Commençons par une vérité qui dérange : ces niveaux ne mesurent pas seulement un danger, mais aussi notre capacité à le gérer. Et c’est là que tout se complique.
D’où viennent ces chiffres ? Une échelle née dans l’urgence
L’échelle de risque de 1 à 7 n’est pas sortie de nulle part. Elle est le fruit d’un long processus de standardisation, né dans les années 1990 lorsque les assureurs et les régulateurs ont cherché à harmoniser leurs évaluations. Le problème ? À l’époque, chaque secteur avait ses propres critères. Les banques parlaient en pourcentages de perte, les ingénieurs en probabilités d’accident, et les médecins en taux de mortalité. Résultat : un vrai capharnaüm.
C’est l’Organisation internationale de normalisation (ISO) qui a finalement imposé cette échelle, en s’inspirant des travaux du Risk Management Framework américain. Mais attention, ce n’est pas une science exacte. Comme le rappelle souvent Jean-Marc Legendre, expert en gestion des risques chez AXA, « ces chiffres sont des compromis, pas des vérités absolues ». Et c’est précisément là que les choses deviennent intéressantes.
Les trois piliers d’un niveau de risque
Pour comprendre ce que signifie vraiment un 4 ou un 6, il faut décomposer l’évaluation en trois éléments clés :
1. La probabilité : à quelle fréquence l’événement peut-il se produire ? (Une fois tous les 10 ans ? Tous les 100 ans ?) 2. L’impact : si ça arrive, à quel point ça fait mal ? (Une simple gêne ? Une catastrophe financière ?) 3. La détectabilité : peut-on anticiper le problème avant qu’il ne frappe ? (Des signes avant-coureurs ? Rien du tout ?)
Prenons un exemple concret. Un niveau 2 pourrait correspondre à un risque de retard de livraison dans une usine (probabilité élevée, impact faible, détectable). Un niveau 6, en revanche, serait plutôt un effondrement de marché financier (probabilité faible, impact dévastateur, difficile à anticiper). Sauf que… tout dépend de qui évalue.
Pourquoi deux experts peuvent donner des notes différentes
Imaginez deux analystes qui étudient le même risque de cyberattaque sur une entreprise. Le premier, un ancien hacker reconverti, va peut-être surestimer la probabilité d’une intrusion (niveau 5). Le second, un juriste spécialisé en conformité, va minimiser l’impact juridique (niveau 3). Qui a raison ? Les deux, et aucun à la fois.
Car ici, le vrai problème n’est pas la subjectivité – elle est inévitable – mais le fait qu’on la masque derrière des chiffres. Comme le dit souvent Sophie Moreau, consultante en cybersécurité : « Un 4 chez nous peut être un 6 chez un concurrent. Et personne ne vous le dira ». D’où l’importance de toujours demander : « Selon quels critères ? »
Comment lire entre les lignes d’un niveau de risque ?
Si vous recevez un rapport qui classe un risque à 4, ne vous contentez pas de hocher la tête. Creusez. Parce que derrière ce chiffre se cachent des nuances qui changent tout.
La différence entre un 3 et un 4 : plus qu’un simple point
Sur le papier, la différence semble minime. Mais en pratique, elle peut tout changer. Un niveau 3 signifie généralement que le risque est tolérable avec des mesures de contrôle standard. Un 4, en revanche, exige des actions correctives immédiates. Autrement dit, si votre entreprise passe de 3 à 4 sur un risque clé, c’est le signal pour déclencher un plan d’urgence.
Prenons le cas d’une usine chimique. Un risque d’explosion classé 3 pourrait simplement nécessiter des inspections trimestrielles. Le même risque classé 4 ? Installation de capteurs supplémentaires, formation renforcée du personnel, et peut-être même un audit externe. Le coût ? Multiplié par dix. D’où l’importance de bien comprendre ce qui fait basculer un risque d’un niveau à l’autre.
Les seuils qui font tout basculer
Voici ce qui fait généralement passer un risque d’un niveau à l’autre :
- De 1 à 2 : la probabilité passe de « très improbable » à « peu probable » (ex. : une panne mineure vs une panne récurrente) - De 2 à 3 : l’impact devient « significatif » (ex. : une perte de 10 000 € vs 100 000 €) - De 3 à 4 : le risque devient « inacceptable sans contrôle » (ex. : un défaut de fabrication qui pourrait blesser un client) - De 4 à 5 : l’impact passe à « critique » (ex. : une perte de plusieurs millions ou un risque mortel) - De 5 à 6 : la probabilité devient « probable » (ex. : un événement qui a déjà eu lieu ailleurs) - De 6 à 7 : le risque est « catastrophique et imminent » (ex. : un effondrement structurel ou une crise systémique)
Mais attention, ces seuils ne sont pas gravés dans le marbre. Une entreprise en difficulté financière pourrait tolérer un niveau 4 là où une autre le rejetterait. Et c’est là que les choses deviennent vraiment subjectives.
