aRiskan : Connaître & Maîtriser les Risques

Cartographie globale des risques : pourquoi et comment ?

Bernard Barthélemy — 2010-08-28T15:26:26Z

La gestion des risques est aujourd'hui considérée par un nombre croissant d'entreprises comme un outil indispensable de pilotage et de communication. Généralement décidée par les administrateurs soucieux de mesurer le risque de leur investissement, la cartographie des risques est souvent réalisée par la direction, ou confiée à un consultant externe, tous deux procédant par recensement des risques génériques à l'activité de l'entreprise. Par exemple, le risque d'explosion d'un réservoir est clairement un risque générique majeur pour une entreprise opérant des dépôts pétrochimiques. Ce risque n'existe cependant pas sur tous les dépôts avec la même acuité. Comment alors décider d'actions correctives qui par définition seront à mettre en œuvre sur chaque site ? En outre, certains établissements auront des risques qui leur sont propres, compte tenu de la nature des installations ou de la spécificité locale des activités. L'enfer est dans les détails : une telle approche n'aurait pas identifié le risque d'explosion sur l'usine AZF à Toulouse.

Bien que cette méthode soit économique, et évite d'associer les opérationnels aux préoccupations de la direction, elle est trop macroscopique et ne permet ni de dénicher les vulnérabilités cachées, ni de bâtir un plan d'action opérationnel. Tout au plus permet-elle de définir les grandes catégories de risques, mais ne dispense pas d'un diagnostic sur le terrain.

Comment donc mener cette cartographie ?

Le diagnostic doit être conduit selon deux axes complémentaires : les processus d'une part et les installations d'autre part. Le premier permet d'identifier les insuffisances ou les dysfonctionnements de l'organisation. Le second cible les failles dans la conception, l'adéquation, l'opération, l'entretien ou la maintenance des installations industrielles. Cette double approche requiert que l'auditeur ait à la fois la compétence traditionnelle du consultant, capable d'analyser les processus, et une connaissance technique suffisante pour comprendre les installations, en elles-mêmes et en regard des modes opératoires. Cette double compétence est rare. Seuls des ingénieurs ayant la double expérience de l'industrie et du conseil sont capables de l'avoir. Le choix de l'auditeur – interne ou externe - est donc primordial.

A quel niveau de l'organisation le diagnostic doit-il être conduit ?

Selon Machiavel, « ce que l'on a prévu est presque toujours sans risque ». L'auditeur doit donc conduire un exercice de maïeutique au plus près du terrain, tant il est vrai que seuls ceux qui vivent la réalité des opérations peuvent en percevoir les risques. L'encadrement pense qu'il faut écrire des modes opératoires et en imposer le strict respect, alors que les opérateurs savent que les modes opératoires ne peuvent pas toujours être respectés, et qu'ils doivent souvent s'en affranchir pour bien produire. En outre, l'expérience montre que l'affirmation de Machiavel, et la négation subjective du risque qu'elle suppose, croît avec la position hiérarchique, reconnaître une prise de risque dans les activités que l'on gère étant trop souvent perçu comme un aveu d'incompétence.

L'auditeur ira donc sur le terrain, rencontrera les opérateurs et les chefs d'équipe, se fera expliquer comment le travail est fait et visualisera simultanément les lieux et les équipements concernés. Sans aucune censure quant à leur réalité, il collectera ainsi des scénarios de risques, saynètes exprimant avec leurs mots les craintes des hommes de la production, et qui toujours auront trois composantes : le danger, les ressources affectées, et la nature des conséquences.

Le danger est l'évènement déclencheur du scénario. Ce peut être une erreur, un dysfonctionnement, ou tout autre évènement interne ou externe à l'organisation dont l'occurrence perturbera le fonctionnement normal de cette dernière.

Ce danger ne nous concerne que s'il affecte une ressource, c'est-à-dire un élément matériel ou immatériel nécessaire à la réalisation du processus industriel considéré.

Enfin, cet impact causera des dommages, de natures très différentes, ainsi qu'illustré ci-contre.

Reste que la compilation de ces scénarios est inutilisable tant qu'ils n'ont pas été quantifiés, qualifiés, et validés.

La quantification d'un scénario de risque repose sur deux grandeurs :

1. La probabilité d'occurrence du danger,

2. La somme des dommages pour chaque typologie d'impact.

Des grilles d'évaluation doivent donc être définies : peu importe qu'elles soient justes, il suffit qu'elles soient fidèles et reflètent la hiérarchie des préoccupations et des valeurs de l'entreprise. Le choix de ces grilles est un acte de management qui doit être validé au plus haut niveau de l'organisation.

Les scénarios de risque étant ainsi quantifiés, ils doivent être dotés d'attributs permettant de les classer et de les trier afin de communiquer sur la cartographie en fonction des intérêts de chacun au sein de l'entreprise.

On choisira par exemple les attributs suivants : le type de danger, la nature de la ressource impactée, voire la typologie principale du scénario.

Bien entendu, ces tables sont à ajuster en fonction des intérêts de l'organisation et peuvent d'ailleurs évoluer au fur et à mesure de l'élaboration de la cartographie.

Il importe ensuite de rattacher chaque scénario à la structure de l'organisation. On sera ainsi intéressé de savoir :

La localisation géographique du scénario,

Les dirigeants concernés par le scénario et sa maîtrise,

Les métiers ou processus impactés,

Etc.

