Lorsqu’on regarde sa cartographie dans le contexte actuel, on est tenté de se dire qu’elle n’a pas servi à prédire grand-chose et que nos priorisations ont changé beaucoup plus rapidement que la mise à jour annuelle le laissait penser …

Et pourtant, cette crise sert nos raisonnements sur le rôle essentiel de la cartographie dans la gestion des risques et la poursuite de l’activité. La cartographie n’est ni un outil de consultant ni un exercice réglementaire. La réglementation n’a fait qu’imposer une méthodologie reconnue et éprouvée … à condition que la cartographie des risques remplisse certaines conditions que nous proposons d’illustrer ci-après.

Notre illustration s’appuie sur la crise actuelle pour comprendre comment les notions interagissent au sein de la cartographie. Nous n’avons pas la prétention de savoir piloter les enjeux actuels ; seulement d’utiliser nos connaissances pour démontrer le raisonnement implicite à la cartographie des risques.

Rappel des principes de base de la cartographie des risques

Tout d’abord, il est nécessaire de rappeler quelques principes essentiels au regard de la cartographie des risques :

• Elle ne reflète pas la réalité de demain. Ce n’est pas une boule de crystal. Au même titre que ce n’est pas parce que vous avez un véhicule doté d’un super tableau de bord que vous n’allez pas avoir d’accident.
• La cartographie est un outil d’aide à la décision à un instant donné, eu égard à nos connaissances du moment (risques et impacts potentiels, historique des incidents, appétence au risque).
• La cartographie est l’outil de base pour construire des indicateurs de pilotage de l’activité.
• Les risques de demain sont généralement tous présents dans la cartographie. La difficulté n’est pas dans l’identification (le risque de pandémie ou le risque cyber, par exemples, sont dans toutes les cartographies), elle se situe au niveau de l’évaluation de l’impact, celui-ci dépendant d’un certain nombre de facteurs non maîtrisés.
• Pour les besoins de la démonstration, nous proposons ci-après de décrire les étapes simplifiées d’évolution d’une cartographie sous l’angle de la pandémie afin de mettre en avant ce dont il faut s’assurer en priorité pour améliorer son utilité pour les dirigeants, les risque-managers et les opérationnels ; c’est bien là la finalité de la cartographie des risques.

1.  Etape 1 – La cartographie est dynamique : Elle se construit et continue d’évoluer.

Nous nous focalisons sur les zones essentielles de la cartographie et sur le risque de pandémie. Nous utilisons quelques raccourcis, n’étant pas expert dans le domaine médical. L’objectif est d’aider à la construction du raisonnement à la base de la cartographie des risques ; lui redonner du sens pour la rendre réellement utile et donc, opérationnelle.

[1] Un facteur de risque (externe et/ou interne) est un élément de contexte qui peut augmenter la fréquence ou l’impact d’un risque. Il est intrinsèquement lié au business et explique en partie (pour les facteurs internes) la contingence du risque opérationnel.

[2] Supposons une échelle de risque de 1 à 4 où 4 est le risque maximum. Echelle volontairement simplifiée sans décomposer l’impact x la fréquence. Dans le cas d’un scénario de crise, la fréquence est généralement très faible et l’impact potentiellement très important.

Dans cette première étape, nous faisons les constats suivants :

• Il est très difficile de pouvoir chiffrer l’impact. Il est toujours possible de mettre des chiffres qui seront sûrement en deçà de la réalité.
• En revanche, ce type de risque reste toujours élevé, y compris en prenant en compte le dispositif de maîtrise des risques.
• Ce qui permet de ne pas relâcher la vigilance sur le PUPA, celui-ci devant être en permanence testé et amélioré.
• A ce stade, seule la qualité du dispositif de maîtrise des risques est un indicateur pertinent. En effet, l’indicateur de risque est logiquement faible. La qualité du dispositif est d’autant plus importante que les activités sont sensibles (prendre en compte les facteurs de risques externes et internes).

2.  Etape 2 – Un des scénarios commence à se concrétiser

La cartographie initiale s’affine sous l’influence des connaissances plus précises du scénario. Les premiers cas apparaissent et la pandémie se traduit alors par un enjeu d’occurrence et d’impact, les deux étant liés ; l’objectif est alors de réduire, dans un premier temps, la fréquence des cas.

