• Une situation de risque peut-être caractérisée par une potentialité et un impact intrinsèques, en l'absence de toute mesure de sécurité.
• Potentialité intrinsèque et impact intrinsèque peuvent être évalués.
• Des mesures de sécurité peuvent réduire ce risque intrinsèque par le biais de facteurs significatifs de réduction de risque;
• Ces facteurs d'atténuation de risques peuvent être évalués.
• Sur la base de ces éléments, il est possible d'évaluer une potentialité réelle et un impact résiduel caractéristiques du risque, et d'en déduire un indicateur de gravité du risque.

Calcul du risque :

La cotation établie varie de 0 à 4 avec les 3 classifications suivantes :

•  Les risques tolérables, généralement aux niveaux 0, 1 et 2
•  Les risques inadmissibles au niveau 3
•  Les risques insupportables au niveau 4.
  

L’impact :

L’impact est une évaluation globale de l’ensemble des conséquences d’un scénario de risques précis.
La métrique standard de l’impact est une cotation sur une échelle à 4 niveaux (de 1 à 4) décrite ci-dessous :

• Niveau 1       Impact insignifiant au niveau de l’organisation
• Niveau 2       Impact significatif, causant du tort à l’organisation
• Niveau 3       Impact très grave, sans cependant menacer la vie de l’organisation
• Niveau 4       Impact extrêmement grave, menaçant l’organisation ou l’une de ses activités

La potentialité :

La potentialité est une estimation de la possibilité qu’un scénario précis survienne.

La métrique de la potentialité est une cotation sur une échelle à 4 niveaux (de 1 à 4) plus un niveau de potentialité 0 signifiant que le scénario de risque ne s’applique pas ou est sans objet pour l’organisation. La signification des niveaux de cette échelle est donnée ci-dessous :

• Niveau 0       Non envisageable ou non envisagé
• Niveau 1       Très improbable, ne surviendra probablement jamais
• Niveau 2       Possible, bien qu’improbable
• Niveau 3       Probable, devrait arriver un jour
• Niveau 4       Très probable, surviendra sûrement à court terme

La gravité :

La mesure globale du risque, sa gravité, résulte d’une décision stratégique de l’organisation fondée sur les valeurs d’impact et de potentialité. Cette décision peut être traduite en termes « d’aversion aux risques ».

Il en résulte une grille d’aversion aux risques traduisant la gravité d’un scénario de risques en fonction de son impact et de sa potentialité.

Exemple de grille d’aversion aux risques :