Qu’est-ce qu’une matrice des risques ?
Une matrice des risques est un tableau à deux axes : la probabilité qu’un événement se produise, et l’impact qu’il aurait. Chaque risque y occupe une case, et la couleur de la case dit à quel point il faut s’en occuper. L’outil sert à une chose : décider où mettre son attention en premier, quand on ne peut pas tout traiter en même temps.
On parle aussi de cartographie des risques, de matrice probabilité impact ou de matrice de criticité. Les mots changent selon les métiers (gestion de projet, qualité, audit interne), la logique reste la même. La famille de normes ISO 31000 décrit les principes généraux du management du risque, sans prescrire de matrice particulière.
Les risques stratégiques sont ceux qui menacent la capacité de l’entreprise à atteindre ses objectifs : perdre un client qui pèse lourd, dépendre d’un fournisseur unique, voir un concurrent changer les règles du marché. C’est le terrain de l’intelligence économique, qui cherche à les voir venir plutôt qu’à les subir.
Comment calculer un score de risque ?
Chaque risque reçoit deux notes de 1 à 5 :
- la probabilité, de 1 (très faible : il faudrait un concours de circonstances rare) à 5 (très élevée : c’est en cours ou quasi certain dans les douze mois) ;
- l’impact, de 1 (négligeable : absorbé dans le fonctionnement courant) à 5 (critique : la continuité de l’entreprise est en jeu).
Le score est le produit des deux : score = probabilité × impact, donc un nombre de 1 à 25. Une probabilité élevée (4) et un impact critique (5) donnent 20.
L’outil range ensuite chaque score dans un niveau :
| Score | Niveau | Lecture |
|---|---|---|
| 1 à 4 | Faible | à surveiller sans action dédiée |
| 5 à 9 | Modéré | à traiter quand les risques supérieurs le sont |
| 10 à 14 | Significatif | une action et un responsable |
| 15 à 19 | Élevé | action prioritaire, suivie en comité de direction |
| 20 à 25 | Critique | à traiter tout de suite |
Ces seuils sont un choix de conception de l’outil, pas une norme. Une entreprise peut fixer les siens, à condition de les écrire avant de noter, pas après. Un risque dont on ne connaît pas encore l’une des deux notes reste « à évaluer » : il ne reçoit aucune note par défaut, et il n’apparaît pas dans la matrice tant qu’il n’est pas noté.
Comment lire une matrice des risques 5 × 5 ?
L’impact se lit de gauche à droite, la probabilité de bas en haut. Plus une case est en haut à droite, plus le risque est grave. Trois réflexes de lecture :
- Commencer par le coin supérieur droit (scores 15 à 25). C’est là que se trouvent les risques à traiter en priorité.
- Regarder la colonne de droite à part. Un risque rare mais critique (probabilité 1, impact 5) n’a qu’un score de 5, « modéré ». Il mérite pourtant un plan de continuité, parce que s’il arrive, l’entreprise peut ne pas s’en relever.
- Se méfier des cases pleines. Une case qui contient six risques signale souvent des risques mal distingués (« cyberattaque », « perte de données » et « panne informatique » qui décrivent le même scénario), ou des notes données sans discussion.
Le même score ne veut pas dire le même risque : 5 × 2 et 2 × 5 valent 10, mais le premier est fréquent et contenu, le second rare et lourd. C’est pourquoi l’outil départage les égalités par l’impact d’abord, puis par la probabilité.
Quels sont les principaux risques stratégiques ?
La bibliothèque de l’outil les range en six familles, avec quatre risques chacune. Elle sert de point de départ ; les risques propres à votre activité s’ajoutent à la main.
- Concurrentiels : nouveaux entrants, guerre des prix, perte de parts de marché, rupture technologique. La veille concurrentielle sert à les repérer tôt.
- Financiers : tensions de trésorerie, hausse des coûts, dépendance à un client majeur, difficultés de financement.
- Opérationnels : dépendance à un fournisseur, rupture d’approvisionnement, défaillance d’un prestataire, perte de compétences clés.
- Technologiques et cyber : cyberattaque, indisponibilité du système d’information, perte de données, dépendance à une plateforme numérique. Le piratage des systèmes de froid de supermarchés montre comment un risque cyber devient un risque opérationnel en quelques heures.
- Réglementaires et géopolitiques : évolution réglementaire, instabilité politique, sanctions commerciales, contraintes internationales. Ils relèvent de la sécurité économique.
- Réputationnels : crise médiatique, avis négatifs, perte de confiance des clients, communication de crise insuffisante.
Les risques qui coûtent le plus cher sont rarement ceux qu’on attend. Ils s’annoncent souvent par des signaux faibles : un client qui espace ses commandes, un fournisseur qui change d’actionnaire, un concurrent qui recrute dans un métier nouveau. Une veille stratégique régulière alimente la matrice mieux qu’une séance de remue-méninges annuelle.
Exemple de cartographie des risques pour une PME
L’exemple qui suit est fictif : une PME industrielle de sous-traitance mécanique, 35 salariés. Les notes illustrent la méthode, elles ne décrivent aucune entreprise réelle. Le classement a été calculé par le moteur de l’outil.
| Rang | Risque | Probabilité | Impact | Score | Niveau |
|---|---|---|---|---|---|
| R1 | Dépendance à un client majeur | 4 | 5 | 20 | Critique |
| R2 | Cyberattaque | 3 | 5 | 15 | Élevé |
| R3 | Rupture d’approvisionnement | 3 | 4 | 12 | Significatif |
| R4 | Perte de compétences clés | 3 | 4 | 12 | Significatif |
| R5 | Hausse des coûts | 4 | 3 | 12 | Significatif |
| R6 | Arrivée de nouveaux concurrents | 2 | 3 | 6 | Modéré |
| R7 | Évolution réglementaire | 3 | 2 | 6 | Modéré |
| R8 | Avis négatifs | 2 | 2 | 4 | Faible |
Trois risques sont à égalité à 12. La rupture d’approvisionnement et la perte de compétences passent devant la hausse des coûts parce que leur impact est plus fort (4 contre 3) ; entre les deux premières, à notes identiques, l’ordre de saisie départage. C’est une convention, pas un jugement : le comité de direction peut décider autrement, en le disant.