On créera donc au début de la cartographie les tables permettant de créer les liens (1 à 1, 1 à n ou n à n) entre chaque scénario et les attributs le caractérisant.

La structure de la base de données de la cartographie des risques sera ainsi définie par un logigramme tel que celui-ci-dessous :

Il sera par ailleurs utile de créer pour chaque scénario un lien supplémentaire vers les actions le concernant, c'est-à-dire les mesures décidées pour mieux maîtriser le risque identifié.

Comment gérer ces données ?

Les scénarios de risques sont établis sur la base d'entretiens avec les dirigeants et opérationnels, la trame des entretiens étant la formalisation des processus concernés et non pas ex abrupto la recherche des scénarii. Ainsi de nombreux scénarios sont-ils identifiés, de criticité très variable. Il est fondamental de ne pas faire de sélection a priori : tous les scénarii doivent être gardés.

On se retrouve donc rapidement avec plusieurs centaines de scénarii, chacun ayant les attributs définis ci-avant.

Seule une base de données permet de gérer cette masse d'information et de faire les extractions et tris utiles.

Par ailleurs, la cartographie doit vivre : les opérationnels doivent l'amender et l'alimenter en permanence, valider les actions faites et modifier en conséquence la criticité des risques concernés, en créer de nouvelles, etc. Seul un outil informatique partagé, de type base de données en ligne, permet de faire de la cartographie un véritable outil de management et de reporting permanents.

Risque et comportement

Bernard Barthélemy — 2010-03-23T21:03:18Z

La sécurité a trois composantes :
La sécurité intrinsèque de l'outil de production,
La maîtrise organisationnelle du risque,
Le comportement des opérateurs au travail.

Par ailleurs, l'expérience nous apprend que :
Le risque est inhérent à l'activité humaine, le risque nul n'existe pas et la sécurité absolue est utopique,
Chacun a sa propre appréciation sur le niveau de risque acceptable, ce qui nous conduit à définir la sécurité comme le risque acceptable par tous,
La prise de risque est toujours justifiée à posteriori : elle ne doit pas être jugée mais comprise,
Le travail réel est toujours différent du travail prescrit.

Le comportement n'est donc que le compromis que chacun fait entre le travail qu'il doit accomplir, les contraintes qu'il subit, ses priorités personnelles, et sa perception du risque.

Il n'y a pas de mauvais comportement intrinsèque. Celui-ci n'est que le résultat de l'environnement technique et managérial dans lequel chacun évolue.

Ne pas avoir compris cela conduit à un clivage entre d'une part la direction et l'encadrement, et d'autre part les opérateurs. Les premiers pensent qu'il faut écrire des modes opératoires et en imposer le strict respect. Les seconds savent que les modes opératoires ne peuvent pas toujours être respectés, qu'ils doivent souvent s'en affranchir pour bien produire, et que la prise de risque devient inévitable.

De ce clivage naissent incompréhensions et antagonisme. L'encadrement ne comprend pas les opérateurs. Il recherche une panacée technico-organisationnelle pour pallier ce qu'il croit être un comportement irréfléchi des opérateurs.

Interrompre ce qui devient un cercle vicieux impose de comprendre que la sécurité est un état de risque accepté.

La difficulté est que chacun a un niveau d'acceptation de risque qui lui est propre et variable selon les circonstances. De plus, si je suis binaire - être ou ne pas être en sécurité - je ne peux établir un dialogue sur le risque acceptable.

C'est pourquoi, il faut passer d'une culture sécurité à une culture du risque.

En premier lieu, il faut admettre que le comportement est un fait légitime, qui se justifie rationnellement. L'opérateur fait un choix implicite mais rationnel selon des priorités qui lui sont propres et ne sont pas celles du système organisé dans lequel il évolue, et peuvent a posteriori avoir un effet contraire à celui prévu par le système, par manque d'observation et de compréhension de ce dernier. La connaissance de ces mécanismes de prise de décision - donc de prise de risque -est la clé de la compréhension du comportement et donc de l'amélioration de la sécurité.

En second lieu, il faut reconnaître que le comportement ne peut pas être normalisé : les initiatives participent à la performance de l'entreprise, et simultanément elles créent le risque d'échec.

Les initiatives (actions) sont la plupart du temps couronnées de succès, mais parfois conduisent à l'échec. Les échecs se partagent comme les réussites.

L'organisation qui ne valorise pas ses échecs est elle-même en potentiel d'échec.

Comment donc utiliser ces constats pour mieux contrôler le mécanisme individuel de prise de risque ?

Il faut tout d'abord faire le constat des facteurs de prise de risque, sur des populations homogènes et des activités définies, en prenant en compte les représentations individuelles et collectives des activités.

Ce constat a pour objet :
De déterminer le niveau de tolérance au risque de tous les acteurs,
D'identifier les outils qui peuvent servir de levier à une évolution comportementale,
De connaître les flux d'information et leur efficacité sur la connaissance des risques réels,
D'identifier des pratiques comportementales, tant au niveau de la direction et de l'encadrement qu'à celui des opérateurs.

Les actions à engager par la suite ont pour objectif l'évolution comportementale :

De la direction :
Comprendre la nature du risque,
Recadrer la politique et les actions en cours.