Pourquoi un niveau 7 ne veut pas toujours dire « catastrophe »
Quand on entend « niveau 7 », on imagine immédiatement l’apocalypse. Pourtant, dans certains cas, ce chiffre peut être… trompeur. Explications.
Le cas des risques « improbables mais dévastateurs »
Prenons l’exemple d’un barrage hydroélectrique. Un effondrement serait une catastrophe absolue (niveau 7 en impact). Mais si le barrage est neuf, bien entretenu, et situé dans une zone à faible activité sismique, la probabilité est tellement faible que certains experts le classeront quand même à 7… tout en le considérant comme acceptable. Comment est-ce possible ?
Parce que dans certains secteurs, on utilise une matrice de risque pondérée. Un événement à faible probabilité mais à impact extrême peut être classé comme « acceptable » si les mesures de prévention sont jugées suffisantes. C’est le cas, par exemple, des centrales nucléaires : un accident majeur est classé 7, mais les protocoles de sécurité font que le risque réel est considéré comme maîtrisé.
Sauf que… cette approche a ses limites. Comme l’a montré l’accident de Fukushima en 2011, un événement improbable peut devenir réalité. Et quand ça arrive, personne ne se souvient que le risque était « acceptable ».
Quand les assureurs jouent avec les chiffres
Les compagnies d’assurance ont une relation particulière avec les niveaux de risque. Pour elles, un 7 n’est pas forcément une condamnation. Tout dépend du prix qu’elles sont prêtes à payer pour couvrir ce risque.
Prenons un exemple concret : une entreprise qui veut assurer un cargo transportant des matières dangereuses. Le risque d’explosion est classé 6 par les experts. Mais l’assureur, lui, va peut-être le reclasser à 5… parce qu’il a un client prêt à payer une prime plus élevée. Résultat : le risque reste le même, mais le chiffre change. Et le client, lui, se retrouve avec une fausse impression de sécurité.
C’est ce qu’on appelle l’optimisation du risque. Un jeu dangereux, où les chiffres deviennent des outils de négociation plutôt que des indicateurs objectifs. Et c’est précisément pour ça qu’il faut toujours se méfier des évaluations trop lisses.
Les pièges à éviter quand on interprète un niveau de risque
On croit souvent qu’un chiffre, c’est objectif. Sauf que dans le monde du risque, rien n’est moins vrai. Voici les erreurs les plus courantes – et comment les éviter.
1. Confondre probabilité et impact
Un risque classé 5 peut avoir deux significations très différentes :
- Option 1 : une probabilité élevée (ex. : 30%) mais un impact modéré (ex. : une perte de 50 000 €) - Option 2 : une probabilité faible (ex. : 1%) mais un impact catastrophique (ex. : une faillite)
Pourtant, les deux seront notés 5. Alors, lequel est le plus dangereux ? Tout dépend de votre tolérance au risque. Une petite entreprise préférera éviter l’option 2, même si la probabilité est faible. Une multinationale, elle, pourra absorber l’option 1 sans sourciller. D’où l’importance de toujours demander : « Qu’est-ce qui est le plus élevé, la probabilité ou l’impact ? »
2. Négliger la détectabilité
Un risque invisible est souvent plus dangereux qu’un risque visible. Pourtant, cette dimension est souvent sous-estimée dans les évaluations.
Prenons deux exemples :
- Risque A : une fraude interne (probabilité 10%, impact 100 000 €, détectable grâce à des audits) - Risque B : une cyberattaque par ransomware (probabilité 5%, impact 500 000 €, indétectable avant qu’il ne soit trop tard)
Lequel est le plus dangereux ? Sur le papier, le risque A a un score plus élevé (probabilité x impact = 10 000 vs 25 000). Mais en pratique, le risque B est bien plus redoutable, car on ne peut pas le prévenir. Pourtant, beaucoup d’entreprises se concentrent sur le risque A simplement parce qu’il est mieux noté.
La leçon ? Un niveau de risque ne dit rien sur la visibilité du danger. Et c’est souvent là que ça coince.
3. Croire que les chiffres sont immuables
Un risque classé 4 aujourd’hui peut devenir un 6 demain. Pourquoi ? Parce que le monde change.
