La matrice de criticité est un tableau à double entrée. Elle croise la probabilité qu’un risque survienne et la gravité de ses conséquences. On multiplie les deux notes pour obtenir un indice de criticité (de 1 à 16 sur une grille 4 x 4). Cet indice place chaque risque dans une zone verte, orange ou rouge, et cette zone fixe l’ordre de traitement.
Sur un même tableau, le dirigeant ou le responsable qualité voit tout de suite les menaces qui demandent une action immédiate et celles qu’il suffit de surveiller. Cet outil d’analyse sert dans l’industrie, la gestion de projet, la sécurité au travail, la finance ou la conformité. Il remplace une liste de dangers en vrac par un classement que l’on peut défendre. Ce guide détaille la construction de la grille étape par étape, donne un exemple chiffré pour une PME, compare les formats de matrice risques les plus courants et passe en revue les erreurs qui faussent le résultat.
Contenu de l'article :
Ce que mesure une matrice de criticité : le croisement probabilité gravité
La logique est simple. Un risque n’est pas critique uniquement parce qu’il ferait de gros dégâts, ni uniquement parce qu’il arrive souvent. C’est la combinaison des deux qui compte. Une panne serveur d’une heure chaque mois et un incendie d’entrepôt tous les vingt ans ne se traitent pas de la même façon, mais les deux peuvent finir dans la zone rouge.
Chaque risque reçoit donc deux notes :
- La probabilité, aussi appelée occurrence ou fréquence : la chance que l’événement se produise sur une période donnée.
- La gravité, aussi appelée impact ou sévérité : l’ampleur des conséquences financières, humaines, juridiques, environnementales ou d’image.
La formule de base est Criticité = Probabilité x Gravité. Sur une grille 4 x 4, le score va de 1 (événement rare et bénin) à 16 (événement fréquent et majeur). Les cases sont ensuite colorées selon des seuils choisis par l’organisation. Le résultat est une carte visuelle que l’on lit en quelques secondes, et c’est ce qui explique la popularité de l’outil en comité de direction.
Construire une matrice de criticité pas à pas
La méthode tient en quatre temps. Le plus long n’est pas de remplir le tableau, c’est de se mettre d’accord sur les règles de notation avant de commencer.
Recenser chaque risque avec une formulation précise
Commencez par l’inventaire : ateliers avec les équipes, retours d’incidents, audits, réclamations clients, analyse de l’environnement. Pour les menaces externes, une analyse stratégique fournit une bonne base, et notre article SWOT def explique comment les repérer avant de les passer au crible de la criticité.
Chaque risque doit être rédigé sous la forme cause, événement, conséquence. « Retard fournisseur » est trop vague. « Rupture de stock de composants due à un fournisseur unique, entraînant un arrêt de ligne de trois jours » se cote beaucoup plus facilement.
Définir des échelles de probabilité et de gravité partagées
Sans échelle écrite, deux personnes donnent deux notes différentes au même risque. Chaque niveau doit être décrit par des critères concrets, chiffrés si possible. Voici une base que vous pouvez adapter :
| Note | Probabilité | Gravité |
|---|---|---|
| 1 | Rare : moins d’une fois tous les 5 ans | Mineure : impact négligeable, moins de 1 000 euros |
| 2 | Possible : une fois tous les 1 à 5 ans | Modérée : perturbation locale, quelques milliers d’euros |
| 3 | Probable : plusieurs fois par an | Importante : arrêt d’activité partiel, client perdu, blessure avec arrêt |
| 4 | Fréquente : chaque mois ou plus | Critique : survie de l’activité menacée, accident grave, sanction réglementaire |
Les montants doivent suivre la taille de l’entreprise. Pour une TPE, 20 000 euros de perte peuvent déjà être critiques. Pour un groupe industriel, ce seuil sera beaucoup plus haut.
Calculer l’indice et tracer les seuils de décision
Multipliez les deux notes, puis placez le risque dans sa case. Les seuils les plus courants sur une grille 4 x 4 :
- 1 à 4, zone verte : risque acceptable, simple surveillance.
- 5 à 8, zone orange : risque à réduire, avec un plan d’action daté.
- 9 à 16, zone rouge : risque inacceptable, traitement prioritaire et suivi par la direction.
Une règle complémentaire évite un piège classique : toute gravité notée 4 déclenche au moins une analyse, même si la probabilité est faible. Un accident mortel peu probable ne doit jamais rester en zone verte parce que le calcul donne 4.
