Un directeur de système d'information d'une institution de microfinance d'Abidjan me montrait, il y a quelques mois, un fichier tableur de quarante lignes. Colonnes bien nommées, couleurs, dates. « Voici notre registre des risques », disait-il avec une certaine fierté. Trois questions plus tard, le constat tombait : le fichier n'avait pas été rouvert depuis huit mois, aucune des réponses prévues n'avait été menée, et le projet d'application mobile qu'il était censé protéger accumulait déjà deux mois de retard. Le registre existait. La gestion des risques, elle, n'existait pas.
Ce décalage est l'un des plus répandus dans les organisations ivoiriennes et africaines. On confond le document avec la démarche. On croit maîtriser un risque parce qu'on l'a écrit, alors qu'écrire un risque ne fait rien disparaître. Cet article explique comment franchir ce pas décisif : passer d'un registre figé, qui dort dans un tableur, à une gestion des risques qui produit des décisions, protège les budgets et rassure les bailleurs. Nous nous appuierons sur la méthode M_o_R® (Management of Risk), référence internationale, en l'adaptant sans complaisance au terrain : coupures d'électricité, connexions instables, Mobile Money, FCFA, pénurie de compétences et gouvernance parfois lente.
Le registre figé : un symptôme, pas une méthode
Un registre des risques qui ne bouge pas raconte toujours la même histoire. Il a été produit une fois, souvent pour satisfaire un bailleur, un auditeur ou un comité de pilotage, puis rangé. Il rassure sur le papier et n'engage personne. C'est un théâtre de la maîtrise, pas de la maîtrise.
Le problème n'est pas l'outil. Un tableur suffit parfaitement pour une PME. Le problème est qu'un registre n'est qu'une photographie à un instant donné, alors qu'un projet est un film. Les risques naissent, grandissent, se combinent, disparaissent. Un fournisseur qui semblait solide en janvier peut être en difficulté de trésorerie en avril. Une équipe complète en mars peut perdre son seul développeur expérimenté en mai. Si le registre ne suit pas, il ment.
Un risque écrit et jamais revu n'est pas un risque géré. C'est une inquiétude classée.
La véritable gestion des risques est un cycle qui tourne pendant toute la vie du projet. Elle transforme chaque risque en une chaîne claire, puis en une décision, puis en une action confiée à quelqu'un, avec une date. Le reste — la couleur des cellules, le nombre de colonnes — est secondaire.
Ce que « gérer un risque » veut vraiment dire
La première erreur, presque universelle, consiste à écrire des risques flous : « risque informatique », « risque financier », « risque humain ». Ces étiquettes ne disent rien et ne permettent aucune action. La méthode M_o_R impose une discipline simple et puissante : décrire chaque risque comme une chaîne cause → événement → effet.
Cette structure change tout. Écrire « risque de départ d'un salarié » ne mène nulle part. Écrire « parce que notre unique spécialiste USSD n'a pas de doublure, si il démissionne, alors le projet perd six semaines et neuf millions de FCFA » ouvre immédiatement trois leviers d'action : documenter le paramétrage, former une seconde personne, ou sécuriser le spécialiste par un accord clair. On agit sur la cause, pas sur la fatalité.
Notez aussi que le risque n'est pas toujours une menace. M_o_R traite de la même façon les opportunités : « parce qu'un concurrent connaît des difficultés, si nous recrutons son analyste, alors nous livrons plus vite ». Une organisation qui ne gère que ses menaces se prive de la moitié de la valeur de la démarche.
Identifier le contexte avant les risques
On ne peut pas identifier des risques pertinents sans comprendre le terrain sur lequel le projet évolue. C'est l'étape que la précipitation fait toujours sauter, et c'est celle qui coûte le plus cher quand on l'oublie. Deux réflexes valent d'être installés : cartographier les parties prenantes, et scanner l'environnement.
Cartographier les parties prenantes
Un projet échoue souvent non pas pour une raison technique, mais parce qu'un acteur clé a été négligé. La matrice pouvoir / intérêt permet de décider, en un coup d'œil, qui gérer de près et qui simplement informer.