De l'encadrement :
Comprendre son rôle comportemental,
Adopter de nouvelles méthodes.

Des opérateurs :
Ne plus avoir peur des échecs,
Etre persuadé par l'attitude de la hiérarchie,
Constater des améliorations qualitatives et quantitatives,

Chaque acteur est ainsi amené à comprendre son comportement sur la base de situations réelles internes et externes. La base est l'entrée dans la culture du risque. La connaissance d'un risque à un moment donné est une réussite et non un échec. IL faut travailler sur ce changement de culture. Les flux d'informations sur les risques doivent devenir des indicateurs de performance (mise en place d'indicateurs positifs sur la sécurité : indice de vigilance et indice de mobilisation).

Il faut apprendre aux acteurs à lire le risque, à l'exprimer en le dépassionnant, à le positiver. C'est la clé de la prévention des risques.


Diagnostic Pratique du Comportement

A quoi sert l'entreprise ?

Bernard Barthélemy — 2009-06-30T17:31:10Z

A quoi sert l'entreprise ? La question peut surprendre. Elle est cependant légitime à l'heure où la crise financière et économique remet en cause notre modèle de société.

De façon traditionnelle, l'entreprise est une entité productrice de biens ou de services répondant à la demande d'un marché, dans le but de créer un profit pour ses actionnaires. Au cours des dernières décennies, cette définition s'est restreinte, l'objectif étant de générer un profit maximal à court terme pour les actionnaires, ces derniers n'étant plus quelques investisseurs individuels ou institutionnels, mais un grand nombre de petits porteurs soucieux de la rentabilité immédiate de leur portefeuille. La bourse est ainsi devenu le seul indicateur d'arbitrage. Les mouvements ont explosé, dans l'espoir d'un profit rapide ou la crainte d'une perte. La valeur a cessé de représenter le profit potentiel pour fluctuer au gré des rumeurs. Le marché s'est déconnecté de la réalité économique. Il est devenu un jeu virtuel très instable. Cela ne pouvait pas durer. Les mouvements financiers n'ont jamais créé de valeur. Rappelez-vous cette histoire : deux bijoutiers juifs de Canal Street se revendent entre eux des bijoux, avec une marge confortable. Tous deux sont satisfaits, jusqu'au jour où l'un des deux vend ses bijoux à un tiers. Le système alors s'effondre immédiatement.

Le plus grave, c'est que pour afficher de bons résultats à court terme, les entreprises ont réduit leurs coûts, en faisant pression sur leurs fournisseurs et en augmentant la productivité de leurs salariés tout en réduisant la masse salariale. L'accès au crédit facile a permis quelque temps de maintenir l'illusion d'un maintien du pouvoir d'achat.

Deux mots résument cette évolution aux conséquences funestes : égoïsme et aveuglement.

Egoïsme car la satisfaction, voire l'enrichissement personnel ont non seulement prévalu, mais sont devenus des valeurs exemplaires. Les corsaires de l'entreprise, fortunes énormes en peu de temps, sont devenus des modèles, voire ont été nommés ministres ! Cet égoïsme montré en exemple a justifié bien des comportements asociaux : peu importe les dégâts, je veux réussir !

Aveuglement, car personne n'a voulu voir qu'un tel modèle n'était pas tenable. Que les entrepreneurs ou boursicoteurs se disent « après moi le déluge », passe encore, mais que l'état, garant de la pérennité de la société, ferme les yeux – voire même soit séduit par le chant des sirènes « Bling Bling » - voilà qui est intolérable.

Cette crise nous servira-t-elle a prendre conscience de nos erreurs ? Remplacerons nous l'égoïsme par la solidarité, sans laquelle aucune société ne peut survivre ?

Ne faison pas d'angélisme. La solidarité est une valeur peu compatible avec l'économie libérale non contrôlée.

Il faut donc introduire du contrôle, mais sans pour autant tomber dans un modèle « soviétique » qui a montré ses limites.

Deux voies s'ouvrent aux gouvernants : la réglementation ou le contrôle.

La première voie consiste à construire un cadre légal et réglementaire limitant en amont l'espace de liberté de l'entreprise. Par exemple, interdire les licenciements lorsque l'entreprise fait des profits. Un tel cadre n'est pas réaliste, car il suppose que les règles soient les mêmes dans tous les pays.

La seconde voie est d'imposer aux organisations qu'elles justifient que leurs activités sont créatrices de valeur pour toutes les parties prenantes, et pas seulement pour ses actionnaires. Nous parlons ici d'organisations, et non plus seulement d'entreprises, car cette voie concerne aussi les collectivités publiques.

Comment donc mettre en œuvre cette seconde voie ?

En premier lieu, un cadre normatif doit permettre de mesurer ces performances. C'est ici que Gestion des risques et Création de valeur se rejoignent.

En effet, gérer une organisation, n'est-ce-pas savoir prendre les « bons risques » ?

Reste à définir les risques : ce sont les évènements fortuits ou voulus ayant un impact sur les attentes des parties prenantes.

Mais qui sont les parties prenantes ? Ce sont tous ceux qui sont affectés directement ou non par les activités de l'entreprise. Ce sont les actionnaires (ou les contribuables), les salariés, les fournisseurs, les clients, les administrés. Ce sont aussi les citoyens, soucieux d'éthique, de qualité de vie, de développement durable. C'est enfin l'état garant du respect de la loi.

