Accueil›Blog›Registre des risques : ce qu'il contient et d'où vient chaque champ
FondamentauxDébutant
Publié le 13 septembre 2026 · Par Vincent KENNEL
Registre des risques : ce qu'il contient et d'où vient chaque champ
D'un référentiel à l'autre, un registre des risques compte de deux à quinze champs, sans qu'aucun texte normatif en vigueur n'en arrête la liste. Cet article rattache chaque colonne au document qui la prescrit et à l'étape qui la remplit.
En bref
Un registre des risques recense les risques identifiés d'un projet et sert à contrôler leur traitement. Aucune norme en vigueur n'en fixe les colonnes, ni ISO 31000:2018 ni NF ISO 21502:2021. Chaque étape du processus y dépose les siennes, de l'identifiant jusqu'aux dates de revue, et le format se déclare dans le plan de management des risques.
En revue de jalon, le registre des risques est souvent réclamé avant le planning. Il arrive, et personne ne sait dire d'où viennent ses colonnes : un modèle repris d'un projet précédent, un tableur hérité, une habitude d'entreprise. La question utile n'est pas de savoir s'il en manque une, mais de pouvoir défendre celles qui y sont.
Ce qu'est un registre des risques
L'ISO Guide 73:2009 en donne la seule définition normative que l'ISO ait jamais publiée : le registre des risques est l'« enregistrement des informations relatives aux risques identifiés ». Ce texte est aujourd'hui retiré, remplacé en 2022 par l'ISO 31073:2022, dont le vocabulaire ne reprend plus le terme.
La définition la plus ancienne disponible est aussi la plus exigeante, et elle vient de la construction britannique. Le guide Control of Risk, publié par le CIRIA en 1996 sous la référence Special Publication 125 et rédigé par Godfrey, pose le registre comme « a means of recording and controlling the risk management process ». Le second verbe change la nature de l'objet : ce n'est pas un inventaire, c'est l'instrument par lequel on contrôle le processus.
Le référentiel le plus spécialisé est aussi le moins bavard. Le standard risque du PMI, publié en 2019, consacre une seule phrase de glossaire à l'objet, « a repository in which outputs of risk management processes are recorded », et aucune liste de champs sur 194 pages.
Une confusion se lève ici. Registre des risques et journal des risques désignent le même objet : l'ISO Guide 73:2009 le note, le PMBOK Guide 7e édition (2021) l'écrit en toutes lettres, l'APM Body of Knowledge 8e édition (2025) donne « risk log » et « risk repository » comme équivalents, et la NF ISO 21502:2021 admet tout autre terme en usage dans l'organisation. Le nom relève de la convention interne.
Un objet voisin, en revanche, n'est pas le registre. Le PMBOK Guide 6e édition (2017) distingue le registre, qui porte le risque individuel, du risk report, qui porte le risque global et la synthèse.
Ce qu'il contient, et quand chaque champ se remplit
Un registre ne se remplit pas d'un bloc. Le PMBOK Guide 3e édition (2004) le pose en une phrase, « the risk register ultimately contains the outcomes of the other risk management processes as they are conducted » : chaque étape du processus y dépose ses propres champs. C'est ce qui explique que les listes publiées diffèrent autant. Elles photographient le même objet à des moments différents.
Le dire franchement évite bien des discussions : aucune norme en vigueur ne fixe la liste des champs, chaque référentiel propose la sienne. L'ISO 31000:2018 n'emploie jamais le mot sur ses 24 pages, l'ISO 31073:2022 ne le définit plus, et la NF ISO 21502:2021 ne le nomme que dans une note. Cette même NF ISO 21502:2021 donne pourtant, à sa clause 7.9.2, la liste complète du contenu du registre des points à traiter.
À l'identification
La première strate dépose l'identité, la description et l'attribution. Le PMBOK Guide 6e édition (2017) ne rend obligatoires que trois entrées, la liste des risques avec leur identifiant unique, leurs propriétaires pressentis et leurs réponses potentielles. Les huit autres champs qu'il décrit sont facultatifs, « depending on the risk register format specified in the risk management plan ». Le format est donc un paramètre déclaré, projet par projet, et non un standard à retrouver.
L'écart entre référentiels est spectaculaire, sans être un désaccord de fond. Godfrey, en 1996, exige deux éléments au minimum : décrire le risque, et consigner les actions de réduction possibles. Le guide du WSDOT de mai 2026 en aligne quinze sur un formulaire réellement en service, dont un identifiant issu d'une structure de décomposition des risques et une Lookout List pour les risques mineurs. Trente ans séparent les deux, et les trois gestes constants sont les mêmes : identifier, décrire, attribuer.
