ARCHIVÉ - Une stratégie pour la mise en oeuvre de la gestion des risques au sein de l'administration fédérale

Cette page a été archivée.

2. Aperçu de la mise en œuvre de la gestion des risques

Cette section décrit les buts et les éléments clés qui sous‑tendent la mise en œuvre de la gestion des risques au sein de l'administration fédérale.  L'applicabilité et l'adaptabilité des pratiques pertinentes sont également énoncées.

2.1 Buts

D'un point de vue stratégique, la mise en application de la gestion des risques à l'égard des projets de l'administration fédérale a pour but d'accroître sensiblement la capacité de cette dernière à exécuter et à gérer ses projets de TI.

Sur le plan tactique ou d'exécution du projet, la gestion des risques a pour but :

• d'évaluer par anticipation les faiblesses d'un projet;
• de définir les risques qu'il importe de gérer;
• de mettre en œuvre des stratégies pour remédier à ces risques.

2.2 Aperçu de la mise en œuvre

La stratégie de mise en œuvre d'un régime amélioré de gestion des risques repose sur une série d'éléments éprouvés et connexes parmi lesquels figurent :

• une approche de la gestion continue des risques mise de l'avant par le Software Engineering Institute;
• un guide qui répertorie les outils et les techniques de gestion des risques et en facilite l'utilisation;
• un processus détaillé pour orienter les initiatives d'amélioration des ministères;
• les priorités d'amélioration;
• des méthodes, des outils et des techniques choisis;
• une structure de régie qui facilite la coordination des initiatives de mise en œuvre;
• une base de données sur les leçons tirées.

Les paragraphes suivants résument ces différents éléments.

2.2.1 Gestion continue des risques

La gestion continue des risques est une approche promue par le Software Engineering Institute et adoptée par le BGP. Elle correspond tout simplement à l'importance accordée à la saine gestion de projet, à la mise en application du bon sens.  Elle devrait normalement faire partie de la charge de travail quotidienne du gestionnaire de projet.

La gestion continue des risques est fondée sur un ensemble de principes qui assure une approche efficace à la gestion des risques, sans égard aux méthodes et aux outils particuliers utilisés. Ces principes sont répartis selon trois genres :  essentiels, de permanence et définitoires.  Ces principes, résumés ici, sont décrits dans des documents connexes examinés dans la section suivante.

Le principe essentiel a trait à la communication ouverte, sans laquelle la gestion des risques ne peut tout simplement pas exister.  Les principes définitoires portent sur la façon d'envisager les risques dans le cadre du projet et sur le degré auquel les intervenants sont prêts à relever les incertitudes et à y faire face. Ces principes favorisent l'élaboration d'une perspective partagée qui clarifie l'occurrence, le fondement et la nature de la gestion continue des risques. Les principes de permanence mettent l'accent sur l'évolution quotidienne du projet axée sur la gestion continue des risques.  S'ils sont établis de prime abord, le respect de ces principes garantira que la gestion continue des risques deviendra la façon de conduire les affaires.

Les fonctions de la gestion continue des risques sont fondées sur le paradigme de la gestion des risques mis de l'avant par le Software Engineering Institute. Ce paradigme présente un ensemble de fonctions qui sont assimilées à une suite continue d'activités tout au long du cycle de vie d'un projet.  Ce paradigme est illustré à la figure 1 ci-dessous.

Figure 1 : Paradigme du SEI sur la gestion des risques

Les fonctions exécutées dans le cadre de la gestion continue des risques sont décrites dans le tableau 1.

Fonction	Description
Identifier	Cerner les risques avant qu'ils ne deviennent des problèmes.
Analyser	Transformer les données sur les risques en information de prise de décision.  Évaluer l'incidence des risques, leur probabilité, établir le calendrier, puis classifier les risques par ordre de priorité.
Planifier	Transformer l'information sur les risques en décisions et mesures d'atténuation (immédiates et futures) et les mettre en œuvre.
Suivre	Suivre les indicateurs de risque et les mesures d'atténuation.
Contrôler	Corriger les écarts aux plans d'atténuation des risques.
Communiquer	Fournir de l'information et des réactions intrinsèques et extrinsèques au projet sur les activités de gestion des risques, les risques courants et les risques nouveaux. Remarque : La communication se poursuit pendant toutes les activités de gestion des risques.

