Mis à jour le 24 juillet 2026.


Mettre en place une analyse et une cartographie des risques consiste à suivre une méthode structurée en cinq étapes clés :

1. Identification des menaces, 2. Évaluation de leur probabilité et de leur impact, 3. Hiérarchisation par niveau de criticité, 4. Visualisation (la cartographie), et 5. Définition des plans de traitement.

À l’heure où les incertitudes climatiques, géopolitiques et technologiques s’intensifient, cette démarche n’est plus réservée aux grands groupes. Pour toute organisation en 2026, c’est devenu un outil de pilotage stratégique indispensable pour anticiper les menaces et protéger sa pérennité. Loin d’être un exercice théorique, c’est le fondement de toute stratégie de résilience efficace. Ce guide vous détaille, pas à pas, comment mener cette démarche de manière pragmatique.

La méthode en 5 étapes clés pour construire votre cartographie des risques

Une analyse de risques réussie n’est pas une simple liste de problèmes potentiels. C’est un processus dynamique et collaboratif.

 

Étape 1 : Identifier vos risques (sans oublier les nouveaux)

La première phase est un inventaire. Il s’agit de lister toutes les menaces, internes comme externes, qui pourraient affecter votre organisation. Pour être exhaustif :

  • Organisez des ateliers avec les responsables de chaque service (production, RH, IT, commercial…). Ce sont eux qui connaissent le mieux les vulnérabilités de leur périmètre.
  • Analysez vos incidents passés et ceux de votre secteur.
  • Pensez aux risques de 2026 : Au-delà des risques classiques (incendie, panne), intégrez les menaces modernes : dépendance à un fournisseur de logiciel cloud (SaaS), risques ESG (Environnementaux, Sociaux, de Gouvernance), déstabilisation informationnelle, ou encore les risques liés à l’intelligence artificielle.

 

Étape 2 : Évaluer chaque risque (probabilité et impact)

Une fois la liste établie, chaque risque doit être « coté ». On utilise généralement une échelle (par exemple, de 1 à 5) pour évaluer deux dimensions :

  • La probabilité (ou fréquence) : Quelle est la vraisemblance que ce risque se produise ? (1 = très improbable, 5 = quasi certain).
  • L’impact (ou gravité) : S’il se produit, quelles seraient les conséquences ? (1 = impact mineur, 5 = impact critique). L’impact doit être évalué sur plusieurs plans : financier, opérationnel, humain, réputationnel et réglementaire.

 

Étape 3 : Hiérarchiser les priorités (la matrice de criticité)

En multipliant la note de probabilité par celle de l’impact, vous obtenez un score de criticité pour chaque risque. Ce score vous permet de les classer et de savoir où concentrer vos efforts. Un risque avec un impact de 5 et une probabilité de 4 (criticité = 20) sera bien plus prioritaire qu’un risque avec un impact de 2 et une probabilité de 3 (criticité = 6).

 

Étape 4 : Visualiser le panorama (la cartographie)

La cartographie des risques est la traduction visuelle de cette analyse. La forme la plus courante est une matrice de risques (ou « heat map ») :

  • Un axe pour la probabilité, un axe pour l’impact.
  • Chaque risque est positionné sur la matrice en fonction de ses notes.
  • Un code couleur (vert, jaune, orange, rouge) met en évidence les niveaux de criticité. Cette visualisation permet aux décideurs de comprendre en un coup d’œil le profil de risque de l’organisation.

 

Étape 5 : Définir et piloter les plans de traitement

Face à chaque risque prioritaire (ceux dans la zone rouge et orange), il faut définir un plan d’action. Il existe quatre stratégies de traitement possibles :

  1. Réduire (ou Mitiger) : Mettre en place des mesures de prévention pour diminuer la probabilité ou l’impact (ex: installer un système anti-incendie).
  2. Transférer : Souscrire une assurance pour transférer l’impact financier (ex: assurance cyber).
  3. Éviter : Arrêter l’activité qui génère un risque jugé trop élevé.
  4. Accepter : Pour les risques faibles, décider en conscience de ne rien faire et d’en accepter les conséquences.

Chaque plan d’action doit avoir un responsable et un délai.

Quels outils utiliser pour votre cartographie en 2026 ?

 

Si un tableur comme Excel peut suffire pour démarrer, des outils plus performants existent pour professionnaliser la démarche :

  • Logiciels GRC (Gouvernance, Risques, Conformité) : Des plateformes dédiées qui structurent toute la démarche, de l’identification au suivi des plans d’action (ex: LogicManager, Predict!).
  • Outils de datavisualisation : Des logiciels comme Power BI ou Tableau permettent de créer des cartographies interactives et des tableaux de bord dynamiques.
  • Solutions collaboratives : Des outils comme Trello ou Notion peuvent être utilisés de manière simple pour lister les risques et suivre l’avancement des plans de traitement.

Les bénéfices stratégiques d’une cartographie des risques vivante

 

Mener cette démarche n’est pas une simple formalité. C’est une stratégie gagnante qui apporte des avantages concrets :

  • Une prise de décision éclairée : Vous allouez vos ressources (temps, argent) là où les menaces sont les plus réelles.
  • Une confiance renforcée : Vous rassurez vos partenaires, vos assureurs et vos investisseurs en démontrant que vous pilotez votre organisation avec lucidité.
  • Une meilleure conformité aux exigences légales et réglementaires.
  • Une résilience accrue : En ayant anticipé vos principales menaces, vous serez bien mieux préparé à y faire face si elles se concrétisent.

