Matrice des risques : définition, criticité et exemples

Évaluez-vous la gestion des risques au sein de votre entreprise ? Les PME et ETI sont confrontées chaque année à plusieurs types de risque. Or ces risques jouent sur la sécurité des employés, leur fidélisation, la pérennité de l’entreprise et son image.

Réponse courte : une matrice des risques (ou matrice de criticité) est une grille qui croise la probabilité qu’un risque survienne et la gravité de ses conséquences. Chaque risque reçoit une note sur chaque axe, le plus souvent de 1 à 5, et sa criticité se calcule en multipliant les deux notes : on obtient un score de 1 à 25. Un code couleur, du vert au rouge, indique ensuite quels risques traiter en priorité. Elle se construit en quatre temps : lister les risques, les coter, les placer dans la grille, puis décider d’une réponse pour chacun.

Déterminer les menaces qui pèsent sur une entreprise et les hiérarchiser permet de les anticiper et de les contrôler. Comment procéder ? Avec un outil simple : la matrice des risques. Cette grille est utile pour identifier les risques, les classifier et mesurer leur impact.

Dans cet article, découvrez l’intérêt de son utilisation, comment la réaliser, comment calculer la criticité d’un risque, ainsi que des exemples concrets et un modèle vierge à reproduire.

Qu’est-ce qu’une matrice des risques ?

Définition de la matrice de risques

La matrice des risques désigne un outil utilisé pour l’évaluation des risques en fonction de leur probabilité et de leur gravité. Par son caractère visuel, elle permet d’avoir une vue d’ensemble des risques encourus par l’entreprise. Elle est employée en gestion de projet pour l’analyse des risques liés à un projet ou à un événement, mais aussi en santé et sécurité au travail, en qualité ou en audit interne. On la rencontre sous plusieurs noms : matrice de criticité, matrice probabilité-impact, grille de cotation ou cartographie des risques lorsqu’elle couvre toute l’entreprise. Certaines équipes y placent aussi les opportunités, avec la même logique de probabilité et d’effet.

Un modèle de matrice des risques reprend le plus souvent une grille 5 x 5. Elle comprend 2 axes : l’un concerne la probabilité des risques, l’autre leur gravité (on parle aussi d’impact ou de sévérité). La matrice comprend les éléments suivants :

• Les niveaux de risque, généralement répartis en 3 ou 4 zones : faible, modéré, élevé et, selon les grilles, critique ;
• Un code couleur selon le niveau de risque : vert, jaune, orange, rouge.

À quoi correspond le code couleur utilisé ?

Couleur	Niveau de risque	Ce que cela implique en général
Rouge	Risque très élevé (critique)	Action immédiate, le projet ou l’activité peut être remis en cause
Orange	Risque élevé	Plan d’action prioritaire avec un responsable et une échéance
Jaune	Risque moyen	Mesures de réduction à planifier et suivi régulier
Vert	Risque faible	Risque accepté, surveillé lors des mises à jour

Bon à savoir :

En France, l’évaluation des risques professionnels est une obligation de l’employeur. L’INRS rappelle qu’elle vise à identifier, analyser et classer les risques afin de définir les actions de prévention, que ses résultats doivent être transcrits dans le document unique (articles R. 4121-1 et suivants du Code du travail) et qu’elle doit être menée au moins une fois par an dans les entreprises d’au moins 11 salariés. Une matrice des risques est un moyen pratique de faire ce classement.

Pourquoi utiliser une matrice des risques dans un projet ?

La matrice d’évaluation des risques permet de visualiser les menaces et de les prévenir. Ainsi, cet outil de gestion de projet sert à :

• Classer les menaces en fonction de leur gravité et en avoir une vue d’ensemble ;
• Se préparer aux risques potentiels de manière proactive en définissant les stratégies possibles pour les éviter ;
• Prioriser les actions à mettre en place pour prévenir les menaces, notamment celles qui ont un risque plus élevé ;
• Suivre le niveau de risque au fil du temps en fonction de l’évolution de leur environnement ;
• Partager une lecture commune des risques avec la direction, les équipes métier et les prestataires.

Bon à savoir :

La norme ISO 31000 fournit des lignes directrices pour le management du risque, applicables à tout type d’organisme. Elle propose un cadre (identification, analyse, évaluation, traitement, suivi) dans lequel la matrice des risques trouve naturellement sa place au moment de l’analyse et de l’évaluation.

Servez-vous de cette matrice de probabilité des risques si :

• Vous préparez un audit de sécurité ;
• Vous lancez un nouveau projet ou événement ;
• Vous prévoyez une réorganisation du travail ou l’intégration de nouveaux process ;
• Vous rencontrez un problème récurrent et vous souhaitez en analyser les causes ;
• Vous mettez à jour votre document unique d’évaluation des risques professionnels ;
• Vous souhaitez mettre en place une démarche d’amélioration continue.

