Registre des risques projet sur Excel : le modèle RAID
Un registre de risques sans échéance est une liste de craintes. Le modèle RAID (risques, actions, incidents, décisions) sur Excel donne à chaque risque un score calculé, un propriétaire, une date de prochaine revue et une réponse choisie. Voici les colonnes, l'échelle, la matrice et les erreurs à éviter.
Ce que RAID veut dire
RAID désigne les quatre registres d'un pilotage de projet : Risques, Actions, Incidents (ou Issues) et Décisions. Un classeur de pilotage de portefeuille couvre généralement les risques, les actions et les décisions ; les incidents de production se gèrent dans l'outil de support, où ils ont déjà un flux. Cet article traite du registre des risques, celui qui est le plus souvent mal tenu.
Les colonnes du registre
| Colonne | Type | Contenu |
|---|---|---|
| ID | Saisie | R-01, R-02… identifiant stable, jamais réattribué. |
| Projet | Liste | Code du projet concerné (P01…), ou « portefeuille » pour un risque transverse. |
| Type | Liste | Planning, budget, technique, fournisseur, organisation, sécurité, réglementaire… |
| Risque | Saisie | L'événement redouté, en une phrase : « glissement du go-live ERP au-delà de février 2027 ». |
| Cause | Saisie | Ce qui le rendrait probable. |
| Impact | Saisie | Ce qui se passerait, en délai, en coût, en service. |
| Probabilité, gravité | Liste 1 à 5 | Deux notes séparées. |
| Score, niveau, rang | Calcul | Probabilité × gravité, de 1 à 25 ; niveau faible, modéré, élevé, critique ; rang parmi les risques ouverts. |
| Réponse | Liste | Éviter, réduire, transférer, accepter. |
| Propriétaire, échéance | Saisie | Une personne nommée et une date de prochaine revue. |
| Statut | Liste | Ouvert, en traitement, clos, réalisé (devenu un incident). |
L'échelle et le score
Probabilité et gravité se notent chacune de 1 à 5. Le score est leur produit, de 1 à 25. Des seuils de niveau courants : modéré à partir de 6, élevé à partir de 12, critique à partir de 16. Ces seuils se règlent une fois dans un onglet Paramètres et pilotent la couleur de chaque ligne.
Exemple fictif tiré d'un programme ERP : « glissement du go-live au-delà de février 2027 », probabilité 4, gravité 5, score 20, critique, réponse réduire, en traitement. « Indisponibilité des référents finance pendant la clôture annuelle », 4 × 4 = 16, critique, réponse éviter (décaler la bascule hors clôture). « Dépassement du forfait d'intégration », 3 × 4 = 12, élevé, réduire. Sur un projet MES : « instabilité de l'interface MES–ERP en production », 3 × 5 = 15, élevé.
Le score n'est pas une science : deux personnes noteront différemment. Sa valeur est de forcer la discussion sur deux dimensions séparées (est-ce probable ? est-ce grave ?) et de classer les risques entre eux pour que le comité regarde les cinq premiers.
La matrice 5 × 5
La matrice gravité (lignes) × probabilité (colonnes) compte les risques non clos par case, par formule NB.SI.ENS. Elle se lit en un regard : des risques concentrés en haut à droite (probables et graves) appellent des décisions ; des risques dispersés en bas à gauche se surveillent. Les risques clos sortent de la matrice et des classements ; ils restent dans le registre avec leur statut, car la supprimer effacerait la mémoire du projet.
Les quatre réponses
- Éviter : supprimer la cause. Changer de fenêtre de bascule pour ne pas tomber pendant la clôture.
- Réduire : diminuer la probabilité ou l'impact. Tests de charge, double exploitation, formation anticipée.
- Transférer : assurance, clause contractuelle, forfait avec pénalités.
- Accepter : surveiller, avec une échéance de revue. Ce n'est pas ignorer : c'est décider en connaissance de cause et le consigner.
Chaque réponse se traduit par une ou plusieurs actions dans le journal des actions, avec responsable et échéance : le registre de risques décrit, le journal d'actions exécute.
Le rituel
Chaque semaine, le PMO ouvre ou clôt les risques signalés par les chefs de projet. Chaque mois, en revue de portefeuille, il vérifie que chaque risque critique a un propriétaire et une échéance. Avant chaque comité, les cinq risques majeurs remontent automatiquement sur la page de synthèse : pour chacun, qui porte, quelle échéance, a-t-on besoin du comité ? Si non, on passe. Un KPI de suivi : le nombre de risques critiques ou élevés ouverts (orange à partir de 3, rouge à partir de 6).
Le lien avec le portefeuille et la page de comité
Le registre n'est pas un document à part : il est relié au portefeuille par le code projet. Cela permet trois lectures automatiques. Le nombre de risques critiques ou élevés ouverts par projet, affiché dans le portefeuille à côté de la météo : un projet vert avec trois risques critiques est un projet à surveiller. Le top 5 des risques ouverts du portefeuille, classés par score, qui remonte sur la page de comité sans ressaisie. Et le compteur global, qui devient un KPI. Quand un risque se réalise, la décision qu'il appelle se formule comme les autres : une question fermée, des options chiffrées, une recommandation.
Les erreurs classiques
- Des risques sans propriétaire ni échéance : une liste de craintes.
- Des risques formulés comme des causes (« manque de ressources ») plutôt que comme des événements redoutés (« le lot 3 ne sera pas livré avant la recette »).
- Un registre par projet, dans un fichier séparé : impossible de voir les cinq risques majeurs du portefeuille.
- Des scores modifiés pour faire baisser une alerte avant le comité. Les notes changent quand la situation change, et le changement se commente.
- La suppression des risques clos. Ils restent, avec leur statut.
Questions fréquentes
- Combien de risques par projet ?
- Entre trois et dix risques ouverts par projet actif est un ordre de grandeur courant. Au-delà, le registre contient des tâches ou des craintes générales ; en dessous, il n'est pas tenu.
- Faut-il chiffrer l'impact en euros ?
- Quand c'est possible, oui, dans la colonne Impact, car cela nourrit les options chiffrées présentées au comité. La note de gravité de 1 à 5 reste la base du score pour comparer des risques de natures différentes.
- Quelle différence entre risque et incident ?
- Un risque est un événement possible ; un incident est un événement survenu. Quand un risque se réalise, il passe au statut « réalisé » et l'incident se traite avec un plan d'action, pas dans le registre des risques.
Pratiques courantes de pilotage, illustrées par des données fictives. Leur application comptable ou contractuelle relève de votre direction financière.