La gestion des risques PME consiste à décrire les évolutions possibles de manière que la direction puisse décider et agir. Une matrice en couleurs n’est qu’un outil : sans situation compréhensible, personne responsable et mesure vérifiable, même une valeur soigneusement calculée reste peu utile. Ce guide propose une entrée organisationnelle simple. Échelles et processus suggérés relèvent de la pratique d’entreprise, non d’exigences légales ou normatives.
Ce que demandent la loi et la norme
Code des obligations. L’évaluation des risques est expressément mentionnée dans le rapport annuel. Les entreprises que la loi soumet au contrôle ordinaire doivent, selon l’art. 961, ch. 3, du Code des obligations (CO, OR), établir un rapport annuel. Selon l’art. 961c, al. 2, ch. 2, CO, celui-ci précise en particulier « la réalisation d’une évaluation des risques ». Il faut donc indiquer qu’une évaluation des risques a été réalisée, et comment ; la loi ne prescrit ni procédure ni matrice. L’art. 961d, al. 1, CO permet, à certaines conditions, de renoncer au rapport annuel, par exemple lorsque l’entreprise établit des états financiers selon une norme comptable reconnue. Pour savoir si votre entreprise est soumise au contrôle ordinaire, interrogez votre fiduciaire ou votre organe de révision ; les seuils figurent à l’art. 727 CO.
ISO 9001. Depuis le 16 septembre 2026, la 6e édition ISO 9001:2026 est en vigueur ; elle remplace l’édition 2015. Qui construit son management de la qualité selon ISO 9001 détermine, par analogie, les risques et opportunités à traiter pour que le système atteigne les résultats attendus, planifie des actions et évalue leur efficacité. Selon un organisme de certification suisse, l’édition 2026 distingue plus nettement risques et opportunités et traite séparément les actions correspondantes. Dans l’édition 2015, le sujet relevait du chapitre 6.1 ; selon l’Auditing Practices Group d’ISO et de l’IAF, aucune exigence particulière n’y précisait comment documenter les résultats. Matrice, valeurs chiffrées ou registre sont donc une possibilité, pas une forme prescrite. Vérifiez numéros de chapitre et exigences de documentation dans l’édition 2026 ; les entreprises certifiées passent à la nouvelle édition dans le délai de transition de leur organisme de certification.
Pour la plupart des PME, il n’en résulte aucun catalogue fixe. L’essentiel est de connaître vos risques et opportunités importants, qu’une personne en soit responsable et que vous consigniez vos décisions de façon compréhensible.
Décrire concrètement risques et opportunités
Partez d’un processus important : quelle prestation doit être assurée de façon fiable, et qu’est-ce qui pourrait la compromettre ? Décrivez cause, événement possible et conséquence possible. « Fournisseur » n’est pas un risque suffisamment décrit. « Une pièce de rechange unique, validée, n’est disponible que chez un fournisseur ; si sa livraison fait défaut, les réparations promises ne peuvent pas être exécutées » offre une base de décision.
Consignez les dispositions existantes, par exemple un stock minimal ou une solution technique alternative. Sans elles, chacun évalue la même situation à sa façon : l’une pense au processus non sécurisé, l’autre au processus avec tous les contrôles en place.
Une opportunité décrit une évolution favorable possible et les conditions pour la saisir. Une même situation peut contenir les deux : une nouvelle technologie ouvre un service supplémentaire, mais exige de nouvelles connaissances. Suivez bénéfice et incertitude de façon compréhensible, plutôt que de faire figurer une opportunité avec un signe négatif dans une liste de risques.
Donnez à chaque entrée un périmètre limité : la défaillance d’une pièce précise n’est pas une interruption générale des achats. Des entrées trop larges mènent souvent à des mesures dont personne ne peut vérifier l’effet. Cela vaut aussi pour les risques financiers : une crise de liquidités ne se pilote que si les flux entrants et sortants sont planifiés, comme le montre le guide sur la planification des liquidités en PME.
Convenir d’une évaluation commune
Fixez d’abord le but de l’évaluation : rendre visible un besoin de discussion, répartir des ressources ou décider quels risques exigent une remontée hiérarchique ? Définissez ensuite quelques niveaux compréhensibles pour la probabilité d’occurrence et l’impact. Chaque niveau a besoin d’une description propre à l’entreprise, si possible avec des exemples du quotidien.
Les niveaux ordinaux ne reflètent pas de probabilités exactes : un « trois » n’est pas un taux d’occurrence mesuré. Multiplier deux valeurs de niveau donne une aide au classement à l’intérieur de votre modèle, dont on ne peut déduire aucune perte financière attendue précise.
