La gestion des risques dans les entreprises françaises : état des lieux et émergence d’une approche cognitive et organisationnelle
Caroline Aubry Maître de conférences Université Toulouse III - Laboratoire Gestion et Cognition (LGC) (EA 2043) IUT A Paul Sabatier , Département Techniques de Commercialisation, 115 F route de Narbonne, BP 67601, 31.077 Toulouse Cedex 04 Tél : 05.62.25.81.50 / Fax : 05.62.25.81.70 E-mail : caroline.aubry@iut-tlse3.fr
Résumé Les objectifs de cette communication sont de savoir où en sont les entreprises françaises face aux risques et leur gestion, d’en proposer une approche globale intégrant la dimension cognitive. La vision des entreprises face au concept de risque, leur démarche de gestion des risques, les bénéfices attendus, les obstacles rencontrés sont analysés. Mots-clés : cognition, gestion gestionnaire de risques, risque. des risques, Abstract The objectives of this paper are to know which position the French firms have in front of risks and their management and to propose a global approach of risks including a cognitive perspective. We investigate the firms view on the risk, the way they manage theirs risks, the expected advantages, the encountered impediments. Key-words : knowledge, risk, risk-management, risk manager.

1

« Le risk-management : tout le monde en parle mais que fait-on ? », tel est le titre d’une table ronde organisée par le CREFIGE1 en 2003. Propulsée sur le devant de la scène dans un environnement marqué par la complexité et l’incertitude, remontée ces derniers années des préoccupations du spécialiste des questions d’assurance à celles de la Direction Générale2 de l’entreprise, la thématique des risques et de leur gestion mérite que l’on s’essaie à un état des lieux dans les entreprises françaises. Nous analyserons successivement quatre points : la vision des entreprises face au risque marquée par un intérêt affiché - le risque devient une variable centrale de la réflexion stratégique - contrastant avec une démarche encore « frileuse » de gestion des risques ; la démarche de gestion des risques observée dans les entreprises, présentée à travers les étapes qui la composent et les dispositifs qui accompagnent le gestionnaire ; les bénéfices qu’en attendent les entreprises, notamment en termes de valeur ajoutée et de perspectives de rendre l’entreprise « apprenante » en favorisant la responsabilité, l’auto - contrôle et la culture d’apprentissage ; les obstacles rencontrés dans sa mise en œuvre qui font pour la plupart référence à des éléments d’ordre cognitif, managérial et organisationnel. Ces deux derniers points présentent l’avantage différentiel de dépasser le simple constat, de nous orienter vers une nouvelle approche, plus globale, intégrant les questions de la connaissance, des représentations, de l’apprentissage et de mettre l’accent sur des dispositifs susceptibles d’améliorer la gestion des risques, leur prévention, leur contention. Les quatre points d’analyse seront ainsi tour à tour traités sous deux angles : que font les entreprises françaises en matière de gestion de risques ? comment émerge une approche cognitive et organisationnelle ? Notre étude repose sur une démarche d’investigation en deux temps. Nous poserons des cadres de références à la réflexion sur le risque et sa gestion en intégrant une exploration « encyclopédique » des différentes facettes du concept de risque afin de mettre en perspective un corpus qualifié de gestion des risques. Nous adopterons par ailleurs une démarche délibérément pragmatique, centrée sur les dispositifs mis en place et observés dans les entreprises tels qu’ils sont décrits par les professionnels de la gestion des risques3 (riskmanagers, directeurs financiers et contrôleurs de gestion).

1 2

Centre de Recherche Européen en Finance et Gestion (Université Paris-Dauphine). Voir enquête réalisée à l’occasion du colloque « Acteurs publics et entreprises face aux risques économiques », avril 2003. 3 Sources : enquêtes, tables rondes et colloques, revue de presse.

2

I L’entreprise face au risque
1.1 Le concept de risque Dans une communication récente4, Y. Pesqueux nous entraîne dans une visite de ce qu’il appelle le « magasin des curiosités » associées au risque, expression qui montre, entre autres, l’incapacité de pouvoir établir une typologie articulée des risques. Il ressort de cette visite que le concept de risque, aujourd’hui d’usage courant, voire banalisé aux yeux du grand public, recouvre des contenus particulièrement disparates, alors même qu’il fait l’objet de méthodes de « gestion du risque » relevant de l’objet partiel visé (tel ou tel risque). Il repose par ailleurs sur le postulat implicite et pourtant discutable des conséquences obligatoirement néfastes de l’occurrence du risque. On assiste également à une substitution du concept de risque à celui d’incertitude : l’objet de la gestion des risques serait-il alors « de s’assurer contre tous les risques » ? Enfin, malgré son caractère « transversal », ce concept fait l’objet de peu d’approche globale. Ces « curiosités » imposent de définir le risque, de s’interroger sur ses différentes facettes voire de se référer à une théorie générale du risque (Bouyssou, 1998). 1.1.1 Définition Rappelons avant d’en donner une définition que le risque n’est pas un concept nouveau. Il fait partie de l’univers des entrepreneurs, est inhérent à toute décision : « décider, c’est choisir, en univers incertain notamment, c’est prendre un risque en espérant que le choix s’avèrera a posteriori judicieux » (Persais, 2003). La nouveauté vient en revanche du nombre de qualificatifs qui précisent la nature du risque : financier, éthique… Par ailleurs, en relation avec l’évolution du contexte économique, sociologique ou encore écologique, l’entreprise doit faire face à l’émergence de risques d’une autre nature : aux risques traditionnels (incendie, inondation…) viennent s’ajouter de nouveaux risques (risque d’image et de réputation, risque thérapeutique, risque alimentaire, risque environnemental ou technologique…) qu’il convient de prendre en compte avec autant, sinon plus d’attention que les précédents (Munnier, 2002). Ces différentes acceptions possèdent un caractère combinatoire qui rend complexe la représentation du risque.

4

« Le concept de risque au magasin des curiosités », Y. Pesqueux, Communication Congrès AFC mai 2003.