Dans une institution de microfinance, oublier de « gérer de près » le régulateur peut suspendre un lancement entier. À l'inverse, mobiliser trop d'énergie sur un prestataire ponctuel disperse une équipe déjà mince. La matrice n'est pas un exercice académique : elle protège votre temps, la ressource la plus rare.
Scanner l'environnement : PESTLE version Côte d'Ivoire
L'analyse PESTLE (Politique, Économique, Social, Technologique, Légal, Environnemental) sert à débusquer les risques qui viennent de l'extérieur, ceux que l'équipe projet ne contrôle pas mais qui peuvent la balayer. Adaptée au contexte ivoirien, elle prend une couleur très concrète.
| Dimension | Facteurs à surveiller en Côte d'Ivoire / UEMOA |
|---|---|
| Politique / Légal | Évolution de la réglementation BCEAO sur la monnaie électronique et les SFD, exigences KYC, fiscalité DGI et TVA, code du travail, marchés publics. |
| Économique | Trésorerie tendue, paiements progressifs des clients, coût du crédit, taux de change hors zone FCFA pour les licences logicielles importées. |
| Social | Forte préférence pour le mobile, part importante de l'informel, disponibilité inégale des compétences techniques, rotation du personnel. |
| Technologique | Connexions instables, dépendance au Mobile Money, maturité inégale des fournisseurs, cybersécurité applicative. |
| Environnemental | Coupures d'électricité, saison des pluies qui ralentit les chantiers et la logistique, accès difficile à certaines zones de l'intérieur. |
Analyse PESTLE — les risques externes à surveiller dans le contexte ivoirien et UEMOA.
Un PESTLE bien mené remonte des risques qu'aucun atelier centré sur la technique n'aurait vus : par exemple, l'obligation d'un nouveau reporting réglementaire six semaines avant un lancement, ou la flambée d'une licence facturée en dollars. C'est aussi de là que sortent les meilleures questions pour cadrer correctement un projet avant même d'écrire la première ligne de code.
Trouver les vrais risques, pas les évidents
Une fois le contexte posé, il faut faire remonter les risques. Trois techniques se complètent, et aucune ne remplace la parole des équipes de terrain.
Les listes de contrôle capitalisent sur le passé : ce sont les risques réellement survenus sur vos projets antérieurs, transformés en questions. Leur vertu est d'éviter de retomber deux fois dans le même trou. Encore faut-il les tenir à jour après chaque projet, sinon elles vieillissent et trompent. Les listes d'amorce (prompt lists), elles, ne sont pas exhaustives : ce sont de simples catégories — financement, fournisseurs, données, énergie, compétences — jetées dans un atelier pour ouvrir la discussion.
La technique la plus révélatrice reste le diagramme cause-effet, aussi appelé diagramme d'Ishikawa ou « arête de poisson ». On part de l'effet redouté, à droite, puis on remonte les grandes familles de causes.
La force de ce schéma est visuelle et collective. Autour d'un tableau, une équipe voit apparaître les zones les plus chargées — souvent les compétences et le financement dans nos contextes — et sait où concentrer l'effort. Chaque cause identifiée alimente ensuite le registre sous la forme d'une chaîne cause-événement-effet propre. C'est exactement ce mécanisme, poussé jusqu'à la gouvernance du projet, qui explique pourquoi tant de projets échouent malgré des équipes compétentes.
Évaluer et prioriser : sortir de l'illusion « tout est urgent »
Une fois vingt ou trente risques identifiés, la tentation est de vouloir tout traiter en même temps. C'est le meilleur moyen de ne rien traiter. Il faut hiérarchiser, et pour cela combiner deux dimensions : la probabilité qu'un risque survienne et son impact s'il survient. La grille probabilité / impact rend cette priorisation lisible par tous.
| Probabilité ↓ / Impact → | Très faible 0–1 M | Faible 1–5 M | Moyen 5–15 M | Élevé 15–40 M | Très élevé > 40 M |
|---|---|---|---|---|---|
| Très élevée (>70 %) | Surveiller | Traiter | Prioritaire | Critique | Critique |
| Élevée (50–70 %) | Surveiller | Traiter | Prioritaire | Prioritaire | Critique |
| Moyenne (30–50 %) | Accepter | Surveiller | Traiter | Prioritaire | Prioritaire |
| Faible (10–30 %) | Accepter | Accepter | Surveiller | Traiter | Traiter |
| Très faible (<10 %) | Accepter | Accepter | Accepter | Surveiller | Surveiller |
Grille probabilité / impact — l'action recommandée se lit au croisement de la probabilité et de l'impact (seuils en FCFA, à calibrer sur le budget du projet).