Ce que l’exemple montre surtout : le premier risque n’est ni technique ni externe. Un client qui pèse lourd dans le chiffre d’affaires ne fait pas de bruit tant qu’il reste. Le plan d’action naturel (prospecter deux ou trois comptes dans un autre secteur) prend des mois, ce qui justifie de le lancer avant tout le reste.
Comment prioriser les actions de traitement ?
Pour chaque risque, quatre stratégies sont possibles :
- Éviter : renoncer à l’activité ou à la décision qui expose au risque.
- Réduire : agir sur la probabilité (sauvegardes, second fournisseur), sur l’impact (stock de sécurité, plan de continuité), ou les deux.
- Transférer ou partager : assurance, clause contractuelle, partenaire.
- Accepter sous conditions : garder le risque en connaissance de cause, avec un seuil qui déclenche une réaction.
Une action utile tient en une phrase, a un responsable nommé et une échéance. « Améliorer la cybersécurité » n’est pas une action ; « tester la restauration des sauvegardes avant le 31 mars, responsable : le prestataire informatique » en est une. Commencez par les risques élevés et critiques, puis par ceux dont l’action est longue à produire ses effets.
Une action réalisée ne fait pas disparaître le risque. Elle change sa probabilité ou son impact, et il faut le noter à nouveau pour le savoir. Refaire la matrice une fois par an, ou à chaque événement important (perte d’un client, rachat d’un fournisseur, incident), suffit à la garder vivante.
Les limites de la méthode
La matrice est un outil de discussion, pas un instrument de mesure. Ses limites sont connues et documentées, notamment dans l’article de Louis Anthony Cox, « What’s Wrong with Risk Matrices? », publié en 2008 dans la revue Risk Analysis (volume 28, numéro 2) :
- les échelles sont qualitatives : « élevée » n’a pas le même sens pour un directeur financier et pour un responsable de production ;
- le produit probabilité × impact écrase des différences réelles, et deux risques au même score ne se valent pas ;
- les notes sont subjectives : notez à plusieurs, et discutez les écarts plutôt que d’en faire la moyenne.
Enfin, cette matrice ne démontre ni la conformité réglementaire, ni la maîtrise effective des risques. Elle aide à décider par quoi commencer.
Questions fréquentes
Quelle différence entre une matrice des risques et le DUERP ?
Ce sont deux exercices différents. Le document unique d’évaluation des risques professionnels (DUERP) porte sur la santé et la sécurité des salariés. Selon la fiche officielle de Service public (vérifiée le 22 juillet 2026), il est obligatoire dans toutes les entreprises dès l’embauche du premier salarié, et encadré par les articles R4121-1 à R4121-4 du Code du travail. La matrice des risques stratégiques porte sur la marche de l’entreprise : clients, fournisseurs, concurrence, cyber, réputation. Cet outil ne permet pas de rédiger un DUERP et ne répond à aucune obligation réglementaire.
Mes données sont-elles envoyées quelque part ?
Non. L’outil fonctionne entièrement dans votre navigateur : les risques, les notes et les actions ne sont envoyés ni à Intelligence Stratégique, ni à un tiers. Le rapport PDF est construit sur votre appareil. Si vous avez accepté la mesure d’audience du site, seuls des compteurs anonymes partent (par exemple « un export PDF a eu lieu »), jamais un texte saisi. Les détails sont dans la politique de confidentialité.
Comment reprendre mon analyse plus tard ?
Deux possibilités, au choix. Téléchargez le fichier de reprise (.json) à l’étape « Rapport », puis rechargez-le avec « Reprendre une analyse enregistrée ». Ou cochez « Conserver mon analyse dans ce navigateur » : elle restera sur cet appareil jusqu’à ce que vous décochiez la case. Cette option est désactivée par défaut.
Combien de risques faut-il retenir ?
Assez pour couvrir les familles qui comptent pour vous, pas plus que ce qu’un comité de direction peut discuter en une séance. Au-delà d’une vingtaine, les risques se recouvrent souvent et la discussion se disperse. L’outil accepte jusqu’à 100 risques.
Peut-on utiliser la matrice dans Excel ?
Oui. L’export CSV s’ouvre dans Excel ou LibreOffice, avec une ligne par risque dans l’ordre de priorité : notes, score, niveau, stratégie, action, responsable, échéance et statut.
Faut-il évaluer le risque avant ou après les actions déjà en place ?
L’outil évalue le risque tel qu’il est aujourd’hui, avec les protections qui existent déjà, mais avant les nouvelles actions du plan. Après une action, réévaluez le risque : c’est ce qui montre si elle a servi.
Aller plus loin
La matrice dit où regarder. Pour voir venir les risques plutôt que de les constater, trois lectures du site prolongent l’exercice :
- Veille stratégique : les types de veille et une méthode tenable, pour surveiller les risques retenus dans la durée ;
- Due diligence, pour évaluer un client, un fournisseur ou un partenaire avant de dépendre de lui ;
- Ingénierie sociale et secret des affaires, deux fiches du lexique qui touchent aux risques informationnels.
La façon dont nos contenus sont produits et vérifiés est décrite dans la méthodologie.