Un projet opérant dans un seul pays porte des risques connus et relativement prévisibles. Un projet qui s'étend sur plusieurs pays — comme les expansions EU-LATAM ou Europe-Moyen-Orient que je suis habituellement — multiplie les catégories de risque : réglementaire, monétaire, culturelle, logistique. ISO 31000 n'est pas une bureaucratie de certification : c'est le seul framework que j'ai vu réellement tenir en contexte multi-juridiction.
1. Pourquoi ISO 31000 et pas un simple registre des risques. ISO 31000 ne prescrit pas d'outils spécifiques (contrairement à ISO 31010 qui liste des techniques), mais impose un processus itératif : établir le contexte, identifier, analyser, évaluer, traiter, surveiller et communiquer le risque. La différence pratique par rapport à un registre des risques traditionnel est que le risque est réévalué à chaque changement de contexte — un changement réglementaire, une dévaluation monétaire, un nouveau fournisseur — pas seulement aux milestones prévues.
2. Catégories de risque spécifiques aux projets multi-pays. Risque réglementaire et de compliance — lois sur le travail, la fiscalité, l'importation qui varient d'un pays à l'autre et changent souvent pendant le projet lui-même. Risque monétaire — un projet coté en EUR mais exécuté dans des pays à devises volatiles (ex. PEN, TRY) peut perdre de la marge uniquement par fluctuation de change. Risque culturel et stakeholder — des décisions qui nécessitent un email dans un pays nécessitent, dans un autre, une relation personnelle construite en semaines. Risque supply chain et logistique cross-border — douane, temps de transport, dépendance à un fournisseur local unique.
3. Matrice probabilité/impact adaptée au contexte international. La matrice classique probabilité × impact doit être complétée par une troisième dimension : la vitesse de détection. Un risque réglementaire dans un pays où vous n'avez pas de présence locale peut se matérialiser des semaines avant que l'équipe ne le remarque. Pour ce type de risque, même avec probabilité et impact modérés, un traitement prioritaire s'impose simplement parce que le temps de réaction disponible est plus court.
4. Les quatre stratégies de traitement (et quand les utiliser). Éviter — changer l'approche pour éliminer le risque (ex. ne pas ouvrir d'entité juridique dans un pays, opérer via un partenaire local). Réduire — atténuer probabilité ou impact (ex. couverture de change, clauses contractuelles d'ajustement de prix). Transférer — assurance, contrats avec fournisseurs locaux absorbant une partie du risque. Accepter — quand le coût du traitement dépasse le bénéfice attendu, mais toujours avec un plan de contingence documenté, jamais par défaut.
5. Gouvernance du risque : qui décide quoi. Dans les projets internationaux, la gouvernance du risque doit avoir des seuils d'escalade clairs : les risques sous un certain seuil d'impact sont gérés par le PM local, au-dessus il faut l'implication du sponsor ou du board. Sans ce seuil explicite, les risques importants restent bloqués au niveau opérationnel trop longtemps, tandis que les mineurs arrivent inutilement au board.
FAQ. ISO 31000 exige-t-il une certification formelle pour être appliqué ? Non, ISO 31000 est une ligne directrice, pas une norme certifiable comme ISO 9001. Elle peut être adoptée comme framework interne sans processus d'audit externe. Comment ISO 31000 s'intègre-t-il à PMBOK ? PMBOK consacre un domaine de connaissance entier au risk management et est pleinement compatible avec les principes ISO 31000 — beaucoup de PMO les utilisent ensemble, PMBOK pour la structure projet, ISO 31000 pour la profondeur du processus.
Si vous planifiez une expansion multi-pays et voulez une évaluation honnête des risques spécifiques à votre cas, réservons une call : nous analysons ensemble où sont les vraies zones aveugles.