Relier chaque zone à une réponse et à un responsable
La grille n’a d’intérêt que si elle débouche sur des décisions. Pour chaque risque orange ou rouge, choisissez l’une des quatre stratégies classiques : réduire (prévention, redondance, formation), transférer (assurance, clause contractuelle, sous-traitance), éviter (abandonner l’activité concernée) ou accepter en connaissance de cause. Nommez un pilote, fixez une échéance, puis recotez le risque une fois l’action terminée. L’écart entre le score brut et le score résiduel mesure l’efficacité de ce qui a été fait.
Exemple de matrice des risques pour une PME de distribution
Prenons une entreprise de 40 salariés qui vend du matériel en ligne et en magasin. Après un atelier d’une demi-journée, l’équipe retient six risques :
| Risque | P | G | Criticité | Zone |
|---|---|---|---|---|
| Cyberattaque bloquant le site marchand | 3 | 4 | 12 | Rouge |
| Fiche produit erronée (prix, référence) diffusée sur plusieurs canaux | 4 | 2 | 8 | Orange |
| Défaillance du transporteur principal | 2 | 3 | 6 | Orange |
| Lot défectueux d’un fournisseur | 2 | 3 | 6 | Orange |
| Départ d’un acheteur clé | 2 | 2 | 4 | Verte |
| Dégât des eaux dans l’entrepôt | 1 | 3 | 3 | Verte |
La lecture est immédiate. La cyberattaque passe en tête : sauvegardes hors ligne, double authentification et plan de reprise testé. Les erreurs de fiches produits, fréquentes mais peu graves une à une, viennent souvent d’un référentiel mal tenu. Une démarche de Master data management fait baisser leur probabilité à la source, au lieu de corriger chaque erreur après coup.
Pour le lot défectueux, la réponse passe par des exigences écrites à l’achat et des contrôles à réception. Le raisonnement est le même dans tous les secteurs : notre dossier sur la Qualité des fenêtres PVC montre comment des standards exigés au fabricant réduisent en amont le risque de non-conformité.
La méthode ne se limite pas à l’entreprise. Un investisseur qui lance des travaux peut coter le dépassement de devis, la découverte d’un vice caché ou le retard d’un artisan. Le guide Rénover un locatif sans y laisser sa trésorerie détaille justement les postes de budget que l’on sous-estime, autant de risques à faire figurer dans une grille avant de signer.
Grille 3 x 3, 4 x 4 ou 5 x 5 : quel format de matrice choisir
Le nombre de niveaux change la finesse de l’analyse, mais aussi le temps passé à débattre de chaque note.
- 3 x 3 : rapide, adapté à une première approche ou à une petite structure. Le défaut, c’est le manque de nuance, beaucoup de risques finissent au centre.
- 4 x 4 : le compromis le plus répandu. L’absence de niveau central oblige à trancher entre « plutôt faible » et « plutôt fort ».
- 5 x 5 : courant dans l’industrie, l’aéronautique, la santé ou la banque, quand on dispose de données historiques pour départager des niveaux proches.
En pratique, mieux vaut une grille 4 x 4 bien définie et appliquée par tous qu’une 5 x 5 que chacun interprète à sa façon. Gardez le même format pour tous les services, sinon les scores ne se comparent plus d’une direction à l’autre.
Criticité, AMDEC et cartographie des risques : comment ces outils s’articulent
Dans l’industrie, la matrice de criticité est souvent le dernier étage d’une AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité). L’AMDEC ajoute un troisième critère, la détectabilité, c’est-à-dire la capacité à repérer la défaillance avant qu’elle n’atteigne le client. On obtient alors un indice de priorité de risque : Gravité x Occurrence x Détection, souvent noté sur 10 par critère, soit un score maximal de 1 000.
Au niveau de toute l’entreprise, la cartographie des risques rassemble les matrices de chaque service dans une vue d’ensemble destinée à la direction ou au comité d’audit. La matrice des risques et des contrôles, que les auditeurs appellent RCM, va plus loin : elle associe à chaque risque les contrôles internes qui le couvrent et évalue leur efficacité.
Côté sécurité au travail en France, l’employeur doit évaluer les risques professionnels et les consigner dans le document unique (DUERP). Le Code du travail n’impose pas de format précis, mais une grille probabilité gravité est l’une des méthodes les plus utilisées pour classer les dangers par unité de travail. En cas de doute sur vos obligations, le service de prévention et de santé au travail ou la Carsat de votre région peuvent vous orienter.