À l'évaluation
La deuxième strate dépose les critères d'appréciation et le rang. C'est là que l'usage courant s'écarte des textes. Le couple probabilité et impact, que répètent la plupart des contenus disponibles, est minoritaire dans les référentiels. La NF ISO 21502:2021 en pose trois à sa clause 7.8.3, « probability, consequence and proximity », et ajoute une exigence qu'aucune grille ne porte, l'appréciation des interrelations et des dépendances entre risques. PRINCE2 7 en pose quatre, avec la proximité et la vélocité, cette dernière estimant la vitesse à laquelle le risque produirait son effet. Le PMBOK Guide 6e édition (2017) y ajoute un rang, un propriétaire nommé et une watch list pour les risques de faible priorité.
Au traitement
La troisième strate dépose la réponse, son propriétaire et son économie. PRINCE2 7 sépare deux rôles que les autres textes confondent : le risk owner, qui porte le risque, et le risk action owner, qui exécute la réponse. Ce ne sont pas nécessairement les mêmes personnes, et les confondre revient à n'avoir personne de responsable de l'action.
La NF ISO 21502:2021 énumère à sa clause 7.8.4 sept mesures de traitement, dont l'usage d'une provision, dont le mécanisme financier relève d'un autre sujet. Godfrey, dès 1996, fait porter au registre le coût de l'action, sa praticabilité, son calendrier et le bénéfice attendu : l'économie de la réponse, et pas seulement la réponse.
Au suivi
La dernière strate ne dépose presque que des dates, et c'est elle qui distingue un registre tenu d'une liste. PRINCE2 7 y inscrit la date de journalisation, la date de dernière revue et les échéances d'action. Godfrey donne la seule cadence chiffrée disponible, une revue « at about six month intervals », ou avant toute décision majeure, en mettant en garde contre l'excès inverse, la « paralysis by analysis ». L'APM Body of Knowledge 8e édition (2025) ferme le cycle : tout risque se clôture, lorsqu'il s'est produit ou lorsqu'il ne peut plus se produire.
Ce qui a le droit d'y figurer
Entrer au registre est une décision, pas une évidence. Le standard risque du PMI (2019) la règle par un seuil déclaré, le risk threshold, « minimum level of risk exposure for a risk to be included in the risk register ». Le WSDOT en fait une procédure en cinq temps, avec une réserve qui mérite d'être reprise telle quelle : les risques peu probables mais à fort impact restent significatifs, quel que soit le seuil chiffré. Un seuil purement quantitatif les laisserait sortir.
La règle inverse est tout aussi utile. PRINCE2 7 demande de vérifier périodiquement que le registre ne contient aucune entrée qui ne soit plus incertaine. Le WSDOT le formule dans les mots d'une agence : un obstacle connu est une difficulté, pas un risque.
Une entrée, enfin, s'écrit comme une phrase et non comme un titre. Le PMI (2019), PRINCE2 7 et le WSDOT convergent sur la même armature : une cause, un événement incertain, un effet sur les objectifs.
Comment se lit la matrice qui l'accompagne
La grille se fixe projet par projet
Il n'existe pas de matrice standard, et les textes le disent explicitement. Le PMBOK Guide 6e édition (2017) décrit cinq crans en approche détaillée et trois en approche simple, place menaces et opportunités sur une même grille, et autorise une matrice par objectif. Le même guide fait fixer la grille par le plan de management des risques ; l'ECSS-M-ST-80C (2008) la fait établir par projet. Le WSDOT le démontre par l'exemple, en présentant le même registre avec une matrice 2x2 puis 5x5.
Lire une case
Une case ne donne pas une note, elle donne une magnitude à laquelle une conduite est attachée. L'ECSS-M-ST-80C (2008) est le seul texte à l'écrire ainsi. Il croise cinq degrés de gravité, de négligeable à catastrophique, et cinq degrés de vraisemblance, du minimum au maximum, puis range les cases en trois bandes. Aux plus hautes, « implement new team process or change baseline », c'est-à-dire changer la référence ou le processus. Aux intermédiaires, gérer activement. Aux plus basses, contrôler et surveiller.
La grille sert donc à décider quoi faire, pas à classer.
Criticité et matrice des risques, ce que dit l'usage français
Le vocabulaire professionnel français ne coïncide pas avec l'usage courant du web. Lors de la journée AFITEP du 29 mai 2007, Pierre Bonnal place côte à côte, dans la même liste d'outils, la « matrice d'occurrence-conséquences » d'une part et l'AMDEC, avec sa criticité, d'autre part. Cette lecture, professionnelle et non normative, range la criticité du côté de l'analyse des modes de défaillance ; la grille du projet, elle, s'appelle matrice d'occurrence-conséquences.
