Par Arnaud Rogiez, ing., MBA, MGP, PMP, VMA
Gestionnaire de projet de construction et Associé chez Strategia
J’animais récemment un atelier de risques dans une grande organisation. L’équipe avait identifié un risque et commençait à lister plus mesures de mitigation de manière détaillée.
Je les ai interrompus : « Nous n’avons même pas évalué ce risque-là encore. »
Une fois l’analyse faite : probabilité faible, impact faible.
Pourquoi mettre de l’effort sur ce risque précis quand il y a dix autres potentiellement plus importants qui n’ont pas encore été évalués?
Ce n’est pas une question de compétence. Les gens autour de la table étaient expérimentés.
C’est une question de réflexe : on traite trop souvent les risques dans l’ordre où ils arrivent, plutôt que par ordre de priorité.
Dans une organisation qui gère des dizaines de projets simultanément, ce réflexe, multiplié par le nombre d’équipes, peut représenter des centaines d’heures.
Des centaines d’heures qui pourraient être optimisées ou redirigées vers des tâches à plus haute valeur ajoutée.
Ce que signifie réellement la maturité en gestion des risques
La maturité en gestion des risques ne se mesure pas à la sophistication des outils utilisés. Elle se mesure à la capacité de calibrer l’effort selon le projet et l’étape.
Une organisation mature se pose ces questions avant chaque exercice de gestion des risques :
Quelle est la nature et la complexité de ce projet?
Un projet standard que vous avez déjà réalisé cinquante fois ne requiert pas le même niveau d’analyse qu’un projet unique en son genre.
À quelle étape sommes-nous rendus?
En phase d’initiation, vous n’avez pas l’information pour alimenter une analyse quantitative poussée. Le résultat donnera une fausse impression de précision.
Quel est l’objectif de cette analyse?
Une décision go/no-go ne nécessite pas le même niveau de détail qu’une réserve de contingence à défendre devant un bailleur de fonds.
Quelle est notre tolérance au risque?
Une organisation qui gère cent projets par année peut accepter un niveau de confiance différent d’une organisation qui en gère trois.
Cette calibration n’est pas un luxe.
C’est ce qui permet de rallier l’équipe de projet autour des principaux enjeux plutôt que de diluer l’attention sur l’ensemble des risques identifiés.
Le processus simplifié VS le processus bureaucratique
Il existe des processus de gestion des risques qui comptent vingt-cinq étapes.
Certains confondent les outils, les données d’entrée et les données de sortie avec des processus distincts.
Le résultat : une lourdeur administrative qui ne génère pas de valeur décisionnelle.
Un processus efficace de gestion des risques tient en six étapes :
- Planification de la gestion des risques
Comment va-t-on gérer les risques sur ce projet? C’est l’étape la plus sous-estimée. C’est pourtant là que se décide si les efforts subséquents généreront de la valeur ou du bruit administratif.
- Identification des risques
Quels sont les risques potentiels?
- Analyse qualitative
C’est le minimum requis. Cette analyse permet de trier les risques par importance. Sans elle, impossible de savoir où mettre l’effort.
- Analyse quantitative
Elle est conditionnelle. Pas tous les projets en ont besoin d’une évaluation quantitative.
- Plans de réponse aux risques
Que fait-on pour les risques qui comptent?
- Surveillance et maîtrise
Le suivi dans le temps.
La différence entre un processus et la maturité?
Un processus dicte les étapes. La maturité détermine la profondeur de chaque étape selon le contexte.
La planification : l’étape essentielle qui dicte la suite
La planification de la gestion des risques devrait répondre à trois questions :
Quel type d’analyse pour ce projet, à cette étape?
En phase d’initiation, une analyse qualitative qui fait ressortir les quatre ou cinq risques principaux peut suffire pour une décision go/no-go.
Pourquoi? Parce que tout est encore trop incertain.
Cependant, à l’étape des plans et devis, avec plus de parties prenantes impliquées et plus d’information disponible, ça peut valoir la peine de pousser l’exercice.
Cela permet de quantifier et se donner une enveloppe de contingence défendable.
Quels critères déclenchent une analyse quantitative?
L’envergure budgétaire? Le nombre de parties prenantes? La technologie utilisée?
