Correspondances
Une même idée porte parfois cinq noms, et un même mot recouvre parfois deux idées. Cette table met côte à côte le vocabulaire des grandes méthodes et celui de Riskr, notion par notion, avec l'épisode qui la montre en situation.
Chaque notion est expliquée sur la page Les notions clés, et chaque méthode sur la page Les méthodes sans le jargon. Les termes anglais sont ceux des textes d'origine.
La table
| Notion | PMI | ISO 31000 | MoR / PRINCE2 | Orange Book | COSO | Riskr | Épisode |
|---|---|---|---|---|---|---|---|
| Risque | Menace ou opportunité (threat, opportunity) | Effet de l'incertitude sur les objectifs | Menace ou opportunité | Même définition que l'ISO 31000 | Ce qui affecte la stratégie et les objectifs | Nature : menace ou opportunité | 2 |
| Cotations | Risque résiduel (residual risk) | Risque résiduel (Guide 73)° | Inhérent, résiduel (inherent, residual) | Brut, net (gross, net) | Inhérent, résiduel cible (inherent, target residual) | Inhérent, actuel, prévision, cible | 4 |
| Matrice | Matrice probabilité-impact | Matrice (ISO/IEC 31010) | Grille probabilité-impact, profil de risque synthétique | — | — | Onglet Matrices : sans mesure, aujourd'hui, trajectoire | 1 |
| Vélocité | Proximité, urgence, vélocité (proximity, urgency, velocity) | — | Proximité (proximity)° | — | — | Date probable de survenue et vélocité, deux champs distincts | 2 |
| Appétence | Appétence (risk appetite) | Définie au Guide 73° ; la norme parle de critères de risque | Appétence, déclinée à chaque niveau | Appétence, avec une note dédiée (2020) | Appétence, pilier du cadre | Appétence, note sur 25 | 1, 6 |
| Tolérance | Tolérance, seuil (tolerance, threshold) | Tolérance (Guide 73)° | Seuils et tolérances par niveau | — | — | Tolérance déléguée à chaque projet | 7 |
| Registre | Registre, propriétaire (risk register, risk owner) | Propriétaire (risk owner)° | Registre, propriétaire et exécutant (owner, actionee) | — | — | Porteur du risque ; personne en charge et échéance pour chaque mesure | 2, 4 |
| Nœud papillon | Outil optionnel | Nœud papillon (bow-tie, ISO/IEC 31010) | Outil optionnel | — | — | La fiche du risque, barrières préventives et de protection | 4 |
| Stratégies | Éviter, transférer, atténuer, accepter, escalader ; exploiter, partager, améliorer | Options de traitement, communes aux menaces et aux opportunités° | Éviter, réduire, repli, transférer, partager, accepter ; exploiter, améliorer, rejeter° | — | Accepter, éviter, poursuivre, réduire, partager° | Réduire, transférer, accepter, éviter, escalader ; exploiter, renforcer, partager | 6 |
| Indicateurs | — | — | — | — | Indicateur clé de risque (KRI), pratique d'entreprise | Indicateurs avec seuils d'alerte et critique | 3 |
| Revues | Surveillance des risques | Surveillance et revue (monitoring and review) | Revues régulières des risques | — | Revue et révision | Revues figées et comparées, cadence | 5 |
| Risque survenu | Journal des problèmes (issue log)° | — | Point à traiter (issue)° | — | — | État « Survenu » et volet « Problème survenu » | 3 |
| Provision | Réserve pour aléas, réserve de management (contingency, management reserve) | Simulation de Monte Carlo (ISO/IEC 31010) | — | — | — | Provision P80 simulée, réserve du programme, scénarios combinés | 6, 8 |
| Escalade | Escalader (PMBOK 6) ; trois niveaux (standard de 2019) | — | Appétence déclinée en tolérances ; ce qui dépasse remonte | — | — | Projet → programme → portefeuille, avec motif et décideur | 7, 8 |
| Gouvernance | Sponsor, seuils par niveau | Intégration à la gouvernance (le cadre) | Délégation par niveaux | Dirigeant responsable (Accounting Officer) | Gouvernance et culture | Sponsor, comité, décisions et arbitrages datés | 3, 7 |
Deux lignes méritent un mot. Sur les cotations, les méthodes connaissent l'avant et l'après traitement ; aucune ne sépare nettement ce que les mesures devraient donner (la prévision de Riskr) de ce qu'on observe aujourd'hui (l'actuel). Sur la vélocité, le PMI distingue trois notions de temps, que beaucoup de registres réduisent à une date ; Riskr garde la date probable et la vélocité séparées. Riskr n'a pas, en revanche, de champ pour la capacité de risque, de stratégie « repli » à part, ni d'outil pour la deuxième et la troisième ligne du modèle de l'IIA.
Les pièges de vocabulaire
Appétence ou tolérance
L'appétence est un choix de l'organisation : combien de risque elle veut prendre. La tolérance est une marge autour d'un objectif précis : de combien on peut dévier avant de prévenir quelqu'un. Appliquer à chaque projet le seuil pensé pour l'ensemble, c'est étouffer les petits projets ou laisser filer les gros. Voir l'appétence et la tolérance.