Avantages et limites de cet outil d’analyse des risques
Les avantages expliquent pourquoi l’outil est devenu un standard :
- une lecture visuelle comprise par des profils non spécialistes ;
- un langage commun entre opérationnels, finance et direction ;
- une base claire pour arbitrer un budget de prévention ;
- une traçabilité utile lors d’un audit, d’une certification ou d’un échange avec un assureur.
Ses limites existent pourtant, et il faut les connaître pour ne pas lui faire dire plus qu’il ne peut. Les notes restent en partie subjectives. Deux risques à 6 (3 x 2 et 2 x 3) n’appellent pas forcément la même réponse. La grille traite chaque menace isolément et ne voit pas les effets domino, par exemple une panne informatique qui provoque à la fois un retard de livraison et une perte de données. Enfin, une matrice qui n’est pas revue vieillit vite : un risque vert l’an dernier peut être devenu rouge après un changement de fournisseur ou de réglementation.
Les erreurs qui faussent une matrice de criticité, et comment les corriger
La plupart des grilles décevantes souffrent des mêmes défauts. Les connaître permet d’obtenir un classement fiable dès la première séance.
- Coter seul dans son bureau. Le responsable qualité ne voit pas tout. Associez ceux qui vivent le terrain : magasiniers, commerciaux, techniciens.
- Sous-déclarer par crainte d’être jugé. Quand signaler un risque revient à avouer une faiblesse, les équipes minimisent. Le sujet relève de la culture managériale, abordée dans notre article La peur de l’échec en entreprise. Un climat où l’on remonte les incidents sans chercher de coupable donne des cotations bien plus justes.
- Confondre risque brut et risque résiduel. Notez d’abord le risque sans mesure de maîtrise, puis avec. Sinon, vous ignorez ce qui se passerait si un contrôle venait à disparaître.
- Multiplier les risques sans les regrouper. Une grille de 150 lignes ne sert plus à décider. Regroupez par famille et gardez le détail dans des annexes.
- S’arrêter à la couleur. Un risque rouge sans pilote ni échéance reste un risque rouge. Chaque case colorée doit renvoyer à une action.
- Ne jamais mettre à jour. Prévoyez au moins une revue annuelle, et une revue exceptionnelle après tout incident majeur, réorganisation ou lancement d’activité.
Un dernier conseil de méthode : gardez une trace des justifications. Une colonne « pourquoi cette note » évite de refaire le débat à chaque revue et aide un nouvel arrivant à comprendre les choix passés.
Matrice de criticité : réponses aux questions pratiques
Matrice de criticité et matrice des risques, est-ce la même chose ?
Dans l’usage courant, oui : les deux expressions désignent le même tableau probabilité gravité. Certains praticiens réservent « criticité » au score chiffré obtenu par multiplication et « matrice des risques » à la représentation colorée, mais la démarche reste identique.
Comment obtenir l’indice de criticité d’un risque ?
On multiplie la note de probabilité par la note de gravité, toutes deux issues d’échelles définies à l’avance. Une probabilité de 3 et une gravité de 4 donnent un indice de 12 sur 16. En AMDEC, on multiplie aussi par la note de détectabilité.
Quel logiciel utiliser pour réaliser sa grille de criticité ?
Un tableur avec une mise en forme conditionnelle suffit largement pour une PME. Les logiciels de gestion des risques ou de qualité deviennent utiles quand plusieurs sites ou services doivent consolider leurs données et suivre les plans d’action dans un même outil.
Qui doit participer à la cotation des risques ?
Idéalement un petit groupe mixte : un animateur qui maîtrise la méthode, des représentants opérationnels de chaque processus concerné et un membre de la direction capable de valider les seuils et les moyens alloués. Cinq à huit personnes permettent de débattre sans s’enliser.
Une matrice de criticité est-elle imposée par la loi ?
Le format en lui-même n’est pas imposé. En revanche, plusieurs obligations demandent d’évaluer et de hiérarchiser des risques, comme le document unique en santé et sécurité au travail ou certaines exigences sectorielles en banque, assurance et industrie. La grille de criticité est alors une méthode reconnue pour y répondre, à adapter avec un conseil spécialisé selon votre activité.