Dans cette deuxième étape, nous faisons les constats suivants :

• La perception du risque évolue sous l’influence de 2 composantes :
  • Les données quantitatives
  • La communication qui relaie ces informations

Pour agir sur le risque, il faut générer des prises de conscience. Chacun perçoit le risque selon son histoire et son schéma de pensée.

Pour le gestionnaire des risques, tant que le management n’a pas conscience du risque ou tant qu’il considère que le coût de la décision sera supérieur au coût du risque, il ne changera pas de comportement ; C’est tout le débat actuel entre équilibre sanitaire et économique.

Le gestionnaire de risque le sait bien : certains risques sont importants, des plans d’actions devraient être mis en place et aucune décision n’est prise. Le gestionnaire des risques est parfois perçu comme un jusqu’au-boutiste des risques dont il faut parfois freiner les ardeurs.

Dans le contexte actuel, la multitude de graphiques et de données qui sont mises à jour quotidiennement finissent par convaincre les plus récalcitrants de l’importance de la crise[3]. Les données quantitatives servent la communication.

Néanmoins, les enjeux individuels se trouvent confrontés à des dispositifs contraignants : j’accepte « intellectuellement » le dispositif mais je n’admets pas « dans les faits » de rester enfermé ; je continue donc à me promener et faire mon sport.

• Les facteurs de risque se précisent par rapport à la connaissance du virus.
  • Identification plus précise des populations à risque (personnes âgées, personnes présentant des faiblesses pulmonaires etc.)
• Les dispositifs de maîtrise des risques se renforcent.

[3] Ce qui génère, dans un deuxième temps, des interrogations sur la pertinence des chiffres.

• Mise en place d’un dispositif préventif qui permet de réduire la fréquence des cas
  • Se laver les mains régulièrement, éviter les contacts etc.
  • Ciblage renforcé de ce dispositif selon les facteurs de risque (personnes âgées etc.)
• Mise en place d’un dispositif détectif qui permet d’affiner la connaissance et la compréhension des facteurs de risque
  • Recherche des patients contaminants, tests de dépistage etc.
• Mise en place d’un dispositif réactif
  • Isolement des personnes/lieux contaminés
  • Développement des soins
• Les indicateurs de risque s’affinent.
  • Lien de cause à effet entre les facteurs de risque et la contamination
    • Les facteurs de risque s’affinent au fur et à mesure de la connaissance sur les causes de contamination (CF toutes les recherches en cours). Ils sont essentiels pour comprendre l’influence qu’ils peuvent avoir sur la fréquence et l’impact… et la recherche est permanente.
  • Développement d’interactions continues entre les indicateurs de risque et le dispositif de maîtrise, notamment le dispositif préventif :
    • Dispositif préventif :
      • Re-sensibilisation régulière des citoyens
    • Dispositif détectif
      • Le dispositif détectif évolue en fonction de la qualité du préventif : poursuite des tests sur la population (même si les tests ne sont pas réalisés sur toute la population, il couvre les cas les plus sensibles et les plus à risque).

Au fur et à mesure des connaissances, le dispositif détectif évoluera sans doute (tests à grande échelle etc.).

• Dispositif réactif :
  • Réadaptation permanente du dispositif réactif pour qu’il puisse répondre à l’évolution des cas.
• Réflexions permanentes sur la qualité des dispositifs cités précédemment
  • La visibilité régulière sur les indicateurs de risque, en lien avec les facteurs de risque, permet de suivre l’efficacité des mesures prises et de renforcer le dispositif préventif.

3.  Etape 3 : réaction ou réajustement : nécessité de renforcer les mesures

Les indicateurs de risque illustrent l’aggravation du risque (en fréquence principalement) avec des indicateurs indirects qui progressent également (dans notre cas, les indicateurs économiques).

Le dispositif détectif illustre l’inefficacité des dispositifs préventifs. Les chiffres parlent et sont interprétés. Il s’agit :

• D’agir sur les déplacements et l’activité
  • Fermeture des frontières
  • Limitation de l’activité économique
• De renforcer le dispositif préventif en complément des mesures préconisées
  • Confinement des personnes (renforcement du dispositif préventif selon les facteurs de risque)
  • Protection des personnes-clés (dans le monde médical et le monde économique)
  • Poursuite des recherches pour trouver les causes et donc les remèdes adaptés.
• D’adapter le dispositif détectif selon l’évolution du préventif
  • Contrôle de la qualité du confinement (en plus des autres dispositifs en place)
• Renforcement des mesures correctrices
  • Mise en place de sanctions pour aider au respect du dispositif préventif.

