Matrice des risques

Une matrice des risques est une matrice utilisée lors de l’évaluation des risques pour définir le niveau de risque en considérant la catégorie de probabilité ou de vraisemblance par rapport à la catégorie de gravité des conséquences. Il s’agit d’un mécanisme simple pour accroître la visibilité des risques et aider la direction à prendre des décisions. ^[1]

Définitions

Le risque est le manque de certitude quant au résultat d’un choix particulier. Statistiquement, le niveau de risque de perte peut être calculé comme le produit de la probabilité qu’un dommage se produise (par exemple, qu’un accident se produise) multiplié par la gravité de ce dommage (c’est-à-dire, le montant moyen du dommage ou, plus prudemment, le montant maximum crédible de préjudice). En pratique, la matrice des risques est une approche utile lorsque ni la probabilité ni la gravité du dommage ne peuvent être estimées avec exactitude et précision.

Bien que des matrices de risques standard existent dans certains contextes (par exemple US DoD , NASA , ISO ), ^{[2] [3] [4]} des projets et des organisations individuels peuvent avoir besoin de créer leur propre matrice de risques ou d’adapter une matrice de risques existante. Par exemple, la gravité du préjudice peut être classée comme suit :

• Catastrophique : décès ou invalidité totale permanente, impact environnemental irréversible important, perte totale du matériel
• Critique : blessure de niveau accident entraînant une hospitalisation, invalidité partielle permanente, impact environnemental réversible important, dommages aux équipements
• Marginal : blessure entraînant des jours de travail perdus, impact environnemental modéré réversible, niveau de dommages causés par un accident mineur
• Mineur : blessure n’entraînant pas de journées de travail perdues, impact environnemental minimal, dommages inférieurs à un niveau d’accident mineur

La probabilité de survenance d’un dommage peut être classée comme « certaine », « probable », « possible », « peu probable » et « rare ». Cependant, il faut tenir compte du fait que des probabilités très faibles peuvent ne pas être très fiables.

La matrice de risque résultante pourrait être :

Probabilité	Gravité des dommages
Négligeable	Marginal	Critique	Catastrophique
Certain	Haute	Haute	Très haut	Très haut
Probable	Moyen	Haute	Haute	Très haut
Possible	Bas	Moyen	Haute	Très haut
Peu probable	Bas	Moyen	Moyen	Haute
Rare	Bas	Bas	Moyen	Moyen
Éliminé	Éliminé

L’entreprise ou l’organisation calculerait alors les niveaux de risque qu’elle peut prendre avec différents événements. Cela serait fait en évaluant le risque qu’un événement se produise par rapport au coût de mise en œuvre de la sécurité et aux avantages qui en découlent.

Voici un exemple de matrice de blessures corporelles possibles, avec des accidents particuliers attribués aux cellules appropriées de la matrice :

Impacter Probabilité, vraisemblance	Négligeable	Marginal	Critique	Catastrophique
Certain	Orteil qui se cogne
Probable	Tombe
Possible	Accident de voiture majeur
Peu probable	Accident d’avion
Rare	Tsunami majeur

Développement

Le 30 janvier 1978, ^[5] une nouvelle version de l’Instruction 6055.1 du Département de la Défense des États-Unis (“Programme de sécurité et de santé au travail du Département de la Défense”) a été publiée. On dit qu’il s’agit d’une étape importante vers l’élaboration de la matrice des risques. ^[6]

En août 1978, l’auteur de manuels commerciaux David E Hussey a défini une «matrice des risques» d’investissement avec le risque sur un axe et la rentabilité sur l’autre. Les valeurs sur l’axe des risques ont été déterminées en déterminant d’abord l’impact des risques et les valeurs de probabilité des risques d’une manière identique à la réalisation d’une version 7 x 7 de la matrice des risques moderne. ^[7]

Une version 5 x 4 de la matrice des risques a été définie par le Département américain de la Défense le 30 mars 1984, dans “MIL-STD-882B System Safety Program Requirements”. ^{[8] [9]}

