Ressources
L'approche par les risques, expliquée sans jargon
Depuis l'édition 2015 de l'ISO 9001, l'approche par les risques (§6.1) est l'une des exigences qui inquiètent le plus sur le terrain. Le mot « risque » évoque une matrice à colonnes multiples, une cotation de probabilité et de gravité, un tableau qui prend la poussière dans un classeur. Ce n'est pourtant pas ce que demande la norme, et c'est souvent l'inverse de ce qu'elle attend.
Ce que dit réellement le §6.1
La norme demande de déterminer les risques et les opportunités qui peuvent affecter la capacité de l'entreprise à atteindre les résultats attendus de son système de management, et de prévoir des actions pour y faire face. C'est tout : ni méthode particulière, ni registre formel, ni cotation chiffrée. Elle demande seulement de réfléchir en amont à ce qui pourrait empêcher d'atteindre les objectifs, plutôt que de découvrir le problème après coup.
L'approche par les risques n'est donc pas un outil de plus à ajouter au système qualité. C'est une façon de penser, que la norme demande simplement de rendre visible et traçable.
Pourquoi ça fait peur
Le malentendu vient d'une confusion avec la gestion des risques d'autres référentiels (sécurité industrielle, environnement, cybersécurité) qui, eux, exigent des méthodologies formalisées avec cotation. En qualité, ce niveau de formalisme n'est pas requis. Beaucoup d'entreprises se sont pourtant senties obligées de construire une usine à gaz, souvent par excès de prudence avant un audit. Résultat : un registre rempli une fois, jamais mis à jour, qui n'a jamais influencé la moindre décision. L'exact opposé de l'objectif de la norme.
Ce que ça veut dire concrètement
En pratique, il s'agit de se poser deux questions à chaque étape clé : qu'est-ce qui pourrait mal tourner, et qu'est-ce qui pourrait au contraire représenter une opportunité ? Elles gagnent à être intégrées dans les processus existants plutôt que traitées à part :
- en revue de direction, en réfléchissant aux évolutions du contexte (un client qui représente une trop grande part du chiffre d'affaires, un fournisseur unique sur une pièce critique) ;
- à la conception d'un produit ou d'un processus, en anticipant ce qui générerait des non-conformités ;
- à la planification des ressources humaines, en identifiant les compétences critiques détenues par une seule personne.
Un exemple concret
Une entreprise industrielle où une seule personne maîtrise le réglage d'une machine ancienne, essentielle à une gamme qui pèse lourd dans le chiffre d'affaires. Tant que cette personne est là, tout fonctionne. Le risque est pourtant réel : un départ à la retraite, un arrêt maladie prolongé, et c'est toute une production qui se retrouve fragilisée.
Une approche par les risques bien menée ne produit pas un tableau Excel sur ce sujet : elle produit une décision. Former une deuxième personne, documenter le réglage, ou envisager le remplacement de la machine. C'est ce passage du constat à la décision qui fait la valeur de l'exercice, pas le document qui l'accompagne.
Comment l'appliquer sans usine à gaz
- Proportionner l'effort à l'enjeu. Un petit atelier n'a pas besoin du même formalisme qu'un groupe multi-sites : la norme parle explicitement de proportionnalité.
- Intégrer plutôt qu'ajouter. Les risques identifiés en revue de direction, dans une analyse de non-conformité ou dans un projet suffisent, dès lors que le raisonnement est tracé quelque part.
- Se concentrer sur les risques qui comptent vraiment. Cinq risques réels traités sérieusement valent mieux que trente lignes génériques jamais reprises.
- Relier chaque risque à une action. Un risque sans action associée n'a d'intérêt que sur le papier.
L'approche par les risques n'est pas une exigence de plus à subir : c'est une invitation à formaliser un réflexe que les équipes expérimentées ont souvent déjà, et à s'assurer qu'il ne dépend pas de la mémoire de quelques personnes.
Risques et opportunités : ne pas oublier le second terme
Le §6.1 parle de risques et d'opportunités, mais en pratique seule la moitié négative retient l'attention. Le raisonnement est pourtant le même : un changement de contexte qui menace une entreprise peut en avantager une autre, selon sa capacité à s'y adapter. Un client qui exige une certification supplémentaire peut être vécu comme une contrainte coûteuse, ou comme une occasion de se différencier là où peu de concurrents l'ont déjà. Poser systématiquement la question évite que la démarche ne devienne un exercice uniquement défensif.