3

D’une manière générale, le risque s’entend comme « un aléa dont le survenance prive un système (une entreprise, par exemple) d’une ressource et l’empêche d’atteindre ses objectifs »5 (Encyclopédia Universalis). 1.1.2 Distinctions De nombreuses distinctions ont été proposées pour caractériser les différents types de risque auxquels peuvent être soumis les agents économiques. Nous en retiendrons deux. La plus ancienne discerne le « risque avéré » et le « risque potentiel » (Persais, 2003). Les risques avérés sont ceux pour lesquels l’assurance dispose de distributions statistiques solides permettant de prévoir la probabilité de réalisation d’un événement et par conséquent d’en évaluer ex ante le coût (Godard et al, 2002). A l’inverse, les risques potentiels sont par nature plus difficiles à cerner (Pham-Hi, 2000 ; Embrechts, 2000). Ce sont les risques qualifiés d’hypothétiques que les assureurs rechignent généralement à prendre en charge. Les risques stratégique, éthique, d’image ou de réputation entrent dans cette catégorie (Schmitt, 2000). Une approche plus récente dissocie les risques selon qu’ils sont « objectifs » ou « perçus ». La notion de risque perçu nous fait passer d’une approche rationnelle et non-interprétative du danger qui est celle des experts à une approche subjective qui est celle des individus. En effet, ceux-ci construisent leur propre idée du risque en fonction de la position occupée par chacun au sein de la société et du rôle tenu par chacun dans la création des dangers et l’exposition aux risques (Godard et al, 2002). La prise en compte de la dimension subjective du risque complique son évaluation mais elle est particulièrement intéressante dans la mesure où elle permet de mettre en évidence le rôle des biais cognitifs et des représentations dans l’appréhension et l’évaluation des dangers par les acteurs économiques. Le risque ou le non risque est une question de perception. La sensation du risque est ainsi fortement liée aux caractéristiques individuelles, en particulier à la personnalité de l’acteur, à son histoire, à ses préjugés et à sa sensation de perte ou de gain potentiel face à une situation (Fenton - O’Creevy, Soane, 2000 ; Albouy, 2003). Elle exprime aussi les intérêts, les passions et les valeurs des individus eux-mêmes intégrés dans un cadre social (Mounoud , 2000).

1.1.3 Théorie générale du risque
5

Selon la définition du Larousse, le risque désigne un « danger , inconvénient plus ou moins probable auquel un individu , un acteur est exposé ». D’autres définitions peuvent être évoquées (Barthélemy, 2000 par exemple). Elles diffèrent peu les unes des autres.

4

Dans le chapitre introductif de sa théorie générale du risque, J. Bouyssou (1998) rappelle que le risque est une notion malaisée à cerner6. Se raccrocher à une théorie générale du risque doit permettre à l’entreprise d’apporter de la méthodologie lors de l’étude des risques et de mieux gérer les problèmes quotidiens difficiles à résoudre : il est nécessaire que les responsables entreprennent des investissements intellectuels sur les risques connus et inconnus en mettant en place un système d’observation et de décryptage des signaux pour comprendre la genèse de ces risques pouvant émerger, et permettre leur anticipation ; chaque secteur d’activité doit savoir observer, évaluer et analyser des ensembles de risques afin de tenir compte de leurs effets. L’auteur soulève par ailleurs plusieurs problèmes sur lesquels les entreprises achoppent, les freinant dans le développement de leur démarche de gestion des risques : l’inquiétude suscitée par le risque, elle-même variable suivant les individus, la validité d’un risque à l’instant t qui pose la question de sa pérennité et de la nécessaire gestion dynamique de celui-ci (mise à jour, retour d’expérience), la représentation du risque propre à chaque individu et l’illusion du risque « zéro ». 1.2 Le renouvellement de la vision de l’entreprise face au risque 1.2.1 Le risque, variable centrale de la réflexion stratégique et organisationnelle des entreprises Pour l’entreprise, la question des risques est devenue déterminante (Beaurain, Frotié, Towhill, 2000). Certes le nouveau discours sur le risque habille pour partie une réalité aussi ancienne que l’activité d’entrepreneur, il ne fait pourtant pas de doute que les dirigeants sont de plus en plus préoccupés par les risques : 60% des dirigeants estiment que cette préoccupation s’est accrue ces trois dernières années7 et c’est pourquoi la gestion des risques est remontée du spécialiste des questions d’assurance à la Direction Générale. Il n’est plus seulement question des risques liés aux accidents du travail, aux pertes financières ou à la notion de risque pénal mais des risques tels que l’insatisfaction du client, l’environnement réglementaire, les systèmes d’information, la sécurité informatique, la concurrence et le marché. Trois facteurs expliquent cette évolution. En premier lieu, le périmètre d’incertitude qui entoure l’organisation s’est élargi sous l’influence d’une diminution progressive du seuil d’acceptabilité du risque et de l’intrusion grandissante des stakeholders (SH) dans l’entreprise qui accroît sa vulnérabilité. Bien qu’une crise correctement gérée puisse s’avérer a posteriori « bénéfique » pour l’entreprise tant au niveau de l’apprentissage que sur le plan financier, la
6

Pour les fondements de la théorie générale du risque et les principes susceptibles de constituer des points de départ pour des règles d’action, voir Bouyssou (1998). 7 Enquête réalisée par Eon management Consulting (février-mars 2003) auprès de 1.200 patrons des plus grandes entreprises françaises ; 5% de réponses.

5

sanction en cas de catastrophe ou d’événement majeur peut être fatale à l’entreprise (Knight, Pretty, 2003). Les entreprises ont par ailleurs dû faire face à la réticence des compagnies d’assurance à prendre en charge les risques nouveaux (ex : les risques industriels). Enfin, « l’actualité » du risque avec les affaires (Enron-Andersen, Vivendi…), les obligations de communication (loi NRE8, 2001) et les normes internationales9 ont changé les habitudes de gestion des entreprises. 1.2.2 L’élargissement du champ d’investigation aux risques potentiels et aux risques perçus La prise en compte des risques potentiels, plus difficiles à cerner et par là-même plus dangereux, commande à l’entreprise d’appliquer non seulement les principes de prévoyance et de prévention appliqués aux risques avérés mais également celui de précaution. En d’autres termes, le responsable ne peut attendre que les risques soient devenus certains pour agir. L’appréhension d’un risque potentiel suppose par ailleurs une certaine acuité dans l’évaluation de signaux parfois difficilement perceptibles. Prévoir et prévenir deviennent les éléments indispensables du management des risques. La question de la subjectivité des risques est également cruciale pour l’entreprise. Elle en élargit le champ d’investigation. En effet, si l’on admet que le risque est au cœur de la relation entreprise / acteurs de la société civile (Ramanantsoa, 2000), le gestionnaire des risques doit impliquer très directement les acteurs concernés pour en mesurer l’impact10. Par ailleurs, dans l’appréhension des risques, l’entreprise doit non seulement intégrer les facteurs d’environnement susceptibles d’influencer cette perception (rôle des médias, influence des leaders d’opinion…) mais également tenir compte des valeurs et attentes grandissantes des parties prenantes à l’égard des entreprises en général. L’idée de subjectivité s’applique également à la perception par l’entreprise des risques qu’elle encourt au travers de ses décisions et de ses actions. La palette des « nouveaux risques » auxquels elle est exposée fait, dans une large mesure, référence au concept de perception (ex : risque d’image, risque éthique…). Or tous les dirigeants n’ont pas la même représentation face à un même environnement. Par conséquent, ce n’est pas tant le risque, que sa représentation par les acteurs qui importe (Miles, Snow et Pfeffer, 1974). D’autre part, quand bien même deux

