Quand un projet part de travers, une phrase revient toujours : « on avait un risque là-dessus ». Neuf fois sur dix, ce n'en était pas un. C'était un imprévu qu'on ne pouvait pas anticiper, un problème déjà installé qu'on refusait de regarder, ou une inquiétude qu'on n'avait jamais pris le temps de nommer.
Tant que ces mots restent mélangés, on ne pilote rien. On réagit. On éteint des incendies. On subit.
La bonne nouvelle, c'est qu'un risque se gère. À condition de savoir de quoi on parle.
Un risque n'est pas un imprévu
Un imprévu est un événement que vous ne pouviez ni identifier ni anticiper. Par définition, il est ingérable : vous ne pouvez rien faire à l'avance.
Un risque, c'est l'inverse.
Un risque est un événement incertain, identifiable et quantifiable, qui, s'il se produit, aura un effet mesurable sur les objectifs du projet.
C'est cette confusion qui bloque tout, parce qu'on ne traite pas de la même façon une chose qu'on subit et une chose qu'on peut anticiper.
Les trois questions qui tranchent
Pour savoir si ce que vous avez sous les yeux est un risque, trois questions suffisent :
- L'événement est-il identifiable ? Vous savez lequel.
- Est-il incertain ? Vous ne savez pas s'il surviendra.
- Son effet est-il mesurable ? Vous pouvez le chiffrer.
Le moindre « non » et ce n'en est pas un. Ce test a l'air simpliste, mais il élimine l'essentiel de ce qui encombre les registres de risques.
Les cinq faux synonymes
Cinq mots circulent à la place de « risque ». Aucun n'en est un, et chacun échoue à un endroit différent du test.
- L'imprévu : un événement non identifiable et non quantifiable. On ne peut pas s'y préparer, seulement y réagir.
- L'aléa : un événement identifiable, mais dont on ne sait estimer ni la probabilité ni l'impact. Il manque la mesure.
- Le problème : un événement qui s'est déjà produit et dont l'effet est constaté. Il n'y a plus d'incertitude, il y a une réalité à traiter.
- La prévision : un événement probable dont on anticipe la survenue sans en connaître l'effet précis sur le projet.
- L'inquiétude : un effet redouté sans qu'on ait identifié l'événement qui le provoquerait. C'est le plus courant, et le plus difficile à traiter, parce qu'il n'a pas de prise.
Un tableau résume où chacun échoue :
| Identifiable ? | Incertain ? | Mesurable ? | |
|---|---|---|---|
| Un risque | oui | oui | oui |
| Un imprévu | non | oui | non |
| Un aléa | oui | oui | non |
| Un problème | oui | non | oui |
| Une prévision | oui | non | non |
| Une inquiétude | non | oui | non |
La ligne qui compte est la première : c'est la seule qui aligne trois oui. Les autres décrivent toutes quelque chose de réel, et aucune ne se gère avec les outils du risque.
Risque et incertitude ne sont pas la même chose
Il y a un cran au-dessus de l'aléa, et il porte un nom. L'économiste Frank Knight a posé la distinction en 1921, et elle n'a pas bougé depuis : il y a risque quand on peut lister les issues possibles et leur attribuer une vraisemblance, et incertitude quand on ne le peut pas.
Sur un projet, la différence est très concrète. « Le prestataire peut être indisponible en août » est un risque : deux issues, une probabilité qu'on sait estimer à partir de ce qu'on connaît de lui. « Le marché peut se retourner pendant les dix-huit mois du programme » est une incertitude : on ne sait ni lister les formes que ça prendrait, ni les pondérer.
Les deux demandent des réponses différentes. Un risque s'anticipe. Une incertitude, non. Elle se compense par de la souplesse : des livraisons plus courtes, des engagements plus tardifs, des décisions qu'on garde réversibles. Confondre les deux conduit à passer des heures à noter l'improbable, et à ne rien prévoir pour l'imprévisible.
Les deux vrais synonymes : menace et opportunité
Un risque n'est pas forcément une mauvaise nouvelle. La définition ne dit rien du signe de l'effet, seulement qu'il est mesurable.
- Une menace : un risque dont la concrétisation aurait un effet négatif sur les objectifs du projet.
- Une opportunité : un risque dont la concrétisation aurait un effet positif.
Cette symétrie change la façon de mener un atelier. Chercher uniquement ce qui peut mal tourner donne une liste anxiogène que personne ne relit. Chercher les deux donne une liste de décisions.
Nommer un risque sans jamais se tromper
Une fois l'événement repéré, la formulation compte autant que l'identification. Une structure en trois temps évite toutes les ambiguïtés :
Puisque… (la cause) → il se pourrait que… (l'événement) → ce qui impactera… (l'effet)
Un exemple : « Puisque le prestataire n'a pas confirmé sa disponibilité en août, il se pourrait que la recette démarre avec deux semaines de retard, ce qui décalerait la mise en production de la même durée. »
Comparez avec ce qu'on lit habituellement dans un registre : « risque prestataire ». Le premier se traite, le second se contemple. La différence tient à la cause et à l'effet, qui transforment une inquiétude en objet mesurable.
Mesurable, mais mesurable sur quoi ?