La mesure de la création de valeur a donc pour image « en creux » la mesure de la prise de risque pour toutes les parties prenantes.

La cartographie globale des risques devient ainsi non seulement un outil de pilotage des organisations, mais aussi un système normé de communication sur le rôle sociétal de l'organisation.

Gestion des risques : la fin du cloisonnement grâce à l'ISO 31000 ?

Bernard Barthélemy — 2009-01-27T06:45:16Z

Le danger n'a pas d'étiquette.

Si j'observe un danger, je ne pourrai pas le classer dans une catégorie d'impact telle que les atteintes aux personnes, à l'environnement, à la qualité, aux ressources financières, aux actifs matériels, etc…

Ce n'est qu'en identifiant le scénario de risque que ce danger peut générer que je peux identifier les impacts qu'il aura en frappant une ressource.

Par exemple, un danger d'explosion dans un atelier de peinture aura des impacts divers, tels que :


Scénarios de Risques

Dommages corporels,
Dommages matériels,
Atteintes à l'environnement (rejets),
Interruption de production,
Perte d'image,
Engagement de responsabilité civile ou pénale,
Etc…

Cependant, pour des raisons historiques et de compétences spécifiques, la gestion des risques est traditionnellement cloisonnée selon la nature des impacts. En effet, les préoccupations ont évolué en fonction des enjeux : qualité et sécurité incendie dans les années 50, puis environnement, sécurité informatique, intrusion, enfin gestion des ressources humaines, image, responsabilités sociétales.

C'est ainsi que dans l'entreprise, on trouvera des responsables et des systèmes spécifiques pour gérer les différents domaines de risque tels que :
Dommages aux actifs matériels,
Intrusion,
Qualité,
Environnement,
Sécurité des salariés,
Sécurité des systèmes d'information,
Responsabilité civile et pénale,
Risque financier,
Risque clients,
Etc…

Dans chacun de ces domaines, l'entreprise a désigné un responsable qui développe ses propres méthodes d'identification et de maîtrise des risques et ignore les dommages collatéraux dans les domaines qui ne le concernent pas.

Par exemple, un accident du travail cause un dommage corporel identifié dans le cadre du Document Unique requis par la loi, mais le chargé de sécurité en charge de cette analyse ne mesure généralement pas les conséquences pénales éventuelles, les dommages aux biens, ou encore l'impact médiatique de cet accident.


Logigramme ISO31000

Ce cloisonnement a été renforcé par l'élaboration successive et indépendante des normes, référentiels et autres outils de gestion des risques. On aura ainsi les référentiels ISO 9001, ISO 14001, OHSAS 18001 (ou ILO-OSH 2001) pour la qualité, la sécurité et l'environnement, mais aussi des recommandations APSAD pour la préservation des biens, la norme ISO 27002 pour les systèmes d'information, etc…

Ce cloisonnement est source de doublons, d'oublis, de gaspillage d'énergie et d'argent et d'actions conflictuelles.

La cartographie globale des risques permet de décloisonner la démarche et fournit aux différents experts les éléments leur permettant de gérer leurs risques en cohérence avec les impacts collatéraux.

Sur le plan normatif, l'australie et la nouvelle-zélande ayant ouvert la voie, l'AFNOR vient de soumettre à enquête probatoire un projet de norme NF ISO 31000 intitulée Management du Risque.

Dans son introduction, la norme précise bien son objet :

« Les organismes de tous types et de toutes tailles sont confrontés à divers risques susceptibles d'affecter l'atteinte de leurs objectifs. Ces objectifs peuvent concerner un ensemble d'activités de l'organisme, depuis ses initiatives stratégiques jusqu'à ses activités opérationnelles, ses processus et ses projets, et se décliner en termes de résultats et d'impacts stratégiques, opérationnels et financiers ainsi que de réputation. Toute activité d'un organisme implique des risques. Le management du risque apporte une aide à la prise de décision par la prise en compte de l'incertitude et de son effet sur l'atteinte des objectifs, et à l'évaluation de la nécessité de chaque action (…). La même approche de management du risque peut être adoptée pour toutes les activités d'un organisme, y compris les projets, les fonctions spécifiques, les actifs et les produits ou activités, renforçant ainsi la liaison entre ces activités et les objectifs globaux de l'organisme. »

La norme ISO 31000 ouvre la porte à une gestion globale et plus rationnelle au sein de l'entreprise.

Le logigramme présenté ci-dessus illustre les relations entre les principes de management du risque, le cadre organisationnel et le processus de management du risque décrits dans cette norme.

Assistance à l'élaboration du Plan de Continuité d'activité

Bernard Barthélemy — 2009-01-08T10:07:06Z

Votre entreprise prend et subit des risques liés à votre activité ou à votre environnement. Vous les connaissez, vous en avez identifié les causes et mis en oeuvre des mesures de prévention. Néanmoins, certains d'entre eux demeurent inacceptables, car si l'événement redouté se produisait, la survie même de votre entreprise serait menacée.

Vous souhaitez donc disposer d'un Plan de Continuité des Activités (PCA).

Un PCA est un ensemble de mesures visant à assurer, selon divers scénarios de crise, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des activités essentielles de l'entreprise puis la reprise planifiée des activités.