8 9

Nouvelles Régulations Economiques. Normes de l’International Institute of Internal Auditors éditées en 2000 et traduites par l’Institut Français des Auditeurs et Consultants Internes en 2002. Selon ces normes, la fonction centrale de l’auditeur interne dans les organisations devient aujourd’hui : l’assistance au processus de management des risques. Ils doivent évaluer la qualité du processus de management des risques, et, en l’absence d’un tel processus, ils peuvent aider à le concevoir et à le mettre en place. 10 Application du principe de participation (Roche 2001).

6

responsables auraient perçus les mêmes signaux, ils seraient susceptibles d’en évaluer la portée de façon différente.

II L’entreprise face à la gestion des risques
2.1 Le concept de gestion des risques 2.1.1 Définition Toujours dans sa visite du « magasin des curiosités », Y. Pesqueux (2003) définit la gestion des risques comme le processus appliqué tout au long d’un programme et qui regroupe des activités d’identification, d’estimation et de maîtrise des risques où l’estimation est vue comme « le processus utilisé pour affecter des valeurs à la probabilité, à la détectabilité et aux conséquences d’un risque11». Les termes de démarche et/ou approche nous semblent préférables à celui de processus. 2.1.2 Vers une méthodologie Pour Y.Pesqueux, la gestion des risques est un univers radicalement procédural et pragmatique, dans lequel les remontées conceptuelles sont souvent absentes. Quant aux méthodes de gestion des risques, il s’agit du royaume des « grilles » regroupant des méthodes très « pointues » et destinées à proposer une meilleure vision du rôle du manager dans la démarche de gestion des risques. Elles aboutissent en fait à une sorte de reconnaissance de la difficulté de se référer à une démarche de portée « universelle ». Dans cet univers sans véritable validation scientifique, nous proposons quelques éléments issus de l’observation et autour desquels les professionnels s’accordent, permettant de trouver des points d’ancrages méthodologiques à la démarche de gestion des risques. Cette préoccupation est récente (moins de 10 ans), caractérisée par une approche globale (c’est à dire non microéconomique) et par essence transversale puisqu’elle est là pour servir les projets, les différentes entités et les processus opérationnels et managériaux de l’entreprise et qu’elle se positionne en accompagnement du processus de décision. Elle suppose donc l’implication du personnel opérationnel, indispensable à une bonne identification des risques. La démarche de gestion des risques se doit d’intervenir en amont de la survenance des évènements ; elle ne valide donc pas seulement les expériences survenues mais les anticipe. La gestion des risques n’est pas seulement une activité de contrôle : on ne cherche pas seulement la qualité de chacune des opérations mais la bonne articulation des activités entre
11

Voir H.Courtot (1998), « La gestion des risques dans les projets », Economica, Paris.

7

elles. Il s’agit d’une démarche en deux temps qui repose d’abord sur une phase d’analyse puis sur une phase de maîtrise des risques. La gestion des risques a par ailleurs conduit à l’apparition d’une nouvelle fonction dans l’organisation, celle de risk-manager. Elle cherche à échapper au contrôle de gestion comme fonction de l’entreprise pour accéder à une forme d’autonomie et devenir un des aspects fondamentaux de la pratique managériale. Cette particularité est à rapprocher de la transversalité du concept. Enfin, la gestion des risques a conduit à l’apparition de nombreuses méthodes qui présentent comme caractéristiques communes de reposer sur une chronologie d’étapes attribuant des rôles aux différents agents et de conduire à la nécessité de construire une « mémoire » des risques. 2.2 Une démarche de gestion des risques en « demi-teinte » Plusieurs enquêtes ayant pour objectif de faire un état des lieux sur la gestion des risques ont montré qu’il existe un net décalage entre l’intérêt porté par les entreprises à la gestion des risques et les moyens mis en œuvre à ce jour. 80% des directeurs financiers interrogés12 affirment que la gestion des risques a un apport positif sur la création de valeur, tant sur le plan quantitatif (supplément de rémunération apportée par l’entreprise par rapport à un placement sans risque) que sur le plan qualitatif (développement durable, fidélisation des clients). Une grande majorité des répondants pensent par ailleurs que la mise en place d’une méthodologie de gestion des risques serait profitable à la plupart des entreprises. Pourtant, ces mêmes enquêtes montrent que l’approche de la gestion des risques par les entreprises demeure défensive et souvent limitée à la réponse à des scénarios catastrophes. Une étude consacrée à l’application de la démarche de gestion des risques dans le secteur de la santé (Diard et Maurain, 2003) affine ce résultat. Elle fait ressortir dans les entreprises biomédicales étudiées la construction de systèmes de référentiels centrés sur la sécurité et la qualité des produits13 mais qu’elle assimile davantage à un corpus de normes coercitives ou incitatives générateur d’une « démarche qualité » centrée sur le produit et ses clients externes, qu’à une démarche transversale de gestion des risques transposée à toute l’entreprise. Les
12

Enquête réalisée par la DFCG (Association nationale des directeurs financiers et de contrôle de gestion) et le cabinet d’audit KPMG, en partenariat avec la Tribune. Lancée en octobre 2002 auprès de 5.000 directeurs financiers de grandes entreprises ( > 200 salariés). En retour, 208 réponses dont 70 provenant de sociétés cotées. 13 Harmonisation des normes d’expérimentation, encadrement du processus de recherche, développement par des « guide lines », assurance qualité-production à travers l’adoption de la certification ISO, traçabilité des produits.