La matrice des risques limite-t-elle les risques ?

Pas à elle seule. Elle aide à anticiper les incidents majeurs et à mieux prioriser les actions d’un projet, mais ce sont les mesures décidées ensuite (et leur suivi) qui réduisent réellement les risques.

Types de risques à inclure dans une matrice des risques

Différents registres de risques peuvent être inclus dans cette matrice d’impact :

• Les risques humains qui portent atteinte à la santé physique ou mentale des travailleurs ;
• Les risques opérationnels qui regroupent les erreurs humaines, les pannes d’équipement ou les interruptions de la chaîne d’approvisionnement ;
• Les risques financiers, tels que la hausse des coûts, les problèmes de trésorerie ou la perte de clients ou de financement ;
• Les risques liés à la main-d’œuvre : difficultés à trouver du personnel qualifié ou à le fidéliser ;
• Les risques cyber : fuite ou vol de données, piratage, panne du système d’information ;
• Les risques juridiques et de conformité : non-respect d’une réglementation, litige avec un client ou un fournisseur ;
• Les risques d’image : crise sur les réseaux sociaux, avis négatifs, communication mal maîtrisée ;
• Les risques environnementaux : catastrophe naturelle ou pollution pouvant impacter un site d’exploitation.

Comment créer une matrice des risques ?

Étape 1 : Identifier les risques

La première étape est de réaliser une liste des risques encourus par l’entreprise ou le projet. Comment faire ? Vous pouvez utiliser différents outils de gestion de projet, tels que :

• Le diagramme d’Ishikawa : ce diagramme en arête de poisson permet d’identifier un problème et les causes qui jouent sur celui-ci, regroupées par familles, pour savoir ensuite sur quoi agir ;
• Une séance de brainstorming avec le chef de projet et ses collaborateurs ;
• Une analyse SWOT qui analyse les forces, faiblesses, opportunités et menaces de l’entreprise. Les faiblesses et les menaces font alors émerger les risques ;
• La technique Delphi, qui consiste à interroger des experts en plusieurs tours, de façon anonyme, jusqu’à faire converger leurs avis ;
• Le référentiel COSO ERM, publié par le COSO, qui structure la gestion des risques à l’échelle de l’entreprise ;
• L’historique : incidents passés, réclamations clients, rapports d’audit, retours d’expérience des projets précédents.

Étape 2 : Évaluer la probabilité et l’impact des risques

Dans un second temps, il faut attribuer à chaque risque un niveau de probabilité et de gravité. Sur une grille 5 x 5, on utilise couramment les échelles suivantes.

5 niveaux de probabilité :

• 1 : très improbable ;
• 2 : peu probable ;
• 3 : possible ;
• 4 : probable ;
• 5 : très probable.

5 niveaux de gravité :

• 1 : négligeable ;
• 2 : mineur ;
• 3 : modéré ;
• 4 : majeur ;
• 5 : catastrophique.

Pour que deux personnes notent un même risque de la même façon, décrivez chaque niveau par un critère concret : une fréquence (« au moins une fois par an », « une fois sur la durée du projet »), un montant de perte, un nombre de jours de retard, une atteinte à la santé (sans arrêt, avec arrêt, irréversible). C’est ce travail sur les échelles de cotation qui rend la matrice fiable.

Attention :

Le temps nécessaire pour créer une matrice des risques est très variable : quelques heures pour un petit projet, plusieurs semaines pour une cartographie couvrant toute une entreprise, selon le nombre de risques et le nombre de personnes à consulter.

Voici un modèle de matrice des risques vierge à reproduire (probabilité en lignes, de la plus forte à la plus faible, gravité en colonnes) :

Probabilité \ Gravité	Négligeable (1)	Mineur (2)	Modéré (3)	Majeur (4)	Catastrophique (5)
Très probable (5)
Probable (4)
Possible (3)
Peu probable (2)
Très improbable (1)

Étape 3 : Classer les risques dans la matrice

Il faut ensuite positionner chaque risque dans la matrice, dans la case qui correspond à sa note de probabilité et à sa note de gravité. Le produit des deux donne un score de 1 à 25. Une répartition courante est la suivante :

• Le risque est faible lorsque le score est compris entre 1 et 6. Si l’événement se produit, son impact sur l’entreprise sera peu important.
• Le risque est moyen si le score est compris entre 7 et 12 : il est nuisible pour l’entreprise, mais gérable, et des mesures adaptées peuvent le prévenir.
• Le risque est élevé quand le score est compris entre 13 et 25. Il peut mettre en péril le projet et une intervention rapide est requise.

