Analyse des risques ISO 9001 : méthode simple et tableau modèle pour une PME (2026)
Comment faire l’analyse des risques demandée par l’ISO 9001:2026 ? En dressant la liste de ce qui peut empêcher votre entreprise de livrer des produits conformes et de satisfaire ses clients, en donnant à chaque risque une note de gravité et de probabilité, en choisissant une réponse proportionnée, puis en vérifiant que cette réponse fonctionne. Un tableau d’une page, relu en revue de direction, répond à l’exigence. Voici la méthode, une cotation simple et un exemple complet.
Note de méthode : cet article s’appuie sur le texte de la norme EN ISO 9001:2026 (septembre 2026), reformulé avec nos propres mots. Seul le texte officiel fait foi : consultez-le pour les formulations exactes. Les exemples sont illustratifs.
Que demande la norme sur les risques ?
Le paragraphe 6.1.2 est court. L’organisme doit déterminer, analyser et évaluer les risques qui peuvent avoir un effet indésirable sur sa capacité à fournir, de manière continue et régulière, des produits et services conformes et à améliorer la satisfaction du client. Il planifie ensuite les actions pour y répondre, la manière de les intégrer dans ses processus et la manière d’évaluer leur efficacité.
Deux précisions importantes. D’abord, les actions doivent être proportionnelles à l’impact potentiel des risques sur les résultats attendus : inutile de monter un dispositif lourd pour un risque mineur. Ensuite, une note rappelle que les risques peuvent inclure ceux liés à la capacité de fournir des produits et services conformes pendant et après une perturbation : panne, rupture d’approvisionnement, absence d’une personne clé.
L’annexe A est rassurante pour les PME : appliquer une approche par les risques n’implique ni approche formelle de management du risque, ni processus documenté dédié. Les entreprises qui le souhaitent peuvent aller plus loin, par exemple avec l’ISO 31000.
Risque, enjeu, opportunité : ne pas tout mélanger
La norme définit le risque comme l’effet d’une incertitude. En pratique, dans un système qualité, on le comprend comme ce qui peut mal tourner et empêcher d’atteindre les résultats attendus. Un enjeu décrit une situation (par exemple « un client représente la moitié du chiffre d’affaires »), le risque décrit ce qui peut en découler (« perte de ce client, baisse brutale d’activité »). Depuis l’édition 2026, risques et opportunités sont traités séparément : voir les opportunités et les enjeux internes et externes.
La méthode en cinq étapes
- Repérer. Partez de trois sources : vos enjeux (4.1), les exigences de vos parties intéressées (4.2) et vos processus, de la commande à la livraison. Pour chaque processus, demandez : « Qu’est-ce qui peut l’empêcher de donner le résultat attendu ? »
- Décrire. Écrivez chaque risque en une phrase qui relie une cause, un événement et une conséquence : « Si la fraiseuse 3 tombe en panne (événement) faute de maintenance préventive (cause), les délais de deux clients ne sont pas tenus (conséquence). »
- Coter. Donnez une note à la gravité des conséquences et à la probabilité, sur une échelle simple (voir plus bas), puis multipliez. C’est l’étape « analyser et évaluer » du texte.
- Traiter. Choisissez une réponse proportionnée, parmi les six options de la note 2, et nommez un responsable et une échéance.
- Suivre. Vérifiez que l’action a eu l’effet voulu et relisez le tableau au moins une fois par an. La revue de direction examine d’ailleurs l’efficacité des actions menées sur les risques (9.3.2 g).
Une cotation simple sur trois niveaux
La norme ne vous impose aucune échelle. Une grille de trois niveaux sur trois niveaux, notée de 1 à 9, suffit à hiérarchiser sans se perdre dans des calculs. C’est une pratique de terrain, pas une exigence.
| Note | Gravité (conséquence sur le client ou la conformité) | Probabilité (fréquence attendue) |
|---|---|---|
| 1 | Gêne mineure, rattrapable sans impact client | Rare : une fois en plusieurs années |
| 2 | Retard ou non-conformité détectée avant livraison | Possible : une fois par an environ |
| 3 | Livraison non conforme, perte de client ou arrêt d’activité | Fréquente : plusieurs fois par an |
Le score est le produit des deux notes. Un score de 1 à 2 invite à accepter et à surveiller, de 3 à 4 à planifier une action, de 6 à 9 à agir en priorité. Ces seuils sont indicatifs : adaptez-les à votre activité.
Les six façons de traiter un risque
La note 2 du paragraphe 6.1.2 liste les actions possibles. Voici leur traduction en atelier.
| Option de la norme | En pratique | Exemple |
|---|---|---|
| Éviter le risque | Ne pas faire l’activité risquée | Refuser une commande hors de vos compétences |
| Prendre le risque pour saisir une opportunité | Accepter un risque en vue d’un gain | Investir dans une machine pour répondre à un nouveau marché |
| Éliminer la source du risque | Supprimer la cause | Remplacer un équipement vétuste |
| Modifier la probabilité ou les conséquences | Prévenir ou limiter | Maintenance préventive, stock de sécurité, contrôle supplémentaire |
| Partager le risque | Le répartir avec un tiers | Assurance, second fournisseur, clause contractuelle |
| Maintenir le risque sur la base d’une décision éclairée | Accepter et le noter | Risque faible dont le traitement coûterait plus cher que l’effet |
Exemple illustratif : un atelier d’usinage de trente personnes
Le tableau suivant montre quelques lignes d’une analyse réelle, simplifiée. G est la gravité, P la probabilité.