8

outils mis en place ne prennent en compte que certaines fonctions (R&D, marketing, production) et ne constituent finalement qu’une première étape de management des risques. Par ailleurs, seuls les risques qualité, sécurité et leur corollaire juridique sont pris en compte alors que les risques managériaux ont des conséquences au moins aussi graves. Cette carence de globalisation pourrait finalement conduire à un simple inventaire des risques diagnostiqués, sans structure hiérarchisée, ce qui peut paralyser la décision et l’action et nuire à la créativité de l’organisation. A côté de cette perception parcellaire et « sécuritaire » de la gestion des risques, il ressort des enquêtes14 que les moyens opérationnels de la gestion des risques sont notablement insuffisants : moins de 40 % des entreprises ont mis en place un processus d’identification des risques ; seulement 25 % des entreprises utilisent une cartographie des risques ; 90 % des répondants jugent leur gestion des risques perfectible. Finalement, nombre d’entreprises ne peuvent s’appuyer sur une gestion globale de leurs risques car elles ne disposent pas d’un dispositif de mesure et d’anticipation suffisant. Enfin, seulement 13 % des entreprises interrogées ont créé une fonction de risk-manager et leur mission est souvent limitée à l’achat d’assurances et la prévention de risques matériels. Le risk-manager, quand il existe, n’a donc souvent ni la vocation à imposer ses vues dans les domaines touchant à la vie des hommes et à l’organisation des structures sociales et techniques, ni les compétences pour se différencier véritablement des responsables de l’audit et du contrôle interne dont la fonction centrale est devenue selon les normes internationales15 l’assistance au processus de management des risques. Dans près de 65 % des cas, la gestion des risques est centralisée sur une nombre très limité de personnes et ne fait l’objet d’aucune communication interne particulière. 2.3 La démarche de gestion des risques observée dans les entreprises : en quoi consiste-telle ? quels dispositifs l’accompagnent ? La mise en œuvre d’une politique de gestion des risques a toujours pour origine la volonté de la Direction Générale de connaître les risques majeurs de l’entreprise, de les mettre sous contrôle et d’être informée de la qualité de leur maîtrise dans l’entreprise. Il doit s’agir d’un axe stratégique fort. Cette volonté politique est ensuite mise en œuvre à travers une démarche de gestion des risques dont le noyau dur consiste à identifier les risques, les évaluer, les analyser, les rapprocher des contrôles existants et décider en conséquence d’un plan d’action.
14 15

Voir en particulier enquête DFCG-KPMG (2002). Voir normes IIA (International Institute of Internal Auditors) et IFACI (Institut Français des Auditeurs et des Consultants Internes)

9

Il est intéressant de présenter les étapes, plus ou moins formalisées selon la culture de l’entreprise, de cette démarche et d’examiner les outils mis au point pour accompagner les gestionnaires. Nous illustrerons chacun de ces dispositifs à partir de l’exemple de l’entreprise France Télécom16. La démarche de gestion des risques se décompose en cinq étapes. A chacune correspond un ou plusieurs outils. L’entreprise commence par définir une stratégie de maîtrise des risques majeurs à partir de deux niveaux d’identification : les objectifs stratégiques ou les processus opérationnels de l’entreprise. Le deuxième niveau est privilégié par les entreprises souvent réticentes à « divulguer » leur stratégie ou par toutes celles qui se livrent à la « navigation à vue ». Il consiste pour la Direction Générale à visualiser régulièrement les grands risques majeurs permanents qui menacent la mission de l’entreprise, les quelques grands projets dont la dérive causerait un tort majeur à l’entreprise et les processus clés constituant le business model de l’entreprise. Le business model de l’organisation (ou modèle d’entreprise) est le premier dispositif utilisé par les entreprises. Il ne s’agit pas en soi d’un outil de gestion des risques mais c’est un pré-requis permettant de procéder à leur analyse. Il présente les principaux processus de l’entreprise et met à sa disposition des éléments d’identification des risques à tous les niveaux. L’activité de France Télécom est ainsi décrite en termes de processus et activités, déjà utilisés pour son contrôle de gestion stratégique et opérationnel et regroupés en vingt-cinq macro processus distinguant les processus support, coeur de métier et stratégiques. L’identification des risques se fait ensuite par interview de chaque responsable stratégique et opérationnel et par l’utilisation de grilles (« best practices »). Ces outils ont permis à France Télécom d’identifier deux cents risques sur l’ensemble du groupe. Ils sont par ailleurs l’occasion de faire travailler ensemble les membres du personnel et sont le point de départ de la diffusion d’une culture du risque au sein de l’entreprise. Une fois les processus et les risques identifiés, l’entreprise élabore et met à jour une cartographie (ou mise en cartes). Pour ce faire elle évalue les risques en fonction de l’impact qu’ils pourraient avoir s’ils se matérialisaient et de leur probabilité de survenance. France
16

Sources : intervention de M.Chambeault, directeur de l’audit et du contrôle des risques de France Télécom lors de la table ronde organisée par le CREFIGE (2003) ; témoignage de M. Chambeault dans « Comprendre et gérer les risques », Editions d’Organisation, 2002. D’autres exemples auraient pu être présentés tels que l’entreprise Danone dans laquelle on retrouve les mêmes étapes et le même type d’outils (intervention de Th.Van Santen, risk-manager de Danone, précurseur dans le domaine de la gestion des risques).

10

Télécom retient quatre termes d’impact considérés comme les modes d’expression les plus pertinents de la conséquence de survenance d’un risque : perte financière17, atteinte à l’image, perte de parts de marché, non-respect des lois et réglementations. Trois niveaux d’impact sont ainsi quantifiés : faible, modéré, élevé. La mesure de la probabilité se fait à partir de facteurs de probabilité, c’est à dire d’éléments référentiels environnants dont l’amplitude observée conditionne la probabilité de survenance d’un événement. France Télécom distingue les facteurs externes tels que la situation du marché, la réglementation ou encore l’action des concurrents et les facteurs internes tels que la culture du personnel, le système d’information, la complexité des processus ou encore les contrôles internes pris en compte à travers leur capacité à minimiser le risque inhérent pour obtenir un risque résiduel plus faible. Le résultat de la combinaison impact x probabilité donne le poids du risque. Concrètement, la cartographie des risques prend la forme d’une matrice impact / probabilité de survenance. Elle donne une image synthétique des risques et de leur poids respectif. Sa cartographie permet à France Télécom de qualifier certains risques de stratégiques (probabilité faible / impact élevé) tels que les choix technologiques (type UMTS) ou encore la réglementation (décisions de l’ART concernant les nouveaux entrants) ; ou encore de transférables (probabilité moyenne / impact moyen), c’est à dire susceptibles d’être traités par l’assurance, donc d’être externalisés tels que les risques d’incendies d’agences, de tempêtes, d’inondation ; d’autres risques sont appelés opérationnels (probabilité forte / impact faible), ces derniers regroupant tous les risques « mal connus » qui peuvent empêcher la réalisation des objectifs à court terme de l’entreprise et les risques récurrents dont les enjeux financiers sont importants tels que les risques clients, les risques liés au système d’information du type de facturation, les fraudes, la fiabilité du reporting… La cartographie des risques permet de hiérarchiser les risques analysés conduisant les dirigeants à se focaliser sur les risques majeurs (quarante risques majeurs identifiés chez France Télécom) et sur les systèmes de contrôle interne adaptés.
Cartographie des risques de France Télécom

E P R O B A
17

M

Pour refléter les activités permanentes ou invariants des métiers, le critère de chiffres d’affaires a été retenu plutôt que celui de capitalisation boursière.