Le tableau suivant montre, à titre d’exemple pratique, une matrice à quatre niveaux. Chaque case indique le produit de la probabilité par l’impact ; seuils librement choisis : jaune dès 5, rouge dès 9.
| Probabilité \ Impact | 1 | 2 | 3 | 4 |
|---|---|---|---|---|
| 4 | 4 (vert) | 8 (jaune) | 12 (rouge) | 16 (rouge) |
| 3 | 3 (vert) | 6 (jaune) | 9 (rouge) | 12 (rouge) |
| 2 | 2 (vert) | 4 (vert) | 6 (jaune) | 8 (jaune) |
| 1 | 1 (vert) | 2 (vert) | 3 (vert) | 4 (vert) |
Convenez expressément du traitement des conséquences particulièrement graves. Une évolution rare mais grave peut exiger de l’attention même si le produit des niveaux reste faible : dans l’exemple, « probabilité 1, impact 4 » ne donne que 4, donc la zone verte. Documentez ces règles à côté de la matrice.
Évaluez les opportunités par des questions adaptées : l’exploitation est-elle réaliste, quel bénéfice est atteignable, que faut-il pour cela ? Évitez une valeur chiffrée d’apparence uniforme lorsque les significations sous-jacentes diffèrent. La description de la décision importe plus que la comparabilité de chaque chiffre.
Fixer mesures et responsabilités
Choisissez consciemment entre plusieurs réponses : modifier un processus, introduire une sécurité supplémentaire, réduire des dépendances ou assumer, avec motif, un risque résiduel. Chaque décision doit correspondre à votre compétence et à la gravité des conséquences. Un stock minimal en magasin est un exemple de sécurité ; le guide sur la gestion des stocks explique comment le fixer.
Une mesure devrait montrer quelle cause ou conséquence elle influence. « Examiner un fournisseur alternatif » exige un résultat : validation technique documentée ou refus motivé. Une simple prise de contact ne modifie pas la capacité de livraison. Fixez responsabilité, objectif et échéance convenue.
Pour une opportunité, la mesure peut être un essai limité. Définissez à l’avance quelle observation plaide pour la poursuite et quand vous arrêtez. Une idée générale devient une décision vérifiable, sans présenter un bénéfice espéré comme acquis.
Des contrôles peuvent vérifier qu’une sécurité fonctionne au quotidien. Relier le risque au système de contrôle interne évite que la liste des risques reste coupée des affaires courantes. Un contrôle exige toutefois un objet de vérification clair et une preuve, non une simple entrée récurrente dans un calendrier.
Exemple pratique : Muster Service AG
La Muster Service AG est une entreprise fictive. Pour ses réparations, elle a besoin d’une pièce de rechange déterminée. L’équipe décrit une interruption de livraison possible et utilise l’échelle à quatre niveaux ci-dessus, avec jaune dès 5 et rouge dès 9. Cette échelle illustre le déroulement et n’est pas une recommandation pour toutes les branches.
L’équipe évalue la probabilité au niveau trois, l’impact aussi. Trois fois trois font neuf : le risque est dans la zone rouge. Le sens du niveau trois est consigné par écrit : retards répétés, et réparations concernées qui n’auraient pas pu être exécutées comme promis.
Comme mesure, une deuxième source d’approvisionnement est examinée techniquement. La personne responsable documente essai sur échantillon, conditions de livraison et disponibilité. Après validation, la pièce d’origine reste utilisable, mais l’entreprise dispose d’une alternative réellement vérifiée, ce qu’une simple adresse de fournisseur n’aurait pas prouvé.
Lors de la réévaluation, l’équipe attribue au niveau deux la probabilité d’une interruption d’approvisionnement non maîtrisée ; l’impact possible reste au niveau trois. Deux fois trois font six : le risque passe du rouge au jaune. C’est une appréciation modifiée dans le même modèle, non une réduction du risque mesurée en pourcentage. Arithmétiquement, la valeur a baissé de trois points, de neuf à six.
L’entreprise reconnaît en outre une opportunité : avec l’alternative, d’autres types de réparations pourraient devenir possibles. Elle prévoit un essai technique distinct et ne compense pas le bénéfice espéré avec le risque d’approvisionnement existant. Les deux décisions restent visibles avec leurs propres conditions.
Réévaluation et incertitude résiduelle
Contrôlez les entrées lors de changements importants et aux dates convenues dans l’entreprise. De nouvelles voies de livraison, des moyens de travail modifiés ou des perturbations récurrentes en sont des occasions. Un intervalle rigide peut laisser passer des évolutions pertinentes entre deux réunions.
La réévaluation devrait faire apparaître ce qui a changé : nouvelles observations, mesure efficace ou situation modifiée. N’écrasez pas l’ancienne justification sans commentaire. Un historique aide à situer les décisions plus tard et à éviter une levée d’alerte injustifiée.
Consignez expressément l’incertitude résiduelle. Si un essai n’a eu lieu que dans des conditions favorables, l’effet sous forte charge reste ouvert. La direction peut exiger une observation supplémentaire ou assumer, avec motif, un risque résiduel limité ; l’essentiel est que cette décision soit visible.
Pour les adaptations plus importantes, une gestion des changements réglée soutient la mise en œuvre ; vérifiez-y aussi documents, formations et interfaces concernés. Un nouveau processus peut réduire un risque et créer ailleurs de nouvelles dépendances.
