Cartographie des risques : exemple commenté pour le conseil

Une cartographie des risques entreprise, pour reprendre un exemple concret, se présente le plus souvent comme un tableau ou une matrice qui recense chaque risque identifié, lui attribue une fréquence de survenance et un niveau d'impact, puis le classe par ordre de gravité. L'article Wikipédia consacré à la notion la définit ainsi dans le contexte de l'entreprise : elle « consiste à recenser les risques et à les synthétiser sur un document dans lequel ils seront placés en tenant compte de l'impact en cas de survenance du risque et de la fréquence de réalisation du risque ». Pour un conseil d'administration ou de surveillance de PME ou d'ETI non cotée, ce document n'est ni une formalité réglementaire générale ni un exercice réservé aux grands groupes : c'est un outil de pilotage que le conseil doit savoir lire, interroger et faire vivre, même en l'absence d'obligation légale qui s'imposerait à toute société. Cet article présente un exemple commenté, les textes qui encadrent certains cas particuliers, et les erreurs qui rendent une cartographie inutile en séance. Le panorama complet se trouve dans le guide de la gouvernance d'entreprise.

Cartographie des risques : définition et ce que dit (et ne dit pas) le droit

Il n'existe pas de définition légale unique de la cartographie des risques entreprise applicable à toutes les sociétés. La notion vient de la pratique de la gestion des risques et de disciplines comme l'audit interne, pas d'un article du code de commerce qui en imposerait le contenu à une PME ou une ETI non cotée. L'encyclopédie en ligne rappelle que le terme désigne un document qui recense les risques et les positionne selon deux axes : la gravité de l'impact en cas de survenance, et la fréquence à laquelle le risque est susceptible de se réaliser. Cette double lecture, impact et fréquence, est la base de toute matrice de risques, quel que soit le secteur.

Un cas particulier existe cependant : la cartographie des risques de corruption et de trafic d'influence. L'article 17 de la loi du 9 décembre 2016, dite loi Sapin II, impose à certaines entreprises un dispositif de prévention et de détection de la corruption organisé en huit mesures, dont la cartographie des risques figure parmi les piliers. L'Agence française anticorruption contrôle la mise en œuvre de cette obligation. Il faut bien distinguer cette cartographie sectorielle, centrée sur le risque de corruption, de la cartographie des risques opérationnels globale que la gouvernance met ici en avant : la première peut être une obligation pour les entreprises concernées, la seconde reste un choix de gestion, recommandé par les bonnes pratiques mais non imposé par une loi générale aux PME non cotées.

Le conseil d'administration, lui, est régi par l'article L225-17 du code de commerce : il compte de trois à dix-huit membres. Aucune de ces dispositions n'impose au conseil de produire lui-même la cartographie des risques, mais son rôle de contrôle et de vérification, que la définition même de la société anonyme attribue au conseil, en fait le destinataire naturel de ce document, et souvent celui qui doit en exiger la mise à jour.

Pourquoi un conseil de PME ou d'ETI doit s'en préoccuper

Dans une société anonyme, le conseil d'administration détermine les orientations de l'activité et procède aux contrôles et vérifications qu'il juge opportuns, selon la description qu'en donne la fiche officielle consacrée à la société anonyme. Sans cartographie des risques, cette mission de contrôle repose uniquement sur ce que la direction générale choisit de dire en séance. Avec une cartographie, même simple, le conseil dispose d'un support qui ne dépend pas de la mémoire ou de la bonne volonté du dirigeant au moment de la réunion.

Un comité d'audit, lorsque le conseil en a constitué un, est souvent le lieu où la cartographie est examinée avant d'être présentée en séance plénière. Dans une petite structure sans comité spécialisé, c'est le conseil lui-même, en formation plénière, qui doit assumer cette lecture critique. L'absence de comité ne dispense pas de l'exercice : elle le rend seulement plus direct.

La doctrine de l'Autorité des marchés financiers, qui s'adresse aux sociétés cotées se référant au code Afep-Medef, consolide des recommandations publiées depuis 2009 sur le gouvernement d'entreprise, incluant des éléments relatifs à la prise en compte des enjeux sociaux et environnementaux par le conseil. Une PME non cotée n'est pas tenue par cette doctrine, mais elle peut s'en inspirer comme d'une pratique éclairante sur la manière dont un conseil structure son regard sur les risques, sans que cela constitue une obligation pour elle.

