La cartographie des risques est un outil de pilotage qui recense les risques d’une organisation, les évalue selon leur probabilité et leur impact, puis les hiérarchise pour orienter les actions de maîtrise. Obligatoire dans certains cas, notamment au titre de la loi Sapin II, elle constitue le socle de tout dispositif de gestion des risques. Voici la méthode en six étapes, un modèle de matrice et les outils à utiliser en 2026.
À quoi sert une cartographie des risques
Une cartographie des risques offre à la direction une vision synthétique et partagée des menaces qui pèsent sur l’atteinte des objectifs. Elle permet de prioriser les ressources vers les risques les plus critiques, plutôt que de les disperser.
Elle sert également de support de dialogue avec le conseil d’administration, le comité d’audit, les commissaires aux comptes, les assureurs et les investisseurs. Les référentiels internationaux ISO 31000 et COSO ERM en font une étape centrale du management des risques.
Les grandes familles de risques
- Risques stratégiques : évolution du marché, arrivée d’un concurrent, rupture technologique.
- Risques opérationnels : panne, défaillance d’un fournisseur, erreur humaine, accident du travail.
- Risques financiers : liquidité, change, taux, défaut de paiement des clients.
- Risques juridiques et de conformité : sanctions réglementaires, corruption, protection des données.
- Risques cyber et informatiques : rançongiciel, fuite de données, indisponibilité des systèmes.
- Risques extra-financiers : climat, réputation, droits humains dans la chaîne d’approvisionnement.
La méthode en six étapes
Étape 1 : définir le périmètre et le référentiel
Délimitez le périmètre (groupe, filiale, processus) et fixez les échelles de cotation communes. Sans référentiel partagé, deux services n’évalueront pas un même risque de la même manière.
Étape 2 : identifier les risques
Entretiens avec les opérationnels, ateliers collectifs, analyse des incidents passés et revue des processus alimentent un registre des risques. Chaque risque est décrit par sa cause, son événement et ses conséquences.
Étape 3 : évaluer probabilité et impact
Chaque risque est noté selon sa probabilité d’occurrence et la gravité de son impact, généralement sur une échelle de 1 à 4 ou de 1 à 5. Le produit des deux notes donne le niveau de criticité.
Étape 4 : évaluer les dispositifs de maîtrise
On distingue le risque brut, avant toute mesure, et le risque net ou résiduel, qui tient compte des contrôles existants. L’écart entre les deux mesure l’efficacité du dispositif de maîtrise.
Étape 5 : hiérarchiser et représenter
Les risques sont positionnés dans une matrice, souvent colorée en vert, orange et rouge. Cette représentation visuelle facilite l’arbitrage par la direction.
Étape 6 : définir les plans d’action et actualiser
Chaque risque critique reçoit un traitement (réduire, transférer, éviter ou accepter), un responsable et une échéance. La cartographie est ensuite mise à jour au moins une fois par an.
Modèle de matrice de criticité
| Criticité (probabilité x impact) | Niveau | Traitement attendu |
| 1 à 4 | Faible | Acceptation et surveillance périodique |
| 5 à 9 | Modéré | Mesures de réduction à planifier |
| 10 à 15 | Élevé | Plan d’action prioritaire, suivi trimestriel |
| 16 à 25 | Critique | Traitement immédiat, remontée à la direction générale |
| Bon à savoir Depuis la loi Sapin II du 9 décembre 2016, les entreprises d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros doivent établir une cartographie des risques de corruption et de trafic d’influence. L’Agence française anticorruption (AFA) contrôle ce dispositif et peut prononcer des sanctions en cas de manquement. |
Les outils pour réaliser sa cartographie
Un tableur bien structuré suffit pour une PME : registre des risques, échelles de cotation et matrice automatique. Les grandes organisations privilégient des logiciels de GRC (gouvernance, risques et conformité), qui centralisent les évaluations, les plans d’action et les incidents, et facilitent les mises à jour collaboratives.
Les erreurs à éviter
La première erreur consiste à produire une cartographie exhaustive mais inexploitable, comptant plusieurs centaines de risques. Mieux vaut se concentrer sur les vingt à trente risques majeurs, qui mobilisent réellement l’attention de la direction.
Deuxième écueil : confier l’exercice aux seules fonctions support, sans impliquer les opérationnels qui connaissent le terrain. Enfin, beaucoup d’organisations réalisent leur cartographie une fois pour satisfaire une obligation, puis la laissent vieillir. Or sa valeur tient à son actualisation et au suivi effectif des plans d’action qui en découlent.
Pour garder la cartographie vivante, désignez un propriétaire pour chaque risque majeur, chargé de suivre les indicateurs d’alerte et l’avancement des plans d’action. Présentez ensuite une synthèse au comité de direction chaque trimestre, et au conseil au moins une fois par an. Ce rituel transforme un document de conformité en véritable outil de pilotage.
FAQ : les questions fréquentes sur la cartographie des risques
Qu’est-ce qu’une cartographie des risques ?
Une cartographie des risques est un outil qui recense les risques d’une organisation, les évalue selon leur probabilité et leur impact, puis les hiérarchise dans une matrice. Elle permet à la direction de prioriser les actions de maîtrise sur les risques les plus critiques.
Comment faire une cartographie des risques ?
La démarche suit six étapes : définir le périmètre et les échelles de cotation, identifier les risques, évaluer leur probabilité et leur impact, apprécier les dispositifs de maîtrise, hiérarchiser les risques dans une matrice, puis définir et suivre les plans d’action.
La cartographie des risques est-elle obligatoire ?
Elle est obligatoire pour les risques de corruption dans les entreprises d’au moins 500 salariés réalisant plus de 100 millions d’euros de chiffre d’affaires, au titre de la loi Sapin II. Pour les autres, elle reste une bonne pratique fortement recommandée.
Quelle est la différence entre risque brut et risque net ?
Le risque brut correspond au niveau de risque avant toute mesure de maîtrise. Le risque net, ou résiduel, tient compte des contrôles et actions déjà en place. L’écart entre les deux mesure l’efficacité du dispositif de maîtrise existant.
Comment calculer la criticité d’un risque ?
La criticité se calcule en multipliant la note de probabilité par la note d’impact, chacune évaluée sur une échelle commune, souvent de 1 à 5. Le résultat, compris entre 1 et 25, permet de classer les risques en niveaux faible, modéré, élevé ou critique.
À quelle fréquence mettre à jour la cartographie des risques ?
La cartographie des risques doit être actualisée au moins une fois par an. Une mise à jour s’impose également lors d’un changement majeur : acquisition, nouvelle réglementation, lancement d’activité ou incident significatif révélant un risque sous-estimé.
