Élaborer une cartographie des risques stratégiques

Objectif

Entrées acceptées

• Text
• PDF
• Document Word

Ce que vous obtenez

• Markdown

Limites et supervision humaine

Sources officielles

Références utilisées pour cadrer la méthode. Vérifiez leur version à la date d'utilisation.

• ISO 31000:2018 Management du risque - Lignes directrices
• L'AMF publie sa cartographie des marchés et des risques
• Réaliser une cartographie des risques (IFACI)

Aperçu du SKILL.md

Premières lignes du fichier embarqué dans l'archive — le contrat d'exécution du skill.

---
name: elaborer-cartographie-risques-strategiques
description: La direction générale doit anticiper les menaces pouvant compromettre l'atteinte de ses objectifs. Elle a besoin d'une vision hiérarchisée des risques (financiers, opérationnels, réputationnels) pour allouer ses ressources de prévention.
---

# Élaborer une cartographie des risques stratégiques

## Mission
Le but de ce skill est d'assister la direction générale dans l'anticipation des menaces pouvant compromettre l'atteinte de ses objectifs stratégiques. Il permet d'établir une vision hiérarchisée des risques (financiers, opérationnels, réputationnels, de conformité) afin d'optimiser l'allocation des ressources de prévention.

## Résultat attendu
Le skill produit une cartographie des risques structurée, incluant :
- Une matrice probabilité/impact (Heat Map).
- Un registre des risques qualifiés, catégorisés et évalués.
- Un plan d'actions de mitigation pour les risques dont la criticité résiduelle est inacceptable.

## Situations d'usage
Ce skill est utilisé lors de la planification stratégique annuelle, lors de revues de direction, ou suite à un événement majeur (interne ou externe) nécessitant une réévaluation de l'exposition au risque de l'organisation. Il s'applique particulièrement lorsque la direction doit prioriser ses actions de contrôle interne et de prévention.

## Ce que le skill ne fait pas
Ce skill ne remplace en aucun cas l'expertise humaine pour évaluer la probabilité réelle d'un risque inédit. Il ne prend pas de décisions concernant l'acceptation du risque résiduel ni la validation des budgets alloués à la mitigation. Il ne se connecte à aucune base de données externe, n'exécute aucune action externe, et n'invente aucune donnée. Toute conclusion produite doit faire l'objet d'une validation humaine.

## Entrées obligatoires
- Liste brute des risques ou incidents passés.
- Documents stratégiques (plan stratégique, objectifs annuels).
- Rapports d'audit internes ou externes.

## Entrées facultatives
- Historique des sinistres et réclamations.
- Rapports de veille sectorielle et concurrentielle.

## Validation préalable
Avant toute analyse, le skill vérifie la présence et la lisibilité des documents fournis. Il s'assure que les informations permettent d'identifier des menaces et d'évaluer leur impact potentiel. Si des données critiques manquent, le skill le signale et demande des compléments avant de poursuivre.

## Méthodologie
L'approche méthodologique suit les étapes suivantes :
1. Analyser les documents d'entrée pour extraire les menaces et vulnérabilités potentielles.
2. Catégoriser chaque risque identifié (stratégique, opérationnel, financier, conformité).
3. Évaluer la probabilité d'occurrence de chaque risque sur une échelle standardisée (ex. de 1 à 5).
4. Évaluer l'impact potentiel (financier, réputationnel, humain) de chaque risque sur une échelle de 1 à 5.
5. Calculer la criticité inhérente (probabilité x impact).
6. Recenser les dispositifs de maîtrise existants pour chaque risque.
7. Évaluer l'efficacité de ces dispositifs pour déterminer la criticité résiduelle.
8. Positionner les risques sur une matrice (Heat Map).
9. Proposer des actions de mitigation pour les risques résiduels inacceptables.
10. Consolider le registre et la matrice dans un rapport final.

Il est impératif de séparer clairement les faits (incidents passés, constats d'audit), les calculs (probabilité x impact), les hypothèses (évaluation de l'efficacité des contrôles) et les recommandations (actions de mitigation). En cas de données manquantes ou de contradictions, celles-ci doivent être documentées explicitement.

## Règles de décision
- Les risques sont évalués sur une échelle de probabilité (1: Très faible, 5: Très forte) et d'impact (1: Mineur, 5: Critique).
- La criticité est le produit de la probabilité et de l'impact (score de 1 à 25).
- Un risque est considéré comme inacceptable si sa criticité résiduelle dépasse un seuil défini (par exemple, score > 15).
- Le skill ne doit jamais inventer de risques, de scores ou d'actions ; tout doit être dérivé ou justifié par les documents fournis.

## Contrôles qualité
- Vérification de l'exhaustivité des catégories de risques.
- Cohérence des scores probabilité/impact.
- Alignement des mesures de mitigation avec les risques identifiés et les causes profondes.
- Traçabilité complète entre les risques identifiés et les documents sources.

## Format de sortie
Le livrable doit suivre le modèle `templates/elaborer-cartographie-risques-strategiques-output.md`, incluant le contexte, les documents reçus, la qualité des données, les résultats, les calculs, le tableau de traçabilité, les actions proposées, et les sources.

## Convention de confiance
Le skill agit comme un assistant analytique. Il n'a pas l'autorité pour valider une cartographie. L'utilisateur s'engage à revoir, contester et valider les évaluations proposées. Le mot "skill" est masculin. Aucune source supplémentaire n'est utilisée.

## Gestion des erreurs
- Si les documents sont illisibles : arrêter l'analyse et demander des fichiers valides.
- S'il y a des contradictions entre les rapports d'audit et la stratégie : le signaler dans la section qualité des données.
- Si l'évaluation de l'impact est impossible faute de données financières : utiliser une évaluation qualitative et le mentionner comme limite.

## Limites
Le skill est limité par la qualité et l'exhaustivité des documents fournis. Il ne peut pas anticiper des risques totalement imprévus (cygnes noirs) non mentionnés dans les audits ou l'historique. L'évaluation reste une estimation basée sur des textes et nécessite l'expérience métier de la direction.

## Exemple
**Entrée :** Rapport d'audit signalant une dépendance à un fournisseur unique.
**Traitement :** Identification du risque opérationnel "Rupture d'approvisionnement". Probabilité : 4. Impact : 5. Criticité inhérente : 20. Contrôle : Aucun plan de secours. Criticité résiduelle : 20.
**Sortie :** Risque classé en zone rouge sur la matrice. Recommandation : Identifier et qualifier un fournisseur alternatif d'ici 3 mois.

## Protocole de traçabilité
Chaque risque identifié, chaque score attribué et chaque recommandation formulée doit être accompagné d'une référence précise au document source (nom du document, page, section).

## Dossier de preuve minimal
Le livrable doit inclure un tableau de traçabilité liant les risques aux constats d'audit ou incidents passés, prouvant que l'évaluation est ancrée dans la réalité de l'organisation.

## Checklist finale
- [ ] Le skill n'a inventé aucune donnée.
- [ ] Les faits, calculs, hypothèses et recommandations sont séparés.
- [ ] Les données manquantes sont signalées.
- [ ] La validation humaine est explicitement requise.
- [ ] Le format de sortie respecte le template.

Installation

1. Téléchargez le fichier. Pour vérifier son intégrité, utilisez shasum -a 256 elaborer-cartographie-risques-strategiques.zip et comparez le résultat avec l'empreinte affichée dans la fiche technique.
2. Décompressez-le : vous obtenez un dossier contenant SKILL.md et ses ressources.
3. Importez le dossier dans claude.ai, Claude Code ou via l'API.