Prenons l’exemple des risques climatiques. Il y a 20 ans, une inondation centennale était classée 3 ou 4. Aujourd’hui, avec le réchauffement climatique, la même inondation est souvent reclassée à 5 ou 6. Pourtant, le danger physique n’a pas changé – c’est notre perception du risque qui a évolué.
Autre exemple : les risques cyber. En 2010, une attaque par phishing était classée 2 ou 3. Aujourd’hui, avec l’essor du télétravail et des objets connectés, la même attaque peut être notée 5. Là encore, le danger n’a pas changé – c’est le contexte qui a évolué.
Alors, comment anticiper ces changements ? En posant systématiquement cette question : « Qu’est-ce qui pourrait faire évoluer ce risque à la hausse ? »
Niveau de risque vs réalité : quand les chiffres mentent
Parfois, les niveaux de risque donnent une fausse impression de sécurité. Voici trois cas où les chiffres ne reflètent pas la réalité.
Le cas des risques « dormants »
Certains risques sont classés à un niveau bas… jusqu’à ce qu’ils se réveillent. C’est ce qu’on appelle les risques dormants.
Prenons l’exemple d’une entreprise qui stocke des déchets toxiques. Le risque de fuite est classé 2, car les cuves sont neuves et bien entretenues. Sauf que… personne n’a pensé à la corrosion à long terme. Résultat : 10 ans plus tard, une fuite se produit, et le risque, autrefois classé 2, devient un 7.
Le problème ? Les évaluations de risque se concentrent souvent sur le court terme. Pourtant, comme le rappelle souvent Pierre Lambert, expert en gestion des déchets industriels, « un risque dormant, c’est comme une bombe à retardement. On sait qu’elle est là, mais on ne sait pas quand elle explosera ».
Quand la réglementation fausse les évaluations
Dans certains secteurs, les niveaux de risque sont plus influencés par la réglementation que par la réalité.
Prenons l’exemple des médicaments. Un nouveau traitement peut avoir un risque d’effets secondaires classé 3 par les experts. Mais si la réglementation exige une classification à 5 pour déclencher des tests supplémentaires, l’entreprise va peut-être « ajuster » son évaluation pour éviter des coûts inutiles. Résultat : le risque réel est sous-estimé, mais le chiffre officiel est conforme.
C’est ce qu’on appelle le biais réglementaire. Un phénomène qui explique pourquoi certains risques semblent « magiquement » disparaître des radars… jusqu’à ce qu’un scandale éclate.
Le piège des risques « acceptables »
Un risque classé 3 ou 4 est souvent considéré comme « acceptable ». Sauf que… acceptable pour qui ?
Prenons l’exemple d’une usine classée à risque 4 pour la pollution de l’air. Pour l’entreprise, c’est acceptable, car les amendes sont moins chères que les filtres à particules. Pour les riverains, en revanche, c’est une catastrophe sanitaire. Pourtant, le chiffre, lui, reste le même.
C’est là que le bât blesse : un niveau de risque ne dit rien sur qui paie le prix. Et c’est précisément pour ça qu’il faut toujours se demander : « Acceptable pour qui ? »
Comment évaluer soi-même un niveau de risque ? La méthode des 5 questions
Vous n’êtes pas expert en gestion des risques ? Pas de problème. Voici une méthode simple pour évaluer un niveau de risque, même sans formation.
1. Quelle est la probabilité que ça arrive ? (Échelle de 1 à 5)
- 1 : Très improbable (moins de 1% de chances) - 2 : Peu probable (1 à 10%) - 3 : Possible (10 à 30%) - 4 : Probable (30 à 70%) - 5 : Très probable (plus de 70%)
2. Si ça arrive, à quel point ça fait mal ? (Échelle de 1 à 5)
- 1 : Impact négligeable (moins de 1 000 € de perte) - 2 : Impact mineur (1 000 à 10 000 €) - 3 : Impact modéré (10 000 à 100 000 €) - 4 : Impact majeur (100 000 à 1 million €) - 5 : Impact catastrophique (plus de 1 million € ou risque mortel)
3. Peut-on le détecter avant qu’il ne frappe ? (Échelle de 1 à 3)
- 1 : Oui, avec des systèmes de surveillance (ex. : capteurs, audits) - 2 : Partiellement (ex. : signes avant-coureurs, mais pas de détection automatique) - 3 : Non, impossible à anticiper
4. Multipliez les trois chiffres
Exemple : probabilité 3 x impact 4 x détectabilité 2 = 24. Ensuite, reportez-vous à cette grille :
- 1 à 10 : Niveau 1 ou 2 - 11 à 30 : Niveau 3 ou 4 - 31 à 50 : Niveau 5 ou 6 - 51 et plus : Niveau 7
5. Ajustez en fonction du contexte
Un risque classé 4 peut être reclassé à 3 si vous avez des mesures de prévention solides. À l’inverse, un risque classé 3 peut devenir un 5 si le contexte change (ex. : une crise économique, un changement de réglementation).
