1.1 – L’analyse exhaustive et probabiliste des risques

9Réalisée autant que faire se peut en amont, l’analyse privilégie toujours la connaissance des risques. Reste qu’hormis pour l’étude d’impact [7], les textes se révèlent souvent imprécis sur son contenu. Cette imprécision, présentée comme un gage de souplesse, est atténuée par l’existence de circulaires [8], de guides, tels les guides de bonnes pratiques d’hygiènes [9], ou de manuels [10], véritables documents de références qui recommandent des méthodes et des procédures permettant d’atteindre les objectifs de maîtrise posés par la réglementation.

10Il existe également, un référentiel pour les entreprises, un cadre de référence, propre au contrôle interne. Connu sous le nom de COSO, acronyme abrégé d’une commission indépendante [11] qui a établi en 1992 ce standard (COSO I Report, 1994), il présente le contrôle interne comme un processus destiné à fournir une assurance raisonnable quant à la réalisation des objectifs de l’organisation. En 2004, le COSO a édité un nouveau référentiel (COSO II Report, 2005), axé sur le risque de l’entreprise.

11L’analyse prônée par toute cette documentation débute nécessairement par un recensement des risques, de tous les risques, avérés ou simplement potentiels, susceptibles d’être générés par l’activité, le projet ou la situation particulière de l’entreprise. Pour en assurer l’exhaustivité, ce recensement suit le même schéma.

12En premier lieu, l’environnement et les composantes de l’activité ou du projet doivent être exposés. Les études de danger présentent ainsi la nature et le volume des activités exercées, les procédés de fabrication mis en œuvre et les produits et matières fabriqués et utilisés [12]. Les études d’impact décrivent les projets et comportent une analyse de l’état initial du site [13]. Le document unique d’évaluation des risques professionnels décrit, pour chaque poste, l’environnement de travail, les procédés de fabrication et les substances et préparations chimiques employées [14]. Les guides de bonnes pratiques d’hygiène présentent les produits, les productions et les procédés utilisés.

13Pour le risque de l’entreprise, cette première étape repose certainement sur une description de l’environnement externe, mais également interne. Elle implique une présentation des objectifs de l’organisation, objectifs stratégiques reflétant les choix de la direction en termes de création de valeur et de tolérance aux risques (COSO II Report, 2005, pp.

1453 et suivantes), et une analyse de la sensibilité des dirigeants aux risques, de la compétence des personnels, des mécanismes de contrôle et de délégation de pouvoirs (COSO II Report, 2005, pp. 39 et suivantes).

Etape 1

Etape 1

15Sur la base de ces exposés préliminaires, sorte d’état des lieux avec description de tout ce qui peut être source de danger, l’analyse se poursuit par la présentation des risques inhérents à l’activité, au projet, à l’environnement ou aux objectifs.

16L’étude de danger comporte un exposé des accidents possibles, que leur origine soit interne à l’installation ou externe, et la description consécutive des dangers pour l’environnement et la population. L’étude d’impact décrit les effets du projet sur l’environnement [15] et plus précisément la nature, l’intensité, l’étendue et la durée des impacts qu’il risque d’engendrer (Boivin, 2003, p. 162). Le document unique dresse un inventaire des risques dans chaque unité de travail [16] en identifiant tous les dangers (Andeol et al., 2010). Les guides de bonnes pratiques d’hygiène présentent une identification de tous les dangers liés à l’activité, qu’il s’agisse de dangers microbiologiques, chimiques ou physiques [17].

17Transposée aux risques pour l’entreprise, la description des risques se doit de comporter une identification de tous les événements potentiels, internes ou externes, pouvant affecter l’organisation et qui sont susceptibles de nuire à sa capacité à mettre en œuvre sa stratégie et à atteindre ses objectifs (COSO II, 2005, pp. 63 et suivantes). La gestion du risque pour l’entreprise présente, ici, une spécificité. La survenance d’un événement d’origine interne ou externe peut également avoir une incidence positive sur la réalisation des activités permettant d’atteindre les objectifs. On parlera alors d’opportunité (COSO II, 2005, pp. 23 et suivantes). La démarche d’analyse doit donc permettre à la direction d’identifier risques et opportunités pour prévenir les premiers et pour saisir les secondes.

