Animer l'atelier : les questions qui marchent
Le problème de la question directe
« Quels sont vos principaux risques ? » produit trois types de réponses, toutes inutiles : la reprise de la liste de l'année précédente, le risque générique qui ne coûte rien à déclarer, et le risque dont le traitement relève d'un autre service.
Les quatre questions qui fonctionnent
1. « Qu'est-ce qui a failli mal tourner ces six derniers mois ? »
Les quasi-incidents sont la matière première la plus riche. Ils sont récents, concrets, et leur récit ne coûte rien à personne puisqu'aucune perte n'a eu lieu.
2. « Qu'est-ce qui vous inquiète quand vous partez en congés ? »
Cette question fait apparaître les dépendances humaines et les contrôles qui ne fonctionnent que parce qu'une personne les compense.
3. « Si vous deviez frauder, comment vous y prendriez-vous ? »
Posée dans un cadre de confiance, elle révèle les faiblesses de contrôle mieux qu'une revue de procédures. Les opérationnels connaissent parfaitement les angles morts de leur propre dispositif.
4. « Quel contrôle faites-vous que vous jugez inutile ? »
Les contrôles perçus comme inutiles sont ceux qui seront abandonnés en période de charge. Les identifier permet soit de les supprimer, soit d'expliquer leur raison d'être.
Évaluer un contrôle honnêtement
La notation des contrôles est l'endroit où la RCSA perd le plus souvent sa crédibilité. Quatre questions objectivent :
| Question | Ce qu'elle teste |
|---|---|
| Le contrôle est-il documenté ? | Existence |
| Est-il exécuté systématiquement ? | Réalité, mesurable par échantillonnage |
| Détecte-t-il réellement l'anomalie visée ? | Efficacité de conception |
| Une preuve de son exécution existe-t-elle ? | Auditabilité |
Quatre oui : contrôle efficace. Trois oui : contrôle partiellement efficace. Moins : contrôle inexistant, quelle que soit la procédure qui le décrit.
La sortie attendue
Une campagne RCSA produit trois livrables, et non un tableau :
- Les risques dont le résiduel dépasse l'appétence — ils exigent une décision ;
- Les contrôles à créer, renforcer ou supprimer, avec un propriétaire et une date ;
- Les risques acceptés explicitement, avec l'instance qui accepte.
Le troisième livrable est celui qui manque presque toujours, et c'est pourtant celui qui protège l'organisation : un risque accepté par écrit est une décision de gestion ; un risque non traité et non accepté est une négligence.
À retenir
- Partir des incidents réels, pas de la liste de risques théoriques
- Demander « qu'est-ce qui a failli mal tourner ? » plutôt que « quels sont vos risques ? »
- Un atelier sans désaccord n'a rien produit