Cartographie des risques, exemple commenté : six blocs de risques

Pour rendre la définition opérationnelle, voici un exemple de cartographie des risques, présenté comme une hypothèse de travail et non comme un modèle universel. Une entreprise industrielle moyenne, non cotée, pourrait organiser sa cartographie autour de six blocs.

Premier bloc, les risques stratégiques : dépendance à un petit nombre de clients, retard dans l'adaptation d'un produit, perte d'un fournisseur clé. Deuxième bloc, les risques financiers : tension de trésorerie, dépendance à un seul prêteur, exposition à une variation de change si l'entreprise exporte. Troisième bloc, les risques opérationnels : panne d'un outil de production critique, perte d'un responsable clé sans plan de succession, défaillance d'un sous-traitant. Quatrième bloc, les risques juridiques et de conformité : non-conformité à une réglementation sectorielle, litige avec un partenaire, risque de corruption dans les relations avec des tiers au sens de la loi Sapin II. Cinquième bloc, les risques liés aux systèmes d'information : perte de données, interruption d'un système critique. Sixième bloc, les risques extra-financiers : enjeux sociaux et environnementaux de l'activité, que l'article 1833 du code civil, modifié par la loi PACTE, demande désormais à toute société de prendre en considération dans la gestion de son activité.

Chaque risque de ces six blocs est ensuite positionné selon sa fréquence estimée et son impact estimé, selon la logique même que décrit la définition de la cartographie des risques : recenser, puis synthétiser sur un document où impact et fréquence déterminent la position.

Cartographie des risques opérationnels : un sous-ensemble à ne pas isoler

La cartographie des risques opérationnels, troisième bloc de l'exemple ci-dessus, concentre souvent l'attention parce qu'elle touche à la production, à la chaîne logistique ou aux systèmes d'information : des sujets concrets, visibles, qui parlent aux administrateurs issus du monde de l'entreprise. L'erreur fréquente consiste à présenter au conseil uniquement cette cartographie opérationnelle, en omettant les risques stratégiques ou financiers, souvent plus structurants pour la pérennité de la société. Un conseil qui ne voit que la cartographie des risques opérationnels a une vision partielle : il doit demander à voir l'ensemble, y compris les risques qui touchent à la gouvernance elle-même, comme la dépendance excessive à un dirigeant ou l'absence de plan de succession.

La distinction entre risques opérationnels et risques stratégiques n'est pas qu'un classement théorique : elle détermine qui, dans l'entreprise, est responsable de la mesure corrective. Un risque opérationnel relève souvent d'un responsable de site ou de production ; un risque stratégique relève de la direction générale et, en dernier ressort, du conseil lui-même lorsqu'il s'agit d'orienter l'activité.

Cartographie des risques Excel : ce qu'un tableau doit vraiment contenir

Beaucoup de PME et d'ETI construisent leur première cartographie des risques sous Excel, faute d'outil dédié. Ce choix n'est pas un problème en soi : ce qui compte est le contenu du tableau, pas le logiciel. Un tableau de cartographie des risques utile pour le conseil doit comporter, pour chaque risque, au minimum : son intitulé, le bloc auquel il appartient, une estimation de sa fréquence, une estimation de son impact, le nom du responsable chargé de le surveiller, la mesure de maîtrise déjà en place, et la date de dernière mise à jour de la ligne.

Un tableau Excel qui ne comporte ni date de mise à jour ni responsable désigné par risque n'est pas une cartographie vivante : c'est un inventaire figé, présenté une fois en séance puis oublié. Le conseil doit donc, au-delà du contenu des risques eux-mêmes, interroger la gouvernance du document : qui le met à jour, à quelle fréquence, et qui vérifie que les mesures de maîtrise annoncées sont effectivement appliquées.

Comment construire une cartographie des risques en séance

La construction d'une cartographie des risques pour le conseil suit, dans la plupart des démarches rencontrées, une logique en plusieurs temps. D'abord, délimiter le périmètre : s'agit-il de l'entreprise entière, d'une filiale, d'un projet particulier. Ensuite, recenser les risques, en associant les fonctions opérationnelles et la direction générale, pas seulement un seul interlocuteur. Puis évaluer chaque risque selon sa fréquence et son impact, en assumant que cette évaluation reste, à ce stade, une estimation et non une mesure scientifique. Vient alors la hiérarchisation, qui permet de distinguer les risques qui exigent une action immédiate de ceux qui peuvent faire l'objet d'une simple surveillance. Enfin, l'identification des mesures de maîtrise déjà existantes et des actions à engager pour les risques jugés insuffisamment couverts.