Ces critères doivent être explicites. Sinon, chaque équipe réinvente la roue ou applique aveuglément un processus uniforme qui ne convient pas forcément à son projet.
Quel niveau de confiance vise-t-on?
Une analyse Monte-Carlo génère une courbe de distribution. Plus vous voulez un niveau de confiance élevé, plus votre enveloppe de contingence doit être importante.
Le niveau de confiance approprié dépend de votre organisation. Si vous gérez cent projets par année et que vous gérez la contingence de manière globale, un niveau de confiance de 50% peut être acceptable. Sur l’ensemble de vos projets, certains dépasseront, d’autres seront en dessous. Globalement, vous ça sera acceptable.
Si vous gérez trois projets majeurs par année, votre direction n’acceptera probablement pas une chance sur deux de dépasser le budget de votre projet.
L’art de prioriser : mettre l’effort où ça compte
Une erreur classique en gestion des risques est de traiter tous les risques avec le même niveau d’attention.
Il y a quelques années, j’ai animé un atelier où nous avons passé deux heures sur dix risques. Sur soixante identifiés. Ces dix risques étaient les risques majeurs.
Au bout de deux heures, un gestionnaire chevronné s’est inquiété : « On n’aura jamais le temps de traiter tous les risques. »
C’était précisément le point.
Les cinquante autres risques étaient mineurs. Si on ne les traite pas, c’est moins grave parce qu’ils sont moins importants. On peut passer une minute par risque. Ou décider de ne pas mettre de mesures de mitigation du tout pour certains.
Le calcul que personne ne fait : si vingt personnes passent une heure à réfléchir à un risque de quelques milliers de dollars, a-t-on déjà dépensé plus en réflexion qu’en impact monétaire si le risque se produit?
Autre réflexion : la valeur de la mise en place de la mesure de mitigation coûte-t-elle moins que le risque lui-même? Y a-t-il une réelle valeur ajoutée à mettre en place ces mesures?
C’est une question d’allocation de ressources. Une simple analyse qualitative bien réalisée permet de trier les risques par importance et d’éviter ce gaspillage.
Les critères organisationnels : ce qui devrait exister dans toute grande organisation
Les organisations qui gèrent des dizaines de projets simultanément ont besoin de critères explicites. C’est particulièrement vrai pour celles qui s’engagent dans des démarches d’excellence opérationnelle, où la cohérence entre les équipes et l’optimisation des ressources deviennent des priorités stratégiques. Sans ces critères, chaque équipe réinvente la roue.
Votre processus interne devrait répondre à ces questions :
Pour un projet de quelle envergure ou complexité exige-t-on une analyse quantitative?
Est-ce une question de budget? De nombre de parties prenantes? De technologie utilisée? Ces critères permettent de standardiser sans uniformiser.
Quel niveau de confiance applique-t-on selon le type de projet?
Cela devrait faire partie de votre politique interne : Tel type de projet, tel niveau de confiance et voici le processus à respecter.
Comment gère-t-on la contingence : par projet ou par portefeuille?
Cette décision change tout. Une gestion par portefeuille permet un niveau de confiance plus faible sur chaque projet individuel. Une gestion par projet exige un niveau de confiance plus élevé.
Ces critères transforment un processus rigide en une approche adaptative. Pour les organisations engagées dans des démarches d’excellence opérationnelle, cette capacité d’adaptation n’est pas un luxe. C’est un levier de performance.
La maturité en gestion des risques devient alors un indicateur de la capacité organisationnelle à déployer des ressources de manière optimale sur l’ensemble du portefeuille de projets.
La seule question à poser à votre équipe
Avant le prochain exercice de gestion des risques, posez cette question :
« Pourquoi ce niveau d’analyse, pour ce projet, à cette étape? »
Si la réponse est « c’est notre processus standard », vous n’avez pas encore atteint la maturité en gestion des risques. Vous avez un processus. Ce n’est pas la même chose.
La maturité se manifeste dans la capacité de votre organisation à justifier pourquoi ce projet, à cette étape, requiert ce niveau d’effort. À adapter l’approche selon la nature du projet, l’information disponible, et l’objectif de l’analyse.
C’est cette capacité qui permet de mettre les centaines d’heures disponibles aux bons endroits, sur les risques qui comptent, avec le niveau de détail qui génère de la valeur décisionnelle plutôt que du bruit administratif.
