Gestion
de risque projet
1.1.
Introduction
« Le risque est un évènement
éventuel, incertain, dont la réalisation ne dépend pas
exclusivement de la volonté des parties et pouvant causer un
dommage » tel est la définition du dictionnaire Larousse
(1989). De cette définition, un risque désigne un danger
susceptible de se produire.
D'après le National
Institute of Standard
Technology (NIST), le risque est « la
possibilité que quelque chose défavorable puisse survenir (1995)
» mais ensuite le NIST a changé de définition en
2001 : « impact net négatif de
l'exploitation d'une vulnérabilité considérant sa
probabilité et son impact de réalisation ».
Nous pouvons citer d'autres définitions tel que celle
de l'ISO/CEI 73 : « Combinaison de la probabilité d'un
événement et de ses conséquences », et celle de
ISO13335 : « conséquences potentielles d'une menace
exploitant une vulnérabilité d'un bien ou d'un groupe de
biens».
En résumé, un risque est un danger
éventuel plus ou moins prévisible, c'est une menace qui touche
plusieurs domaines et notamment au secteur du développement de logiciel
informatique et des systèmes d'information, de plus, c'est la
possibilité qu'un projet ne s'exécute pas conformément aux
prévisions: date, coût et spécifications; d'autant plus que
ces écarts ou prévisions sont considérés comme
inacceptables.
Un risque peut être classifié en risque technique
tel qu'un court-circuit, panne du matériel etc. , en risque humain qui
peuvent être intentionnel (sabotage, attaque, espionnage, fraude, etc.)
ou non intentionnel (accident, erreur, maladie, grèves, etc.) et enfin
en risque naturel comme un incendie ou une catastrophe naturelle. Il est
donc important de mettre en place une stratégie afin de maîtriser
au mieux les risques et de les gérer.
Dans ce chapitre, nous allons définir la notion de
gestion de risque dans la section 1.2, ensuite nous illustrons quelques normes
traitant la gestion de risque, dans la section 1.3, dont celle du CMMi que
nous comparons avec la certification ISO à travers la section 1.4 et
nous terminons, dans la même section, par détailler les
différents secteurs clés du CMMi, montrant ses deux principales
représentations et la relation qu'ils portent avec la gestion de
risque.
1.2. Notion de gestion de risque projet
La gestion de risque de projet est en passe de devenir l'une
des préoccupations majeures des directions générales et
des directions des systèmes d'information (DSI) : le renforcement des
obligations réglementaires, l'externalisation de fonctions auparavant
gérées et maîtrisées au sein de l'entreprise etc.
tout concourt à faire de la gestion du risque, et notamment du risque
informatique un sujet de préoccupation.
Une stratégie efficace de gestion des risques fait
partie des moyens importants pour permettre aux organisations d'atteindre leurs
objectifs.
La gestion des risques est donc un processus comprenant des
étapes bien définies et suivies qui favorisent une meilleure
prise de décision tout en fournissant une meilleure information sur les
risques et leurs impacts. La gestion de risque concerne aussi bien
l'identification d'opportunités que l'évitement de pertes.
Les objectifs de la gestion de risque projet sont tout d'abord
la réduction des risques qui pèsent sur le projet, la
maîtrise de leurs conséquences, la mise en place d'une disposition
de prévention, l'arbitrage des coûts correspondants et être
un moyen d'innovation.
Nous distinguons quatre manières de gestion de risque
projet qui peuvent être énumérés comme suit [1]:
§ L'évitement : si une
activité présente un risque, il est préférable de
l'éviter. Cette stratégie est la moins risquée et la moins
chère, mais elle peut freiner le développement de l'entreprise.
§ L'acceptation : le risque est
accepté et il contracte par la suite une assurance, soit par un
transfert ou par la provision dans les comptes de l'entreprise à des
fins de réduction des risques financiers; cette approche ne permet pas
de protéger les personnels ni l'outil de production tant qu'aucune
volonté de réduction du risque ne se manifeste.
§ La réduction du risque :
identification des risques par l'audit, analyse par la recherche des facteurs
de risques et des vulnérabilités, maîtrise des risques par
les mesures de protection et de prévention : c'est la
démarche classique de gestion des risques.
§ Le transfert : à titre
financier, le transfert de risque s'établit lorsqu'une assurance ou
toute autre forme de couverture de risque financier ou garantie
financière est contractée par le dirigeant confronté au
risque. En cas de risque pénal pris par le dirigeant, ce transfert peut
être réduit à néant. A titre opérationnel et
économique, ce transfert s'effectue lorsque l'entreprise sous-traite
l'activité à risque sous une forme; un sous-traitant
sérieux et qualifié pourra faire payer très cher sa
prestation mais aussi démontrer qu'il gère mieux le risque pour
un prix équivalent voire inférieur, et le recours à un
sous-traitant non qualifié ou dédaigneux du risque fera courir un
risque encore plus grand.
| 
