Guide complet sur la gestion des risques
Guide complet sur la gestion des risques
TYPES, ÉVALUATION ET
GESTION
Définition de risque
Il faut noter qu’un risque n’est pas une réalité physique, c’est un indicateur
entièrement défini selon votre façon de voir les choses.
1. Définitions : Risque & Notions associées
C’est un effet de la définition du risque : le risque zéro n’existe pas. Qu’il concerne la probabilité ou la gravité, le zéro annule le
risque qui devient un dommage impossible ou une possibilité sans dommage…
1. Définitions : Risque & Notions associées
Dernière subtilité : depuis que l’ISO 9001 est alignée à la structure HLS, une nouvelle
notion est utilisée dans le monde de la qualité : celle d’opportunité, un risque
«favorable».
Cela permet de mettre en œuvre des analyses par forces et faiblesses (la méthode
SWOT) / par risques et opportunités, mais cela ajoute surtout du flou à la confusion.
Retenez qu’un risque favorable est un bénéfice. On pourra le caractériser comme un
risque, avec une probabilité d’occurrence et une importance de l’incidence positive (à
l’image de la gravité d’un risque).
OPPRTUNITES/ OPPRTUNITIES
FAIBLAISSES / WEAKNESSES
FORCES /STRENGHTS
MENACES / THREATS
2- Les 7 principes pour la Gestion des risques.
Il faut dans un premier temps clairement définir les tâches à accomplir et établir
les responsabilités :
En matière de politique d’acceptation des risques (les critères) qui revient « au plus haut
gradé » : la direction dans un hôpital .
Concernant toutes les taches nécessaires à la gestion des risques, qui sont décrites ci-après
2- Les 7 principes pour la Gestion des risques.
En première approche les estimations sont clairement « à la louche », elles sont ensuite
affinées avec les données issues :
De l’état de l’art
D’expérimentation
De modélisation
Du terrain
2- Les 7 principes pour la Gestion des risques.
ESTIMATIONS DU NIVEAU DE RISQUE PAR MATRICE
PROBABILITÉ/GRAVITÉ
La plupart des analyses sont réalisées avec des matrices, classiquement, une matrice 3×3
(voire 5×5) donne un niveau de risque en fonction du couple gravité/probabilité :
Matrice selon le guide ISO/TR 24971,§5.5.5.
PROBABILITÉ
GRAVITÉ
FAIBLE MOYENNE HAUTE
Risque
NÉGLIGEABLE Risque Acceptable Risque Acceptable
Acceptable
Une méthode (voir les annexes de la norme XP S99-223) vise à quantifier les dommages
et les probabilités :
Les probabilités sont exprimées en %
Les dommages sont estimés à l’aide d’une échelle, par exemple : 5 : max, 4 : critique,
3 : très élevé, 2 : élevé, 1 : moyen, 0 : faible, -1 : très faible …
L’échelle des dommages est propre à chaque type de risque. Par convention un
changement d’un niveau (ex : de 4 à 5) équivaut à un dommage dix fois pire.
2- Les 7 principes pour la Gestion des risques.
Principes
L’idée est de définir des mesures de réduction des risques. Beaucoup
d’approches s’offrent à vous, il faut néanmoins les appliquer par ordre d’
efficacité :
1. Suppression totale du risque
2. Utilisation de moyens de protection
3. Mise en place d’une prévention, passant par l’information des parties
prenante
4. Compensation du risque s’il n’est pas réduit
2- Les 7 principes pour la Gestion des risques.
L’approche théorique est dictée par les normes et les règlementations, qui hésitent entre
deux concepts inapplicables :
Réduction AFAP : “As Far As Possible” : autant que possible, ce qui n’a aucun sens
(on pourra toujours faire plus) et est source d’innombrables prises de têtes avec les
autorités.
