Analyse des risques pour les PME : étapes et méthodes d'évaluation

Pourquoi de nombreuses PME abordent les risques par intuition plutôt que de manière systématique

De nombreuses PME pratiquent une gestion des risques basée sur le « bon sens » et ne disposent ni de systèmes ou modèles complexes, ni des ressources nécessaires pour de telles méthodes (Christian Kressig et Marco Gehrig, kmu-magazin.ch, 01.09.2015).

De nombreuses petites et moyennes entreprises industrielles en Suisse se bercent dans une fausse sécurité : elles respectent les bases légales et sectorielles, mais méconnaissent le fait qu'une gestion globale des risques à l'échelle de l'entreprise ne se contente pas de sécuriser les objectifs de l'entreprise, mais peut également augmenter sa valeur.

L'utilité d'une gestion des risques adéquate est souvent sous-estimée dans la pratique ; elle sert fréquemment uniquement à satisfaire aux exigences légales. La diffusion des approches correspondantes varie considérablement au sein de l'industrie.

Un malentendu répandu concerne l'étendue : de nombreuses entreprises considèrent que la gestion des risques est achevée une fois l'évaluation des risques terminée, alors que cela ne constitue que la base pour les mesures et leur mise en œuvre.

Depuis 2008, la gestion des risques est une obligation légale pour de nombreuses entreprises suisses, mais le Code des obligations (CO) ne formule que des prescriptions succinctes. Le nouveau droit comptable exige des indications sur la gestion des risques dans le rapport de situation ; sont ainsi concernées les entreprises qui établissent un tel rapport.

Celui qui se contente d'exécuter cette prescription se limite au strict minimum possible. L'utilité opérationnelle naît lorsque l'analyse est orientée vers les propres objectifs et les processus critiques de l'entreprise.

Les quatre étapes pour commencer

La gestion des risques est le processus systématique d'identification, d'analyse, d'évaluation, de maîtrise et de surveillance des risques qui pourraient compromettre la réalisation des objectifs de l'entreprise.

Sans une préparation adéquate, l'introduction d'un système de gestion des risques est vouée à l'échec (Portail PME de la Confédération, kmu.admin.ch). Dans une PME, elle s'effectue généralement en quatre étapes : planification et définition du système, identification et évaluation des risques, analyse et mesures, mise en œuvre du concept de gestion des risques.

Trois questions structurent le démarrage : Que peut-il mal tourner ? Quelle est la probabilité que cela arrive ? Et quelle serait la gravité des conséquences ? Les réponses déterminent l'ordre dans lequel les risques seront traités.

Lors de la phase de planification, les informations et documentations existantes relatives à la gestion des risques de l'entreprise sont examinées. Lors de la phase d'identification et d'évaluation des risques, tous les risques possibles sont listés sous forme de scénarios, identifiés, évalués et priorisés. Les risques principaux identifiés sont ensuite analysés en détail. Une fois les principes et directives nécessaires élaborés, le concept de gestion des risques est mis en œuvre.

Recenser les risques sous forme de scénarios et déterminer les dangers

L'identification des risques liste tous les risques possibles sous forme de scénario ; ils sont ensuite évalués et priorisés (kmu.admin.ch). Un scénario utile décrit un événement concret, sa cause et son impact possible sur un processus opérationnel spécifique – et non une catégorie de risque abstraite. Ce qui manque ici ne pourra pas être évalué, priorisé ou doté de mesures par la suite.

Pour assurer l'exhaustivité, une catégorisation est utile : risques techniques tels que systèmes défectueux, interfaces incompatibles ou perte de données, risques organisationnels tels que manque de ressources, responsabilités floues ou dépendance envers des personnes clés, risques économiques tels que dépassements budgétaires et changements inattendus du marché, ainsi que risques juridiques et réglementaires tels que nouvelles dispositions légales. Les frontières ne sont pas toujours nettes, mais la systématisation aide à éviter les angles morts.