Un PCA s'inscrit donc dans une stratégie plus globale de gestion des risques comprenant trois étapes principales : 1. La cartographie globale des risques, c'est-à-dire l'identification des scénarios de risques, puis leur quantification en termes de probabilité d'occurrence et de gravité cumulée sur différentes échelles d'impacts, 2. Le plan de prévention des risques, visant par des mesures techniques, juridiques et d'organisation, à limiter la probabilité d'occurrence des scénrios précédemment identifiés, 3. Le plan de protection, ayant pour objet de limiter les impacts des scénarios et comprenant en particulier des instruments financiers (assurances) et un PCA.

Le PCA doit donc être établi sur la base de scénarios issus de la cartographie des risques et pour lesquels les plans de prévention et de protection n'auront pas été jugés suffisants pour que leur criticité soit jugée acceptable.

Par ailleurs, un PCA ne doit en aucun cas être considéré comme la réponse universelle à tous les évènements graves. Ce n'est qu'un outil permettant de disposer des ressources et de prendre les bonnes décisions sans perte de temps inutile. Le PCA est une aide à la décision pour ceux qui – convenablement formés et dûment responsabilisés – auront à le mettre en œuvre.

ARISKAN peut vous assister de la façon suivante dans l'élaboration de votre PCA :

Le Plan de Secours
Comment protéger les personnes et les biens ?
Comment appeler et accueillir les secours ?
Que peut-on sauver, et comment ?
Comment communiquer avec le personnel, les autorités, les partenaires ?

Nous préparons avec vous les dispositions destinées à préserver les ressources vitales de votre entreprise, à optimiser l'organisation des secours, à organiser la communication interne et externe immédiate, à savoir :
Identification des périls pouvant conduire au sinistre et choix consécutif des objectifs de survie,
Système de veille permettant de détecter rapidement le sinistre,
Choix des actions immédiates,
Traduction de ces choix en procédures opérationnelles,
Moyens d'information et de formation éventuelle de vos opérationnels et des acteurs extérieurs à votre entreprise devant être impliqués.

Le Plan de Redéploiement Temporaire
Priorité à quels produits, à quels services, à quels clients ?
Abandon de certaines activités, ou retour prévu sur le marché ?

Nous examinons avec vous vos objectifs (produits, clients, marchés) et votre organisation. En tenant compte du Plan de Secours précédemment établi, nous simulons l'impact des sinistres recensés, et en particulier du Sinistre Maximum Possible, sur les fonctions contribuant à vos objectifs.

Nous en déduisons en commun :
les fonctions vitales devant être préservées,
les activités devant être maintenues, et leur niveau de maintien,
les activités devant être temporairement suspendues ou définitivement abandonnées.

Le Plan de Redémarrage
Pour quels produits ou services ?
Sur quel site et avec quels moyens ?
Avec quels fournisseurs et sous-traitants ?

Sur la base du plan précédent, nous vous assistons dans la recherche et la définition :
des lieux (sites, locaux) internes ou externes où vos activités vitales pourront être maintenues,
des ressources (machines, hommes, logistique, moyens généraux) à affecter à ces activités,
des fournisseurs et sous-traitants devant être sollicités, et les accords devant être éventuellement conclus avec ces entreprises,
de l'organisation temporaire à mettre en place,
de vos besoins de trésorerie exceptionnels.

Le Plan de Communication
Quels clients informer en priorité, et comment ?
Comment dialoguer avec ses partenaires, la presse, les autorités ?
Quel est le coût de ce plan, et comment le financer ?

Au-delà de la communication initiée dès la crise, nous vous assistons dans votre communication à moyen terme, afin :
de maintenir le contact avec votre clientèle, en particulier celle qui peut être pénalisée par une qualité du service dégradée,
de soutenir votre personnel dans une phase de stress et d'inquiétude,
de rassurer vos fournisseurs et sous-traitants,
de répondre aux questions des autorités et des médias,
de faire taire les rumeurs nécessairement négatives,
de ne pas laisser le terrain à la concurrence,
de préparer le retour progressif à la normale.

Gouvernance-Risque-Conformité : le triangle d'excellence

Bernard Barthélemy — 2009-01-08T08:56:10Z

La première victime de la crise financière et économique de 2008 sera sans doute la réglementation, bien qu'il soit tentant de réclamer toujours plus de règlementation, et que les gouvernements vont sans doute devoir rassurer les populations paniquées par des règlementations chargées de symboles y contribueront telles que limitation des rémunérations des dirigeants, suppression des parachutes dorées, et assainissement du marché immobilier.

Est-ce vraiment la bonne solution ?

Sûrement pas, s'il n'existe aussi une révolution des esprits et un retour vers une valeur fondamentale, la solidarité, qui permet de mieux comprendre qu'on réussit ou sombre ensemble, que ce soit au niveau de l'entreprise, de la collectivité locale, de la nation mais aussi du monde.

C'est pourquoi, s'il faut que les gouvernants contrôlent l'économie libérale, une fenêtre d'opportunité s'ouvre pour eux pour autant qu'ils sachent construire un cadre légal et réglementaire international, renouvelé pour garantir l'alignement des intérêts à court terme de chacun avec les intérêts à long terme de la société.

