Cas pratiques · épisode 2 sur 9 · 4:15
Un fournisseur annonce un retard : enregistrer le risque
Fin septembre 2026. Le fabricant des batteries des 60 chariots connectés de Saint-Priest prévient Olivier : la livraison pourrait avoir six semaines de retard. Rien n'est encore arrivé, mais Olivier ne veut pas que l'alerte se perde.
Chapitres
Ce que vous allez voir
Lire le registre et son résumé (appétence, trait orange), vérifier qu'un risque n'existe pas déjà (filtres, recherche), le créer dans le bon groupe, le décrire (événement, objectif, causes, conséquences), le coter (inhérent, actuel, cible), régler sa vélocité, lui donner un porteur et le rattacher à son projet ; réutiliser la bibliothèque et ses modèles.
Pourquoi c'est important
Une alerte de fournisseur arrive rarement par la grande porte : un appel, un courriel, une phrase glissée en réunion de chantier. Si personne ne l'écrit, elle s'efface en deux semaines, et on la redécouvre le jour où les batteries n'arrivent pas. Enregistrer le risque transforme une inquiétude en objet de travail : décrit, mesuré, confié à quelqu'un, visible de tous.
Le moment compte autant que le geste. Tant que rien n'est arrivé, on peut relancer, chercher un second fournisseur, prévoir un repli ; une fois le retard confirmé, on encaisse. Et dans six mois, la fiche dira ce qu'on savait, quand, et pour quel objectif on le craignait.
Pas à pas
1. Lire le registre
Le registre aligne les risques du programme, rangés par groupe. Sa ligne de résumé se lit comme une liste de travail : les risques au-dessus de l'appétence attendent une décision, les mesures en retard un rappel, les risques « à revoir » une revue, les incohérences une vérification.
2. Vérifier qu'il n'existe pas déjà
Un doublon, ce sont deux personnes qui suivent la même chose à moitié, et deux lignes qui se contredisent en comité. Filtrez par groupe, puis cherchez un mot précis avec la loupe. Si un risque proche existe, complétez-le : une cause de plus vaut mieux qu'un risque de plus.
3. Créer le risque au bon endroit
En mode Édition, un bouton « Ajouter un risque » apparaît entre deux lignes. Choisir le groupe, c'est choisir avec quels risques celui-ci sera lu et discuté : un retard de fournisseur rejoint les autres affaires de fournisseurs, et Riskr le numérote 2.4. Une fausse manœuvre s'annule avec Cmd+Z (Ctrl+Z sous Windows).
4. Décrire le risque
Le titre doit se comprendre sans contexte, par quelqu'un qui n'était pas à la réunion. Deux phrases font ensuite tout le sérieux de la fiche : l'événement incertain, ce qui pourrait arriver, et l'objectif concerné, ce qu'on cherche à réussir et que cet événement compromettrait.
5. Poser le nœud papillon
Au centre, l'événement ; à gauche, ce qui peut le provoquer ; à droite, ce qu'il entraînerait. Écrire les causes oblige à distinguer celle qu'on peut encore traiter (une commande sans date ferme) de celle qu'on subit (un seul fabricant qualifié). Donnez à chaque conséquence un ordre de grandeur, même grossier.
6. Coter et régler la vélocité
Un clic pour la probabilité, un pour l'impact, et Riskr calcule la note sur 25. L'inhérent (9) cote le risque de fond, sans aucune mesure ; l'actuel (12) intègre l'alerte du fabricant, qui rend le retard probable ; la cible (4) dit jusqu'où Olivier veut le ramener. La prévision viendra avec le plan d'actions. Reste la vélocité : en combien de temps l'impact se ferait sentir une fois le retard déclenché, ici en quelques semaines.
7. Donner un porteur et un projet
Le porteur n'est pas celui qui fait tout : c'est celui qui organise le suivi et s'assure que les mesures avancent. Choisissez quelqu'un qui a prise sur le sujet. Rattacher le risque à un projet dit qui le porte ; cocher les projets touchés dit qui en subirait les effets.
8. Le retrouver, et le réutiliser
Au registre, le 2.4 a pris sa place avec son trait orange : cinq risques dépassent désormais l'appétence. Il apparaît aussi « à revoir », puisqu'il n'a jamais été revu. « Enregistrer comme modèle » le range enfin dans la bibliothèque, pour la prochaine alerte du même genre.