Résiduel ou actuel
Le risque résiduel des méthodes est calculé comme si toutes les mesures prévues étaient en place. Le risque observé aujourd'hui peut être bien pire si elles ne sont pas terminées. Une seule colonne « résiduel » mélange les deux et présente un plan comme s'il était déjà réalisé. Voir les cotations.
Additionner les P80
La provision P80 d'un portefeuille n'est pas la somme de celles de ses programmes : tous ne vivent pas leur pire scénario en même temps, et la somme est en général trop élevée. Seule une simulation de l'ensemble, qui tient compte des liens entre programmes, donne le bon chiffre ; faute de simuler ces liens, un outil honnête le dit. Voir la provision.
Atténuer ou réduire
Le PMI dit mitigate (atténuer), PRINCE2 et MoR disent reduce (réduire). L'idée est la même, mais un document qui se réclame de PRINCE2 et parle d'« atténuer » fera tiquer un lecteur formé à cette méthode. Même chose pour le repli (fallback) de PRINCE2 et MoR, qui n'a pas d'équivalent direct chez le PMI.
Proximité, urgence, vélocité
Trois questions différentes derrière le mot « urgent » : quand l'événement peut-il survenir, combien de temps reste-t-il pour réagir, à quelle vitesse l'impact se fait-il sentir une fois l'événement déclenché. Un risque lointain mais rapide demande d'agir maintenant. Voir la vélocité.
Fermer un risque survenu
Dans PRINCE2 et MoR, un risque qui se produit ne se ferme pas : il donne naissance à un point à traiter, géré pour lui-même. Le fermer simplement fait perdre l'histoire de l'incident et la trace de ce qu'il a coûté. Voir le risque survenu.
Réserve pour aléas ou réserve de management
Chez le PMI, la première est dans le budget de référence, pilotée par le chef de projet, pour les risques identifiés ; la seconde est hors budget, sous l'autorité du sponsor, pour l'imprévisible. Les confondre, c'est donner au chef de projet un pouvoir de dépense qui revient au sponsor, ou alourdir la validation de dépenses qui devraient aller de soi.
« L'ISO 31000 définit l'appétence »
On le lit souvent. L'appétence est bien définie dans le vocabulaire de l'ISO, le Guide 73, mais le corps de l'ISO 31000 raisonne plutôt en critères de risque ; le terme doit surtout à COSO, à l'Institute of Risk Management et au PMI.
Le modèle des trois lignes
Ce n'est pas une méthode de gestion des risques de projet, mais un cadre de gouvernance et d'audit pour l'entreprise entière : qui gère, qui supervise, qui vérifie. Le citer pour expliquer comment tenir le registre d'un projet est un contresens. Voir la gouvernance.
Les sources
Les textes de l'ISO (31000, 31010 et Guide 73), de MoR, de PRINCE2 et le cadre complet de COSO sont payants : ces pages s'appuient sur leurs pages officielles, leurs aperçus publics et des résumés concordants, et leurs définitions sont des paraphrases, pas des citations du texte intégral. L'Orange Book, le modèle des trois lignes de l'IIA et le manuel de la NASA sont librement accessibles et ont été lus à la source. Si vous relevez une imprécision, écrivez à info@cartae.app.
PMI
- PMI, standard de gestion des risques : page officielle du standard de 2019 pour les portefeuilles, programmes et projets.
- PMI, article sur l'appétence au risque : appétence, tolérance et seuil selon le PMI.
- PMI, article sur la vélocité du risque : vitesse d'impact, agilité et résilience.
- Les changements du PMBOK, 6e édition : l'ajout de la stratégie « escalader » (site tiers).
- Réserve pour aléas et réserve de management : la différence entre les deux (site tiers).
ISO
- ISO 31000:2018, annonce officielle : la définition du risque.
- ISO 31000, guide pratique (aperçu) : extrait officiel gratuit.
- ISO/IEC 31010:2019 : fiche officielle du catalogue de techniques.
- Attitude, appétence, tolérance et seuil : synthèse des définitions du Guide 73 (site tiers).
MoR et PRINCE2
- MoR 4, page officielle : structure et nouveautés de la 4e édition.
- PRINCE2, la gestion du risque dans les projets : présentation par l'éditeur.
- PRINCE2 wiki, la pratique Risque : propriétaire et exécutant, catégories de réponse (site tiers).
Orange Book
- The Orange Book, édition de mai 2023 : texte officiel, gratuit.
- The Orange Book, édition de 2020 : édition d'origine.
COSO et gestion des risques d'entreprise
- COSO, gestion des risques d'entreprise : page officielle du cadre de 2017.
- Le cadre COSO ERM, résumé pédagogique : les cinq composantes et vingt principes (site tiers).
- Appétence et capacité de risque : capacité, appétence, tolérance selon l'IRM (filiale de l'IRM).
- Indicateur clé de risque : définition des KRI (Wikipédia, en anglais).
Gouvernance, provisions, France
- IIA, le modèle des trois lignes (2020) : texte officiel, gratuit.
- NASA, manuel d'estimation des coûts, annexe J : niveau de confiance conjoint et non-additivité des percentiles.
- AFNOR, FD X50-117 : fiche du fascicule de 2003, statut à vérifier.
- AMRAE, la cartographie des risques : guide de l'association.
- AMRAE, lexique : le vocabulaire français de référence.