Etape 2

Etape 2

18Une fois recensés, les risques sont évalués puis hiérarchisés en fonction de leur degré de dangerosité pour la santé des populations, pour l’intégrité de l’environnement ou pour les objectifs de l’entreprise. Aux fins de pertinence, l’évaluation repose toujours sur l’appréciation des deux composantes du risque, à savoir l’aléa et la vulnérabilité.

19Aux termes de l’article L.512-1 du code de l’environnement, dans les études de danger, les risques d’accidents sont gradués selon leur probabilité d’occurrence et leur gravité. L’évaluation, particulièrement rigoureuse et encadrée [18], conduit à un classement suivant une grille d’appréciation, appelée grille de criticité, qui va du risque tolérable au risque inacceptable. L’étude d’impact détermine la nature, l’intensité, l’étendue et la durée des impacts que le projet est susceptible d’engendrer. Elle en évalue donc nécessairement la probabilité. Et cette première évaluation doit être complétée par une appréciation de leur importance en fonction de l’irréversibilité de leurs effets et de la vulnérabilité des milieux concernés, autrement dit par une évaluation de leur gravité. On aboutit ainsi à une classification des impacts selon leur criticité.

20Cette forme d’évaluation est également présente dans les autres outils de gestion préventive. En matière de risque professionnel, le document unique comporte un classement des dangers et donc une évaluation des risques répertoriés sur la base de critères telle la probabilité d’occurrence et la gravité [19]. Dans le cadre de la mise en œuvre de la méthode HACCP, les dangers liés aux matières premières et aux opérations effectuées sur l’aliment sont identifiés et hiérarchisés. Les guides de bonnes pratiques présentent toujours une évaluation des risques, risques dont ils précisent la portée, c’est-à-dire la probabilité de leur survenue et la gravité des effets néfastes qu’ils engendrent eu égard à leur importance en termes de santé.

21Appliquée aux risques pour l’entreprise, l’évaluation consistera à déterminer la probabilité que l’un des évènements précédemment répertoriés survienne et son impact sur la réalisation des objectifs définis initialement (COSO II, 2005, pp. 73 et suivantes). L’évènement sera classé en fonction d’une grille propre à l’entreprise, grille hiérarchisant les risques en fonction de leur acceptabilité pour les dirigeants, au regard de l’appétence de l’organisation pour le risque (COSO II, 2005, p. 28).

Etape 3

Etape 3

22En définitive, quel que soit le risque, la démarche d’analyse, prônée par la législation et qui mérite certainement d’être reprise dans le cadre de politique de management des risques pour l’entreprise, relève d’une approche probabiliste, exhaustive et pertinente. Elle dépasse la simple prévention et s’inscrit dans une dynamique de précaution. Elle s’efforce d’explorer tous les dangers raisonnablement envisageables pour l’activité, la situation considérée ou les objectifs de l’entreprise, puis de procéder à l’évaluation de leurs effets et conséquences potentiels et à l’estimation de la probabilité de leur survenance. Le classement qui en résulte, classement selon une grille de criticité, permet de définir logiquement et rationnellement des seuils à partir desquels seront mise en œuvre des mesures de préventions et de précautions adaptées [20], des mesures efficaces, raisonnées et proportionnées de maîtrise des risques. A priori, seuls lui échappent les risques indécelables ou impossibles à évaluer au regard, notamment, de l’état des connaissances scientifiques. Si on ne saurait s’en offusquer pour les risques imaginaires, cette mise à l’écart semble plus préoccupante pour des risques simplement non quantifiables en termes de gravité. Elle n’est, toutefois et fort heureusement, qu’apparente. En application du principe de précaution, ces risques font également l’objet d’un traitement proportionné.