Pour la sécurité au travail et la protection de la santé, l'évaluation des dangers s'ajoute aux risques commerciaux généraux. La Commission fédérale de coordination pour la sécurité au travail (CFST) met à disposition des outils et publications via son centre d'information (ekas.admin.ch).

Les directives de la CFST concrétisent les prescriptions légales et expliquent la loi et les ordonnances sans créer de nouveau droit. Celui qui suit les directives est présumé respecter les prescriptions en matière de sécurité au travail concrétisées par ces directives (Directives de la CFST, ekas.admin.ch). Conformément à l'art. 57 let. a de l'Ordonnance sur la prévention des accidents et des maladies professionnelles (OPA), les projets de directives sont soumis pour consultation aux organisations intéressées.

La CFST est la commission choisie par le Conseil fédéral et l'organe central de coordination pour la sécurité au travail. Elle vise à réduire les accidents professionnels et les maladies professionnelles dans toute la Suisse, délègue des tâches aux organes d'exécution et les soutient dans leur mise en œuvre (ekas.admin.ch). Celui qui construit l'évaluation des dangers avec ces outils travaille avec une méthodologie reconnue plutôt qu'avec une liste conçue de toutes pièces.

Principales catégories de risques dans les PME selon la CFST

Évaluer et prioriser les risques

L'évaluation et la priorisation constituent le cœur de l'analyse des risques. Les risques identifiés sont évalués puis priorisés (kmu.admin.ch). En règle générale, l'évaluation s'effectue selon deux dimensions : la probabilité d'occurrence et l'ampleur des dommages ; leur combinaison donne lieu à un classement. Ce classement dirige les ressources humaines et financières limitées là où l'impact est le plus grand.

La formule de base est : Valeur du risque = Probabilité d'occurrence × Ampleur des dommages. Plus la valeur du risque est élevée, plus le besoin d'action est urgent. Elle décide quels risques nécessitent des mesures immédiates, lesquels doivent être surveillés et lesquels sont consciemment acceptés.

Avant la première évaluation, les critères de risque doivent être définis. Les classes de dommages et les probabilités d'occurrence doivent être fixées de telle sorte qu'une autre personne ayant le même savoir-faire aboutisse au même résultat pour le même risque ; c'est la seule façon d'assurer la reproductibilité des résultats.

Le choix se porte sur des méthodes qualitatives et quantitatives : le classement dans des classes de dommages ou la chiffrage de chaque dommage possible avec un montant. Le calcul avec des montants est simple, mais atteint ses limites lorsqu'il s'agit de mesurer précisément un dommage à la réputation suite à la livraison de produits défectueux.

Les normes ISO 31000 (« Risk management – Principles and guidelines ») et, pour la sécurité de l'information, l'ISO/IEC 27001 servent de cadre de référence pour l'évaluation. Toutes deux ramènent le risque au produit du dommage et de la probabilité d'occurrence.

Pour la sécurité au travail, l'évaluation des dangers fournit la base d'appréciation. La CFST met à disposition des outils à cet effet (ekas.admin.ch). Celui qui base l'appréciation sur des méthodologies existantes et approuvées n'a pas besoin d'inventer lui-même les échelles de comparaison et peut justifier les résultats de manière compréhensible auprès des autorités et des assureurs.

De nombreuses entreprises considèrent que la gestion des risques est achevée une fois l'évaluation des risques terminée (kmu-magazin.ch). Un catalogue de risques priorisé sans mesures dérivées, responsabilités et délais ne change rien au fonctionnement de l'entreprise ; l'évaluation est une étape intermédiaire, pas le résultat final.

Méthodes d'évaluation qualitatives vs quantitatives dans la gestion des risques

Normes et directives centrales pour la gestion des risques en Suisse

Définir les mesures et les ancrer dans l'exploitation

Après l'évaluation, les risques principaux identifiés lors de la phase d'identification et d'évaluation des risques doivent être analysés en détail (kmu.admin.ch). L'analyse approfondie des quelques grands risques donne naissance à des mesures concrètes : modification technique ou organisationnelle, responsabilité, délai et visibilité de l'effet. Lorsqu'une mesure ne suffit pas ou n'est pas économiquement viable, il reste l'acceptation consciente du risque résiduel – documentée et avec la connaissance de la direction.