Réduction ALARP : “As Low As Reasonably Practicable” : autant
que raisonnablement possible, vous comprendrez que la notion de raisonnable n’est
pas objective, cette philosophie est impraticable
Aussi, dans les faits, la réduction se fait AFACP : “As Far As
Contextually Possible” : la maitrise s’arrête quand vous êtes conforme à l’état de
l’art : les risques ne sont pas plus élevés que ceux déjà acceptés par nos sociétés, les
solutions techniques / humaines / organisationnelles employées sont au top de ce qui
se fait à l’instant t. Notez que ceci pousse à mettre à jour la maitrise dès que le
contexte évolue.
2- Les 7 principes pour la Gestion des risques.
ÉTAPE 5/7 : ÉVALUER L’ACCEPTABILITÉ DES RISQUES
RÉSIDUELS
Vos risques ont été identifiés, un niveau de risque initial a été estimé pour le fun, vous avez
réduit les risques AFACP, un niveau de risque résiduel a été estimé.
Reste à faire une bonne grosse revue :
1- Des activités de maitrise,
2- Des niveaux de risques résiduels,
3- Des mesures planifiées pour le suivi et la mise à jour de la gestion des risques
Et de conclure sur l’acceptabilité des risques.
Vous l’aurez compris, l’acceptabilité doit être maintenue dans le temps, les activités
de surveillance assureront cela.
2- Les 7 principes pour la Gestion des risques.
C’est encore un point critique, la communication est capitale pour la bonne gestion
des risques, il faudra communiquer pour :
1- Sensibiliser sur les niveaux de risques résiduels.
2- Faire comprendre les mesure de maitrise des risques reposant sur le destinataire.
3- Sensibiliser sur le besoin de remonter les informations (et surtout les problèmes).
2- Les 7 principes pour la Gestion des risques.
ÉTAPE 7/7 : SURVEILLER LES RISQUES
Il est capital de correctement choisir les indicateurs qui vont permettre de surveiller les
risques connus et de détecter les risques émergents. La définition des indicateurs
n’est jamais figée, elle évolue avec votre compréhension des risques.
Il faut comprendre que le risque observé sera à l’image des indicateurs choisis, avec tous
les problèmes d’imprécisions, de biais et de mauvaises interprétation que cela induit.
Pour choisir les indicateurs de suivi des risques, on considérera :
1- Les besoins pour améliorer l’estimation des risques connus,
2- Les moyens de détecter des risques émergents,
3- La disponibilité d’indicateur sur des risques comparables ou corrélés,
4- La facilité d’interprétation des indicateurs,
5- Leur forme, les moyens de collecte des données, les modalités d’analyse, les moyens
de présentation des données …
3- Les différents Types de risques.
LES GRANDS TYPES DE RISQUES
3- Les différents Types de risques.
RISQUES TECHNOLOGIQUES
Exemples dommages :
Violation de confidentialité
Atteinte à l’intégrité
Atteinte à la disponibilité
Propagation de fausse nouvelles
Incitation à la haine
Abrutissement des masses
Exemples de dangers (attaquants / pirates) :
Organisation étatique
Organisation terroriste
Personne interne à l’organisation ciblée
Attaquant isolé
Hobbyiste / passionné
Robot
EXEMPLES DE NIVEAUX DE PROBABILITÉ, DE
GRAVITÉ ET DE RISQUE
Ces exemples sont donnés à titre informatif, chaque contexte utilisera sa propre échelle.
Échelle de probabilité
PROBABILITÉ
5 systématique 100%
3 Fréquent 1%
1 Rare 0.1/1’000
-1 Improbable 1/1000’000
-2 Seuil 1/10’000’000
… < Seuil …
GRAVITÉ
ÉCHELLES DE GRAVITÉ
Dommage naturel
DES DOMMAGES
Dommage médical Dommage psychosocial Dommage numérique Dommage financier
Niveau Description Cyclone (Échelle de
(selon score AIS)
Dommage professionnel
(stress) (grille ANSSI) (volatilité sur 5 ans)
Saffir-Simpson)
Modification de la
Dégâts structurels aux Impacts lourds sur 10 000
fréquence
2 Sérieux maisons. Dommages Fractures de côtes Arrêt de travail
des querelles avec le
personnes. Perturbation de 5-10%
importants à la végétation l’économie locale
conjoint
Changement dans
Beaucoup de pluie, dégâts Impacts lourds sur moins
0 Faible
négligeables
Faible douleur Fatigue l’exercice
de 1 000 personnes.