2.1 – Une analyse concertée

33Sur la question des personnes chargées de la mise en œuvre de la démarche, la réglementation sur le risque fait preuve d’un grand pragmatisme en distinguant toujours deux temps forts : le temps de l’analyse et de l’évaluation par la personne ou l’autorité responsable de la maîtrise du risque, et le temps de la consultation et de l’évaluation par les tiers, services administratifs déconcentrés, conseils ou commissions spécialisées, collectivités locales et personnes intéressées parce que directement exposées au risque. Ce schéma est aisément transposable dans l’entreprise où le dispositif de management des risques est élaboré et mis en œuvre par la direction en concertation avec l’ensemble des collaborateurs de l’organisation, sous la supervision du Conseil d’administration ou de surveillance (COSO II, 2005, p. 5).

34L’obligation de procéder à l’analyse du risque pèse ainsi en priorité sur celui qui en est à l’origine, ou qui a la charge d’en assurer la maîtrise. Il s’agit du pétitionnaire, pour les installations soumises à autorisation [28], du porteur de projet susceptible d’avoir des effets notables sur l’environnement [29], de l’employeur, tenu d’assurer la santé et la sécurité des salariés sur les lieux de travail [30] ou encore des professionnels du secteur alimentaire, sur qui pèse l’obligation de ne mettre sur le marché que des produits ne présentant aucun danger [31]. Au sein de l’entreprise, elle relève évidemment de la responsabilité du ou des dirigeants, même s’ils en délèguent la mise en œuvre à des collaborateurs (COSO II, 2005, pp. 132 et suivantes).

35Cette implication, prioritaire et systématique, est d’une grande logique. Qui mieux que le professionnel, le porteur du projet ou le gestionnaire peut recenser et évaluer les risques issus de l’activité, du projet ou de la situation dont il a la charge ou la maîtrise ? Qui est mieux placé qu’eux pour concevoir les systèmes de prévention et de protection les plus sûrs permettant d’atteindre l’objectif de sécurité maximum ? Les mesures qu’ils élaborent, sont des mesures de terrain, adaptées aux spécificités de chaque secteur, de chaque activité, de chaque domaine, de chaque entreprise, ce qui en garantit l’effectivité et leur confère une véritable force dans la pratique.

36Pour autant, un tel mécanisme, une telle primauté donnée aux professionnels, aux porteurs de projets, aux dirigeants et même à une autorité administrative, n’est pas exempt de toute critique. On peut craindre des dérives, une instrumentalisation, voir une dissimulation volontaire de dangers pourtant décelés et il apparaît surtout difficilement concevable de leur laisser, de leur abandonner, une question aussi délicate que celle de la maîtrise des risques. Un contrôle de l’analyse effectuée et des recommandations proposées s’imposait.

37Au sein de la législation sur le risque, ce contrôle prend la forme d’une intervention des pouvoirs publics dans la procédure d’élaboration, lorsque ceux-ci n’en n’ont pas directement la charge. La réglementation impose également et systématiquement, toujours dans le but d’améliorer la pertinence de l’analyse et l’efficacité des mesures associées, une véritable concertation avec tous ceux qui sont impliqués par le risque et auxquels la loi accorde aujourd’hui un véritable droit d’alerte en matière de santé publique et d’environnement [32].

38Dans le cadre de la procédure d’instruction des demandes d’autorisation, les études d’impact et de danger sont soumises, pour avis, à de nombreux services administratifs déconcentrés [33], et les conseils municipaux sont consultés sur les projets susceptibles de s’implanter sur le territoire de la commune [34]. Les avis recueillis pourront influencer une modification ou un renforcement des mesures de prévention ou de protection proposées par le pétitionnaire. Ils sont transmis à l’inspection des installations classées [35] qui, en tenant compte des observations formulées [36], établit un rapport sur la demande d’autorisation et formule des propositions au préfet, notamment sur les prescriptions à prendre dans l’hypothèse d’une autorisation [37]. Dépassant la simple consultation, les conseils municipaux sont aujourd’hui directement associés, avec les établissements publics de coopération intercommunale, à l’élaboration des plans de prévention des risques technologiques [38]. Une concertation et une implication directe des citoyens dans la démarche d’analyse [39] est favorisée par le renforcement des enquêtes publiques [40]. Ces enquêtes fournissent aux personnes intéressées les éléments d’information sur l’opération projetée, afin que celles-ci puissent émettre une opinion éclairée avant la prise de décision par l’autorité administrative compétente. Le rapport du commissaire enquêteur destiné à l’autorité administrative doit contenir une analyse des observations du public, une synthèse de toutes les observations écrites et orales.