Dans ce contexte, le triangle d'or GRC, pour Gouvernance-Risque-Conformité, pourrait devenir la clef de voûte d'un monde reconstruit.

La GRC est une réponse aux attentes économiques de l'organisation et aux obligations légales ou implicites imposées par la Société.

C'est la clé de voute du Développement Durable.

Ce défi commun est bien résumé par cette citation de Jeanette Ward, Primary Credit Analyst at Standard & Poors :

« Dans une culture de conformité, quand on arrive a un passage pour piétons, on s'arrête lorsque le rouge piéton clignote, il n'est pas question de traverser. Dans une culture de gestion des risques, on regarde le feu pour les véhicules, on regarde à gauche et à droite pour voir si des véhicules arrivent, et si la voie est libre, on traverse ! »

La GRC, c'est donc :

Une gouvernance fondée sur des objectifs et une échelle des valeurs,
Un respect des contraintes et attentes sociétales,
Un système organisé de mesure des dérives ou accidents par rapport à ces objectifs, ces enjeux et ce souci de conformité,
Une réactivité permanente,
Une communication efficace.

Pour être efficace, un système de gouvernance doit donc prendre en compte les considérations essentielles qui suivent :

Le respect des dispositions légales ou réglementaires ne suffit pas, il faut surtout faire ce qui est juste pour les parties prenantes,
L'approche ne doit pas se limiter aux conseils d'administration et aux comités. Il s'agit d'imprégner l'ensemble de l'organisation, en incluant des contrôles internes et des fonctions de conformité comme la gestion des risques et l'audit, interne et externe,
La transparence est de rigueur : une communication financière effective, des instruments de mesure appropriés, et une responsabilisation des acteurs sont des éléments essentiels pour une bonne gouvernance.

La gouvernance ne peut pas se limiter à l'efficacité économique ou à la création de valeur pour les actionnaires.

Les dirigeants doivent revoir leurs objectifs en prenant en compte l'ensemble des composants de la valeur pour toutes les parties prenantes.

C'est pourquoi, pour asseoir l'avenir d'une organisation, garantir sa résilience dans la tempête, il faut que chacun repense une philosophie de l'action en reposant la question des missions de la société prise dans sa globalité. En réalité, une conduite éthique passe par la définition de valeurs claires et comprises de tous, définissant une frontière que l'on ne veut pas franchir. Mais cette limite, au-delà de laquelle il n'existe qu'un champ de mines prêtes à exploser à tout moment, n'est pas universelle : elle varie d'une personne à l'autre, d'une entreprise à une autre, d'un État à l'autre, elle est partie intégrante de la culture.

En particulier, au niveau de chaque entreprise, pour « vivre et grandir ensemble », il faut que les dirigeants donnent l'exemple et définissent ce cœur de valeurs communes qui attireront et retiendront les collaborateurs compatibles.

Vivre l'éthique au quotidien, ce n'est pas se poser la question : « pourrais-je faire cela ? » (C'est-à-dire : est-ce légal, dans les limites des lois et règlements ?), mais la remplacer par la question supérieure : « devrais-je agir ainsi ? » (C'est-à-dire : est-ce en accord avec mes principes, pourrai-je me regarder demain dans un miroir, si ma décision fait la une des journaux, pourrai-je regarder en face mes collègues, mes collaborateurs, mes amis, mon conjoint, mes enfants ?).

En un mot, la question de l'éthique ne pourrait-elle pas se résumer en une nécessité vitale : n'est-il pas grand temps, tout simplement, replacer l'Homme au centre de tout dispositif économique ?

Éthique et gouvernance sont au cœur du processus de création de réputation, c'est-à-dire de l'élaboration d'une image positive, et sont un ingrédient stratégique de la résilience dans la tempête. La confiance de l'ensemble des parties prenantes est l'outil ultime de la survie dans une société, tellement conduite par l'image !

Les six principes de la bonne gouvernance qui pourraient servir de source d'inspiration alors que les dirigeants de la planète cherchent à trouver un nouveau souffle pour faire repartir le moteur de l'économie mondiale pourraient être les suivants :

Les efforts et les moyens de l'organisation doivent être engagés exclusivement pour la satisfaction des utilisateurs et des citoyens,
Chacun doit travailler efficacement dans le cadre de missions et de rôles clairement définis,
Les valeurs de l'organisation doivent être affichées et appliquées dans la pratique dans l'ensemble de l'organisation,
Les décisions doivent être prises de façon transparente et informée, en intégrant la gestion des risques associés à ces décisions,
Les dirigeants doivent être formés à cet état d'esprit,
Une communication effective avec l'ensemble des parties prenantes doit être organisée et rendre compte des résultats.

En clair ces principes sont finalement ceux sur lesquels repose la confiance, clé de voûte de tout système économique qui s'éloigne du troc.

Cette fenêtre qui s'est ouverte pour les dirigeants politiques est aussi celle qui s'ouvre aux professionnels de la gestion des risques. Sauront-ils la saisir ?

Nota : Ce document est basé sur l'article de Jean-Paul Louisot publié dans RiskAssur Hebdo

Document Unique des risques professionnels (décret du 5 novembre 2001)

Bernard Barthélemy — 2009-01-08T08:54:46Z

Le décret n°2001-1016 du 5 novembre 2001 impose aux entreprises de formaliser sur un "document unique" les résultats de l'évaluation des risques pour la sécurité et la santé des travailleurs.