11

B I L I T E

F

FAIBLE

MODERE IMPACT

ELEVE

Source : M.Chambeault, direction de l’audit et du contrôle des risques, France Télécom, 2001

Une quatrième étape consiste à analyser les systèmes de contrôle interne : existe-t-il des dispositifs de contrôle et de quels types sont-ils ? (procédures, chartes, formations, responsabilisations, assurances) ; sont ils efficaces ? pertinents ? fiables ? La réponse à la deuxième série de questions se fait à partir de la mesure du risque résiduel c’est à dire la part qui n’a pu être traitée après les contrôles et actions appropriées : si le risque résiduel est trop élevé, cela signifie que le risque est sous-contrôlé ; s’il est faible, le risque est potentiellement sur-contrôlé. Dans les deux cas, les dispositifs de contrôle sont à revoir. Les conclusions quant aux dispositifs de contrôle du risque permettent à l’entreprise de définir un ou des plans d’action (bénéfice / ressources à investir) destinés à améliorer la couverture des risques majeurs. Ils sont mis en œuvre à travers trois types de dispositifs18 : un dispositif d’ingénierie pour l’identification des risques et le repérage des bonnes pratiques de maîtrise des risques concernant des items que l’entreprise a décidé d’analyser ; un dispositif de déploiement pour la mise à la disposition des opérationnels des bases d’une auto-évaluation de la maîtrise de leurs risques ; un dispositif d’audit pour l’évaluation sur le terrain de l’impact et de la probabilité de survenance de chaque risque identifié dans le référentiel puis de la pertinence et de la fiabilité de la qualité des contrôles internes existants au regard des principes de contrôle de référence. Les plans d’action sont diffusés via la responsabilisation et la mise en réseau. Dans une entreprise comme France Télécom, un dispositif à trois niveaux est mis en place. En face de chaque risque majeur est positionné un responsable chargé d’un plan d’action (le « propriétaire » du risque) : un réseau de responsabilité est ainsi mis en place. Pour chaque famille de risques, des experts sont choisis pour aider les « propriétaires » de risque : un réseau de soutien est mis en place. Un comité de risques central chapeaute ces deux réseaux. Ces outils donnent à la démarche de gestion des risques son caractère dynamique.

18

Terminologie empruntée à Diard et Maurain (2003).

12

Ces actions font dès lors l’objet d’une analyse, d’un suivi et d’un apprentissage. L’analyse des résultats se fait en introduisant dans les tableaux de bord des indicateurs de suivi des actions mises en place et de mesure de maîtrise des risques mis sous contrôle. Les questions à renseigner sont le choix des indicateurs, de leur fréquence, de leur présentation et de leur rattachement à un processowner. Les résultats sont enfin communiqués à la hiérarchie. La Direction Générale est informée de la qualité de la maîtrise des risques dans l’entreprise. Les enjeux de cette dernière étape sont d’une part la transparence vis-à-vis du management et des actionnaires - le climat de confiance - et d’autre part la diffusion d’une culture du risque dans l’entreprise et l’introduction d’une boucle d’apprentissage collectif. L’analyse des résultats peut enfin donner lieu à la mise en place de retours d’expérience (partage d’expérience). Ils peuvent prendre la forme comme chez France Télécom de mises à jour régulières du site de l’entreprise au fur et à mesure de la réalisation des plans d’actions, d’échanges d’informations entre le terrain et les équipes de management via les bases de données ou encore de diffusion des meilleurs pratiques accessibles à tous. Ces outils donnent à la démarche de gestion des risques son caractère opérationnel.

III La démarche globale de gestion des risques : intérêt et obstacles
3.1 L’intérêt pour le contrôle interne des entreprises : une valeur ajoutée, une culture d’apprentissage La valeur ajoutée attendue par les entreprises vient d’abord du flux d’informations généré par le dispositif de gestion des risques : il s’agit d’informations déterminantes pour la bonne marche de l’entreprise et le pilotage de la performance19. Elle vient également du fait qu’il s’agit d’une démarche dont les bénéficiaires sont les acteurs de l’entreprise (dirigeants, comité d’audit et opérationnels en interne ; actionnaires en externe). Les identifier et s’adresser à eux est en soi source de progrès dans l’entreprise. Un autre point fort de la démarche est qu’il s’agit d’une suite logique d’opérations ayant pour objectif non seulement la recherche de la qualité de chaque opération mais aussi la bonne
19

Baromètre du risk-management Proviti / TNS / Sofres / l’Expansion (2003) réalisé à partir de 100 directeurs financiers de grandes entreprises cotées ou non.

13

articulation des opérations entre elles : analyser le processus dans sa globalité permet de repérer les doublons, les blocages et de procéder à sa simplification et à sa réingénérie. La démarche de gestion des risques présente également l’intérêt d’être transversale favorisant la conduite de projet, le partenariat, l’interdisciplinarité, l’arbitrage entre des rationalités différentes ou encore le management interculturel au sein de l’entreprise. Enfin, son point de départ se situe très en amont, dès la désignation des objectifs stratégiques. Elle n’est donc plus seulement réactive ou passive mais pro-active. L’approche globale de gestion des risques permet l’introduction des trois boucles d’apprentissage (Argyris et Schon, 1978) et notamment les boucles de type deux20 et trois. Elle favorise ainsi une culture d’apprentissage où l’articulation diagnostic-pilotage se fait plus naturellement. La maîtrise des risques s’obtient alors non par des dispositifs de surveillance, mais par la mise en place d’un environnement d’aide à la décision et de contrôle pertinent dont profite chaque responsable. Cette caractéristique est d’autant plus intéressante que la mise en place d’une organisation de la responsabilité et d’un auto-contrôle des responsables d’activités constitue un point d’achoppement essentiel pour les entreprises qui mettent en œuvre un dispositif de gestion des risques.
Apprentissage de l’apprentissage (en triple boucle)

objectifs Cadre général d’apprentissage: sens, valeurs principes normes corrections corrections, « recadrage »
Source : Lorino Ph. (1997) , « Méthodes et pratiques de la performance »

actions corrections

résultats

3.2 Les obstacles à sa mise en œuvre L’enquête DFCG-KPMG (2003) identifie les freins principaux à la mise en œuvre de la gestion des risques : le coût pour 42% des répondants et la sensibilisation des dirigeants pour 30%. A cela s’ajoute la faible perception des avantages immédiats liés à la mise en place

20

Apprentissage par reconstruction (en double boucle) : l’organisation apprend en remettant en cause ses objectifs et leurs fondements. Apprentissage par l’apprentissage (en triple boucle) : l’organisation apprend à modifier ou développer sa façon d’apprendre, à tirer les leçons de l’expérience. Cela a un impact sur l’amélioration des boucles de type 1 et 2.