Une simple liste de risques suffit comme outil. Les tableaux peu clairs, les données obsolètes et les responsabilités floues sont les faiblesses typiques ; ce qui compte, c'est la mise à jour et une responsabilité nommée pour chaque mesure.

Une fois les principes et directives nécessaires élaborés, le concept de gestion des risques est mis en œuvre (kmu.admin.ch). Ces principes régulent la fréquence à laquelle les risques sont relevés, qui a le droit et le devoir de signaler les risques, comment la priorisation s'effectue et qui supervise la mise en œuvre. Pour la sécurité au travail et la protection de la santé, s'ajoutent les tâches des spécialistes de la sécurité au travail et la procédure pour l'exécution de l'obligation de recours, telle que réglementée par la directive CFST n° 6508.

Le concept est ancré via des responsabilités et des processus récurrents, et non par un document adopté une fois pour toutes. Il reste dans un tiroir si la liste des risques n'appartient à personne après l'introduction, n'est pas inscrite régulièrement à l'ordre du jour et si les mesures ne sont pas intégrées dans les instruments de direction existants tels que les décisions budgétaires, d'investissement et de projet.

Faire appel à des experts externes et utiliser des solutions interentreprises

La directive CFST n° 6508 réglemente le recours aux médecins du travail et autres spécialistes de la sécurité au travail. Elle traite, dans cet ordre : but, recours, mise en œuvre, tâches des spécialistes de la sécurité au travail, solutions sectorielles, par groupe d'entreprises et modèles en tant que solutions interentreprises, participation des travailleurs ou de leurs représentants, exécution, adoption ainsi que les annexes (Guide CFST). Avant la première utilisation d'un spécialiste externe, la tâche, l'étendue, l'intégration dans l'entreprise et la participation du personnel doivent être clarifiées.

Les solutions interentreprises évitent l'effort de réglementation pour chaque entreprise individuellement : les solutions sectorielles, par groupe d'entreprises et modèles sont prévues comme chapitre propre de la directive 6508.

Lors de sa séance du 25 juin 2026, elle a approuvé la solution sectorielle n° 87 « Centres de fitness et de santé » de l'Association suisse des centres de fitness et de santé (SFGV) ainsi que la solution modèle n° M25 « COOP-SSL » (ekas.admin.ch). Une entreprise affiliée travaille avec des bases déjà vérifiées plutôt qu'avec un nouveau développement propre.

La participation des travailleurs ou de leurs représentants fait partie intégrante de la directive CFST n° 6508 et n'est pas un exercice supplémentaire : les employés connaissent les processus, les dangers et les quasi-accidents issus du quotidien professionnel et fournissent des informations qui ne peuvent pas être reconstituées depuis la direction. La CFST soutient la mise en œuvre de manière opérationnelle via son secrétariat et les organes d'exécution auxquels elle délègue des tâches (ekas.admin.ch).

Avantages et limites des experts externes dans la gestion des risques

Après la première analyse : surveiller et répéter

L'évaluation des dangers n'est pas un projet ponctuel. Les conditions de travail, les procédures, les substances, les locaux et la situation du personnel changent continuellement. Chaque changement pertinent – nouvelle installation, nouveau processus, nouvelle activité, rénovation – déclenche une nouvelle appréciation du domaine concerné.

Il en va de même pour l'évaluation : les priorités se déplacent, les mesures perdent leur effet ou s'avèrent insuffisantes. Le cycle prévoit donc de mettre à jour les évaluations et les mesures, de vérifier l'efficacité des mesures mises en œuvre et d'ajouter de nouveaux risques à la liste. La responsabilité et le rythme de cette mise à jour doivent être consignés.