Gestion des risques en PME : priorités, continuité et assurances

Commencer par les activités qui doivent continuer

La gestion des risques d’une PME consiste à identifier ce qui peut nuire aux personnes, aux engagements et à la continuité de l’activité, puis à décider comment le prévenir ou en limiter les conséquences. L’assurance finance certains effets prévus au contrat ; elle ne fournit pas à elle seule un fournisseur de remplacement, un accès informatique ou une équipe formée.

Réunissez direction et responsables opérationnels autour de quelques questions : que faut-il absolument livrer, produire ou maintenir ? Quelles personnes, données, machines, locaux et autorisations sont indispensables ? Combien de temps peut-on fonctionner en mode dégradé ? Quelles conséquences apparaissent après une journée, une semaine et un mois ?

Partez d’activités précises : enregistrer les commandes, assurer une prestation client, expédier les produits, payer les salariés ou accéder aux dossiers. Une liste abstraite « cyber, incendie, juridique » ne permet pas encore de décider d’une action.

Construire un registre de scénarios exploitable

Un registre court, discuté et mis à jour vaut mieux qu’une longue liste dont personne n’est responsable. Le tableau ci-dessous est une trame proposée pour démarrer ; il ne constitue ni une norme ni un audit complet.

Pour chaque ligne, ajoutez un propriétaire du risque, les éléments qui étayent l’estimation, les protections existantes, les incertitudes et la prochaine action. Précisez si une solution est seulement envisagée, contractualisée ou déjà testée.

Exemple : « un autre fournisseur existe » est insuffisant. Vérifiez sa capacité, les délais de qualification, les quantités minimales et la compatibilité des produits. Deux fournisseurs dépendant du même site ou du même transporteur ne constituent pas forcément deux solutions indépendantes.

Prioriser sans transformer une note en fausse certitude

Une matrice vraisemblance–gravité aide à discuter, mais le produit de deux notes ne doit pas décider seul du budget. Un événement peu probable peut menacer la survie de l’entreprise ; un incident fréquent peut rester absorbable.

Quatre filtres avant le classement

1. Personnes et obligations : existe-t-il un danger, une exigence légale ou une obligation professionnelle à traiter sans attendre ?
2. Continuité : quel délai d’arrêt devient incompatible avec les engagements prioritaires ?
3. Trésorerie : quelles dépenses faut-il avancer avant une éventuelle indemnisation ?
4. Solution de secours : fonctionne-t-elle vraiment dans les délais nécessaires ?

Vous pouvez ensuite classer les scénarios en priorité immédiate, action planifiée ou surveillance, avec des critères internes explicites. Ne copiez pas un seuil universel de chiffre d’affaires, de probabilité ou de dépendance : votre marge, vos engagements et vos réserves changent l’analyse.

Écrivez les incertitudes. Un délai de réparation annoncé entre quatre et dix semaines ne doit pas devenir artificiellement « sept semaines garanties ». Demandez ce qui peut faire varier ce délai et testez le cas défavorable supportable.

Chiffrer l’arrêt en distinguant chiffre d’affaires, marge et trésorerie

Un chiffre d’affaires perdu n’est pas identique à une perte économique, et celle-ci n’est pas automatiquement l’indemnité d’assurance. Certaines charges diminuent lorsque l’activité s’arrête ; d’autres continuent. Des frais supplémentaires peuvent permettre de reprendre plus vite.

Exemple fictif de réflexion : une PME réalise habituellement 100 000 € de chiffre d’affaires mensuel. Un arrêt supprime 40 000 € de ventes et évite 24 000 € de charges variables. L’écart de marge à examiner est de 16 000 €. Une solution temporaire coûte 6 000 €. Ces éléments ne constituent pas une indemnité de 22 000 € acquise : il faut encore examiner le contrat, le lien causal, les frais admis, les franchises et les plafonds.

La garantie pertes d’exploitation classique est généralement liée à un dommage matériel couvert. Les extensions ou autres contrats peuvent avoir des déclencheurs différents. France Assureurs explique les bases de cette garantie : la définition de marge brute, le capital déclaré et la période d’indemnisation doivent être examinés avec les données comptables.

Faites une projection de trésorerie séparée : factures à payer, salaires, échéances, avances pour la reprise et délai de règlement attendu. Une indemnisation possible ne signifie pas que les liquidités seront disponibles au premier jour.

Associer une réponse concrète et un responsable à chaque scénario

Accepter un risque ne permet pas de s’affranchir d’une obligation de sécurité ou d’assurance. Une clause de contrat ne garantit pas non plus le paiement par le cocontractant : sa validité, son périmètre et la solvabilité du débiteur doivent être examinés.

Pour rendre le plan utilisable, écrivez chaque action sous la forme : « responsable, livrable, date, budget, preuve de réussite ». Une sauvegarde « prévue » n’a pas le même statut qu’une restauration testée. Une procédure connue d’une seule personne n’est pas une relève opérationnelle.

Le plan de continuité : qui fait quoi quand les outils habituels manquent ?

Le guide de continuité d’activité du SGDSN propose une démarche structurée, présentée aussi par Service Public Entreprendre. Un plan de continuité d’activité, ou PCA, prépare le maintien et la reprise des fonctions prioritaires après une perturbation.

