La gestion des risques, ou l'anglicisme, management du risque (de l'), est la discipline visant à identifier, évaluer et hiérarchiser les risques liés aux activités d'une organisation, quelles que soient la nature ou l'origine de ces risques, puis à les traiter méthodiquement, de manière coordonnée et économique, afin de réduire et contrôler la probabilité des événements redoutés, et leur impact éventuel.
À ce titre, il s'agit d'une composante de la stratégie d'entreprise qui vise à réduire la probabilité d'échec ou d'incertitude de tous les facteurs pouvant affecter son projet d'entreprise. La gestion en continu de la grille de risques d'une entreprise suppose vision et vigilance du dirigeant et de ses conseils et cadres, pour la réadapter aux réalités du terrain et des systèmes régulateurs qui s'y appliquent.
Dans les grandes entreprises, on trouve des équipes spécialisées à la tête desquelles œuvre un gestionnaire du risque ou risk manager. Il a donc vocation à gérer les risques de l'entreprise qui l'emploie.
Les entreprises de taille moyenne sont encore peu préoccupées de gestion des risques. Selon une étude du cabinet d'audit Mazars, qui a interrogé environ 200 entreprises affichant des chiffres d'affaires de 100 millions à quelques milliards d'euros, les risques qui les inquiètent le plus sont ceux qui peuvent entraîner une sanction du client, suivis des risques techniques ou opérationnels. Viennent ensuite les risques industriels, juridiques, fiscaux et informatiquesLes Échos 09/05/2007 "La gestion des risques s'installe aussi dans les entreprises de taille moyenne".
La gestion des risques est liée à la Hiérarchie du contrôle des dangers qui permet d'orienter le choix des mesures vers celles qui sont les plus efficaces.
thumb|320px|Exemple d'analyse de risque : modèle de la station spatiale internationale cartographiant les probabilités d'un impact. Entreprises et incertitudes Définition du terme « risque »
Selon le référentiel ISO Guide 73 – Vocabulaire du management du risqueRéférence officielle ISO Guide 73:2009 - Management du risque — Vocabulaire qui a été revu lors du développement de la norme ISO 31000:2009 – Management du risque — Principes et lignes directricesRéférence officielle ISO 31000:2009 – Management du risque — Principes et lignes directrices , le risque est nouvellement défini comme « l'effet de l'incertitude sur les objectifs » et s'ajoute en noteRéférence officielle ISO 31000:2009 – Management du risque — Principes et lignes directrices , section 2.1 risque, page 9 que « Un risque est souvent caractérisé en référence à des événements et des conséquences potentiels ou à une combinaison des deux. » Ce référentiel a depuis été actualisé par la norme ISO 31000:2018 – Management du risque — Lignes directrices, qui reprend onze principes directeurs (création et protection de la valeur, intégration dans la prise de décision, prise en compte du facteur humain, amélioration continue, entre autres) au sein d'un cadre en huit composantes plaçant l'implication de la direction générale au cœur du dispositifISO 31000:2018 – Management du risque — Lignes directrices, International Organization for Standardization, 2018 ..
Le risque est l'association de quatre facteurs : un danger, une probabilité d'occurrence, sa gravité et de son acceptabilitéCahiers techniques de CASE France, 2010. Le danger étant un événement redouté (par lui-même et par ses conséquences), le « risque » ne se confond donc pas avec le danger, mais résulte de ce que ce danger a une certaine probabilité de se manifester et entraînerait des conséquences d'une certaine gravité. Sur le plan sociologique, cette généralisation de la gestion des risques dans les organisations a été analysée par Ulrich Beck, qui décrit dans son ouvrage Risikogesellschaft l'émergence d'une « société du risque » où les incertitudes technologiques, financières et environnementales produites par la modernité industrielle deviennent elles-mêmes un objet central de gestion, au point que les mécanismes traditionnels de calcul assurantiel peinent parfois à les appréhenderUlrich Beck, Risikogesellschaft : Auf dem Weg in eine andere Moderne, Suhrkamp, Frankfurt am Main, 1986..
La criticité d'un risque résulte de la combinaison de l'impact (ou effet ou gravité) et de la probabilité d'un risque (AFNOR).
Dans certains secteurs industriels comme l'aéronautique, l'automobile ou le ferroviaire, la gestion des risques comporte des exigences spécifiques, notamment en matière de sûreté de fonctionnement (souvent désignée par l'acronyme RAMS, pour ). Ces démarches s'appuient sur des méthodologies formalisées telles que l'AMDEC (Analyse des modes de défaillance, de leurs effets et de leur criticité), visant à anticiper les défaillances possibles et à en limiter les conséquences.
Plus largement, les petites et moyennes entreprises (PME) ainsi que les entreprises de taille intermédiaire (ETI) adoptent de plus en plus des dispositifs de gestion des risques structurés, incluant la cartographie des risques et la gouvernance associée.
Part d'incertitude thumb|Un jour de grand départ, l'embouteillage n'est pas un « risque » : c'est une quasi-certitude.
