2.3 Notation & hiérarchisation : matrice criticité × probabilité

La criticité mesure la gravité de l'impact si le risque survient. Pour les risques droits humains et environnement, la cotation suit généralement une échelle à 5 niveaux :

Le guide de l'OCDE apporte ici une précision décisive et souvent mal restituée. Pour apprécier la gravité d'une atteinte, il retient trois critères distincts :

• L'ampleur (scale) : à quel point l'atteinte est-elle sérieuse pour les personnes touchées ? Un retard de paiement et une atteinte à l'intégrité physique ne sont pas de même ampleur.
• L'étendue (scope) : combien de personnes sont touchées ? Une atteinte modérée qui frappe dix mille travailleurs peut être plus grave qu'une atteinte sérieuse isolée.
• Le caractère irrémédiable (irremediable character) : peut-on rétablir les personnes dans la situation qui était la leur avant l'atteinte ? Un salaire impayé se rattrape, une invalidité ou un décès non.

La probabilité estime la fréquence de survenance du risque. Pour les risques sur les fournisseurs, on s'appuie sur 4 sources de données :

• Risque géographique : indices publics de droits du travail, de corruption et d'état de droit (indice des droits dans le monde de la Confédération syndicale internationale, indice de perception de la corruption de Transparency International, indicateurs de gouvernance de la Banque mondiale). Le pays d'implantation modifie mécaniquement la probabilité d'une atteinte — sans jamais présumer de la situation d'un établissement donné.
• Risque sectoriel : OCDE, OIT, ONG sectorielles publient des cartographies sectorielles (textile, cosmétique, automobile, électronique, agroalimentaire, minier). Le secteur minier a un profil de risque très différent du secteur des services informatiques.
• Risque spécifique du fournisseur : historique des incidents, audits passés, signalements reçus, médiatisation.
• Risque structurel : taille et moyens du fournisseur, maturité de sa propre démarche, présence d'une représentation des salariés, certifications détenues, et dépendance économique à votre égard — un fournisseur dont vous représentez 80 % du carnet subit vos conditions de prix et de délai.

Pour un grand groupe industriel, la cartographie complète peut produire plusieurs milliers de couples fournisseur × risque. Tout traiter en parallèle est inefficient. La pratique consensus consiste à :

1. Identifier les zones rouge et orange de la matrice (scores ≥ 13). Typiquement, c'est 5 à 15 % des couples — c'est sur eux qu'on concentre les ressources.
2. Appliquer Pareto 20/80 : 20 % des fournisseurs concentrent généralement 80 % du risque significatif. La cartographie identifie ces 20 %.
3. Plan d'action priorisé : pour chaque risque rouge, une action immédiate (audit surprise, demande d'explication, plan de remédiation, suspension partielle des commandes).
4. Plan d'action programmé pour les risques orange : audit dans les 6 mois, formation, intégration dans le contrat à renouvellement.
5. Surveillance pour les zones jaunes et vertes : revue annuelle, contrôles aléatoires.

Cette logique est compatible avec l'OCDE : elle ne demande pas de tout traiter en même temps, mais de tout cartographier et de prioriser intelligemment. La capacité à démontrer ce raisonnement est ce que le juge cherchera en cas de contentieux.

Un marché d'outils s'est constitué autour de la cartographie des risques fournisseurs. Les noms changent au rythme des rachats, et un catalogue serait périmé avant d'être lu : mieux vaut raisonner par fonction attendue. Quatre briques, qu'on peut acquérir séparément ou combinées :

Soit un groupe textile de taille intermédiaire, disposant d'environ 8 000 références fournisseurs dont 1 500 actifs de rang 1, répartis entre Europe, Asie et Afrique du Nord. Voici l'enchaînement :

1. Inventaire : extraction de l'ERP achats, segmentation par catégorie (matières premières, confection, accessoires, logistique, services).
2. Pré-scoring géographique et sectoriel à partir d'indices publics : 320 fournisseurs ressortent en zone de risque élevé, 410 en risque modéré. À ce stade, on n'a encore évalué personne — on a seulement décidé par qui commencer.
3. Sollicitation d'une évaluation documentaire pour les 1 500 fournisseurs de rang 1. Le taux de retour est toujours le premier obstacle : un fournisseur qui ne répond pas n'est pas un fournisseur conforme, c'est un fournisseur non évalué, et cela doit apparaître comme tel dans le tableau de bord.
4. Audits sociaux sur site pour les 320 établissements en zone à risque élevé : 23 sites présentent des non-conformités majeures — dépassements d'horaires, entrave à la représentation des salariés, rémunération inférieure au minimum local.
5. Plan d'action gradué : plan de remédiation avec échéances pour les 23 sites, suspension des commandes pour les manquements les plus graves non corrigés, et en dernier recours désengagement responsable — préavis long et accompagnement, jamais rupture brutale.

Ce qu'il faut retenir de l'enchaînement : on cartographie tout, on évalue largement, on audite étroitement, et on agit de façon graduée. Chaque étape réduit le volume traité et augmente la profondeur d'analyse. C'est cette logique d'entonnoir documenté que le juge cherche à retrouver — bien plus qu'un budget ou un taux de couverture.