La protection des données, un thème de risque concret
Pour les données personnelles, l’art. 8, al. 1, de la loi fédérale sur la protection des données (LPD, DSG) contient un critère expressément lié au risque : les responsables du traitement et les sous-traitants assurent, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. Cette disposition concerne la sécurité des données ; elle n’impose pas à toute PME l’obligation d’utiliser précisément la matrice présentée ici.
Comme application pratique, examinez par exemple l’accès non autorisé aux données de réclamations. Décrivez type de données, limitation d’accès existante, événement possible et conséquences. Une mesure pourrait être la vérification des autorisations existantes. Qu’elle suffise dépend du contexte de traitement concret.
Selon l’art. 6, al. 2, LPD, le traitement de données personnelles doit être proportionné ; selon l’al. 3, elles ne peuvent être collectées que pour une finalité déterminée et reconnaissable et ne doivent être traitées ensuite que de manière compatible avec cette finalité. Le registre des risques lui-même ne devrait donc contenir aucun détail personnel superflu. Décrivez la faiblesse organisationnelle plutôt que d’attribuer au personnel des caractéristiques personnelles non étayées.
Checklist
- Cause, événement possible et conséquence sont compréhensibles.
- Périmètre et dispositions existantes sont indiqués.
- Chaque niveau d’évaluation est expliqué pour l’entreprise.
- Les points servent d’aide au classement, non de valeur mesurée.
- Les seuils du jaune et du rouge sont fixés et motivés.
- Les conséquences particulièrement graves font l’objet d’une décision consciente.
- Les mesures ont des responsables et des résultats vérifiables.
- Les réévaluations indiquent l’occasion et la base modifiée.
- Les opportunités sont suivies avec leurs propres conditions.
- La nécessité d’un rapport annuel mentionnant l’évaluation des risques est clarifiée avec la fiduciaire ou l’organe de révision.
La solution KMU | base
Dans QMS | base, vous trouvez risques et opportunités dans le menu, sous « Système de management », au point « Risques et opportunités ». En haut, vous passez de l’onglet « Risques » à l’onglet « Opportunités » ; la matrice et la liste montrent chaque fois les entrées du type choisi.
Registres séparés pour risques et opportunités. Vous tenez risques (numéros avec « R- ») et opportunités (numéros avec « C- ») séparément, avec catégorie, causes, conséquences, processus, enjeu du contexte et responsable. Cela favorise une description claire et une attribution des responsabilités. L’exhaustivité du registre sur le fond, vous la vérifiez vous-même.
Matrice des risques réglable. Vous fixez les niveaux par axe et les seuils du jaune et du rouge, et voyez toutes les entrées dans la matrice. Le réglage se trouve dans les « Paramètres QMS » ; de trois à six niveaux sont possibles. Les couleurs suivent vos réglages ; elles ne constituent pas une appréciation indépendante de la sécurité réelle. Documentez donc la signification des échelles dans l’entreprise.
Mesures liées au risque. Vous rattachez des mesures à un risque ; il passe alors à l’état « En traitement ». Cela se produit lorsque l’entrée avait auparavant le statut « Ouvert ». Ce statut décrit l’état d’avancement du traitement. Pour savoir si le changement influence réellement le risque, il faut le réévaluer sur la base de preuves appropriées.
Le guide de QMS | base explique l’utilisation. Consultez la démo, ouvrez un compte d’essai ou contactez-nous via la page de contact.
Sources
- Code des obligations (CO, OR, RS 220), art. 727, art. 961 ch. 3, art. 961c al. 2 ch. 2 et art. 961d al. 1, état au 1er octobre 2026 : fedlex.admin.ch, consulté le 27.10.2026.
- Loi fédérale sur la protection des données (LPD, DSG, RS 235.1), art. 6 al. 2 et 3, art. 8 al. 1, état au 7 juillet 2025 : fedlex.admin.ch, consulté le 27.10.2026.
- ISO 9001 Auditing Practices Group, Guidance on Risk Based Thinking, document du 13 janvier 2016 (en anglais), consulté le 27.10.2026. Le papier se rapporte à ISO 9001:2015, reflète l’avis du groupe de travail et n’est pas confirmé par l’ISO comme norme.
- ISO : ISO 9001:2026 (édition 6), publiée le 16 septembre 2026 (en anglais) ; consulté le 27.10.2026. Le texte de la norme est protégé par le droit d’auteur et n’est repris ici que par analogie.
- SNV : SN EN ISO 9001:2026, valable depuis le 16 septembre 2026, remplace l’édition 2015 ; consulté le 27.10.2026.
- SQS : Révision de la norme ISO 9001:2026 – Toutes les informations, consulté le 27.10.2026.
Les échelles, seuils et processus de l’exemple pratique sont des aides rédactionnelles. Ils ne reproduisent aucun texte de la norme ISO et ne prouvent aucune conformité de certification.
Ce guide ne remplace aucun conseil juridique ou fiscal. État des informations : 27.10.2026.