La part d'incertitude qui représente réellement un risque est normalement faible, c'est-à-dire que le déroulement « normal » d'une activité raisonnable est celui où l'objectif visé est atteint (sauf accident). Cela ne signifie pas qu'il n'y a que peu d'incertitude dans un projet raisonnable, mais plutôt que le niveau d'incertitude habituellement rencontré est normalement maîtrisé, et n'est pas de nature à compromettre l'atteinte de l'objectif. Ainsi, un automobiliste traversant une ville n'a aucune certitude sur l'état des feux rouges qu'il rencontrera, mais l'un compensant l'autre, cette traversée reste en général prévisible dans un délai assez précis, tout en comportant un risque résiduel faible de rencontrer tous les feux rouges et d'arriver en retard malgré la marge prise.
Contrairement à l'appréciation de l'impact, la probabilité d'un événement redouté peut généralement être évaluée objectivement, même si c'est de manière très approximative : le caractère réaliste ou non d'un scénario peut en principe faire l'objet d'une analyse et d'un examen critique n'impliquant pas de jugement subjectif, même s'il est souvent inutile en pratique de procéder à une analyse très détaillée.
Lorsque le risque fait l'objet d'une analyse chiffrée, sa probabilité d'occurrence est donc normalement faible, voire très faible. Si la probabilité d'un scénario présenté comme « risque » est chiffrée à plus d'une dizaine de pour-cent, il s'agit en réalité d'un scénario alternatif de l'activité ; et si elle dépasse 50 %, ce que l'on qualifie de « risque » est en réalité devenu le scénario qu'un pronostic raisonnable doit retenir comme référence.
Facteur de risque
thumb|Les substances psychotropes sont un facteur de risque pour la conduite automobile.
Le facteur de risque (quelquefois appelé péril ou danger) est un élément présent susceptible de causer un risque, c'est-à-dire la survenance de l'accident.
Les facteurs de risque se qualifient par leur domaine (humain, culturel, matériel, technique (risque toxique, thermique, d'explosion.., juridique, etc.) ou leur point d'application (le projet lui-même, et l'organisation au sein de laquelle il va s'insérer). Ils se quantifient en niveau d'incertitude et/ou de complexité.
Un accident de voiture pourra par exemple se produire pour un conducteur qui a bu de l'alcool, en présence d'un camion, sur une route dangereuse, alors qu'il pleut (quatre facteurs de risque), la probabilité et l'impact de l'accident étant d'autant plus importants que la dose d'alcool absorbée par le conducteur était importante, le camion puissant et lourd, la route sinueuse et sans visibilité, et la pluie battante (criticités).
Impact et gravité thumb|La pluie n'est pas nécessairement un « risque » pour une promenade à deux.
Un événement n'est perçu comme un risque que dans la mesure où il peut avoir un impact (en principe négatif) sur l'atteinte d'un objectif que l'on cherche à réaliser, ou sur une valeur à laquelle on adhère et que l'on veut respecter dans son activité. Ainsi, pour l'organisateur d'une promenade familiale, une mauvaise météo peut constituer un « risque », soit parce qu'elle obligerait à annuler la sortie (objectif abandonné), soit parce qu'elle transformerait la sortie en mauvaise expérience (valeur de confort compromise). Inversement, si la pluie n'est pas jugée inconfortable, elle ne constitue pas un « risque » à proprement parler, mais une simple éventualité.
Contrairement à la probabilité, l'appréciation d'un tel impact est nécessairement subjective. Elle dépend de l'entité qui formule cette appréciation, des valeurs qu'elle respecte et de l'importance qu'elle accorde au projet potentiellement compromis.
Dans l'analyse et la gestion des risques, le « risque » est, par principe, un événement aux conséquences négatives. C'est par abus de langage que l'on entend parfois parler d'un « risque de gagner au loto » (la formulation correcte dans ce cas est que l'on a « une chance de gagner »). Pour parler des événements imprévus aux conséquences positives, on parlera plutôt d'une « opportunité ». La gestion des opportunités est tout à fait symétrique de celle des risques sur le plan des méthodes. Tout ce qui est dit des risques se transpose directement sur les opportunités. Cependant ces deux aspects se différencient radicalement, la plupart du temps, en termes de plus-value attendue et de fonctions d'entreprises : en règle générale, une entreprise responsable doit avant tout gérer ses risques à un niveau le plus souvent assez détaillé (risques HSCT notamment) ; rares sont les entreprises (placement boursier, conduite d'une bataille militaire…) où les opportunités sont effectivement gérées par le responsable au même titre que les risques.
Ingénierie du risque L'ingénierie du risque (risk engineering) joue un rôle central dans l'appréciation des risques, en particulier dans des systèmes complexes comme la finance. Elle ne se contente pas d'identifier les sources d'incertitude ; elle les analyse, les modélise, et en mesure l'impact potentiel dans une logique systémique. Dans le domaine du risque de crédit, par exemple, l'ingénierie du risque permet de quantifier des paramètres clés tels que la probabilité de défaut, la perte en cas de défaut, ou l'exposition au moment du défaut. Ces éléments ne sont pas considérés comme indépendants, mais comme des variables dynamiques et interdépendantes, soumises aux conditions de marché et à l'environnement économique global. En agrégeant ces risques à l'échelle d'un portefeuille ou d'un système financier, on fait apparaître des corrélations et des effets domino potentiels, que seule une modélisation rigoureuse permet d'anticiper. L'ingénierie du risque s'appuie sur des outils mathématiques avancés, des simulations stochastiques, et des scénarios de stress pour représenter les comportements extrêmes ou dits « sauvages » (wildrisk). Elle intègre également les exigences réglementaires, qui peuvent parfois contraindre ou réorienter les résultats issus des modèles internes.