A ce stade, le dispositif détectif évolue peu. La recherche des causes racines continue pour tenter de réduire puis d’éradiquer le risque en trouvant le(s) plan(s) d’action(s) adéquat(s).

Les indicateurs de risque restent pertinents car révélateurs de l’efficacité des plans d’actions mis en œuvre.

4.  Les premières conclusions sur le rôle-clé de la cartographie des risques

De cette illustration d’actualité, il est possible de mettre en avant les incontournables de la cartographie des risques.

• La cartographie est l’outil pour construire des indicateurs de pilotage de l’activité afin d’adapter les contrôles aux risques et enjeux réels.
• Les indicateurs de risque (surtout quand ils sont parlants et représentatifs[4]) sont essentiels pour faciliter les prises de conscience. A ce titre, la collecte des pertes et des incidents se doit d’être fiable (Cf les critiques sur la fiabilité des chiffres dans certains pays, volontairement ou non).
• Il est important de faire les liens entre les facteurs de risque et les indicateurs de risque pour prioriser le dispositif préventif selon ces facteurs. C’est pourquoi les échantillons sur la qualité des contrôles portent en grande partie sur les facteurs de risque.
• L’analyse causale est importante car c’est elle qui porte la pertinence des plans d’action. Tant que la cause racine n’est pas correctement identifiée, les plans d’actions sont inadaptés, ce qui peut s’illustrer par l’augmentation des indicateurs de risque.
• Lors de la survenance d’un scénario de crise (qui est, dans un premier temps, un enjeu d’impact et non de fréquence), selon l’évènement de risque, l’impact sera fonction de la fréquence des cas. C’est pourquoi, pendant le temps de la crise, le dispositif de maîtrise s’attachera en grande partie à réduire la fréquence, pour réduire in fine l’impact.

[4] Cf la question actuelle de la pertinence des données chiffrées. Que cherche-t-on à mesurer et à partir de quelle population de référence ?

• Le dispositif détectif est rarement le point faible dans la cartographie des risques. La cartographie permet de mettre en exergue la qualité du dispositif préventif. En revanche, lorsque le détectif se trouve démuni pour l’efficacité du préventif, seul un dispositif réactif/correctif peut faciliter la mise en œuvre effective du dispositif préventif.

Dans le contexte actuel, la cartographie permet le pilotage et facilite les réflexions sur la pertinence des indicateurs. De ces indicateurs, découlent des plans d’actions qui cherchent à modifier les comportements… rendant de ce fait la cartographie antérieure potentiellement obsolète :

• Les indicateurs de risque permettront d’anticiper l’ampleur de l’évolution de certains risques :
  • Augmentation des défauts des clients qui influera sur le risque de crédit
  • Augmentation des réclamations client (notamment sur les produits financiers qui auront perdu une part importante de leur valeur)
  • Augmentation des litiges avec les prestataires (selon la manière dont les contrats auront été rédigés et certaines mesures gouvernementales qui seront prises dont nous ne maîtrisons pas le contenu) etc.
  • Ces indicateurs permettent de s’assurer que les autres risques restent contenus dans des limites acceptables grâce aux contrôles préventifs.
• Les indicateurs relatifs aux facteurs de risque internes permettent de moduler l’ampleur de certains risques et ces facteurs internes de risque sont contingents à l’organisation.
• Enfin, seuls quelques contrôles apparaissent réellement clés et sont à surveiller au regard des deux indicateurs précédents.

La cartographie redonne du sens au dispositif préventif, y compris dans le contexte actuel. Par contre, elle ne nous permettra pas de prédire la sortie de crises et ses conséquences. Seuls comptent les indicateurs pour prioriser les actions au fur et à mesure de la réduction du risque de pandémie. Le gestionnaire de risque est par nature d’une extrême humilité.

Profitons néanmoins de cette période pour véritablement nous interroger sur la significativité des risques et des contrôles et la pertinence de nos indicateurs … Tout en laissant les opérationnels gérer les urgences de manière pragmatique …