La gestion des risques d’un projet informatique repose sur l’analyse continue des risques éventuels du projet afin de pouvoir l'accommoder aux résultats de cette analyse.

Exemple :

J'ai un gros projet de refonte d'un système d'information qui s'étale sur 6 mois, je dois analyser (imaginer) les choses qui pourraient se passer et qui pourraient m'empêcher de réaliser correctement mon projet : le fournisseur qui n'a plus de stock, le livreur qui se trompe d'adresse, des données que j'oublie de récupérer, etc ...

Pourquoi évaluer les risques ?

L'évaluation des risques est une analyse approfondie des scénarios éventuels de leur apparition.

Elle a pour but de :

Adopter les mesures adéquates face à ces risques
Améliorer la sécurité du projet
Être une base pour la gestion du projet (la planification, l’abandon de certaines fonctionnalités, le choix des fournisseurs, la prévision des délais de livraison et des délais d’adaptation...)

Dans les grandes lignes, pour gérer mes risques, je dois :

faire cette analyse au démarrage du projet et la synthétiser dans un fichier excel
mettre à jour ce fichier excel tous les jours, dès qu'une nouvelle idée me vient, dès qu'un risque évolue
faire en sorte de diminuer au maximum l'impact de ces risques sur mon projet
à la fin du projet, faire le bilan des risques, en discuter avec l'équipe projet, apprendre de nos erreurs, et rédiger un rapport pour garder une trace de tout çà

Quelles sont les étapes de l'analyse de risques ?

A présent, rentrons dans le détail.

La gestion des risques est composée de deux étapes, qui se feront en boucle jusqu'à la fin du projet :

l’appréciation des risques (analyse et évaluation)
le traitement des risques. Pour chaque risque, il y a 4 types de traitement possible :
- Soit le risque est acceptable:
  - accepter pas dramatique, on fait avec
- Soit le risque est non acceptable et dans ce cas il y a trois traitements possibles :
  - réduire on fait quelque chose pour diminuer le risque ou la probabilité qu'il se produise
  - transférer on transfert la gestion de ce risque à un spécialiste
  - refuser le risque est trop grand, donc on ne fait pas l'action qui serait la cause de ce risque (exemple : installer un serveur dans un local technique dans lequel il y a des conduites d'eau au plafond)

Pour information :

En fonction du modèle Excel, vous aurez soit :

Colonne "Acceptable" Choix : "Oui", "Non" ( la méthode de mon modèle)
Colonne "Traitement" Choix : "Accepter", "Réduire", "Transférer", "Refuser"

Ce sont deux manières différentes de présenter les risques. Les deux sont justes. Dans le fichier excel que je fournis dans ce cours, c'est la méthode 1 qui est utilisée.

L'identification initiale des risques s'effectue en fonction des objectifs, des exigences et du contexte du projet :

ses contraintes de délais et de budget
son environnement
son organisation

Durant le reste du projet , on continue notre gestion des risques, mais on va également se baser sur les activités du projet :

achat de matériel : rupture de stock chez le fournisseur, erreur d'adresse de livraison, ...
erreur d'un technicien : oublie de sauvegarde de données, erreur dans la mise en place d'un serveur, ...

Exemple 1 : projet de migration de poste client de windows 7 à windows 10

Identification initiale (au démarrage du projet)

Risque 1 : non respect des délais (parce qu'on a 100 postes à faire)
- Criticité : çà va, les gens pourront continuer de travailler
- Traitement : Accepter (si on dépasse un peu la deadline prévue, c'est pas grave)

Identification en cours de projet

Risque XY : perte de données logiciel compta de Francis (on s'est rendu compte en cours de projet que Francis a un logiciel de compta spécial installé sur son poste. Il faudra penser à sauvegarder toutes les données !)
- Criticité : plutôt élevée, car il n'a jamais rien sauvegardé et on vient s'en apercevoir seulement maintenant ...
- Traitement : Réduire on va sauvegarder tout de suite ses données / on gardera son ancien disque dur

Exemple 2 : projet de mise en place d'une salle serveur

Identification initiale (au démarrage du projet)

Risque d'électrocution (si on fait la mise à la terre de la baie serveur nous-même)
- Criticité : très élevée ! Risque de mort d'un technicien
- Traitement : transfert on demande à un prestataire électricien de le faire
Risque de mauvaise configuration des serveurs
- Probabilité : faible normalement les techniciens connaissent leur boulot
- Gravité : très grave dette technique, on risque de devoir passer du temps à dépanner les serveurs une fois en production
- Criticité : moyennement élevée
- Traitement : Réduire rédaction de procédure / formation des techniciens

Identification en cours de projet

Risque d'inondation (En mettant en place la salle serveur, on s'est rendu compte qu'il y a une conduite d'eau qui passe dans le faux plafond ... )
- Probabilité : possible c'est possible que la conduite d'eau lâche
- Gravité : catastrophique si de l'eau coule sur les serveurs, tout crame ...
- Criticité : forte
- Traitement : Refuser on arrête les travaux et on trouve un prestataire pour enlever la conduite [ou] on change l'emplacement du local

Dans ce dernier cas, bien évidemment, si on découvre en plein milieu du projet qu'il y a une conduite d'eau dans la salle serveur, c'est que l'analyse de début de projet n'a pas été faite correctement. La personne en charge de l'étude du futur emplacement de la salle serveur aurait dû étudier ce sujet (ainsi que l'emplacement de la climatisation, des arrivées électriques, des arrivées télécoms, etc ...)

Sous quel format faire l'analyse de risque ?

Pour analyser les risques du projet, vous utiliserez le document Excel suivant.

Téléchargez : Analyse-de-risques_simplifiée.xlsx

Manuel d'utilisation - phase : Identification / analyse

Brainstormer avec votre équipe projet (sur xmind) pour trouver des risques.
Lorsque vous pensez avoir fait le tour du sujet, notez vos risques dans la colonne "Risque" du tableau Excel
Complétez les colonnes "Catégories" et "Danger" (le danger est la description de la conséquence, si le risque est avéré)

Manuel d'utilisation - phase : Hiérarchisation / évaluation

Pour chaque risque (reprenez les les uns après les autres) :

Evaluez : estimez la Probabilité et la Gravité de chaque risque
(la criticité se calcule automatiquement en fonction de la Probabilité et de la Gravité. Le calcul se fait grâce à la feuille Paramétrage)
(l'acceptabilité se calcule seule en fonction de la criticité. Le calcul se fait grâce à la feuille Paramétrage)

Manuel d'utilisation - phase : Traitement

Pour chaque risque (reprenez les les uns après les autres) :

Remplir la colonne "Actions de prévention" (ALT+ENTREE pour un saut de ligne dans Excel). Une action de prévention sert à diminuer la probabilité que le risque apparaisse.
Remplir la colonne "Nouvelle probabilité"
Remplir la colonne "Actions de protection". Une action de prévention sert à diminuer la gravité du risque, son impact
Remplir la colonne "Nouvelle gravité"
(la criticité résiduelle se calcule toute seule)

Manuel d'utilisation - phase : Revue

(la colonne "Acceptabilité après traitement" se calcule toute seule. Elle sera "OUI" si la criticité résiduelle est strictement inférieure à 3)
Notez la date à laquelle vous avez revue (mis à jour) cette ligne du tableau

3.6 Management des risques du projet