Une fiche de crise à rendre accessible hors des outils habituels

• Personne habilitée à activer le plan et suppléant.
• Activités à maintenir en premier et niveau minimal acceptable.
• Contacts internes, prestataires, secours et assureurs utiles.
• Lieu ou outil de repli, avec conditions d’accès autorisées.
• Procédure de communication aux salariés et clients.
• Journal des décisions, dépenses et preuves à conserver.
• Critères de retour au fonctionnement normal.

Adaptez l’accès à la confidentialité des informations ; ne laissez pas une liste de mots de passe en clair dans une fiche de secours. Vérifiez comment les personnes autorisées peuvent retrouver les contacts et documents si le réseau principal ou un téléphone est indisponible.

Un exercice court, sans interrompre la production

Simulez sur table l’indisponibilité du local ou d’une application : qui est prévenu ? Qui prend la décision ? Où se trouvent les données utiles ? Quelle activité peut reprendre, avec quels moyens ? Notez les écarts puis attribuez les corrections. Un exercice ne doit pas provoquer une panne réelle ni exposer les données.

Le risque cyber mérite un test de reprise, pas seulement une sauvegarde annoncée

Identifiez les données nécessaires à la reprise et la quantité de travail que vous pourriez perdre entre deux sauvegardes. Protégez les sauvegardes contre les mêmes incidents que le système principal et testez leur restauration avec les personnes compétentes.

Le guide ANSSI pour les TPE-PME insiste sur l’identification des données essentielles, les copies protégées et les tests. L’opération ImpactCyber fournit aussi des repères de prévention adaptés aux petites entreprises.

La responsabilité d’une prestation informatique et les dommages subis par votre propre entreprise sont deux sujets différents. Ne présumez pas qu’une RC Pro informatique remplace une garantie cyber. Notre guide cyberassurance et réaction après incident détaille les déclencheurs, obligations et limites à vérifier.

Le DUERP ne se confond pas avec la cartographie générale des risques

Le document unique d’évaluation des risques professionnels porte sur la santé et la sécurité des salariés. Il est obligatoire dès le premier salarié. Un tableau de risques commerciaux ou un dossier d’assurance ne s’y substitue pas.

La fiche officielle DUERP précise les mises à jour : notamment lors d’un aménagement important ou d’une information nouvelle sur un risque, et au moins annuellement à partir de 11 salariés. Les démarches de prévention restent à conduire avec les interlocuteurs compétents. L’INRS propose des outils d’évaluation.

Articulez les démarches sans les fusionner : une panne de machine peut menacer la continuité et exposer les salariés lors d’une intervention improvisée. La réponse doit traiter les deux conséquences, avec la sécurité des personnes en priorité.

Relier chaque scénario à une garantie, pas à un intitulé commercial

Les obligations d’assurance dépendent de l’activité et de la situation : le ministère de l’Économie et Service Public Entreprendre permettent d’identifier les principaux cas. Distinguez une obligation légale, une exigence de bail ou de client et une protection recommandée.

Pour un contrat envisagé, demandez une réponse écrite sur six points : activité garantie, événement déclencheur, personnes et biens assurés, territoire, plafond et sous-plafonds, franchises et exclusions. Ajoutez la période de garantie ou d’indemnisation lorsqu’elle conditionne le résultat.

• Réclamation liée au conseil : examinez la RC Pro consultant et les missions réellement déclarées.
• Locaux et équipements de bureau : examinez l’assurance bureaux, les valeurs et les clauses du bail.
• Arrêt d’activité : vérifiez le déclencheur des pertes d’exploitation, notamment en cas de fournisseur ou réseau indisponible.
• Cyber ou autre besoin : vérifiez l’existence d’une offre adaptée ; ne déduisez pas sa couverture d’une multirisque.

Les parcours en ligne présentés ici concernent des produits ciblés et des activités éligibles. Un atelier de production ne doit pas être déclaré comme un simple bureau pour accéder à un tarif. Utilisez le hub Assurances professionnelles Sentinel pour repérer les branches et demander une orientation si le cas ne correspond pas.

Faire vivre le dispositif avec une revue simple

Voici un déroulé de démarrage indicatif, à adapter à la taille et aux enjeux de l’entreprise. Il n’impose pas de délai réglementaire et n’autorise pas à reporter une mesure urgente.

1. Premier atelier : retenir les activités prioritaires et cinq à dix scénarios concrets.
2. Vérifications terrain : mesurer les dépendances, délais, protections et valeurs.
3. Décisions : attribuer les actions, budgets, responsables et garanties à étudier.
4. Premier exercice : tester un scénario et corriger les obstacles constatés.
5. Revue régulière : examiner actions en retard, incidents et changements d’activité.

Déclenchez aussi une revue après un déménagement, une nouvelle prestation, un gros contrat client, une croissance des stocks, une modification du système informatique ou la perte d’un fournisseur. Vérifiez alors les déclarations faites aux assureurs et leurs modalités d’actualisation.

Trois indicateurs suffisent pour commencer : actions prioritaires réellement closes, temps de reprise constaté lors du dernier test et dépendances critiques sans solution validée. Le nombre de pages du plan n’est pas une mesure de sa qualité.