Risque : menace ou opportunité
La norme ISO 31000 définit le risque comme « l'effet de l'incertitude sur les objectifs », définition que l'Orange Book reprend mot pour mot. Le PMI parle d'un événement ou d'une condition incertaine qui, s'il survient, a un effet positif ou négatif sur un ou plusieurs objectifs ; PRINCE2 range ces effets en menaces et opportunités.
Au quotidien, ces définitions disent la même chose : pas de risque sans objectif. « Le fournisseur » n'est pas un risque ; « le fournisseur livre en retard et la mise en service de janvier glisse » en est un. Sans objectif menacé, vous décrivez une inquiétude, pas encore un risque.
Dans Riskr : chaque fiche porte un événement, un objectif et une nature, menace ou opportunité ; les stratégies de traitement proposées en dépendent.
Nœud papillon
Le nœud papillon est une technique d'analyse décrite dans la norme ISO/IEC 31010, le catalogue des techniques d'appréciation du risque. Il assemble les causes qui mènent à l'événement redouté et les conséquences qui en découlent. Entre les deux, les barrières : préventives, elles réduisent la probabilité ; de protection, elles réduisent l'impact.
Au quotidien, c'est le schéma qu'on dessine au tableau pour se demander « comment ça pourrait arriver, et qu'est-ce que ça ferait ». Il montre tout de suite si l'on n'a prévu que de la prévention, ou que de la réparation.
Dans Riskr : chaque fiche est construite en nœud papillon ; chaque mesure s'y place comme barrière préventive ou de protection (épisode 4).
Inhérent, actuel, prévision, cible
Les référentiels raisonnent surtout en deux temps. L'Orange Book parle de risque brut, avant les contrôles, et de risque net, après ; COSO parle de risque inhérent et de risque résiduel visé ; le PMI et PRINCE2, de risque résiduel, celui qui reste une fois les réponses mises en œuvre.
Au quotidien, ce « résiduel » cache un piège : on le calcule souvent comme si toutes les mesures prévues étaient faites, et la note présentée en comité flatte la réalité.
Dans Riskr : l'inhérent, sans aucune mesure ; l'actuel, constaté à la dernière revue, que les mesures non terminées ne font pas baisser ; la prévision, attendue une fois les mesures prévues appliquées ; la cible, visée à terme. L'appétence se compare à l'actuel.
Les pièges à éviter
Le piège le plus courant
Écrire une cause à la place du risque. « Pénurie de cellules lithium » est une cause ; le risque, c'est le retard de livraison qui menace la mise en service. Si le titre décrit une cause, les conséquences restent floues et les mesures visent le mauvais endroit.
- Un titre qu'on ne comprend qu'en réunion. « Risque fournisseur » ne dira rien dans trois mois.
- Créer un doublon plutôt que chercher. Deux fiches sur le même sujet finissent toujours par diverger.
- Des conséquences sans ordre de grandeur. Sans chiffre, impossible de comparer ce risque aux autres ou de justifier une mesure.
- Un porteur collectif. « L'équipe projet » n'est personne : un risque se confie à une personne nommée.
Et dans votre cas ?
- C'est une bonne nouvelle. Le fournisseur pourrait livrer en avance ? Créez une opportunité : Riskr propose alors exploiter, renforcer, partager, accepter ou escalader.
- Le risque touche plusieurs projets. Gardez une seule fiche et cochez les projets touchés : Riskr ne la compte pas plusieurs fois dans la provision globale.
- Le risque vient d'ailleurs. Le champ « Origine du risque » distingue un risque identifié à votre niveau, décliné par l'organisation ou escaladé par un projet (épisode 7).
- Vous partez d'une page blanche. La bibliothèque propose des risques types avec une cotation et des mesures suggérées : ajoutez-les, puis adaptez-les.
À retenir
Avant de créer un risque, cherchez s'il existe déjà : on complète plutôt qu'on ne duplique.
Un risque se décrit par un événement incertain, l'objectif qu'il menace, ses causes et des conséquences chiffrées.
Il se mesure en quatre cotations et se confie à une personne nommée, rattachée au bon projet.
Pour aller plus loin
- Notions : le risque, le registre et le porteur, le nœud papillon, les quatre cotations, la vélocité et la date probable.
- Méthodes : ISO 31000, le PMI, PRINCE2, l'Orange Book, COSO, et la table de correspondance.
- Épisodes : 1 · lire la carte, 3 · le risque survient, 4 · le plan d'actions, 7 · plusieurs projets.