La même intervention donne des échelles chiffrées et, détail qui compte, non équidistantes : une probabilité graduée de 0,1 à 0,9, et un impact indexé sur la dérive constatée, 0,1 entre 1 et 5 % d'écart, 0,8 au-delà de 20 %. Une échelle ancrée sur des seuils mesurables se défend en revue. Une échelle d'adjectifs ne se défend pas.
Les deux axes de la matrice ne sont pas la totalité de l'appréciation. La NF ISO 21502:2021 pose la proximité en troisième critère et PRINCE2 7 y ajoute la vélocité : deux risques placés dans la même case peuvent appeler des conduites différentes selon leur échéance.
À quoi il sert sur un projet sous contrat
Dans les environnements où le projet est un engagement contractuel, le registre cesse d'être un outil interne. La NF X50-115:2017 le range d'ailleurs, sous le nom de registre des menaces et opportunités, parmi les livrables de management de projet, au même rang que le planning.
L'ECSS-M-ST-80C (2008) en fait un document signé : sa fiche de risque porte un cartouche « Agreed by project management », avec nom, signature et date. Le Gateway Review Handbook de l'OGC (version 2, avril 2002) en fait un objet de revue de jalon, que l'examinateur externe vient vérifier à la porte. Hopkin, dans Fundamentals of Risk Management (4e édition, 2017), rapporte que certaines organisations lui donnent le statut de controlled document, versé aux références de l'audit interne.
Autre surprise pour qui pense tableur : le registre n'est pas nécessairement un tableau. Deux traditions indépendantes posent explicitement deux objets, une fiche par risque et un tableau de synthèse. La NF X50-115:2017 les énumère l'une et l'autre en annexe, et la journée AFITEP de 2007 parle de registre hiérarchisé et de fiches de risque. L'ECSS-M-ST-80C (2008) fait de même, avec sa fiche par risque et son ranked risk log distinct. Le gabarit de Godfrey, en 1996, en portait déjà la structure, sur deux tables séparées.
Le point le plus directement applicable concerne le propriétaire. Le WSDOT écrit qu'en Design-Build, il faut préciser si le risque relève du maître d'ouvrage, du titulaire, ou des deux. PRINCE2 7 va plus loin : en contexte commercial, il peut être nécessaire de tenir plusieurs registres, certains risques n'appartenant qu'à une partie qui a de bonnes raisons de ne pas les rendre visibles à l'autre. Sur un marché, la première question n'est donc pas de savoir quelles colonnes tenir, mais de qui est le registre et qui le voit.
D'où vient le registre
Le registre des risques n'est pas né dans les normes de management du risque, et sa trace documentaire est plus courte qu'on ne l'imagine. Un relevé en plein texte sur les pièces disponibles donne la chronologie suivante.
Année
Pièce
Ce qu'elle établit
1987
PMI, Project Management Body of Knowledge
Aucune occurrence du terme
1991
Wideman, A Framework for Project and Program Management Integration, PMI
Aucune occurrence
1992
Max Wideman, Project and Program Risk Management, PMI
Aucune occurrence, dans un ouvrage entièrement consacré au risque
1992
APM, Project Risk Analysis and Management, mini guide republié en 2000
Aucune occurrence sur 11 pages
1994
Williams, International Journal of Project Management, vol. 12, n° 1, p. 17-22
Premier texte identifié portant le terme
1996
PMI, PMBOK Guide 1996
Aucune occurrence
1996
Godfrey, Control of Risk, CIRIA Special Publication 125
Première définition et premiers gabarits
1997
Kähkönen, A Framework for Applying Various Project Risk Management Methods and Tools, PMI
Aucune occurrence, le terme n'est pas encore universel
2000
PMI, PMBOK Guide 2000
Le terme entre, comme synonyme du plan de réponse
2002
OGC, Gateway Review Handbook, version 2
Le registre est déjà un acquis, employé sans définition
2004
PMI, PMBOK Guide 3e édition
Le registre devient un artéfact de plein exercice
2009
ISO Guide 73:2009
Première et seule définition normative ISO
2022
ISO 31073:2022
Le terme sort du vocabulaire ISO en vigueur
Le premier texte identifié qui porte le terme est un article de recherche de Terry M. Williams, paru en 1994 dans l'International Journal of Project Management et consacré à la phase obligatoire de définition des projets de défense. Son résumé interdit d'en faire l'origine : il note que la centralité du registre venait « recently » d'être remarquée. L'artéfact précède donc le texte, et ce relevé n'établit qu'une chronologie documentaire.
