Modèle de cartographie des risques Excel : tableau, formules et matrice de criticité à recopier

Pour créer un modèle de cartographie des risques dans Excel, partez d'un tableau qui associe chaque risque à sa probabilité, son impact, son responsable et son plan d'action. Ajoutez une formule de criticité, puis représentez les résultats dans une matrice pour déterminer les priorités.

Aucun fichier Excel n'est proposé au téléchargement : le tableau et les formules ci-dessous permettent toutefois de construire un classeur opérationnel sans macro.

Un modèle Excel de cartographie des risques à recopier

Créez une feuille nommée « Risques » et recopiez les colonnes dans l'ordre ci-dessous. Chaque ligne correspond à un risque. Les notes de probabilité et d'impact vont de 1 à 4 ; leur produit donne un score de 1 à 16.

En G2, saisissez =E2*F2. En K2, saisissez =I2*J2. Recopiez ensuite les formules vers le bas. Dans cet exemple, le risque brut obtient 12 et le risque résiduel 8 : la maintenance réduit la probabilité estimée, sans réduire l'impact d'une panne.

La criticité brute décrit le risque avant prise en compte des mesures existantes. La criticité résiduelle décrit le niveau estimé avec ces mesures, mais avant réalisation de l'action complémentaire. Ne baissez pas la note résiduelle au seul motif qu'une action est prévue.

Ajouter une priorité automatique

Ajoutez une colonne P intitulée « Priorité ». Pour classer les scores résiduels, saisissez en P2 :

=SI(K2>=12;"Élevée";SI(K2>=6;"Modérée";"Faible"))

Cette formule attribue une priorité élevée aux scores de 12 à 16, modérée de 6 à 11 et faible de 1 à 5. Ces seuils sont un point de départ, pas une norme : adaptez-les aux conséquences que votre organisation accepte de supporter.

Qu'est-ce qu'une cartographie des risques et à quoi sert-elle ?

Une cartographie rassemble les événements susceptibles de compromettre un objectif, puis les classe pour orienter les décisions. Elle ne se limite pas au graphique : le registre des risques, les critères de notation et le suivi des actions en font partie.

Elle peut couvrir une entreprise entière, un service ou un projet. Pour une direction, elle aide à arbitrer les moyens entre plusieurs sujets. Pour un responsable de projet, elle rend visibles les causes possibles de retard, de surcoût ou d'échec et les réponses prévues.

Le score ne remplace pas le jugement. Deux risques notés 8 peuvent avoir des conséquences très différentes. Un événement rare mais grave peut justifier une décision prioritaire même si son produit probabilité × impact reste modéré.

Construire sa cartographie dans Excel en six étapes

1. Définir le périmètre et l'objectif

Précisez ce que vous protégez : la continuité d'une activité, la livraison d'un projet ou l'atteinte d'un objectif commercial. Indiquez aussi les équipes concernées et la période examinée. Un périmètre explicite évite de mélanger les risques stratégiques de l'entreprise avec des incidents mineurs propres à une tâche.

2. Recenser les risques avec les personnes concernées

Interrogez les responsables et les équipes qui connaissent les opérations. Appuyez-vous sur les incidents déjà rencontrés, les changements prévus et les dépendances importantes : fournisseurs, systèmes, compétences ou trésorerie.

Formulez chaque ligne comme un événement et sa conséquence : « indisponibilité du fournisseur, entraînant une rupture de livraison ». Évitez les libellés vagues comme « fournisseur » ou « informatique ». Ajoutez une cause lorsque cela aide à choisir une action.

3. Fixer une échelle commune

Avant de noter les risques, définissez ce que signifient les notes. L'échelle suivante est un exemple ; les équipes doivent utiliser le même horizon de temps et les mêmes critères.

Pour améliorer la cohérence, complétez l'impact avec vos propres seuils financiers, délais ou niveaux d'interruption. Conservez ces définitions dans une deuxième feuille intitulée « Échelles ». Elles permettront d'expliquer les notes lors de la prochaine revue.

4. Évaluer le risque brut puis résiduel

Attribuez d'abord les notes brutes, sans tenir compte des contrôles existants. Décrivez ensuite ces contrôles et estimez leur effet sur la probabilité, l'impact ou les deux. Documentez les hypothèses importantes : une note sans explication sera difficile à comparer dans le temps.