La matrice des risques était utilisée par l’équipe de réingénierie des acquisitions au Centre des systèmes électroniques de l’ US Air Force en 1995. ^[10]

Huihui Ni, An Chen et Ning Chen ont proposé quelques améliorations de l’approche en 2010. ^[11]

En 2019, les trois formes les plus populaires de la matrice étaient :

• une matrice de risques 3×3 ( OHSAS 18001 )
• une matrice de risque 5×5 (MIL-STD-882B)
• une matrice de risque 4×4 (AS/NZS 4360 2004) ^[12]

D’autres normes sont également utilisées. ^[13]

Problèmes

Dans son article « What’s Wrong with Risk Matrices? », ^[14] Tony Cox soutient que les matrices de risque présentent plusieurs caractéristiques mathématiques problématiques qui rendent plus difficile l’évaluation des risques. Ceux-ci sont:

• Mauvaise résolution. Les matrices de risque typiques peuvent comparer correctement et sans ambiguïté seulement une petite fraction (par exemple, moins de 10 %) de paires de dangers sélectionnées au hasard. Ils peuvent attribuer des notations identiques à des risques quantitativement très différents (“range compression”).
• Les erreurs. Les matrices de risque peuvent attribuer par erreur des notes qualitatives plus élevées à des risques quantitativement plus petits. Pour les risques dont les fréquences et les gravités sont négativement corrélées, ils peuvent être “pires qu’inutiles”, conduisant à des décisions pires qu’aléatoires.
• Allocation des ressources sous-optimale. L’allocation efficace des ressources aux contre-mesures de réduction des risques ne peut pas être basée sur les catégories fournies par les matrices de risques.
• Entrées et sorties ambiguës. Les catégorisations de gravité ne peuvent pas être faites objectivement pour des conséquences incertaines. Les entrées des matrices de risque (par exemple, les catégorisations de fréquence et de gravité) et les sorties qui en résultent (c’est-à-dire, les cotes de risque) nécessitent une interprétation subjective, et différents utilisateurs peuvent obtenir des cotes opposées des mêmes risques quantitatifs. Ces limites suggèrent que les matrices de risque doivent être utilisées avec prudence et uniquement avec des explications détaillées des jugements intégrés.

Thomas, Bratvold et Bickel ^[15] démontrent que les matrices de risque produisent des classements de risque arbitraires. Les classements dépendent de la conception de la matrice des risques elle-même, par exemple de la taille des bacs et de l’utilisation ou non d’une échelle croissante ou décroissante. En d’autres termes, changer l’échelle peut changer la réponse.

Un problème supplémentaire est l’imprécision utilisée sur les catégories de vraisemblance. Par example; ‘certain’, ‘probable’, ‘possible’, ‘peu probable’ et ‘rare’ ne sont pas liés hiérarchiquement. Un meilleur choix pourrait être obtenu en utilisant le même terme de base, tel que « extrêmement courant », « très courant », « assez courant », « moins courant », « très rare », « extrêmement rare » ou une hiérarchie similaire sur un terme de “fréquence” de base. ^{[ citation nécessaire ]}

Un autre problème courant consiste à attribuer des indices de rang aux axes de la matrice et à multiplier les indices pour obtenir un « score de risque ». Bien que cela semble intuitif, il en résulte une distribution inégale. ^{[ citation nécessaire ]}

La cyber-sécurité

Douglas W. Hubbard et Richard Seiersen reprennent les recherches générales de Cox, Thomas, Bratvold et Bickel et proposent une discussion spécifique dans le domaine des risques liés à la cybersécurité . Ils soulignent que puisque 61 % des professionnels de la cybersécurité utilisent une certaine forme de matrice des risques, cela peut être un problème sérieux. Hubbard et Seiersen considèrent ces problèmes dans le contexte d’autres erreurs humaines mesurées et concluent que “les erreurs des experts sont simplement exacerbées par les erreurs supplémentaires introduites par les échelles et les matrices elles-mêmes. Nous sommes d’accord avec la solution proposée par Thomas et al. Il n’est pas nécessaire que la cybersécurité (ou d’autres domaines de l’analyse des risques qui utilisent également des matrices de risques) réinvente des méthodes quantitatives bien établies utilisées dans de nombreux problèmes tout aussi complexes.” ^[16]