Cette méthode n’est pas parfaite, mais elle a le mérite d’être transparente. Et c’est déjà un bon début.
Questions fréquentes sur les niveaux de risque
Un niveau 1 signifie-t-il qu’il n’y a aucun danger ?
Non. Un niveau 1 signifie simplement que le risque est négligeable dans le contexte actuel. Mais comme le dit souvent l’adage : « Le diable se cache dans les détails ». Un risque classé 1 aujourd’hui peut devenir un 3 demain si les circonstances changent. Par exemple, une panne mineure sur un équipement peut être classée 1… jusqu’à ce que cet équipement devienne critique.
Alors, même pour un niveau 1, posez-vous cette question : « Qu’est-ce qui pourrait faire évoluer ce risque ? »
Pourquoi certains risques sont-ils classés différemment selon les pays ?
Parce que les critères d’évaluation varient d’un pays à l’autre. Prenons l’exemple des risques sismiques :
- Aux États-Unis, un séisme de magnitude 6 est souvent classé 4 ou 5, car les normes de construction sont strictes. - Au Japon, le même séisme sera classé 3, car les bâtiments sont conçus pour résister. - En Haïti, il sera classé 6 ou 7, car les infrastructures sont fragiles.
Le danger physique est le même, mais le niveau de risque change en fonction du contexte. C’est pour ça qu’il faut toujours comparer les évaluations avec prudence.
Peut-on réduire un niveau de risque sans changer la réalité ?
Oui. Et c’est même une pratique courante dans certains secteurs. Voici comment :
- En améliorant la détectabilité : installer des capteurs pour anticiper un problème peut faire baisser un risque de 5 à 3. - En transférant le risque : une assurance peut réduire l’impact financier, et donc le niveau global. - En divisant le risque : répartir un stock de matières dangereuses sur plusieurs sites peut réduire l’impact d’un accident.
Mais attention : ces techniques ne suppriment pas le danger. Elles le rendent simplement plus gérables. Comme le dit souvent un de mes anciens clients dans l’industrie : « On ne réduit pas le risque, on le déplace. Et parfois, on le cache ».
Un niveau 7 est-il toujours une condamnation ?
Pas forcément. Tout dépend de ce qu’on en fait. Prenons l’exemple de SpaceX :
En 2016, le risque d’explosion d’une fusée Falcon 9 était classé 6. Pourtant, l’entreprise a continué à lancer des missions. Pourquoi ? Parce qu’elle avait mis en place des mesures de prévention drastiques (tests supplémentaires, redondance des systèmes, etc.). Résultat : le risque réel était bien inférieur au chiffre officiel.
La leçon ? Un niveau 7 n’est pas une condamnation, mais un signal d’alarme. Tout dépend de la façon dont on y répond.
Verdict : comment utiliser ces chiffres sans se faire avoir ?
Les niveaux de risque de 1 à 7 sont des outils utiles. Mais comme tous les outils, ils peuvent être mal utilisés. Voici ce qu’il faut retenir :
1. Un chiffre n’est pas une vérité. C’est une estimation, basée sur des critères qui peuvent varier. Alors, avant de prendre une décision, demandez toujours : « Selon quels critères ce niveau a-t-il été établi ? »
2. Le contexte change tout. Un risque classé 4 aujourd’hui peut devenir un 6 demain. Alors, mettez à jour vos évaluations régulièrement. Et surtout, anticipez les changements.
3. Ne vous fiez pas aux apparences. Un niveau 3 peut cacher un danger bien plus grand qu’un niveau 5. Tout dépend de la détectabilité, de l’impact, et de votre capacité à gérer le risque.
4. Posez les bonnes questions. Quand on vous présente un niveau de risque, demandez toujours : « Qu’est-ce qui pourrait faire évoluer ce chiffre ? », « Qui paiera le prix si ça arrive ? », et « Quelles mesures sont en place pour le réduire ? ».
Et surtout, n’oubliez pas : ces chiffres sont là pour vous aider à prendre des décisions, pas pour les prendre à votre place. Comme le disait un vieux professeur de gestion des risques : « Un niveau de risque, c’est comme une météo. Ça vous dit s’il va pleuvoir, mais c’est à vous de décider si vous prenez un parapluie ».
Alors, la prochaine fois que vous verrez un 4 ou un 6, ne paniquez pas. Mais ne le prenez pas à la légère non plus. Parce qu’au final, le vrai risque, c’est de croire que les chiffres disent tout.