Évaluer les risques : menaces, vulnérabilités, probabilité et impact

1Menace, vulnérabilité, risque

Trois notions à ne pas confondre :

• Menace : ce qui peut causer un dommage (braquage de véhicule, enlèvement, bombardement, engin explosif, émeute, maladie, accident de la route).
• Vulnérabilité : le degré d'exposition de l'organisation ou d'une personne à cette menace, selon sa localisation, ses déplacements, son profil, ses biens, ses procédures, son acceptation.
• Risque : la combinaison de la probabilité qu'une menace se réalise contre nous et de l'impact si elle se réalise.

Une même menace ne crée pas le même risque pour tous. Exemple : la menace d'enlèvement contre rançon pèse davantage sur les profils perçus comme « rentables » (personnel international de certaines nationalités, cadres nationaux de haut niveau, personnes dont la famille est perçue comme aisée). La vulnérabilité dépend aussi des procédures : des déplacements prévisibles, toujours aux mêmes heures, augmentent la vulnérabilité de tous.

2La matrice probabilité × impact

La méthode la plus répandue note chaque risque sur deux échelles de 1 à 5 :

• Probabilité : 1 très improbable, 2 improbable, 3 possible, 4 probable, 5 très probable (sur une période définie, par exemple 12 mois).
• Impact : 1 négligeable, 2 mineur (dommages matériels limités), 3 modéré (blessures légères, interruption courte), 4 grave (blessures graves, perte de biens importants, suspension), 5 critique (décès, enlèvement, retrait du pays).

Score = probabilité × impact, de 1 à 25. Niveaux usuels : 1 à 4 faible, 5 à 9 moyen, 10 à 16 élevé, 20 à 25 très élevé (les seuils varient selon les organisations et doivent être écrits).

Remarque : l'accident de la route a souvent un score aussi élevé que les menaces liées à la violence, et il est plus facile à réduire.

3Risque résiduel et seuil acceptable

Le risque inhérent est le risque avant mesures ; le risque résiduel est celui qui reste après les mesures prévues. La décision se prend sur le risque résiduel, comparé au seuil acceptable fixé par la direction pour l'activité considérée.

Exemple. Braquage sur l'axe nord : inhérent 4 × 4 = 16. Mesures : déplacements en deux véhicules, horaires variables, pas d'argent ni de biens de valeur visibles, communication avec contrôle d'appel toutes les heures, mise à jour quotidienne de l'état de la route par le forum des ONG, règle de non-résistance. Probabilité estimée réduite à 2 (la vulnérabilité baisse), impact réduit à 3 (non-résistance, assistance rapide). Résiduel : 2 × 3 = 6, niveau moyen.

Si le seuil acceptable pour les activités de distribution est « moyen », l'activité peut se poursuivre avec ces mesures. Si les mesures ne permettent pas de descendre sous le seuil, il faut changer l'activité (modalité, lieu, partenaire) ou la suspendre.

Une mesure inscrite mais non appliquée ne réduit aucun risque. L'évaluation doit dire qui applique quoi, et comment on le vérifie.

4Les limites de la notation

La matrice est utile mais trompeuse si on la prend pour une mesure exacte :

• Les notes sont des jugements, pas des mesures. Deux personnes peuvent noter différemment ; on cherche un consensus argumenté, avec le personnel national.
• Les événements rares et catastrophiques (attaque d'un hôtel, attentat contre une base) ont une faible probabilité mais un impact extrême : un score de 1 × 5 = 5 les classe « moyens » alors qu'ils exigent des plans spécifiques.
• Les risques cumulés : plusieurs risques moyens combinés peuvent constituer une situation inacceptable.
• Les risques évoluent : une évaluation non datée ou vieille de huit mois en contexte instable n'a plus de valeur.

Bonne pratique : garder un œil particulier sur toute menace d'impact 5, quelle que soit sa probabilité, et prévoir pour chacune un plan de contingence (enlèvement, attaque armée, évacuation médicale).

5Profils et sécurité inclusive

Les personnes ne sont pas exposées de la même manière selon leur profil : nationalité, origine ethnique ou clan, religion, genre, orientation sexuelle et identité de genre, handicap, âge, apparence, langue. Un même lieu peut être sûr pour l'un et dangereux pour l'autre.

Une approche inclusive de la sécurité (développée notamment par le GISF) consiste à :

• prendre en compte les profils dans l'évaluation des risques, sans obliger personne à révéler des informations personnelles ;
• permettre à chacun de signaler confidentiellement des préoccupations liées à son profil ;
• adapter les mesures (hébergement, déplacements, affectations), sans exclure automatiquement des personnes de certains postes ;
• former les responsables à ces questions.

Exemple. Un employé national d'un groupe ethnique minoritaire ne peut pas franchir certains points de contrôle sans risque. Plutôt que de l'exclure du projet, l'équipe adapte les itinéraires, l'affecte à des zones où son profil n'est pas exposé, et prévoit un hébergement sûr en cas de tension.

6Rédiger l'évaluation

Une évaluation des risques de sécurité utile contient :

• la zone et la période couvertes, la date et les auteurs ;
• un résumé du contexte (renvoi à l'analyse) ;
• le tableau des menaces avec probabilité, impact, score inhérent ;
• pour chaque risque élevé ou très élevé : mesures, responsables, risque résiduel ;
• la comparaison au seuil acceptable par type d'activité ;
• les décisions et recommandations (poursuite, adaptation, suspension) ;
• la date de prochaine révision et les déclencheurs de révision anticipée.

Elle est validée par le directeur pays (et par le siège au-delà d'un certain niveau de risque) et expliquée au personnel concerné. Elle sert aussi de base au budget de sécurité et au consentement éclairé du personnel.