Une sauvegarde, par exemple, ne supprime pas nécessairement la probabilité d'une panne informatique. Si elle fonctionne et si la restauration est maîtrisée, elle peut en réduire l'impact. La note doit refléter la mesure réellement en place.

5. Choisir les actions et les responsables

Triez la feuille par criticité résiduelle décroissante. Pour chaque risque prioritaire, définissez une action précise, une personne chargée de la mener, une échéance et un statut. Le responsable du risque peut être différent du responsable de l'action : le premier suit l'exposition ; le second réalise la mesure décidée.

Une action utile décrit un résultat attendu. « Renforcer la sécurité » reste trop vague ; « tester la restauration des sauvegardes et consigner le résultat » permet de constater si l'action a été menée.

6. Représenter et revoir les résultats

Créez une troisième feuille, « Matrice ». Placez les probabilités de 1 à 4 en lignes et les impacts de 1 à 4 en colonnes. Dans chaque case, comptez les risques résiduels correspondant aux deux notes. Si la probabilité de la ligne figure en A2 et l'impact de la colonne en B1, utilisez en B2 :

=NB.SI.ENS(Risques!$I$2:$I$1000;$A2;Risques!$J$2:$J$1000;B$1)

Recopiez la formule sur les autres cases en adaptant les références de ligne et de colonne. Les plages proposées couvrent les lignes 2 à 1000 de la feuille « Risques ». Étendez-les si votre registre est plus long. Une mise en forme conditionnelle peut colorer les cases selon la criticité ; conservez aussi les nombres pour que la lecture ne dépende pas uniquement des couleurs.

Adapter le modèle à votre activité

Pour un projet court, une colonne « jalon affecté » sera souvent plus utile qu'une longue liste de catégories. Pour une cartographie d'entreprise, ajoutez le processus concerné et l'objectif stratégique associé. Évitez toutefois de multiplier les champs que personne ne renseigne.

Excel ou un autre outil : comment choisir ?

Excel convient pour démarrer lorsque le registre reste maîtrisable et qu'un responsable peut contrôler le fichier. Ses filtres et tableaux croisés dynamiques facilitent l'analyse par catégorie, responsable ou statut. Les macros peuvent automatiser certaines tâches, mais ne sont pas nécessaires pour le modèle présenté ici.

Un outil spécialisé devient plus intéressant lorsque les versions circulent difficilement, que les contributeurs sont nombreux ou que la traçabilité des validations devient centrale. Un outil de visualisation peut compléter le registre ; il ne remplace pas à lui seul l'évaluation des risques ni la gestion des actions.

Les points de vigilance avant de diffuser le fichier

• Protégez les formules : distinguez les cellules à saisir des cellules calculées et limitez les modifications accidentelles.
• Contrôlez les notes : utilisez une validation de données pour limiter les colonnes de probabilité et d'impact aux entiers de 1 à 4.
• Gardez une version de référence : désignez un propriétaire du fichier et prévoyez un emplacement partagé avec des accès adaptés à la sensibilité des informations.
• Suivez les actions : une priorité élevée sans responsable ni échéance ne produit pas de mesure concrète.
• Revoyez la cartographie : actualisez-la à intervalles définis et après un incident majeur, un changement de périmètre ou la mise en place d'un contrôle important.

Questions fréquentes

Où trouver un modèle fiable et complet ?

Le tableau proposé ici constitue une base à reproduire dans Excel. Sa fiabilité dépend surtout des échelles choisies, de la qualité des évaluations et du suivi des actions. Un modèle téléchargé ne peut pas, à lui seul, définir les priorités de votre organisation.

Qui doit réaliser la cartographie ?

Un responsable coordonne la démarche et consolide le fichier. Les équipes opérationnelles décrivent les situations et les contrôles ; les responsables concernés valident les évaluations et les actions. La direction arbitre les risques qui exigent des moyens ou une décision transversale.

Faut-il recalculer les scores après chaque action ?

Oui, si l'action terminée modifie réellement l'exposition. Notez ce qui a changé, puis réévaluez la probabilité ou l'impact résiduel. Conserver la date et l'ancienne évaluation dans un historique permet de comprendre l'évolution du risque.