14

d’une gestion des risques intégrée à la stratégie globale de l’entreprise. De plus, il n’est jamais évident d’ « avouer » ses risques et de les partager dans l’entreprise ou avec des tiers. Nuancer l’obstacle du coût nous semble important : il s’agit principalement d’insuffler une « culture d’ entreprise » ; de plus dans les PME-PMI, la gestion des risques peut s’appuyer sur des méthodologies s’articulant autour du contrôle interne existant ; pour favoriser le partage des connaissances et la responsabilisation des principaux acteurs de l’entreprise, celles-ci devront seulement être formalisées autour d’outils simples (cartographie, plan d’action). La crainte d’ « avouer » les risques s’efface, quant à elle, lorsque la démarche de gestion des risques est abordée de manière pro-active. En revanche, d’autres obstacles mis en évidence par des études menées sur le « terrain » et des « témoignages » de professionnels nous semblent plus pertinents. Tous font référence à des éléments d’ordre cognitif, managérial et organisationnel qui empêchent l’entreprise de dépasser la première étape de management des risques (approche parcellaire et « sécuritaire ») évoquée par Diard et Maurain (2003) au sujet des entreprises biomédicales.

3.2.1 Prendre en compte le comportement des acteurs face au risque Lors de la mise en œuvre à la SNCF de méthodes d’analyse a priori des risques professionnels et d’outils du type de ceux présentés précédemment, les problèmes rencontrés n’ont pas été d’ordre technique mais liés à l’immersion de l’individu dans l’organisation21. Tous ont trait à la gestion de l’aspect comportemental des acteurs. Plus précisément, il s’agit des biais culturels des acteurs, des représentations du risque, des phénomènes de déni22 et/ou de sélection victimaire23, de la résistance au changement, de l’aspect émotionnel ou encore de l’aspect « ici et maintenant »24 qui permet ou empêche le déclenchement du réseau. L’étude de Delpy et Larrasquet (2003) conduite dans le secteur hospitalier soulève également le problème de la représentation du risque. « La contention du risque à l’hôpital se heurte au fait de savoir comment on peut réconcilier ou en tous cas, faire collaborer positivement l’ensemble des acteurs concernés. Ils ont tous des points de vue et des projets personnels différents, antagoniques parfois concernant ce que devrait être l’hôpital, le service… En même temps et de façon intimement liée, chacun d’eux se construit sa propre représentation de son
21

« L’immersion de l’individu dans une organisation est une question complexe, les « contorsions » des organisations sont des processus complexes ». Voir mémoire de DEA en Sciences de gestion de L.Chautru (2004), chef de secteur Conseil – Formation à la Délégation Régionale des Ressources Humaines de la SNCF (Poitou-Charente Aquitaine) – doctorant en Sciences de Gestion. 22 « Nier le risque pour vivre avec. » 23 « Ca n’arrive qu’aux autres. » 24 « Je fais, si la personne me plaît . »

15

implication dans l’institution et dans les projets qu’elle porte… Le défi du risk-manager est finalement de faire converger ces représentations.» Enfin, cette difficulté à prendre en compte les facteurs humains ressort de nombreuses expériences de mise en œuvre de retour d’expérience25 (REX). L’expérience du groupe Airbus26 est éloquent. Elle part de l’observation d’un blocage « culturel » de son système REX (au niveau des vols) : l’utilisateur (pilote, mécanicien…) avait peur de rapporter les incidents auxquels il avait dû faire face et aucune structure n’était en place pour recueillir les informations. Pour un commandant de bord, se « confesser » et reconnaître qu’il a pu commettre une erreur est difficile et cette attitude est amplifiée par la peur de la sanction. Quant aux compagnies aériennes clientes, même si elles avaient pris conscience de la nécessité de mettre en place un retour d’expérience, elles craignaient de communiquer leurs résultats à l’extérieur, au risque de laisser penser qu’aucune action n’était menée dans ce domaine. Autre frein à cette mise en place, les conséquences d’une éventuelle enquête de la justice dont l’objet est d’identifier les causes, donc les responsables. La première étape de la réflexion a consisté à recueillir les données issues du comportement humain, exercice difficile puisqu’il s’agit d’informations par nature non rationnelles. Pour ce faire, Airbus a créé un groupe de travail dont l’objectif est d’encourager les compagnies aériennes à rendre compte des difficultés opérationnelles et autres incidents qu’elles ont pu rencontrer et qui n’ont pas été médiatisés, de l’aspect non technique de certains dysfonctionnements et de l’environnement émotionnel du moment. L’entreprise va plus loin en proposant à ses clients un procédé d’analyse systématique des vols à partir de l’enregistreur de vol et d’un logiciel capable d’isoler des données opérationnelles. Elle incite également les compagnies aériennes à encourager leurs pilotes à dire à leurs pairs ce qui est arrivé en cas d’incident ou accident, confidentiellement, sans risque de représailles. Enfin, une conférence internationale sur la sécurité des vols (Flight safety conference) est organisée chaque année sous la forme d’un séminaire dans le cadre duquel les personnels concernés analysent ensemble divers évènements et accidents puis passent des constatations aux recommandations et aux leçons tirées de l’expérience. Même si toutes les informations étaient recueillies au moindre dysfonctionnement sans réticence aucune ni de la part des personnels, ni de celle des compagnies, un autre type de difficulté reste ensuite à résoudre. Les responsables d’Airbus reconnaissent en effet être
25

Le REX consiste à tirer les leçons de l’expérience à partir de l’analyse minutieuse des faits, en vue de maîtriser les processus, et par conséquent de les améliorer. Il permet d’identifier les méthodes qui conduisent au succès, d’évaluer le chemin parcouru, de mesurer l’efficacité de l’action, d’accéder à la capitalisation d’expérience en favorisant le développement et le partage de pratiques « gagnantes ». 26 Témoignage d’Y. Benoist, vice-président Flight Safety chez Airbus.