0.5-2%
d’activités récréatives
-2 Seuil Imperceptible
… < Seuil
Échelles de niveau de risque
NIVEAU DE RISQUE
… < Seuil
CALCULER ET PRÉSENTER LES RISQUES
Pour alléger le texte : le terme risque englobe les risques – phénomènes défavorables –
comme les bénéfices – phénomènes favorables.
Risque : une probabilité et une gravité
Un risque R se caractérise par sa probabilité P et sa gravité G
R=P×G
P : la probabilité, possibilité, proportion
La Probabilité est une Possibilité si vous ne disposez pas de données du terrain, elle
devient une Proportion (ex : le nombre de personnes touchées) lorsqu’il s’agit de
faire une étude rétrospective d’un risque.
Il est très important que P soit un rapport, l’analyse est ainsi relative.
Exemples :
Taux de cas : P nombre de cas / population totale
Dépense personnel : P = dépense / revenus moyens
Espérance de vie : P = edv / 90 ans
indicateur national : P = valeur /max mondial
CO2 : P = émissions /capacité d’absorption
Ressources : P = consommation /capacité
Indice : P = valeur / pleine échelle
Protection des ressources : P = surface protégée / surface totale
Éducation : P = nombre enfants scolarisés / total tranche d’âge
…
Lorsque des données quantitatives ne sont pas (encore) disponibles, la probabilité peut
être exprimée de manière qualitative, en utilisant des niveaux numériques simples, variant
ici jusqu’à 5 :
P= 1 / 105-NP;
NP = 5 – log(1/P)
Exemples :
NP=5 : P=100%; NP=4 : P=10%; NP=3 : P=1% …
L’approche logarithmique est nécessaire car la valeur des probabilités varie énormément
dans une même analyse
Les niveaux sont associés à une estimation “habituelle” des probabilités :
PROBABILITÉ
Niveau Description Probabilité
5 Systématique 100%
4 Très fréquent 10%
3 Fréquent 1%
2 Peu fréquent 1/1’000
1 Rare 0.1/1’000
0 Très rare 0.01/1’000
-1 Improbable 1/1000’000
-2 Seuil 1/10’000’000
… < Seuil …
G : la gravité
La gravité caractérise l’importance des dommages induits par le risque.
Cette gravité est très souvent extrêmement étendue, pour manipuler de telles
grandeurs une échelle logarithmique est ici aussi utilisée.
On définit un niveau de gravité NG, log de la valeur de la gravité G :
G = 10NG;
NG=log(G)
Les niveaux sont utilisés pour estimer les gravités, les valeurs sont utilisées pour
les calculs.
Exemples :
Santé :
NG=5 : décès,
NG = 4 : réanimation,
NG = 3 : hospitalisation :
Les niveaux sont rattachés à une estimation “habituelle” des gravités :
GRAVITÉ
NG Description
5 Catastrophique
4 Critique
3 Grave
2 Sérieux
1 Modéré Attention : les niveaux de gravité sont difficiles
0 Faible à caractériser, on les définira :
En questionnant l’opinion les victimes –
-1 Minime
potentielles – ou leurs représentants sur leur
-2 Seuil ressenti des risques;
… < Seuil En combinant des risques.
Il n’y a pas de consensus sur les estimations
des gravités, même en santé, l’important est
qu’elles soient cohérentes dans une même
analyse, pour permettre comparaisons et suivis.
