Une cartographie des risques est un outil de pilotage qui sert à identifier, évaluer, prioriser et suivre les risques d’un périmètre donné. Elle devient utile lorsqu’elle relie événement, causes, conséquences, dispositifs de maîtrise, risque résiduel et plan de traitement. Sans ces liens, elle reste plus descriptive qu’opérationnelle.
Sommaire
- Définition
- Pourquoi cartographier ?
- Méthode en 8 étapes
- Indicateurs utiles
- Erreurs fréquentes
- Cartographie des risques avec MAPSI
Qu’est-ce qu’une cartographie des risques ?
Une cartographie des risques représente les risques d’une organisation selon une méthode explicite d’identification, d’évaluation et de priorisation. Elle oriente les décisions, les contrôles, les arbitrages et les plans de traitement.
Pourquoi cartographier ses risques ?
Cartographier rend visibles des expositions qui, sinon, restent implicites. Cela aide à prioriser les revues, affecter les responsabilités, relier les contrôles aux risques les plus significatifs et suivre l’évolution du risque résiduel.
Méthode en 8 étapes
1. Définir le périmètre
Le périmètre peut être une organisation, un processus, une activité, un projet ou un système d’information. Il doit rester pilotable.
2. Identifier les risques
Un risque utile relie un événement, une cause et une conséquence.
3. Évaluer les impacts
L’impact peut être financier, opérationnel, réglementaire, humain, réputationnel ou de disponibilité.
4. Évaluer la vraisemblance
La vraisemblance doit être documentée pour rendre les scores explicables.
5. Déterminer la criticité
La criticité combine généralement impact et vraisemblance.
6. Évaluer la maîtrise
Il faut documenter les mesures existantes, leur propriétaire et les preuves disponibles.
7. Déterminer le risque résiduel
Le risque résiduel correspond à l’exposition restante après prise en compte de la maîtrise existante.
8. Définir le plan de traitement
Le traitement peut viser à éviter, réduire, transférer ou accepter le risque selon le contexte.
Indicateurs utiles
- Nombre de risques critiques.
- Risques sans propriétaire.
- Plans en retard.
- Évolution du risque résiduel.
- KRI suivis ou absents.
Erreurs fréquentes
- Confondre risque, cause et conséquence.
- Évaluer sans méthode explicite.
- Oublier les liens avec les actions.
- Ne jamais réviser la cartographie.
Cartographie des risques avec MAPSI
Les contenus publics de MAPSI montrent une logique de pilotage reliée à la qualification des risques, aux mesures de maîtrise, aux plans de traitement, aux indicateurs et aux revues de portefeuille. Voir la page gestion des risques, le contrôle interne et la page mère GRC.
FAQ
Une cartographie des risques est-elle forcément une matrice ?
Non. La matrice est un mode de visualisation fréquent, mais la valeur vient surtout de la méthode et des liens avec les actions et les revues.
Quelle différence entre risque brut et risque résiduel ?
Le risque brut est évalué avant prise en compte des mesures. Le risque résiduel représente l’exposition restante après la maîtrise existante.
Vous souhaitez structurer votre cartographie des risques dans MAPSI ?
Découvrir MAPSI pour la gestion des risques ou parler à un expert.