Ce Document Unique doit :
Comporter un inventaire des risques identifiés dans chaque unité de travail de l'établissement),
Etre mis à jour "au moins chaque année ainsi que lors de toute décision d'aménagement important modifiant les conditions d'hygiène et de sécurité ou les conditions de travail",
Etre tenu à la disposition du C.H.S.C.T., des délégués du personnel, du médecin du travail, de l'inspecteur ou du contrôleur du travail ou des agents des services de prévention des organismes de sécurité sociale…

ARISKAN peut vous assister dans l'élaboration du Document Unique. Pour chacune des Unités de Travail de votre établissement, nous identifions les dangers en visitant les installations et en dialoguant avec les personnels concernés.

Sur la base d'une typologie de dangers issue des travaux de l'INRS nous identifions ces derniers par Unité de Travail, puis les expositions des personnels à ces dangers, en prenant en considération l'organisation du travail et les mesures protectives déjà mises en place. Nous considérerons non seulement les sources potentielles d'accidents, mais aussi celles susceptibles d'entraîner la maladie, l'altération de la santé ou du bien-être, une gêne marquée ou un déficit fonctionnel grave.

L'identification des dangers nous aura permis de mesurer, à l'aide d'échelles préalablement validées, le premier des deux termes de la mesure du risque, à savoir la probabilité, produit de la probabilité d'existence du danger et de la fréquence d'exposition des agents à ce danger. Nous évaluons ensuite la gravité potentielle du dommage, toujours grâce aux échelles précédemment validées.

Chaque risque se positionne donc dans une matrice Probabilité-Gravité de hiérarchisation des risques permettant de définir les actions de prévention prioritaires.

Pour l'ensemble des risques ainsi identifiés et évalués, nous vous suggérons des actions permettant d'améliorer la maîtrise des risques, soit en réduisant la probabilité d'occurrence du risque (prévention), soit en réduisant ses effets (protection).

Nous vous fournissons votre Document Unique sous forme d'un classeur Excel, chaque feuille du classeur correspondant à une Unité de Travail.

Sur chaque feuille figurent les informations suivantes :

Le N° INRS du danger
La typologie du danger
L'opération ou la situation de travail pour laquelle existe le danger
La description précise du danger pour cette opération ou situation de travail
La description des dommages possibles
La probabilité et la gravité du risque
Le niveau du risque (produit de la probabilité et de la gravité)
La qualification du risque (de Acceptable à Critique)
Les actions de prévention à mener.

Enfin, un onglet de synthèse vous donne les résultats par Unité de Travail, ce qui vous permettra de visualiser les Unités de Travail les plus dangereuses et de mesurer ultérieurement vos progrès, lors de la mise à jour du Document Unique.

Diagnostic du niveau de maîtrise des risques pour les salariés

Bernard Barthélemy — 2009-01-08T08:48:23Z

Dans le cadre de votre démarche d'amélioration de la qualité et de la productivité, vous souhaitez élaborer et mettre en place une politique et un système organisé de réduction durable de vos risques professionnels. Outre les gains de compétitivité que cette politique dégagera, vous souhaitez qu'elle soit aussi un instrument de valorisation de votre image auprès de votre personnel et face à vos donneurs d'ordres. Enfin, vous voulez que cette démarche réduise votre exposition pénale et vous mette en conformité avec le Code du Travail, et plus particulièrement l'article L 4121-1 qui vous fixe trois objectifs majeurs : 1. La sécurité et la santé des travailleurs doivent être intégrés dans la conception des lieux et outils de travail, 2. Vous avez obligation d'évaluer les risques et d'organiser la prévention, 3. Vos salariés sont des acteurs à part entière de votre politique de sécurité.

Dans un premier temps, vous souhaitez mesurer votre niveau de maîtrise des risques professionnels. ARISKAN vous propose une approche confirmée qui repose sur un diagnostic conduit par un consultant expert en ce domaine, sur la base d'une méthode d'analyse et de quantification développée par ARISKAN. Au contraire de nombreux outils de diagnostic, elle ne repose pas sur un questionnaire fermé souvent mal adapté aux spécificités des entités auditées. La notation s'obtient par le biais de critères notés a posteriori par notre consultant après la collecte in situ des faits permettant la notation.

Les critères donnent naissance à six indicateurs de performance, qui jalonnent une démarche de type PDCA et couvrent les trois aspects de la sécurité, à savoir : 1. La sécurité technique : machines, matériels et équipements sûrs et conformes à la réglementation, 2. La maîtrise organisationnelle du risque, 3. Le comportement des opérateurs au travail.

Le diagnostic conduit aux résultats et livrables suivants : 1. Votre tableau de bord de la sécurité, constitué des six indicateurs, vous permettant de définir vos actions prioritaires et de mesurer vos progrès, 2. Une note de synthèse à l'attention de la direction, 3. Les constats faits lors de l'audit, et justifiant les notes accordées, 4. Nos recommandations pratiques pour bâtir votre plan d'action.

Le court terme est suicidaire

Webmaster — 2009-01-04T08:35:15Z

Toute entreprise doit satisfaire les attentes de ses actionnaires, de ses salariés, de ses clients, et des citoyens.