Deux ans plus tard, dans le même pays et sans qu'aucune pièce ne relie les deux, le guide Control of Risk du CIRIA (1996) publie la première définition et les premiers gabarits, dans le sillage du rapport Latham sur la construction britannique.
Chez le PMI, l'entrée du terme dessine une courbe et non une progression. Le PMBOK Guide 2000 l'introduit comme un simple synonyme du plan de réponse, né à la fin du processus. Le PMBOK Guide 3e édition (2004) inverse tout : le registre naît désormais à l'identification et devient un composant du plan de management de projet. Le PMBOK Guide 6e édition (2017) en fait l'apogée, avec 165 occurrences ; le PMBOK Guide 7e édition (2021) le range parmi les artefacts, avec dix.
Une dernière chose se lit dans cette histoire. Le registre est né registre de menaces : Godfrey, en 1996, définissait le risque comme la seule chance d'un événement défavorable, sans aucune opportunité. Tous les référentiels postérieurs y ont intégré l'opportunité.
En résumé
Devant un registre des risques, trois questions suffisent à savoir s'il tiendra en revue, et elles se posent dans cet ordre.
De qui est-il, et qui le voit ? La réponse est contractuelle avant d'être méthodologique, et elle commande tout le reste.
Quel texte prescrit chacune de ses colonnes, et où ce choix est-il écrit ? Le plan de management des risques est l'endroit prévu pour cela, chez le PMI comme à l'ECSS. Une colonne qu'on ne peut rattacher à aucun texte est une colonne héritée, pas une colonne choisie.
À quelle date chaque ligne a-t-elle été revue ? C'est la seule des trois dont la réponse se lit dans le registre lui-même.
Stop guessing. See the real impact.
Questions fréquentes
Q.Le registre des risques est-il obligatoire ?
Cela dépend du référentiel. Les normes ISO de management du risque en vigueur ne le nomment pas : l'ISO 31000:2018 ignore le terme et l'ISO 31073:2022 ne le porte pas davantage. La NF X50-115:2017, elle, en fait un livrable de management de projet.
Q.Registre des risques et plan de management des risques, quelle différence ?
Le plan déclare, le registre enregistre. Le PMBOK Guide 6e édition (2017) fait du format des colonnes un paramètre inscrit dans le plan de management des risques, déclaré projet par projet.
Références
AFITEP - Hervé Courtot - Le management des risques dans les projets - Pratiques et tendances - Journée du 29 mai 2007
AFNOR - NF X50-115 - Management de projet et de programme, présentation générale - Décembre 2017
AFNOR - NF ISO 21502:2021 - Recommandations sur le management de projet - Juin 2021
APM - APM Body of Knowledge - 8th edition, 2025
APM - Project Risk Analysis and Management (mini guide APM) - March 1992, republished January 2000
International Journal of Project Management - Terry M. Williams - Using the risk register to integrate risk management in project definition - vol. 12, no. 1, p. 17-22, 1994
ISO - ISO 31000:2018 - Management du risque, lignes directrices - 2nd edition, 2018
ISO - ISO 31073:2022 - Risk management - Vocabulary - 1st edition, 2022
ISO - ISO Guide 73:2009 - Management du risque, vocabulaire - 1st edition, 2009
Kogan Page - Paul Hopkin - Fundamentals of Risk Management: Understanding, Evaluating and Implementing Effective Risk Management - 4th edition, 2017
Office of Government Commerce - OGC Gateway Review handbook, gates 0, 4 and 5 - Version 2, April 2002
PMI - Kalle Kähkönen - A Framework for Applying Various Project Risk Management Methods and Tools - 1997
PMI - R. Max Wideman - Project and Program Risk Management: A Guide to Managing Project Risks and Opportunities - Preliminary Issue for Trial Use and Comment, 1992
PMI - Project Management Body of Knowledge - 1987
PMI - R. Max Wideman - A Framework for Project and Program Management Integration - Preliminary Edition for Trial Use and Comment, 1991
PMI - The Standard for Risk Management in Portfolios, Programs, and Projects - 1st edition, 2019
PMI - A Guide to the Project Management Body of Knowledge (PMBOK Guide) - 2000 Edition - 2000
PMI - A Guide to the Project Management Body of Knowledge (PMBOK Guide) - 1996 Edition - 1996
PMI - A Guide to the Project Management Body of Knowledge (PMBOK Guide) - Third Edition - 2004
PMI - A Guide to the Project Management Body of Knowledge (PMBOK Guide) - 7th Edition - 2021
PMI - A Guide to the Project Management Body of Knowledge (PMBOK Guide) - 6th Edition - 2017
WSDOT - Guide for Project Risk Management and Risk-Based Estimating - May 2026