39Contrôle et concertation sont également de mise face aux risques professionnels et alimentaires. Le respect de l’obligation de transcrire dans un document les résultats de l’évaluation des risques professionnels est contrôlé par l’inspection du travail [41], et les instances représentatives du personnel sont associées à toutes les étapes de l’élaboration de ce document unique [42]. Les guides de bonnes pratiques d’hygiène sont soumis à une stricte procédure de validation par les pouvoirs publics, procédure qui associe contrôle et concertation.

40La transposition d’un tel mécanisme au sein de l’entreprise est souhaitable et, peut-être, à inventer. Il est certain que le Conseil d’administration ou de surveillance, s’il en existe un, devra assurer la supervision du processus en définissant la stratégie et en fixant des objectifs aux managers, managers qui devront lui en rendre compte. Mais comme la gestion des risques relève de la responsabilité de tous les collaborateurs (COSO II, 2005, p. 138), elle doit faire intervenir toutes les parties prenantes (Igalens, Point, 2009). On peut attendre des managers qu’ils apportent leur soutien à la culture de l’entité en matière de gestion de risque. Les employés doivent également être impliqués. Chargés de la gestion quotidienne des problèmes opérationnels majeurs, ils sont souvent les mieux placés pour identifier les difficultés lorsqu’elles surgissent (COSO II, 2005, p. 112). Enfin, un certain nombre de tiers peuvent aussi contribuer à la réalisation des objectifs de l’organisation. Auditeurs externes, clients, fournisseurs, partenaires, tous sont susceptibles de fournir des informations importantes (COSO II, 2005, pp. 139 et suivantes).

Processus d’analyse

Processus d’analyse

41Indissociables de la démarche d’analyse, les mécanismes de contrôle et de concertation favorisent le partage d’une culture de vigilance et de sécurité, partage entre tous ceux qui participent de près, comme les collaborateurs, les représentants du personnel et les conseils municipaux, ou de plus loin, comme les riverains ou les partenaires, à la démarche d’analyse. Ils concourent ainsi à une meilleure gestion du risque. C’est lorsque la culture du risque est bien développée, comprise et remporte l’adhésion du personnel, que l’organisation peut effectivement identifier et gérer les risques et les opportunités. Ce partage répond également à un objectif d’acceptabilité du risque par les personnes concernées (Charbonneau, 1989), objectif qui est à l’origine du renforcement de l’information.

2.2 – Une information renforcée

42Grâce à l’information, la législation aborde une autre dimension du risque, sa dimension psychologique. Même soumis à une démarche d’analyse raisonnée et rigoureuse, le risque peut subsister. Et cette simple perspective est souvent jugée insupportable par tous ceux qui y sont exposés. Pour combattre ce sentiment d’insécurité et développer des comportements responsables face au risque, sur le postulat que c’est l’ignorance qui fait peur, toute la réglementation tend à garantir l’information des personnes potentiellement menacées afin de leur permettre de connaître les dangers auxquels elles sont exposées, les dommages prévisibles, ainsi que les moyens de prévention, de protection et de secours mis en œuvre.

43Au sein de l’entreprise, l’information sur le risque et sur le processus de management, également destinée à jouer sur les comportements, semble fondamentale. Des informations pertinentes doivent être communiquées afin de permettre à chacun des collaborateurs de s’acquitter de ses responsabilités et de comprendre l’importance du management des risques et son rôle dans le dispositif (COSO II, 2005, p. 103).

44Dans tous les cas, cette information se doit d’être la plus claire et la plus large possible. Elle porte sur le risque et les mesures associées et consiste à rendre publique, de la manière la plus compréhensible possible, le contenu de la démarche d’analyse.