C’est à cette étape que l’on matérialise le niveau de risque par un code couleur. Le plus souvent :

• Le vert est utilisé pour un degré de risque faible ;
• Le jaune pour un score moyen ;
• L’orange et le rouge pour les risques élevés, le rouge étant réservé aux scores les plus hauts.

Ces seuils sont une convention, pas une norme : chaque organisation les fixe selon son niveau de tolérance au risque, et doit les écrire noir sur blanc pour que tout le monde lise la matrice de la même façon.

Étape 4 : Choisir une réponse pour chaque risque

Une matrice qui s’arrête au classement ne sert qu’à moitié. Pour chaque risque, on retient généralement l’une des quatre réponses classiques :

• Éviter : renoncer à l’activité ou modifier le projet pour que le risque disparaisse ;
• Réduire : agir sur la probabilité (prévention) ou sur la gravité (protection, plan de secours) ;
• Transférer : faire porter tout ou partie du risque par un tiers (assurance, clause contractuelle, sous-traitance) ;
• Accepter : garder le risque en connaissance de cause, en général pour les risques de la zone verte, et le surveiller.

Après la mise en œuvre des mesures, on recote le risque : c’est le risque résiduel, qui doit retomber dans une zone jugée acceptable.

Comment calculer la criticité d’un risque ?

La criticité mesure le niveau d’un risque. La formule la plus répandue est :

Criticité = probabilité (ou fréquence) x gravité

Sur une grille 5 x 5, un risque jugé « probable » (4) et « majeur » (4) obtient donc 4 x 4 = 16, ce qui le place en zone élevée. Un risque « possible » (3) et « mineur » (2) obtient 6 et reste en zone faible.

Quelques variantes existent :

• La méthode additive (probabilité + gravité), plus rare, qui écrase les écarts entre les risques ;
• La criticité à trois facteurs, utilisée dans l’AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité) : on multiplie fréquence, gravité et probabilité de non-détection ;
• Les grilles pondérées, qui donnent plus de poids à la gravité qu’à la probabilité : deux risques de même score ne sont alors pas traités pareil si l’un peut être catastrophique.

Dernier réglage : la limite d’acceptabilité. C’est le score au-delà duquel un risque ne peut pas être accepté sans mesure. Elle est fixée par la direction avant la cotation, pas après, pour éviter d’ajuster la règle aux résultats.

Du registre des risques à la matrice

La matrice est la vue graphique ; le registre des risques (ou tableau de gestion des risques) en est la base de données. Chaque ligne du registre décrit un risque et alimente une case de la matrice. Les colonnes utiles sont en général :

• l’identifiant et la description du risque (cause, événement, conséquence) ;
• la catégorie (humain, opérationnel, financier, cyber, juridique…) ;
• la note de probabilité, la note de gravité et le score de criticité ;
• la réponse retenue (éviter, réduire, transférer, accepter) et les actions prévues ;
• le responsable du risque et l’échéance des actions ;
• le score résiduel après actions et la date de dernière revue.

Un simple tableur suffit pour démarrer. Quand le nombre de risques grandit ou que plusieurs équipes contribuent, un logiciel de gestion de projet permet de rattacher chaque risque à des tâches, de relancer les responsables et de garder l’historique.

Modèles de matrice des risques gratuits

Il est possible de générer une matrice des risques avec différents outils en ligne. Les pages ci-dessous ont été consultées et capturées le 19/10/2026 ; nous n’avons pas testé chaque modèle en conditions réelles.

Un fichier Excel

Bien que simple, le fichier Excel (ou tout tableur) s’avère une solution accessible et utile pour faire une matrice d’impact : une feuille pour le registre des risques, une seconde pour la grille, et une mise en forme conditionnelle pour colorer automatiquement les scores selon vos seuils. Le modèle vierge ci-dessus se reproduit en quelques minutes.

ClickUp

Ce logiciel de gestion de projet en ligne publie sur son blog une sélection de modèles gratuits d’évaluation des risques, au format Excel et ClickUp.

Miro

Cet espace de travail en ligne offre aussi un modèle de matrice des risques à utiliser directement sur son tableau blanc, pratique pour un atelier où chacun pose ses risques sur des post-it virtuels.

Creately

Cette application repose sur un canevas visuel qui permet de créer des diagrammes et des matrices. Elle propose un modèle de matrice des risques à personnaliser.