Le troisième critère est celui qu'on expédie le plus vite, alors que c'est lui qui rend un risque discutable. Dire qu'un effet est mesurable ne veut rien dire tant qu'on n'a pas dit sur quoi.
Un risque projet se mesure sur ce que le projet a engagé, et un projet n'engage que trois choses : une date, un budget, un contenu. Ce sont les trois côtés du triangle d'or, et un effet qui ne touche aucun des trois n'est pas un effet projet.
C'est ce qui permet de trancher les cas douteux. « Ça va créer de la tension dans l'équipe » n'est pas mesurable en l'état ; « deux personnes sur cinq risquent de demander leur mutation, ce qui ajouterait un mois de recrutement et de reprise » l'est. Le second se chiffre, donc se compare aux autres, donc se traite. Le premier se contemple.
Cinq risques bien formulés
La structure se vérifie à l'usage. Voici cinq risques écrits selon ce gabarit, pris sur des projets différents. Chacun contient une cause déjà présente, un évènement incertain, et un effet chiffrable sur un des trois côtés.
- Fournisseur : Puisque le prestataire n'a pas confirmé sa disponibilité en août, il se pourrait que la recette démarre deux semaines en retard, ce qui décalerait la mise en production d'autant.
- Technique : Puisque la migration n'a jamais été testée sur un volume réel, il se pourrait que le basculement dépasse la fenêtre de nuit prévue, ce qui imposerait un retour arrière et une seconde tentative une semaine plus tard.
- Compétence : Puisque le paramétrage n'est connu que d'une seule personne, il se pourrait qu'un départ ou un arrêt la rende indisponible, ce qui ajouterait trois semaines de reprise en main.
- Réglementaire : Puisque le décret d'application n'est pas publié, il se pourrait que les règles de calcul changent après la recette, ce qui remettrait en cause le module de facturation.
- Opportunité : Puisque l'éditeur annonce une version avec l'export natif, il se pourrait qu'elle sorte avant notre phase de développement, ce qui économiserait les dix jours prévus pour le développer nous-mêmes.
Le dernier est une opportunité, et il s'écrit exactement comme les autres. C'est le signe que le gabarit tient : il ne présuppose pas que la nouvelle soit mauvaise.
Relisez les cinq en cherchant le mot « risque ». Il n'y est jamais. Un risque bien écrit n'a pas besoin de se nommer, il se décrit, et c'est précisément ce qui le rend traitable.
Ce que le poker m'a appris sur le risque
Au poker, j'ai mis du temps à comprendre une chose : les bons joueurs ne misent pas au hasard. Ils ne « tentent » pas. Ils évaluent. Une main, une probabilité, une mise, puis un risque calculé.
Le jour où j'ai arrêté de jouer à l'instinct et où j'ai pris le temps d'identifier, d'analyser et de mesurer les risques, tout a changé.
En gestion de projet, ça marche exactement pareil. Pendant longtemps, comme beaucoup, j'ai confondu le mot risque avec les mots imprévu, aléa, problème et inquiétude. Ce mélange ne m'apportait rien d'autre que de la peur, et la peur freine toute forme de pilotage.
Anticiper un risque, ce n'est pas être pessimiste. On ne l'anticipe pas pour se faire peur, on l'anticipe pour arrêter d'avoir peur.
Pourquoi ça change quelque chose sur un projet
Un risque bien formulé se mesure. La criticité se calcule simplement :
criticité = probabilité × impact
Deux nombres, et une liste devient un ordre de priorité. C'est ce qui permet de décider où mettre l'effort, plutôt que de traiter les vingt lignes du registre avec la même énergie, ce qui revient à n'en traiter aucune.
Comment on construit ces deux échelles, où l'on place les seuils et ce qu'on fait de l'ordre obtenu est un sujet à part entière, traité dans comment gérer les risques d'un projet. Ici, ce qui compte est plus simple : sans les trois critères et sans une formulation qui tienne, il n'y a rien à mesurer.
L'enjeu est loin d'être théorique. Parmi les projets qui échouent, le PMI relève une collecte des besoins inadéquate dans 35 % des cas, une vision ou un objectif inadéquat dans 29 %, et une planification inadéquate dans 25 %. Source : PMI, Pulse of the Profession 2018, 4 455 praticiens, voir les référentiels du PMI.
Ces causes ont un point commun : elles sont toutes identifiables avant le lancement. Ce sont des risques, pas des imprévus. C'est précisément le travail de l'avant-projet que de les faire remonter pendant qu'on peut encore agir dessus.
Synthèse
Un risque est un événement incertain, identifiable et quantifiable, dont l'effet sur les objectifs du projet est mesurable. S'il est négatif, c'est une menace. S'il est positif, c'est une opportunité.
Tout le reste porte un autre nom, et se traite autrement. Le tri se fait avec trois questions, et la formulation avec une seule structure : cause, évènement, effet. Ce sont les deux seules choses à retenir, et elles suffisent à écrire un registre dont chaque ligne veut dire quelque chose.
Reste à savoir quoi en faire une fois la liste établie, et c'est l'objet de comment gérer les risques d'un projet : les évaluer, les hiérarchiser, décider de les accepter, les éviter, les réduire ou les transférer. Un risque mal évalué se paie plus tard, quand il se propage dans le planning. Pour aller au bout de la démarche, voir notre formation à la gestion des risques.