Le conseil n'a pas à mener lui-même ce travail de recensement, qui relève de la direction et des équipes opérationnelles. Son rôle commence après : examiner la cartographie produite, poser des questions sur les risques absents ou sous-évalués, et vérifier que la hiérarchisation correspond à ce que les administrateurs observent eux-mêmes de l'activité. Un risque classé comme mineur par la direction, mais que plusieurs administrateurs jugent préoccupant au regard de leur expérience, mérite d'être rediscuté avant d'être validé.

La fréquence de mise à jour de la cartographie est un autre point que le conseil doit fixer explicitement, en l'absence de calendrier légal pour une entreprise non cotée hors obligation anticorruption. Un rythme annuel, aligné sur la préparation du budget, est une pratique répandue, mais rien n'empêche un conseil d'exiger une actualisation plus fréquente pour les risques jugés les plus sensibles.

Les erreurs qui rendent une cartographie des risques inutile

La première erreur consiste à confondre cartographie des risques et registre des risques : le registre liste, la cartographie hiérarchise selon l'impact et la fréquence. Un simple inventaire sans classement n'aide pas le conseil à prioriser ses questions.

La deuxième erreur tient à l'absence de propriétaire par risque. Si aucune personne n'est nommément responsable du suivi d'un risque, personne ne sera questionné lors de la prochaine mise à jour, et le risque restera inscrit sans évolution d'une année sur l'autre.

La troisième erreur est de présenter une cartographie figée, identique séance après séance. Un document qui ne change jamais ne reflète plus la réalité de l'entreprise ; il devient un exercice de communication plutôt qu'un outil de pilotage.

La quatrième erreur consiste à limiter la cartographie aux risques opérationnels visibles, en laissant de côté les risques de gouvernance, comme la dépendance excessive à un dirigeant unique ou l'absence de plan de succession, qui sont pourtant parmi les plus structurants pour une PME ou une ETI familiale.

La cinquième erreur, enfin, est de ne jamais confronter la cartographie à ce qui s'est réellement passé : un conseil sérieux revient, lors de la mise à jour suivante, sur les risques qui s'étaient matérialisés l'année précédente, pour vérifier si l'évaluation initiale était juste.

Pour aller plus loin sur la manière dont le conseil organise son propre contrôle, l'article consacré au tableau de bord entreprise présenté au conseil complète utilement cette lecture de la cartographie des risques.

Articuler la cartographie des risques avec les autres outils du conseil

La cartographie des risques ne fonctionne pas isolément. Elle s'articule avec le règlement intérieur du conseil, qui peut préciser les modalités selon lesquelles les comités spécialisés examinent les risques avant la séance plénière, comme le détaille l'article consacré au règlement intérieur du conseil d'administration. Elle s'articule aussi avec l'évaluation périodique du conseil, dans la mesure où un conseil qui ne discute jamais la cartographie des risques, ou qui la valide sans débat, révèle un fonctionnement à interroger, un sujet traité dans l'article sur l'évaluation du conseil d'administration.

Un administrateur indépendant, parce qu'il n'a pas de lien de dépendance envers la direction, est souvent le mieux placé pour poser les questions dérangeantes sur une cartographie trop lisse, un rôle décrit dans l'article dédié à l'administrateur indépendant. Plus largement, la cartographie des risques s'inscrit dans les sujets que traite la rubrique comités, risques et pilotage du site, et elle complète les autres outils de contrôle que le conseil met en place pour exercer sa mission.

Questions fréquentes sur la cartographie des risques en entreprise

Une cartographie des risques n'a de valeur que si le conseil la traite comme un document vivant, qu'il interroge ligne par ligne plutôt que comme une formalité à approuver en quelques minutes. L'exemple commenté ci-dessus n'a rien d'universel, mais il montre qu'une matrice utile tient en quelques blocs clairs, des responsables nommés, et des dates qui prouvent que le document a réellement évolué depuis la dernière séance. C'est cette discipline, plus que le format du tableau, qui distingue une cartographie des risques réellement utile au conseil d'un simple exercice de présentation.