Les actionnaires espèrent la valorisation de leur investissement par le versement de dividendes et la valorisation de leur participation au capital,

Les salariés souhaitent la juste rémuneration de leur travail et la stabilité de leur emploi.

Les clients recherchent des produits ou services d'un bon rapport qualité-prix.

Les citoyens enfin veulent des entreprises responsables, respectueuses de la loi et soucieuses d'éthique et de développement durable.

La société ne se sépare cependant pas en quatre groupes indépendants. Par exemple, chaque salarié est aussi client et citoyen, et même souvent actionnaire. Oublier cette interrelation conduit au dérèglement du système, ainsi que nous venons de le constater.

En effet, l'actionnaire est devenu trop exigent. Il a demandé un profit à court terme exhorbitant. L'entreprise, pour le satisfaire, n'a eu d'autre choix que de :

Réduire ses charges, en faisant pression à la baisse sur les salaires, aidée en cela par un fort chômage déséquilibrant le rapport de forces en sa faveur,
Prendre des risques, en s'engageant sans analyse de risques dans des investissements, projets, diversifications hazardeux,
Renoncer aux investissement de sécurisation et de pérénisation de l'entreprise.

Le marché, au lieu de sanctionner la gestion prudente et saine, a valorisé la prise de risque inconsidérée. Licenciez, et votre cours augmente ; investissez pour le long terme, et ce cours s'effondre.

Il est très instructif de constater qu'un grand groupe a récemment cru bon de racheter ses actions avant d'investir pour assurer sa pérennité, conscient que la baisse des profits à court terme résultant de ces investissements conduirait à la baisse de son cours et donc à la défiance des partenaires financiers dont elle avait justement besoin pour financer ses investissements !

La crise que nous vivons est la conséquence de notre schizophrénie. Nous n'en sortirons durablement que si la gestion des risques devient un outil de pilotage et de communication imposé aux entreprises par ses partenaires, et en premier lieu par les autorités de régulation des marchés et les pouvoirs publics.

Une cartographie globale des risques, selon un modèle et des critères de mesure reconnus, permet de mesurer le niveau de prise de risque de l'entreprise publique ou privée (ainsi d'ailleurs que des collectivités).

Les quatre parties concernées (actionnaires, salariés, clients, citoyens), mais aussi l'état, peuvent ainsi se positionner par rapport à l'entreprise et arbitrer leurs choix en toute connaissance.

La Banque de France et les agences de notation, qui aujourd'hui jugent principalement sur les résultats financiers, lesquels ne reflètent souvent que la chance passée de l'entreprise, seraient bien inspirées d'adopter une démarche concertée de notation unique et fondée, non pas sur les succès du passé, mais sur les prises de risque du futur.

Diagnostic de vulnérabilité au risque de dommage aux actifs matériels

Webmaster — 2008-12-27T13:31:23Z

L'intégrité et la disponibilité de vos actifs corporels (bâtiments, matériels, installations techniques et installations générales) sont des facteurs importants de la productivité de votre entreprise, et de la pérennité du service à la clientèle.

Bien, que vous ayez déjà mis en place des moyens techniques et d'organisation ayant un impact positif sur les risques que vous avez identifiés, vous aimeriez aujourd'hui disposer d'un diagnostic systématique mettant en lumière :
Vos ressources vulnérables, c'est-à-dire celles pour lesquelles la probabilité d'indisponibilité est la plus grande, en particulier vis-à-vis du risque d'incendie, Vos ressources sensibles, c'est-à-dire celles dont l'indisponibilité aurait les plus graves conséquences pour votre activité, en termes de dommages directs mais aussi en ce qui touche les conséquences indirectes (pertes d'exploitation, perte de clientèle, atteinte à votre image),
L'estimation financière de ces conséquences directes et indirectes.

Ce diagnostic doit vous permettre de bâtir un Plan de Prévention justifié en regard de vos enjeux économiques, et de transférer de façon optimale le risque résiduel à votre assureur.

ARISKAN vous offre de combiner en une seule prestation deux produits complémentaires, à savoir :
Le diagnostic du niveau de maîtrise du risque de Dommages, sur la base de l'Abonnement Prévention Conseil Incendie (APCI) tel que prévu par la règle R11 des assureurs,
L'Estimation Préalable d'Assurance (EPA), couvrant la valeur de reconstitution de vos actifs et l'estimation des conséquences directes et indirectes des sinistres affectant vos ressources les plus critiques.

L'EPA – outre son objet traditionnel d'assiette de votre prime d'assurance - quantifie vos enjeux en termes financiers, et permet donc de hiérarchiser et de justifier les mesures préventives résultant de l'APCI.

Bien entendu, si vous disposez déjà des éléments financiers récents résultant de l'EPA, c'est-à-dire les coûts de reconstitution des bâtiments, matériels, et installations générales et que vous disposez des éléments de comptabilité analytique permettant l'appréciation des pertes d'exploitation résultant de sinistres localisés, il ne sera pas nécessaire que nous exécutions l'EPA. Nous utiliserions alors les éléments issus de cette dernière et de votre compte d'exploitation analytique.

Sur la base de cette cartographie quantifiée, ARISKAN vous accompagne :
Dans la sélection des mesures préventives et protectives les plus adaptées et les plus économiques,
L'élaboration de votre Plan de Continuité d'Activités (PCA).