Un point de méthode trop souvent négligé : les tranches d'impact, ici exprimées en FCFA, doivent être calibrées sur le budget réel du projet. Sur un projet de 60 millions, placer la barre du « très élevé » à 40 millions a du sens. Sur un projet de 500 millions, ces mêmes seuils classeraient presque tout en « faible » et rendraient la grille inutile. La grille doit produire un étalement des risques ; si tout se retrouve dans la même case, elle ne sert à rien.
Chiffrer pour comparer : la valeur monétaire attendue
Pour arbitrer entre plusieurs options ou dimensionner une provision, on peut chiffrer. La valeur monétaire attendue (VMA, ou EMV) d'un risque est simplement son impact multiplié par sa probabilité. En sommant, on obtient une vision du coût moyen probable des risques non traités.
| Risque | Impact (FCFA) | Probabilité | Valeur attendue |
|---|---|---|---|
| Départ de l'expert USSD | 9 000 000 | 0,30 | 2 700 000 |
| Retard d'intégration fournisseur | 6 000 000 | 0,50 | 3 000 000 |
| Migration de données défaillante | 12 000 000 | 0,20 | 2 400 000 |
| Nouveau reporting réglementaire | 4 000 000 | 0,40 | 1 600 000 |
| Opportunité : recrutement d'un analyste concurrent | −5 000 000 | 0,50 | −2 500 000 |
| Valeur monétaire attendue nette | 7 200 000 | ||
Valeur monétaire attendue — impact × probabilité ; une opportunité se soustrait (valeur négative).
Attention à l'usage. La VMA sert à comparer et à discuter, pas à fixer mécaniquement une provision : il y a environ une chance sur deux qu'elle soit dépassée. Pour aller plus loin et estimer une réserve réaliste, on passe à la simulation — c'est précisément ce que nous détaillons dans notre article sur la façon de simuler un budget de projet avec Monte Carlo. La VMA en est la porte d'entrée.
Du registre au plan d'action
C'est ici que se joue tout l'écart entre le registre figé et la gestion vivante. Un risque évalué appelle une décision de réponse. M_o_R en distingue cinq, valables pour les menaces comme, en miroir, pour les opportunités.
| Réponse | Principe | Exemple |
|---|---|---|
| Éviter | Supprimer la cause ou changer d'approche | Renoncer à une brique logicielle instable au profit d'une solution éprouvée |
| Réduire | Diminuer la probabilité ou l'impact | Former une seconde personne sur l'API USSD ; onduleur et 4G de secours contre les coupures |
| Transférer | Confier le risque à un tiers | Clause de pénalité de retard au contrat fournisseur ; assurance |
| Accepter | Assumer en connaissance de cause, avec provision | Provisionner un léger retard saisonnier lié aux pluies |
| Exploiter (opportunité) | Tout faire pour qu'elle se réalise | Accélérer un recrutement stratégique pendant que la fenêtre est ouverte |
Les cinq réponses au risque selon M_o_R, valables pour les menaces comme pour les opportunités.
Chaque réponse retenue devient une action, avec un responsable nommé et une date. Sans ces deux éléments, une réponse n'existe pas. « L'équipe documentera l'API » ne se produit jamais ; « Konan documente le paramétrage USSD d'ici le 30 » a une chance réelle d'aboutir.
Pour piloter l'ensemble d'un coup d'œil, le profil de risque place chaque risque sur le plan probabilité / impact et trace une ligne de tolérance. Au-dessus de la ligne, l'organisation exige une action ; en dessous, elle accepte de vivre avec. L'intérêt est de visualiser l'effet des réponses : les risques traités descendent sous la ligne.