Tableau 1 : Fonctions de gestion des risques

2.2.2 Guide sur la gestion continue des risques

Le guide, publié par le Software Engineering Institute et distribué par ce dernier ou par le BGP, explique ce qu'est la gestion continue des risques, aide à en comprendre les principes, les fonctions, les méthodes et les outils, indique à quoi pourrait ressembler sa mise en œuvre dans un projet et comment l'adapter à ce dernier.

Ce guide exhaustif est l'un des meilleurs sur le marché.  Il est un outil inestimable pour tout ministère qui met en œuvre la gestion des risques.

Toutefois, il ne continue pas une solution universelle pour toutes les situations.  Ce genre de solution n'existe pas.  Le guide décrit une pratique générale assortie d'une gamme de méthodes et d'outils couramment utilisés que l'on peut choisir.  Il est entendu qu'il faut s'en servir en tenant compte des particularités de chaque organisation ou projet.

2.2.3 Processus d'amélioration

La mise en œuvre des activités d'amélioration de la gestion des risques dans toute l'administration fédérale suivra l'orientation et la structure du modèle IDEAL^SM du Software Engineering Institute, dont un bref résumé est donné à l'appendice 1.

Essentiellement, le modèle énonce une approche servant à instaurer un changement au sein d'une organisation. Il définit un cycle d'amélioration qui comporte cinq étapes :  initiation, diagnostic, établissement, exécution et amélioration ou apprentissage. Toute amélioration majeure requiert normalement plusieurs cycles.

2.2.4 Priorités d'amélioration

Les priorités décrites ici reflètent les plateaux d'amélioration définis pour la mise en œuvre du Cadre amélioré.  Se reporter à l'appendice 2 pour d'autres précisions.

Un des points de mire de ce premier cycle d'amélioration consiste à traiter des faiblesses associées à la gestion des risques :  identification des risques, analyse, planification, contrôle et communication.  En termes concrets, ces priorités comporteront les énoncés suivants :

• les intervenants devraient cerner les risques que comportent leurs projets avant que ces risques ne deviennent des problèmes;
• les intervenants devraient transformer les données sur les risques en information de prise de décision.  Évaluer les répercussions des risques, en préciser la probabilité, établir le calendrier, enfin, classifier les risques et les prioriser;
• les intervenants devraient transformer l'information sur les risques en décisions et en mesures d'atténuation, tant immédiates que futures, et mettre ces dernières en œuvre;
• les intervenants devraient suivre les indicateurs de risque et les mesures d'atténuation;
• les intervenants devraient corriger les écarts par rapport aux plans d'atténuation des risques;
• les intervenants devraient fournir de l'information et des réactions intrinsèques et extrinsèques au projet sur les activités de gestion des risques, les risques courants et les risques nouveaux.

Ces fonctions devraient être appliquées à tous les nouveaux projets au plus tard en mars 1998.

2.2.5 Méthodes, outils et techniques choisis

Comme il a déjà été mentionné, le guide de gestion continue des risques contient un grand nombre de méthodes et d'outils, dont quelques-uns sont très complexes. Afin de faciliter les mises en œuvre, les éléments suivants ont été choisis pour amorcer les améliorations.

Activité	Méthode, outil ou technique
Identification des risques	Questionnaire et entrevues basés sur la taxonomie Feuillets d'information sur les risques
Analyse des risques	Évaluation à trois paliers des attributs Classification de la taxonomie Classement comparatif des risques et les N premiers
Planification de la gestion des risques	Graphique des décisions de planification Feuillets d'information sur les risques
Surveillance des risques	Évaluation à trois paliers des attributs Feuillets d'information sur les risques
Contrôle des risques	Analyse des causes et des effets Feuillets d'information sur les risques

Tableau 2 :  Méthodes, outils et techniques choisis

Toutes ces approches choisies, ainsi qu'un certain nombre d'autres qui peuvent leur être préférées, sont décrites dans le guide de gestion continue des risques.  Certains ministères ont déjà utilisé celles qui sont énumérées plus haut et peuvent donc en profiter pour mettre en pratique les leçons tirées de l'expérience.