Exemples pratiques d’utilisation d’une matrice des risques

Exemple dans le secteur de la santé

Prenons un exemple concret dans le secteur de la santé. Un laboratoire souhaite mettre sur le marché un nouveau médicament. Voici les risques auxquels il peut s’exposer :

• Risques biologiques pour les salariés ;
• Risque de sinistre ;
• Difficultés à organiser un essai clinique ;
• Difficulté à trouver des techniciens experts pour réaliser des tests cliniques ;
• Échantillon contaminé ;
• Mauvaise image du laboratoire sur les réseaux sociaux lors de l’annonce de la sortie du médicament ;
• Conformité réglementaire non respectée ;
• Essai clinique qui n’est pas concluant ;
• Risque d’effets secondaires sans gravité sur les patients ;
• Risque de dommage corporel grave sur les patients.

Le dernier risque illustre l’intérêt de la gravité : même avec une probabilité faible, sa note de gravité maximale le place au-dessus d’effets secondaires bénins mais plus fréquents.

Exemple pour un projet informatique

Voici un exemple illustratif (les notes sont fictives et servent à montrer la méthode) pour la refonte d’un site e-commerce :

Risque	Probabilité	Gravité	Criticité	Réponse
Retard de livraison du prestataire	4	3	12 (moyen)	Réduire : jalons contractuels et points hebdomadaires
Perte de trafic SEO après la mise en ligne	3	4	12 (moyen)	Réduire : plan de redirections testé avant bascule
Fuite de données clients	2	5	10 (moyen)	Réduire et transférer : audit de sécurité, assurance cyber
Panne du paiement en ligne le jour du lancement	3	5	15 (élevé)	Réduire : tests de charge, second moyen de paiement prêt
Départ d’un développeur clé	2	3	6 (faible)	Accepter : documentation du code tenue à jour

On voit que la fuite de données, avec une gravité maximale, mérite d’être traitée avant certains risques de score voisin : c’est l’intérêt d’une grille qui pondère la gravité.

Les limites de la matrice des risques

La matrice est simple, et c’est aussi sa faiblesse. Gardez en tête ses limites :

• La subjectivité des notes : sans échelles écrites, chacun cote selon son ressenti et la hiérarchie influence les scores ;
• L’effet de seuil : un risque noté 12 et un risque noté 13 peuvent être très proches, mais tomber dans deux couleurs différentes ;
• Les risques rares mais graves : un produit probabilité x gravité peut les sous-estimer, d’où l’intérêt de traiter à part toute gravité maximale ;
• Les risques liés entre eux : la grille traite chaque risque isolément et ne montre pas les effets en chaîne ;
• La photo figée : une matrice non mise à jour donne une fausse impression de maîtrise.

FAQ sur la matrice des risques

Quelle est la différence entre une matrice des risques 3 x 3, 4 x 4 et 5 x 5 ?

Ces versions évaluent les menaces sur 3, 4 ou 5 niveaux par axe. La 3 x 3 est rapide à remplir mais peu discriminante ; la 4 x 4 a l’avantage de supprimer le niveau central, ce qui oblige à trancher ; la 5 x 5 est la plus précise et la plus répandue, au prix d’échelles de cotation plus détaillées.

Comment utiliser la matrice des risques dans un projet agile ?

La matrice des risques peut être utilisée dans un projet agile lors d’une démarche de gestion des risques. Pour cela, il est utile de la compléter lors de la phase d’évaluation des différents risques, juste après en avoir établi la liste, puis de la revoir à chaque fin d’itération. La grille sera alors utile pour savoir quelle réponse apporter aux différentes menaces.

La matrice des risques est-elle utile dans tous les types de projets ?

Oui, la matrice des risques peut être utilisée sur des projets de grande envergure, comme sur des projets plus simples à mener. Elle est particulièrement indiquée pour tout projet qui nécessite un changement ou le lancement d’un produit ou d’une offre.

Conclusion : la matrice des risques, un outil pour mieux gérer les menaces

La matrice des risques est un outil efficace pour identifier les menaces qui peuvent entraver le déroulement d’un projet. En les identifiant, en les cotant et en les hiérarchisant, vous êtes en mesure de les prévenir. Un plan de gestion des risques adapté permet au projet de se dérouler plus sereinement. Réalisez une évaluation des risques quand c’est nécessaire, et actualisez-la régulièrement. N’oubliez pas de le faire après chaque incident.

Découvrez également ces contenus :

• La méthode Scrum et la gestion de projet agile
• Tout savoir sur la méthode Waterfall
• Qu’est-ce que la matrice RACI ?
• Rédiger une charte de projet
• Quelles sont les missions du chef de projet ?
• Top 8 des Moocs pour apprendre la gestion de projet
• Les meilleurs logiciels de wiki
• Les meilleurs outils de Gantt
• Les meilleurs outils de gestion de projet en association
• Les meilleurs outils de Kanban
• Les meilleurs outils de to do list