Transcription complète
Fin septembre, le fabricant des batteries des chariots prévient Olivier : la livraison pourrait avoir six semaines de retard. Rien n'est encore arrivé, mais Olivier ne veut pas que l'alerte se perde : il va l'enregistrer comme un risque.
Olivier ouvre le registre, la liste de tous les risques du programme, une ligne chacun, rangés par thème. D'un coup d'œil, il voit comment chaque risque évolue, et qui s'en occupe. C'est la carte de l'épisode un, en tableau.
Au-dessus, le résumé lui dit où regarder : sur seize risques, quatre dépassent l'appétence, c'est-à-dire le niveau de risque que le programme accepte de laisser courir. Au-delà, il faut agir, ou accepter le risque en connaissance de cause. Ces quatre-là portent un trait orange : ils attendent une décision.
Pour présenter le registre en réunion, ou le lire sur une tablette, la vue Cartes montre les mêmes risques, en plus aéré.
Avant de créer quoi que ce soit, Olivier vérifie que ce risque n'est pas déjà suivi : un doublon, ce sont deux personnes qui s'en occupent à moitié. Parmi les risques fournisseurs, aucun ne parle de batteries.
Pour en avoir le cœur net, il cherche le mot « batterie » avec la loupe. Un seul résultat : un risque d'incendie pendant la recharge, rien à voir avec un retard. Il faut donc bien créer un nouveau risque.
Il passe en mode Édition, qui permet de modifier le registre. Entre deux lignes, un bouton « Ajouter un risque » apparaît. C'est une affaire de fournisseur : il l'ajoute à la fin du groupe deux, et Riskr le numérote deux point quatre. Une fausse manœuvre ? Commande Z annule la dernière action.
Dans sa fiche, il lui donne un titre court, qu'on comprend sans contexte. C'est une menace ; Riskr suit aussi les opportunités, ces imprévus qui joueraient en votre faveur. Puis il écrit ce qui pourrait arriver, et l'objectif que cela mettrait en danger : dans six mois, c'est ce qui dira pourquoi ce risque comptait. Le reste de la fiche, c'est l'épisode trois.
Plus bas, le nœud papillon : au centre l'événement, à gauche ce qui peut le provoquer, à droite ce qu'il entraînerait. Olivier note ses causes, dont la plus sérieuse : un seul fabricant sait produire ces batteries. Pour chaque conséquence, il donne un ordre de grandeur, même approximatif : c'est ce qui permettra de comparer ce risque aux autres. Les barrières, au milieu, sont les mesures qui l'empêchent ou le limitent : elles viendront avec le plan d'actions, dans l'épisode quatre.
Reste à le mesurer : un clic pour la probabilité, un pour l'impact, de un à cinq, et Riskr les multiplie en une note sur vingt-cinq. L'inhérent, c'est le risque brut, sans aucune mesure : neuf. L'actuel, c'est aujourd'hui : avec l'alerte du fabricant, le retard devient probable, et la note monte à douze. La cible, c'est là où Olivier veut le ramener : quatre.
Douze, c'est au-dessus de l'appétence : Riskr le signale aussitôt. Dernier réglage, la vélocité, c'est-à-dire la vitesse à laquelle le risque frapperait : ici, en quelques semaines. Plus elle est élevée, moins on a de temps pour réagir.
Un risque sans porteur n'est suivi par personne. Olivier le confie à Sophie Nguyen, qui dirige le projet de flotte connectée, et le rattache à ce projet. Il coche aussi Saint-Priest, que ce retard toucherait. Le pilotage par projet, c'est l'épisode sept.
De retour au registre, le deux point quatre a pris sa place, avec son trait orange : cinq risques dépassent maintenant l'appétence. L'alerte du fabricant est devenue un risque décrit, mesuré, confié à quelqu'un, et visible de tous.
Pour ne pas partir d'une page blanche, la bibliothèque propose des risques types, classés par thème, avec une cotation et des mesures suggérées. Vos propres risques peuvent aussi en devenir : Olivier enregistre le sien comme modèle, pour la prochaine fois qu'un fournisseur annoncera un retard.
À retenir. Avant de créer un risque, vérifiez qu'il n'existe pas déjà. Décrivez ce qui peut arriver, pourquoi, et ce que cela coûterait. Puis mesurez-le, et confiez-le à quelqu'un.
Dans le prochain épisode, un retard qui, lui, s'est bel et bien produit.
Vous souhaitez un partenaire qui connaît les exigences des grands programmes ?