Selon le Forum économique mondial, l’intégration de la gestion des risques dans chaque fonction d’une organisation peut non seulement améliorer la résilience, mais également conduire à l’amélioration des stratégies et des résultats. Cela dit, au vu des répercussions – sur les employés, les clients, les fournisseurs, les partenaires, la société et l’environnement –, la mise en place de stratégies de gestion des risques mal ficelées peut représenter une menace existentielle pour une organisation. Dans le meilleur des cas, elle peut détruire les progrès accumulés pendant des années.

La Harvard Business Review estime que l’adoption de la gestion de risques est particulièrement pertinente pour les petites et moyennes entreprises (PME), qui ont tendance à considérer ces pratiques d’affaires comme un « luxe coûteux ». Ces entreprises sont peut-être plus exposées aux risques alors qu’elles agissent désormais dans un environnement très volatil, possèdent une culture entrepreneuriale moins exigeante, sont soumises à moins d’exigences réglementaires et éprouvent plus de contraintes en matière de ressources.

Un problème de taille est l’évaluation de l’ampleur des risques. L’analyse d’un échantillon de 500 000 pertes opérationnelles dans les banques aurait révélé que les petits incidents, qui sont les plus fréquents (61 %), attirent davantage l’attention des organisations alors qu’ils sont moins dommageables et ne représentent que 6 % de la gravité totale des pertes. Par contre, les incidents les plus rares (0,3 %) provoquent en moyenne 63 % des pertes totales chaque année.

En même temps, lorsqu’elle est appliquée de manière excessive, la gestion des risques peut être très coûteuse. C’est le cas, par exemple, des stratégies de cybersécurité trop contraignantes qui finissent pour ralentir le fonctionnement des organisations. C’est pourquoi la Harvard Business Review estime que des gestionnaires de risques compétents font preuve de pragmatisme et se préparent à des scénarios graves et plausibles tout en tolérant des incidents limités.

Dans ce contexte, le Forum économique mondial propose trois domaines auxquels doit s’attarder une organisation pour intégrer la gestion des risques au cœur de ses opérations : 

1. La culture du sens
   Il faudrait tirer parti de la diversité collective d’expériences et d’apprentissages personnels qui existe au sein d’une organisation pour faire face à l’incertitude. Dans cette perspective, l’identification des risques doit être vue comme une compétence que chaque employé doit posséder et qui doit s’insérer dans la culture de l’organisation.
2. La communication
   La généralisation de la culture de l’identification des risques doit être accompagnée de mécanismes de communication pour que les employés puissent s’exprimer sans crainte sur les risques perçus. Le triage de cette information permettra d’acheminer aux gestionnaires les facteurs de risque les plus inquiétants.
3. L’adaptation du contexte
   La bonne évaluation des facteurs de risque doit être accompagnée, dans un deuxième temps, de la mise en place de filtres qui permettront de saisir l’ampleur et les répercussions potentielles de chacun des risques. Grâce à ces informations, les gestionnaires pourront créer des scénarios de mitigation en fonction des ressources dont dispose l’organisation.