| Risque | G | P | Score | Traitement choisi |
|---|---|---|---|---|
| Panne d’une machine clé faute de maintenance préventive | 3 | 2 | 6 | Plan de maintenance préventive, pièces critiques en stock |
| Perte du principal donneur d’ordre (40 % du chiffre d’affaires) | 3 | 1 | 3 | Objectif de diversification, suivi trimestriel |
| Départ du seul régleur capable de régler une machine délicate | 3 | 2 | 6 | Fiche de réglage, formation d’un suppléant |
| Livraison d’une pièce hors tolérance sur une cote critique | 3 | 1 | 3 | Contrôle final renforcé sur la cote, gabarit dédié |
| Rupture d’approvisionnement d’une matière | 2 | 2 | 4 | Second fournisseur qualifié |
| Erreur de saisie dans la commande | 1 | 2 | 2 | Accepté, détecté par la revue de contrat |
Les deux risques les plus élevés, la panne et le départ du régleur, passent en priorité. Les risques faibles sont conservés dans le tableau et acceptés en connaissance de cause, ce qui est parfaitement admis par la norme.
Télécharger le modèle : Registre des risques (Excel), prêt à remplir, avec un exemple rempli.
Quand passer à l’AMDEC ?
Le tableau ci-dessus convient pour les risques d’entreprise et de processus. Pour un produit sensible ou un processus critique (soudage, traitement thermique, assemblage de sécurité), une analyse plus fine peut se justifier. La méthode AMDEC décompose les défaillances possibles, leurs causes et leur détection. Elle complète le tableau général, elle ne le remplace pas.
Pensez aux perturbations
La note 1 invite à se demander ce qui arrive quand le fonctionnement normal s’interrompt. Cinq questions suffisent pour l’atelier : que fait-on si une machine clé s’arrête une semaine, si un fournisseur unique ne livre plus, si le système informatique est indisponible, si une personne clé est absente, si un site est inaccessible ? Les réponses forment un plan de continuité simple, en quelques lignes par scénario.
Les erreurs fréquentes
La première est de recopier un tableau trouvé en ligne : il ne parle pas de votre entreprise. La deuxième est de produire cinquante lignes que personne ne relit ; une vingtaine de risques bien choisis valent mieux. La troisième est de coter sans critères écrits, ce qui rend la note arbitraire et non reproductible. La quatrième est de ne jamais vérifier l’efficacité des actions, alors que le texte le demande. La cinquième est d’oublier que le tableau est vivant : un nouveau client, une nouvelle machine ou un incident le font évoluer.
Ce que l’auditeur va regarder
Il cherchera le lien entre vos enjeux, vos parties intéressées et vos risques, la présence d’actions proportionnées avec un responsable et une échéance, des preuves d’efficacité, et la trace d’une relecture en revue de direction. Un tableau court, daté et cohérent avec votre activité répond à ces attentes.
À retenir
Une analyse des risques conforme est un tableau honnête : des risques décrits clairement, une cotation que vous savez expliquer, des actions proportionnées, un suivi de leur efficacité. Commencez avec une vingtaine de lignes et laissez le tableau vivre.
Questions fréquentes
Faut-il un processus documenté de management des risques ?
Non. L’annexe A précise que l’approche par les risques n’implique ni approche formelle, ni processus documenté de management du risque. Un tableau tenu à jour est suffisant.
Faut-il utiliser l’ISO 31000 ou l’AMDEC ?
Ce n’est pas exigé. L’ISO 31000 et l’AMDEC sont des références utiles si vous souhaitez une démarche plus étendue ou plus fine, notamment sur les processus critiques.
Combien de risques faut-il lister ?
La norme ne fixe aucun nombre. Dans une PME industrielle, une vingtaine de lignes bien choisies sont courantes ; c’est un repère de terrain.
Quelle fréquence de mise à jour ?
La norme ne la fixe pas. Une relecture annuelle, complétée à chaque événement marquant (incident, nouveau client, changement d’équipement), est un rythme défendable.
Que faire d’un risque accepté ?
Le laisser dans le tableau avec la mention « accepté » et la raison. La note 2 prévoit explicitement de maintenir un risque sur la base d’une décision éclairée.
Sources
- EN ISO 9001:2026, Systèmes de management de la qualité, Exigences (septembre 2026) : 3.7 (risque), 6.1.1, 6.1.2 et ses notes, 9.3.2 et annexe A (A.6.1.1, A.6.1.2).
- Les exemples, la grille de cotation sur trois niveaux, les seuils et le nombre de lignes sont des repères de terrain de K-li-T, non issus de la norme.
Pour poursuivre : le chapitre 6 sur les risques, les opportunités et les changements, les opportunités, les enjeux internes et externes, la méthode AMDEC et la revue de direction.
Un accompagnement pour passer à l’ISO 9001:2026
K-li-T accompagne les PME industrielles, que vous visiez une première certification ou que vous deviez faire évoluer un système existant. Découvrez notre conseil qualité ISO 9001 ou demandez un devis.