Références

1. ^ “Qu’est-ce qui va bien avec les matrices de risque?” . Julian Talbot sur le risque, le succès et le leadership . Récupéré le 18/06/2018 .
2. ^ “Guide de gestion des risques, des problèmes et des opportunités pour les programmes d’acquisition de la défense” (PDF) . Département de la Défense des États-Unis . janvier 2017 . Récupéré le 18/06/2018 .
3. ^ “NASA, Goddard Space Flight Center, Goddard Technical Standard GSFC-STD-0002, Risk Management Reporting” (PDF) . 2009-05-08 . Récupéré le 17/06/2018 .
4. ^ Organisation internationale de normalisation, Gestion des risques des systèmes spatiaux, ISO 17666,
5. ^ “HRD-80-20 Risques pour la santé et la sécurité au travail dans les installations du DOD” (PDF) .
6. ^ Clemens, Pat (2005). “La matrice RAC : un outil universel ou une boîte à outils ?”. Journal de la sécurité du système . 41 (2): 14-19.
7. ^ Hussey, David (1er août 1978). “Analyse de portefeuille : expérience pratique avec la matrice de politique directionnelle” . Planification à long terme . 11 (4) : 2–8. doi : 10.1016/0024-6301(78)90001-8 . ISSN 0024-6301 .
8. ^ “EXIGENCES DU PROGRAMME DE SÉCURITÉ DU SYSTÈME MIL-STD-882B” . sunnyday.mit.edu .
9. ^ Philley, Jack O. (1992). “Risque acceptable – un aperçu” . Avancement de l’usine/des opérations . 11 (4): 218–223. doi : 10.1002/prsb.720110409 . ISSN 1549-4632 .
10. ^ Garvey, Paul; Landsdown, Zachary (1998). « Matrice des risques : une approche pour identifier, évaluer et classer les risques du programme » . Journal de la logistique de l’armée de l’air . Éditions DIANE. 22 (1): 18-21. ISBN 9781428990890.
11. ^ Ni, Huihui; Chen, Un; Chen, Ning (1er décembre 2010). “Quelques extensions sur l’approche matricielle des risques” . Sciences de la sécurité . 48 (10): 1269-1278. doi : 10.1016/j.ssci.2010.04.005 . ISSN 0925-7535 .
12. ^ Kovačević, Nenad; Stojiljkovic, Aleksandra ; Kovač, Mitar (11 décembre 2019). “Application de l’approche matricielle dans l’évaluation des risques” . Recherche opérationnelle en sciences de l’ingénieur : théorie et applications . 2 (3): 55–64. doi : 10.31181/oresta1903055k . ISSN 2620-1747 .
13. ^ Ristic, Dejan (2013). “Un outil d’évaluation des risques” (PDF) . Ingénierie de la sécurité . 3 (3). doi : 10.7562/SE2013.3.03.03 .
14. ^ Cox, LA Jr., “Qu’est-ce qui ne va pas avec les matrices de risque?”, Analyse des risques, Vol. 28, n° 2, 2008, doi : 10.1111/j.1539-6924.2008.01030.x
15. ^ Thomas, Philip, Reidar Bratvold et J. Eric Bickel, “Le risque d’utiliser des matrices de risque”, SPE Economics & Management, Vol. 6, n° 2, p. 56-66, 2014, doi : 10.2118/166269-PA.
16. ^ Hubbard, Douglas W.; Seiersen, Richard (2016). Comment mesurer n’importe quoi dans le risque de cybersécurité . Wiley. pp. Emplacements Kindle 2636–2639.