de compétences
• Sous-estimation du risque
• Maîtrise inadaptée

Risques géopolitiques

Ces risques touchent les relations internationales, résultant d’actions étatiques et nécessitant leur contrôle. C’est le dernier rempart avant les risques climatiques.

Exemples :

• Conflits armés
• Guerres commerciales
• Indépendantisme, nationalisme (ex : Brexit)
• Idéologies radicales (ex : terrorisme)
• Accaparement de ressources (eau, pétrole…)
• Inégalités (richesse, santé…)
• Déclenchement de crises sociales (ex : décès de George Floyd)
• Crises sanitaires (ex : covid-19)

Risques climatiques

Principalement provoqués par l’activité humaine, ils pèsent sur la population, la faune, la flore et l’ensemble des écosystèmes. Leur maîtrise incombe à l’humanité tout entière, mais l’action reste largement insuffisante.

Exemples :

• Émissions de gaz à effet de serre
• Déforestation
• Pollution des sols
• Pollution atmosphérique

Exemples de conséquences :

• Montée des eaux
• Hausse des températures
• Disparition d’espèces animales
• Disparition d’espèces végétales
• Enchaînement de risques technologiques, sociaux, sanitaires, économiques et géopolitiques

Exemples de probabilité, de gravité et de risque

Voici quelques repères pour situer la probabilité, la gravité et le niveau de risque selon les contextes :

L’échelle de probabilité

Gravité des dommages financiers

Niveaux de risque

Face à la diversité des risques et à la complexité de leur gestion, il n’existe pas de recette universelle. Accepter ou refuser un risque, c’est toujours arbitrer, choisir un cap, parfois dans l’incertitude. À chacun de fixer ses lignes rouges, mais le déni ou l’obsession du risque zéro n’ont jamais protégé de l’imprévisible. Reste la vigilance, l’humilité et l’audace d’agir, même quand le terrain semble glissant.