2.2.6 Structure de régie

La mise en œuvre de la gestion des risques comporte deux niveaux d'activités :

• Un niveau stratégique ou à l'échelle de l'administration fédérale qui fournira une orientation.  Le BGP facilitera et appuiera cette composante.
• Un niveau tactique créé et exécuté par les gestionnaires et les praticiens des ministères pour fournir une orientation aux gestionnaires de projet.

À l'intérieur de ces niveaux stratégiques et tactiques, il y a des organismes spécifiques chargés de régir, de faciliter ou d'exécuter les activités d'amélioration de la gestion des risques (voir la figure 2).

Au niveau stratégique, le premier de ces trois organismes correspond au Comité directeur du cadre amélioré dont les membres proviennent de différents ministères. Le DPI préside ce comité.  Les membres dirigeront le projet de Cadre amélioré et fourniront une orientation en ce qui concerne les orientations et les enjeux gouvernementaux comme la gestion des risques.

L'Équipe de mise en œuvre du cadre amélioré est chargée de faciliter la mise en œuvre de ce dernier dans toute l'administration fédérale et d'aider les ministères à apporter leurs propres améliorations.

Au cours de 1996‑1997, le Groupe de travail chargé de la gestion des risques a aidé à mettre au point l'approche choisie.  Pour assurer la mise en œuvre continue, un groupe d'intérêt spécial chargé de la gestion des risques sera créé.  Les membres de ce groupe proviendront, notamment, des ministères qui s'efforcent d'améliorer les pratiques de gestion des risques chez eux et à l'intérieur de leurs projets ou qui ont exprimé un intérêt à cet égard.  Le groupe discutera des stratégies et des plans de leurs ministères et fera part des expériences vécues et des leçons tirées pour ainsi faciliter les efforts de mise en œuvre déployés par les ministères.

Figure 2 : Structure de régie

Figure 2 : Structure de régie – Version textuelle

Au niveau tactique ou ministériel, les activités d'amélioration de la gestion des risques peuvent tout simplement relever du chef de la TI, d'un bureau ministériel de première responsabilité chargé de la gestion des risques (p. ex. une personne ou un groupe désigné) ou d'équipes de projet chargées d'exécuter le projet, notamment de cerner, d'évaluer et de gérer les risques du projet.

2.2.7 Base de données sur les leçons tirées en gestion des risques

Le BGP est en train de mettre sur pied une base de données sur les leçons tirées en gestion des risques, qui devrait être fonctionnelle dès l'automne de 1997. Cette base de données a pour but de documenter ce que les ministères fédéraux ont lu, appris, vérifié et expérimenté en gestion des risques ainsi que les réussites et les expériences qui n'ont pas connu le succès escompté. Il devrait être possible de soumettre un prototype de cette base à l'examen du Groupe d'intérêt spécial de la gestion des risques au plus tard en décembre 1997.

2.3 Applicabilité

Le présent document s'applique à tous les ministères et organismes qui s'occupent de gérer et d'exécuter les projets de TI à l'appui de leurs programmes.  TPSGC doit en outre s'assurer que les mécanismes utilisés pour acquérir des biens et des services de TI appuient les buts de gestion des risques définis dans le présent document et obligent les fournisseurs du secteur privé à les atteindre.

2.4 Adaptabilité

La gestion continue des risques n'est pas une approche universelle. Pour être efficace, elle doit être adaptée. Cela a lieu lorsque les organisations modifient les processus de gestion continue des risques et utilisent les méthodes et les outils choisis qui conviennent le mieux à leurs pratiques de gestion de projet et à leur culture organisationnelle. Le respect des principes de gestion continue des risques est la clé d'une adaptation réussie.