45En matière de risque technologique et environnemental, l’accès à l’information est un droit fondamental du citoyen, droit reconnu par la convention d’Aarhus [43] et droit auquel l’article 7 de la charte de l’environnement [44] a conféré une valeur constitutionnelle. Très concrètement, l’information peut être obtenue par l’intermédiaire de structures institutionnelles [45]. Elle peut aussi être recherchée en consultant les arrêtés d’autorisation d’ouverture ou d’approbation des plans de prévention, ou encore en participant à l’enquête publique, les projets de plans, les études d’impact et de danger étant mis à la disposition du public.

46L’information est aussi directement apportée, ponctuellement ou de manière permanente, aux populations les plus exposées. Ponctuellement, dans le cadre de l’enquête, le commissaire enquêteur peut organiser une réunion d’information et d’échanges avec le public et en présence du maître de l’ouvrage [46]. De manière permanente, une information sur les risques est consignée dans un Dossier départemental sur les risques majeurs (DDRM) établi par le préfet, ainsi que dans un Document d’information communal sur les risques majeurs (DICRIM) établi par le maire [47]. Le dossier départemental et le document communal sont consultables à la mairie. Enfin, plusieurs sites officiels sont dédiés à l’information sur le risque [48].

47Fortement développée pour les risques industriels, environnementaux et naturels, certainement en raison du nombre de personnes exposées à ces risques majeurs, l’information paraît moins étendue dans les autres domaines porteurs de risques. Elle reste, néanmoins, renforcée à l’égard de ceux qui sont concernés.

48Dans l’entreprise, le document unique d’évaluation des risques peut être consulté par les salariés et un avis indiquant les modalités d’accès à ce document doit être affiché sur les lieux de travail [49]. L’employeur a l’obligation d’informer les travailleurs sur les risques pour leur santé et leur sécurité. Cette information, délivrée lors de l’embauche et chaque fois que nécessaire [50], porte sur les modalités d’accès au document unique et sur les mesures de prévention des risques identifiés dans ce document [51]. En matière de sécurité alimentaire, lorsqu’il existe des motifs raisonnables de soupçonner qu’une denrée puisse présenter un risque pour la santé humaine, les pouvoirs publics doivent en informer la population, en identifiant le plus complètement possible la denrée incriminée, le risque qu’elle peut présenter et les mesures qui sont prises ou sur le point d’être prises pour prévenir, réduire ou éliminer ce risque [52].

49Appliquée à la gestion des risques de l’entreprise, la communication pourra certainement prendre de multiples formes et s’inspirer des modèles prônés par la législation sur le risque. Au fond, la direction devra communiquer de façon directe et ciblée sur ses attentes en termes de comportement et de responsabilité. La communication doit exposer clairement la culture de l’organisation en matière de management des risques, son appétence et sa tolérance pour le risque, le rôle et les responsabilités de chacun, et véhiculer l’importance et la pertinence du dispositif et les objectifs de l’organisation (COSO II, 2005, pp. 110-111). La circulation d’information devra être multidirectionnelle. Ascendante, descendante et transversale, afin de permettre aux collaborateurs de faire remonter des informations, elle sera également interne et externe afin de répondre aux besoins des partenaires en leur permettant de comprendre les circonstances et les risques auxquels l’organisation est exposée.

Processus d’information

Processus d’information

50Suite logique, élément indissociable de la démarche d’analyse des risques, démarche raisonnée qui en fournit les éléments, l’information porte toujours sur le risque en lui-même et sur les moyens mis en œuvre pour le maîtriser. Associée à l’implication, soit des populations et des collectivités exposées, soit des collaborateurs, dans les différentes étapes de la démarche, elle contribue à l’émergence et au partage d’une culture de vigilance et de sécurité, d’une culture du risque, qu’il soit industriel, environnemental, professionnel, alimentaire ou propre à l’entreprise. Cette culture, finalité du processus élaboré par la réglementation et vecteur privilégié d’une maîtrise des risques, favorise la prise en compte de tous les intérêts en jeu, intérêts des exploitants, des entreprises, des pouvoirs publics et des populations, afin de parvenir, en dépassant l’utopie de la sécurité absolue, à une forme de socialisation du risque pour en déterminer les seuils d’acceptabilité.