Identifier, évaluer et hiérarchiser les risques d'une usine : méthode en 4 étapes, matrice de criticité 5x5, lien avec le DUERP et prise en compte du risque de perte de compétences.
La cartographie des risques est une démarche qui identifie les événements pouvant empêcher une entreprise d'atteindre ses objectifs, évalue leur probabilité et leur impact, puis les représente dans une matrice pour décider lesquels traiter en priorité. Pour une PMI ou une ETI industrielle, c'est l'outil qui permet de passer d'une gestion des risques réactive à un pilotage structuré, partagé entre direction, qualité, production et HSE.
La norme ISO 31000 définit le management du risque comme une démarche de « création et de préservation de la valeur ». Elle n'est pas certifiable, mais elle donne le cadre de référence : intégrer le risque dans le pilotage, procéder de façon structurée et améliorer en continu.
Une cartographie utile couvre plusieurs familles de risques, car ils s'enchaînent souvent. Un arrêt de ligne peut venir d'une panne, d'un fournisseur en retard ou d'une absence sur un poste critique.
1. Identifier. Listez les risques qui pourraient empêcher d'atteindre vos objectifs, en vous appuyant sur ceux qui connaissent le mieux chaque processus : chefs d'équipe, opérateurs expérimentés, maintenance, qualité. Un atelier par processus donne de meilleurs résultats qu'un questionnaire envoyé par mail.
2. Analyser. Estimez pour chaque risque sa probabilité et son impact, et évaluez les mesures de maîtrise déjà en place ainsi que leur efficacité.
3. Évaluer. Comparez les résultats à votre seuil d'acceptation et choisissez un traitement : réduire, transférer (assurance, sous-traitance), accepter ou arrêter l'activité concernée.
4. Traiter et suivre. Pour chaque risque non accepté, définissez un plan d'action avec mesures, échéances, responsables et indicateurs de suivi, puis revoyez-le régulièrement.
La criticité se calcule en multipliant la probabilité (de 1 à 5) par l'impact (de 1 à 5). Le résultat se place sur une matrice, souvent appelée heat map, dont chaque case est colorée selon son niveau.
Exemple : un ransomware avec une probabilité de 3 et un impact de 5 obtient une criticité de 15. Si votre direction a fixé le seuil d'acceptation à 9, tout risque au-dessus de ce score nécessite un plan de traitement, et ceux en dessous sont acceptés et surveillés.
Deux bonnes pratiques améliorent la lecture :
La cartographie des risques ne remplace pas le document unique d'évaluation des risques professionnels (DUERP). Elle le complète à l'échelle de l'entreprise. Selon l'INRS, le DUERP doit être mis à jour au moins une fois par an dans les entreprises d'au moins 11 salariés, ainsi qu'après tout changement important des conditions de travail, et conservé pendant 40 ans avec ses versions antérieures.
Pour les risques liés à un équipement ou un procédé, la cartographie s'appuie sur une analyse détaillée comme l'AMDEC, qui identifie les modes de défaillance et leur criticité au niveau le plus fin.
Dans beaucoup de cartographies industrielles, le risque humain se limite à l'accident du travail. Pourtant, un poste que seul un opérateur sait tenir, une habilitation qui expire ou un départ en retraite non anticipé figurent parmi les causes d'arrêt les plus concrètes.
Pour le chiffrer, croisez votre cartographie des compétences avec vos postes critiques : combien de personnes sont autonomes sur chaque poste clé ? Quelle est la couverture en cas d'absence ? Un poste tenu par une seule personne se note naturellement avec une probabilité élevée et un impact fort. Le plan de traitement associé est connu : formation croisée, tutorat, standardisation des savoir-faire dans des modes opératoires accessibles au poste. Komin est un exemple d'outil qui permet de suivre cette polyvalence et de garder ces standards à jour.
Qu'est-ce qu'une cartographie des risques ?
C'est une représentation visuelle des risques d'une organisation, classés selon leur probabilité et leur impact, qui permet de prioriser les actions de prévention et de traitement.
Comment calculer la criticité d'un risque ?
En multipliant sa probabilité par son impact, chacun noté sur une échelle de 1 à 5. Un score de 15 correspond par exemple à une probabilité de 3 et un impact de 5.
Quelle différence entre cartographie des risques et DUERP ?
Le DUERP est une obligation réglementaire centrée sur les risques professionnels pour la santé et la sécurité des salariés. La cartographie des risques est plus large : elle couvre aussi les risques stratégiques, opérationnels, financiers, informationnels et de conformité.
À quelle fréquence la mettre à jour ?
Au moins une fois par an, et à chaque évolution majeure : nouvelle ligne, changement de fournisseur clé, réorganisation, incident significatif.
ISO 31000 est-elle certifiable ?
Non. ISO 31000 est une norme de lignes directrices sur le management du risque, qui sert de cadre de référence mais ne donne pas lieu à une certification.
"Avec Komin, nous avons documenté nos modes opératoires 10x rapidement qu'avec le papier"
- J. Cerruti (Responsable Méthodes & Industrialisation)