Comment CriseHelp peut vous accompagner ?

Chez CriseHelp, nous accompagnons les organisations dans la mise en œuvre d’une analyse et d’une cartographie des risques sur mesure, adaptée aux réalités de 2026.

Notre accompagnement :

  • Audit de maturité en gestion des risques

  • Déploiement d’une méthode d’analyse adaptée à vos enjeux

  • Création de votre matrice de risques et d’indicateurs personnalisés

  • Formation des équipes à l’analyse et au pilotage des risques

  • Mise en place d’un suivi évolutif avec reporting et outils numériques

Ne subissez pas les crises : anticipez-les.

Contactez CriseHelp dès aujourd’hui pour sécuriser l’avenir de votre organisation

Plus d’infos:
Ministère de l’économie, Géorisque

Ce que disent les textes

  • L’obligation générale. L’article L4121-1 du code du travail impose à l’employeur de « prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs ». L’article L4121-2 en décline les neuf principes généraux de prévention, dont « évaluer les risques qui ne peuvent pas être évités ».
  • Le document unique et son texte. L’article L4121-3 impose l’évaluation des risques, et l’article L4121-3-1, issu de l’article 3 de la loi n° 2021-1018 du 2 août 2021, dispose que le document unique « répertorie l’ensemble des risques professionnels auxquels sont exposés les travailleurs et assure la traçabilité collective de ces expositions ». Le comité social et économique est consulté sur le document unique et sur ses mises à jour.
  • La mise à jour a une fréquence écrite. Elle est réalisée « au moins chaque année dans les entreprises d’au moins onze salariés », ainsi que lors de toute décision d’aménagement important et lorsqu’une information nouvelle apparaît (article R4121-2).
  • Ce que l’évaluation doit produire. Au-delà de cinquante salariés, un programme annuel de prévention des risques professionnels et d’amélioration des conditions de travail, avec liste détaillée des mesures, indicateurs de résultat, estimation du coût et calendrier. En dessous, des actions de prévention consignées dans le document unique et ses mises à jour (III de l’article L4121-3-1).
  • La conservation est longue. Le document unique et ses versions successives sont conservés et tenus à disposition des travailleurs et des anciens travailleurs pour une durée « qui ne peut être inférieure à quarante ans » (V de l’article L4121-3-1).

Références vérifiées en source primaire le 2 septembre 2026.


Nous sommes à votre écoute pour vous accompagner dans votre gestion de crise : la prévention, la préparation, l’intervention et le rétablissement de votre organisation est notre métier.

Nos experts et consultants indépendants sont en mesure de vous accompagner de A à Z dans l’évaluation de vos risques pour anticiper les crises.

Echanger avec nos experts

FAQs

Questions fréquentes

Quelle est la différence entre une analyse de risques et un BIA ?

L'analyse de risques identifie et évalue les menaces potentielles (les causes, ex: "risque de cyberattaque"). Le Bilan d'Impact sur l'Activité (BIA) analyse les conséquences d'une interruption de vos activités critiques, quelle qu'en soit la cause. L'analyse de risques vous dit ce qui pourrait arriver, le BIA vous dit ce qui est vital de protéger.

Est-ce une obligation légale de faire une cartographie des risques ?

Il n'y a pas d'obligation légale directe pour toutes les entreprises de formaliser une "cartographie des risques" en tant que telle. Cependant, l'employeur a une obligation générale de sécurité qui l'oblige à évaluer les risques professionnels et à les transcrire dans le Document Unique (DUERP). La cartographie des risques est la méthodologie la plus reconnue et la plus robuste pour remplir cette obligation de manière exhaustive.

Qu'est-ce que la cartographie des risques ?

La cartographie des risques est une représentation structurée des risques d'une organisation, évalués selon leur probabilité et leur gravité. Elle sert à visualiser les priorités et à orienter les décisions de prévention et de gestion de crise.

Pourquoi réaliser une analyse et une cartographie des risques ?

Parce qu'on ne peut pas se préparer à ce qu'on n'a pas identifié. La cartographie révèle les vulnérabilités, hiérarchise les menaces et fournit une base objective pour bâtir un plan de gestion de crise et allouer les moyens au bon endroit.

Quelles sont les étapes d'une cartographie des risques ?

Identifier les risques internes et externes, les évaluer selon leur probabilité et leur impact, les hiérarchiser sur une matrice, définir les mesures de traitement, puis réviser régulièrement la cartographie pour qu'elle reste à jour.

Quels outils utiliser pour cartographier les risques ?

De la matrice probabilité/gravité sur tableur aux plateformes dédiées de gestion des risques, en passant par des outils cartographiques territoriaux. L'essentiel reste la méthode et la mise à jour, pas seulement l'outil.

À quelle fréquence mettre à jour sa cartographie des risques ?

Au moins une fois par an, et après tout changement majeur : nouvelle activité, incident, évolution réglementaire ou crise. Une cartographie figée perd vite sa valeur, c'est un document vivant.

Quel lien entre cartographie des risques et gestion de crise ?

La cartographie est le socle amont de la gestion de crise : elle alimente les scénarios d'exercice, les plans (PCS, PCA) et les dispositifs d'alerte. Sans elle, la préparation reste partielle et réactive.