16

contraints de penser différemment face aux facteurs humains : « nous ne sommes pas face à un problème technique. Un être humain, même de bonne foi, expose sa propre vérité, selon sa propre compréhension de la situation qu’il a vécue. Souvent, il n’a pas perçu la réalité de cette situation qui l’a amené à l’erreur. Ce qui est déjà, en soi, une information. Avant de décider à passer à l’action, il s’agit de voir si ce type d’erreur est assez fréquent ». Face à ces problèmes de dysfonctionnement du comportement humain, l’entreprise cherche à créer une nouvelle classification et à mettre en place des systèmes particuliers d’analyse des problèmes rencontrés, en faisant appel à des spécialistes des facteurs humains et des psychologues. Les pistes retenues par Airbus pour intégrer les éléments humains et opérationnels dans le REX sont la collégialité du travail d’enquête utilisant toutes les compétences disponibles, l’adaptation des outils à la culture des différents interlocuteurs, le respect de la confidentialité de leur propos de façon à instaurer une confiance entre les deux parties (celle qui donne et celle qui recueille l’information), la circulation de l’information au sein de l’entreprise pour communiquer sur l’intérêt d’avoir recours à une telle démarche et la formation des personnels pour qu’ils deviennent compétents dans le recueil systématique des données. 3.2.2 Responsabiliser les acteurs face au risque Diard et Maurain (2003) observent dans les entreprises biomédicales une absence de responsabilisation des acteurs, une « capacité culturelle » et des compétences insuffisantes voire inexistantes pour prendre en compte le risque et avoir une analyse permanente bénéfice / risque. L’analyse de Pilnière27 (2003) sur la mise en œuvre de la gestion des risques professionnels dans le secteur hospitalier pose également le problème de l’approche « descendante » du haut de la hiérarchie vers les opérationnels sans responsabilisation des acteurs, sans véritable communication, ni retour d’expérience sur les multiples projets de gestion des risques « lancés » régulièrement et soulève la question de savoir comment rendre l’entreprise apprenante sur le risque et plus précisément comment introduire une boucle d’apprentissage de type trois. 3.2.3 Définir la fonction de risk-manager Avant de savoir ce qu’est un bon risk-manager, il faut définir ce qu’est un risk-manager : quelles sont ses missions ? les compétences « requises28 » ? les « bonnes compétences29 » ?

27 28

Source : intervention de V. Pilnière (2004), doctorante en Sciences Cognitives au GRAPHOS. Au sens des référentiels de compétences. 29 Pour reprendre une expression copiée sur celle de « bonnes pratiques ».

17

Les missions du risk-manager doivent être définies au-delà de la dimension technique inhérente à la prévention du risque. La dimension politique liée aux enjeux de pouvoir et aux relations inter-individuelles et l’importance du discours (prise de conscience, représentation, évaluation du risque30) sous-jacentes à la gestion des situations relatives aux risques doivent être prises en compte. La complexité de la mission ainsi définie requiert des compétences et des savoir-faire qui dépassent la simple connaissance des mécanismes d’assurances. L’appellation de riskmanager traduite en français « gestionnaire de risques » lui fait partiellement perdre de sa substance : le risk-manager tel que l’entendent les Anglo-Saxons n’est pas un simple « gestionnaire » cantonné dans l’achat d’assurances et la prévention des risques matériels mais un « visionnaire » de risques capable d’avoir une approche globale des risques encourus par son entreprise. Des entreprises comme Danone et Aventis ont adopté ce type de démarche et confient à leur risk-manager une véritable fonction de gestion globale des risques. Dans ces entreprises, conscients qu’il est impossible d’imaginer toutes les combinaisons d’évènements pouvant concourir à la survenance d’un accident, les risk managers participent en permanence à l’amélioration des systèmes de prévention et de protection pour limiter les conséquences d’un sinistre : des relais d’information entre le terrain et les équipes de management des risques sont mis en place et la remontée et la descente des chiffres relatifs aux accidents et incidents constituent les clés d’une bonne gestion des risques. La mise en place d’une fonction de gestion globale des risques se heurte toutefois à un problème de communication au sein de l’entreprise : le travail des risk-managers n’est pas encore correctement perçu par tous les acteurs de la chaîne d’amélioration de la sécurité ; chez Aventis, les responsables de la sécurité des sites industriels déplorent de ne pas toujours voir la relation entre leur travail de collecte de données et les décisions des comités exécutifs et regrettent que la consolidation des informations liées à leur participation au processus de gestion des risques s’effectuent loin d’eux, car les messages sur les enseignements à en tirer deviennent brouillés, voire inexistants ; ces responsables de terrain ont même l’impression de subir les préconisations techniques des assureurs, qui entrent en conflit avec leur action de proximité sur la protection des personnes. 3.2.4 Détecter les signaux d’alerte L’obstacle à la progression des entreprises dans la maîtrise des risques tient parfois à l’incapacité du système d’information à assurer la génération de signaux d’alerte, même
30

Quand et comment un risque devient-il incontournable ?

18

faibles, précurseurs ou annonciateurs de crises, à effectuer le traçage d’informations pertinentes de déroulement des évènements et à les « réinjecter » dans le fonctionnement du système. Le responsable de la pharmacovigilance chez Merck Santé constate en effet, avec le recul, que la plupart des crises qui ont agité les secteurs de la santé, mais aussi de l’agroalimentaire, de l’automobile, s’est accompagnée de signaux non ou mal interprétés. Sans doute la détection de bonnes informations aurait-elle permis de repérer en amont un risque de crise. La question soulevée par le groupe Merck est alors de savoir quels systèmes organisationnels (dispositifs, outils, procédures, démarche) peuvent permettre d’éviter que le risque ne devienne réalité. Le groupe a récemment engagé une démarche pour détecter des signaux faibles le plus précocement possible. Pour les produits en développement par exemple, ont été constitués au sein de l’organisation des groupes de travail transversaux qui passent en revue régulièrement les effets indésirables graves ou anodins, les anomalies de laboratoires ou tout autre incident ou signal rapportés. A partir des compilations de données dont ils disposent, les groupes sont chargés d’élaborer des propositions pour mettre en place des surveillances spécifiques et d’analyser les conséquences lorsque ces propositions ont été mises en œuvre. Cette surveillance très rapprochée permet une vérification de la pertinence des signaux. Celle-ci suppose une gymnastique analytique considérable, mais ses résultats ont un fort impact sur la prise de décision.