Estimer le risque global
Un risque global est calculé, somme de tous les autres risques :
Rg = Σ Ri
NRg = log(Σ Pi×10NGi)
Il est courant que des risques s’excluent (ex : par impossibilité technique : le
risque 1 casse la machine, le risque 2 de bug ne peut plus survenir)
ou s’enchainent, il faut alors calculer différents risques globaux, pour chaque
scénario envisageable.
Bénéfices et Rapport Bénéfice/Risque
Un bénéfice est, à l’image d’un risque, caractérisé par une probabilité et une importance :
B = P×I
NB=log(B)
Bg = Σ Bi
NBg = log(Σ Pi×10NBi)
Le rapport bénéfice/risque balance le pour et le contre, en comparant risques et bénéfices :
BR = Bg/Rg
NBR = log(Bg/Rg) = log(Bg)-log(Rg)
NBR = NBg – NRg
Voir des exemples d’analyse de rapports B/R :
Exemples d’analyses du rapport bénéfice / risque de dispositifs médicaux
Tout instrument, appareil, équipement, logiciel, implant, réactif, matière ou autre article,
destiné par le fabricant à être utilisé, seul ou en association, chez l’homme pour l’une ou
plusieurs des fins médicales précises suivantes:
diagnostic, prévention, contrôle, prédiction, pronostic, traitement ou atténuation d’une
maladie,
diagnostic, contrôle, traitement, atténuation d’une blessure ou d’un handicap ou compensation
de ceux-ci,
investigation, remplacement ou modification d’une structure ou fonction anatomique ou d’un
processus ou état physiologique ou pathologique,
communication d’informations au moyen d’un examen in vitro d’échantillons provenant du
corps humain, y compris les dons d’organes, de sang et de tissus,
et dont l’action principale voulue dans ou sur le corps humain n’est pas obtenue par des
moyens pharmacologiques ou immunologiques ni par métabolisme, mais dont la fonction peut
être assistée par de tels moyens.
Les produits ci-après sont également réputés être des dispositifs médicaux :
les dispositifs destinés à la maîtrise de la conception ou à l’assistance à celle-ci,
les produits spécifiquement destinés au nettoyage, à la désinfection ou à la stérilisation des
dispositifs visés à l’article 1er, paragraphe 4, et de ceux visés au premier alinéa du présent
point;
Méthode pour estimer, évaluer, piloter la maitrise et statuer sur l’acceptabilité
des risques résiduels et du rapport bénéfice / risque d’un dispositif médical.
La feuille permet d’estimer les risques est les bénéfices en fonction de leur probabilité et de
leur gravité / importance.
Un risque est un Danger qui lors d’une Situation dangereuse est susceptible de causer un
Dommage d’une Gravité donnée
Un bénéfice est une Propriété bénéfique qui lors de l’Utilisation prévue est susceptible
d’avoir une Incidence positive d’une Importance donnée
Chaque item pouvant, lorsque c’est pertinent pour votre analyse, porter sa propre probabilité.
La probabilité est exprimée en pourcentage, il est conseillé d’utiliser 2 probabilités (qui
seront multipliées) sans quoi les estimations sont très difficiles à appréhender.
Exemples de couples de probabilités possibles :
P risque = P défaillance x P dommage en cas de défaillance
P risque = P situation dangereuse x P de ne pas détecter le danger
P risque = 100 % x P constatée en évaluation clinique et/ou en SAC
…
P bénéfice = Fiabilité du dispositif x taux de succès chez les patients
P bénéfice = Fiabilité x P d’avoir l’utilisation prévue
P bénéfice = 100% x P constatée en évaluation clinique et/ou en SAC
…
Le choix d’utiliser telle ou telle probabilité dépend de facteurs techniques, humains et
cliniques propres au risque (au bénéfice) analysé.
La gravité d’un dommage est estimée selon une échelle normalisée, l’importance d’un
bénéfice est estimée avec la même échelle, en considérant que l’importance du bénéfice
équivaut à la gravité du dommage traité/diagnostiqué/pris en charge.