Ce visuel est redoutablement efficace en comité de pilotage. Un sponsor comprend en dix secondes si le projet est sous contrôle ou non, et voit l'effet concret des décisions prises. Rappelons toutefois une nuance importante : l'absence de risque au-dessus de la ligne ne garantit pas la réussite. Elle signifie seulement que les risques connus sont dans la zone acceptée. La vigilance ne s'arrête jamais.
Faire vivre le dispositif : le cycle qui ne s'arrête pas
Identifier, évaluer, planifier : rien de tout cela ne vaut si l'on n'exécute pas, si l'on ne mesure pas, et si l'on ne recommence pas. C'est le cœur de M_o_R : un cycle continu, entouré d'une communication permanente et ancré dans les habitudes de l'organisation.
La différence entre les organisations qui subissent leurs risques et celles qui les maîtrisent tient en une phrase : chez les secondes, la revue des risques est un rendez-vous fixe, court et régulier, intégré au pilotage du projet. Chaque semaine ou chaque quinzaine, on ouvre le registre, on retire ce qui n'a plus lieu d'être, on ajoute ce qui a émergé, on vérifie que les actions avancent. C'est ainsi qu'un registre reste vivant. Le choix de la méthode de projet — PRINCE2 ou PMP — encadre ce rythme, mais ne le remplace pas.
Adapter au contexte ivoirien et africain
La méthode est internationale ; son application doit être locale. Quelques ajustements font toute la différence sur le terrain.
D'abord, le mobile d'abord. Un registre partagé doit rester consultable depuis un téléphone, sur une connexion capricieuse. Une réunion de revue de dix minutes bien tenue vaut mieux qu'un outil sophistiqué que personne n'ouvre. Ensuite, l'énergie et le réseau ne sont pas des détails techniques mais des risques de premier plan : onduleurs, groupes électrogènes, forfaits data de secours et modes dégradés doivent figurer explicitement dans les réponses, pas dans les bonnes intentions.
La dépendance aux personnes clés mérite une attention particulière. Dans des équipes réduites, le départ d'un seul spécialiste peut arrêter un projet. Documenter, former une doublure et sécuriser ces profils n'est pas un luxe, c'est une assurance-vie. Côté trésorerie, les décaissements progressifs et parfois tardifs sont une réalité : le risque de rupture de financement doit être suivi comme un risque majeur, avec des jalons de paiement clairs. Enfin, la gouvernance : nommer un sponsor réellement disponible et raccourcir les circuits de décision évite que des risques identifiés restent sans réponse faute d'arbitrage.
Par où commencer, dès lundi matin
Inutile d'attendre un outil parfait ou une grande réorganisation. La bascule du registre figé vers l'action tient en cinq gestes concrets.
- Réécrivez vos cinq risques les plus importants au format cause → événement → effet. Vous verrez immédiatement lesquels étaient flous.
- Placez-les sur la grille probabilité / impact calibrée sur votre budget réel, en FCFA.
- Pour chacun, choisissez une réponse (éviter, réduire, transférer, accepter, exploiter) et confiez-la à une personne avec une date.
- Inscrivez une revue des risques de quinze minutes à l'ordre du jour récurrent de votre comité de projet.
- À la fin du projet, versez les risques réellement survenus dans une liste de contrôle pour ne plus jamais retomber dans le même piège.
Un registre ne protège personne. Une gestion des risques qui tourne, semaine après semaine, protège vos délais, votre budget et votre crédibilité auprès des bailleurs. C'est exactement la compétence que nous transmettons dans nos formations en gestion de projet et en gestion des risques chez PRACYB — de la théorie certifiante à la mise en œuvre sur vos propres projets. Si votre registre dort quelque part dans un tableur, il est temps de le réveiller.
M_o_R® est une marque déposée du groupe PeopleCert. Cet article présente les principes de la méthode à des fins pédagogiques ; il ne se substitue pas au référentiel officiel ni à une formation accréditée.
Commentaires (0)