Conclusion
L’état des lieux sur le risque et leur gestion est nécessaire pour appréhender la situation dans les entreprises françaises. Il ressort par ailleurs des études menées sur le terrain et des témoignages de professionnels - et c’est l’aspect novateur de notre approche - qu’au-delà du discours « désincarné » de certains risk-managers et de la vision statique, souvent limitée à l’énoncé des différentes étapes et outils à mettre en œuvre, la mise en place d’une démarche globale et dynamique de gestion des risques ne va pas de soi. La dynamique cognitive est difficile à engager, les obstacles organisationnels sont nombreux et les acteurs s’interrogent sur les « bonnes compétences ». Mettre ces différents freins en évidence constitue une étape importante qui ouvre la porte à de nombreuses perspectives de recherche « terrain ». Une première perspective pourrait être de repérer dans quelques entreprises ciblées les points forts et les insuffisances des systèmes existants en matière de gestion des risques, les bonnes pratiques ainsi que les moins bonnes et surtout, dans la mesure où il s’agit de questions 19

dynamiques où l’implication des acteurs est essentielle, de repérer les moteurs et les freins du développement des démarches mises en oeuvre. Cette première étape encore très orientée vers l’identification technique des risques devrait être complétée par une réflexion plus globale intégrant la dimension cognitive31. Cette deuxième perspective pourrait conduire à mettre en place des systèmes organisationnels et managériaux qui favorisent par exemple la responsabilisation des personnes et des groupes ou encore l’auto - production de solutions et à définir, à partir d’observations pratiques, de leur critique et d’une ingénierie spécifique, des modalités d’évaluation et d’amélioration de ceuxci. L’enjeu est de permettre l’appropriation de la prévention des risques opérationnels par les acteurs et de favoriser sa mise en œuvre ainsi que la montée en compétences des acteurs.

Références bibliographiques
Barthélemy B. (2000), Gestion des risques, Ed les Organisations, p. 15. Ballery E. (2003), dossier Comment améliorer la maîtrise des risques, Qualité en mouvement, n°61, p. 17-60. Beaurain P. Frotiee P. Towhill B. (2000), « Nouvelles perspectives pour les entreprises », dossier L’art de la gestion des risques, supplément les Echos, 28 septembre. Boudjellal N. (2003), « Les risk-managers relèveront-ils le défi ? », dossier Entreprise, L’Argus de l’assurance, n°6818, janvier, p. 32-35. Bouyssou J. (1997), Théorie générale du risque, Economica, Paris. Centre de Recherche Européen en Finance et Gestion (2003), « Le risk-management : tout le monde en parle mais que fait-on ? Pour une approche structurée de la gestion des risques », Table ronde, Université ParisDauphine, avril. Chautru L. (2003), « La gestion des risques : d’une vision technicienne à une approche socio-technique (émergence d’une problématique de thèse à partir d’une expérience à la SNCF) », mémoire de DEA de Sciences de gestion, Université Toulouse I. Courtot H. (1998), La gestion des risques dans les projets, Economica, Paris, p. 38. Delon E. (2004), « Etablir une cartographie des risques », L’Usine Nouvelle, n°2899, p. 54-57. Delpy P, Larrasquet J.M. (2003), « Prise de conscience du pouvoir des acteurs et gestion des risques à l’hôpital : à propos du cas de l’encadrement supérieur », Communication Colloque sur le risque Oriane, IUT de Bayonne, novembre. Demaizière C. (2003), « Les outils du management qualité : le retour d’expérience », Qualité en mouvement, n° 61, p. 55-60. Diard. C, Maurain C. (2003), « La gestion des risques pour l’audit interne : apport du processus de management des risques dans le secteur santé », Communication Colloque sur le risque Oriane, IUT de Bayonne, novembre. Embrechts P. (2000), « De la difficulté d’évaluer les risques extrêmes », dossier L’art de la gestion des risques, supplément les Echos, 18 octobre. Fenton-O’Creevy M., Soane E. (2000), « Quel audacieux êtes-vous ? », dossier L’art de la gestion des risques, supplément les Echos, 28 septembre.
31

Les questions de la connaissance, des « savoir-faire », des représentations, de l’apprentissage … au plan de la cognition « individuelle » et « collective ».

20

Godard O., Henry C., Lagadec P., Michel-Kerjan E. (2002), Traité des nouveaux risques, Ed.Gallimard. Keroguen Y. (2003), « Le management, source de risques », La Tribune, lundi 12 mai. Knight R. Pretty D. (2000), « Les yoyos du cours de bourse et le risque stratégique », Expansion Management Review, n°108, mars, p. 54-65. La Tribune. (2003), « Les sociétés minimisent leurs risques », 25 avril. Les Echos. (2003), « Les patrons sont inquiets de la montée des risques qui pèsent sur l’entreprise », jeudi 24 avril. Lorino Ph. (1997), « Méthodes et pratiques de la performance », Ed les Organisations. Miles R.E. Snow C.C. Pfeffer J. (1974), « Organization Environments : concepts and issues », Industrial relations, Vol.13, October, p. 244-264. Mounoud E. (2000), « Risque écologique et discours idéologique », dossier L’art de la gestion des risques, supplément les Echos, 15 novembre. Moreau F. (2002), Comprendre et gérer les risques, Ed les Organisations, p. 157-162. Munnier B. (2002), « Le management des risques », Cahiers français, n°309, juillet-août, p. 89-94. Perotte D. (2004), « Les risk-managers prennent de la hauteur », Les Echos, jeudi 16 février. Persais E. (2003), « Le développement durable : vers une diminution du risque éthique ? », Communication Colloque sur le risque Oriane, IUT de Bayonne, novembre. Pesqueux Y. (2003), « Le concept de risque au magasin des curiosités », Communication Congrès de l’Association Française de Comptabilité, mai. Pham-Hi D. (2000), « Traitement quantitatif des risques », dossier L’art de la gestion des risques, supplément les Echos, 2 novembre. Richard J.L.Thomas J.L (2003), « Maîtrise des risques : témoignages concrets, Assystem et Merck », Qualité en mouvement, n°61, p. 31-35. Ramanantsoa B. (2000), « Le risque au cœur de la relation entreprise-société » , dossier L’art de la gestion des risques, supplément les Echos, 28 septembre. Schmitt B. (2000), « La réputation au-delà de la marque », dossier L’art de la gestion des risques, supplément les Echos, 29 novembre.

21