Risque potentiel, risque avéré, risque matérialisé : trois états à ne pas confondre

Dans une note de veille, les trois expressions circulent presque comme des synonymes. Un même dossier est décrit comme un risque potentiel au premier paragraphe, comme un risque avéré au troisième, puis comme un risque matérialisé dans la recommandation, sans qu'aucun fait nouveau n'ait été apporté entre les deux. Cette dérive n'est pas une faute de style, c'est une confusion de statut.

Elle a des conséquences concrètes. Un destinataire qui lit risque avéré comprend que le fait est établi et qu'une décision lui est demandée. S'il découvre ensuite que l'expression désignait une inquiétude étayée par deux articles de presse, il perd confiance dans l'ensemble du dispositif, et cette perte de confiance ne se répare pas par une note rectificative.

Ce repère délimite les trois notions, les distingue de leurs voisines et énonce les critères qui font basculer un dossier d'un état au suivant. Les travaux de méthode de l'Observatoire de l'Intelligence Économique sur la qualification et les cas rapportés par Le Fil de la Veille fournissent le matériau de cette clarification. L'objectif est qu'un lecteur puisse énoncer les trois définitions sans hésitation après lecture.

Ce que la gradation décrit : un statut de connaissance, pas une intensité

La première erreur consiste à lire la série comme une échelle de gravité, du moins grave au plus grave. Ce n'est pas ce qu'elle décrit. Un risque potentiel peut porter sur un événement catastrophique et un risque matérialisé sur un incident mineur. La série ne classe pas des ampleurs, elle classe des états de connaissance et d'engagement.

Chaque état répond à une question différente. Le potentiel répond à la question de savoir ce qui pourrait arriver et sur quelle base on le pense. L'avéré répond à la question de savoir ce qui est établi. Le matérialisé répond à la question de savoir ce qui a eu lieu et quel dommage en résulte, ce qui relève déjà du constat.

La conséquence est méthodologique : passer d'un état au suivant n'est pas une aggravation, c'est un changement de nature de la preuve exigée. Une note qui glisse d'un état à l'autre sans nommer ce changement demande implicitement au lecteur d'accepter un raisonnement qu'elle ne montre pas, et lui laisse la charge de la vérification. Or cette charge est précisément ce qu'une note de veille existe pour lui épargner.

Le risque potentiel : une hypothèse documentée, sans fait établi

Un risque potentiel est une hypothèse construite : un enchaînement plausible entre une situation observée, une vulnérabilité identifiée et un dommage possible. Sa validité ne dépend pas de la certitude du dommage, mais de la qualité de la construction. Une hypothèse solide nomme la vulnérabilité, l'acteur susceptible de l'exploiter, le mécanisme et l'exposition de l'organisation.

Ce statut n'a rien de dévalorisant. C'est l'état normal de la plupart des objets d'une veille, et le seul qui autorise l'anticipation, puisqu'attendre l'établissement d'un fait revient à renoncer à agir en amont. Un dispositif qui ne produit que des risques avérés arrive systématiquement trop tard et se réduit à un service de constat.

L'exigence porte donc sur la formulation. Un risque potentiel s'écrit au conditionnel assumé, avec sa base explicite et son degré de confiance, et non au présent de l'indicatif. La différence entre une hypothèse de travail et une affirmation prématurée ne tient pas au contenu mais à la précision avec laquelle son statut est déclaré au lecteur. Un conditionnel explicite protège l'analyste autant que son destinataire.

Le risque avéré : un fait établi qui engage une décision

Un risque avéré suppose qu'un élément du raisonnement a cessé d'être hypothétique. Ce qui est établi n'est pas le dommage, qui n'a pas eu lieu, mais un fait constitutif : l'existence de la vulnérabilité, la présence d'un acteur, l'exposition effective, ou la survenue du même mécanisme ailleurs dans des conditions comparables. Le risque reste à venir ; sa base, elle, est vérifiée.

L'établissement du fait repose sur des sources primaires et sur une traçabilité. Une décision publiée, un document officiel, une pièce authentifiée, une observation directe horodatée valent établissement. Une convergence de reprises journalistiques remontant à une source unique n'en vaut pas, quel que soit le nombre de publications : la corroboration exige des chaînes d'information indépendantes. Le nombre de reprises mesure la diffusion d'une information, jamais sa solidité.

Il faut ajouter une précision souvent négligée : dans plusieurs corpus réglementaires, l'expression a un sens technique propre, avec ses propres critères. Une note de veille qui l'emploie sans indiquer son référentiel crée une ambiguïté coûteuse, car le lecteur juridique lui donnera le sens de son domaine plutôt que celui de l'analyste. La précaution consiste à écrire le référentiel employé, en une incise.

Le risque matérialisé : le dommage a eu lieu et la veille change de fonction

Un risque matérialisé n'est plus un risque au sens strict : c'est un dommage survenu. Le mot risque y reste par commodité de vocabulaire, alors que l'objet a changé. On ne surveille plus une éventualité, on constate une atteinte, on en mesure l'étendue et on documente son déroulement pour l'expliquer et en tirer des conséquences. La question utile n'est plus ce qui pourrait survenir, mais ce qui a été manqué et pourquoi.

Cette bascule modifie le rôle du dispositif de veille. La priorité passe de la détection à la reconstitution : établir la chronologie, conserver les pièces, identifier ce qui était connu et à quel moment, distinguer ce qui a été vu de ce qui a été compris. La chaîne de garde documentaire devient centrale, car les pièces seront relues par d'autres.

Elle modifie aussi l'usage des états antérieurs. Une organisation qui avait qualifié le risque en potentiel puis en avéré dispose d'une trace de son propre raisonnement, ce qui rend l'analyse rétrospective possible. Celle qui n'a jamais formalisé ces états reconstruit après coup une histoire cohérente, exercice qui produit surtout des conclusions rassurantes.

Les notions voisines que l'on confond avec ces trois états

Le danger et l'aléa désignent la source du dommage indépendamment de son exposition : une inondation possible est un aléa, la présence d'un site en zone inondable en fait un risque. La menace ajoute une intentionnalité : elle suppose un acteur qui vise. Confondre menace et risque conduit à attribuer une volonté à des phénomènes qui n'en ont pas. La menace se cartographie par acteurs, l'aléa se modélise par fréquence : les deux méthodes ne se substituent pas.

La vulnérabilité et l'exposition ne sont pas des états du risque mais ses composantes. Une vulnérabilité non exposée ne produit pas de risque, une exposition sans vulnérabilité non plus. Cette distinction évite une erreur fréquente : traiter la découverte d'une faiblesse comme un risque avéré alors que la question de l'exposition n'a pas été posée.

L'incident et le sinistre appartiennent au registre du dommage, donc au voisinage du risque matérialisé, avec une nuance d'échelle et de conséquence assurantielle. Quant à la probabilité, elle qualifie l'estimation d'un risque potentiel et n'a pas de sens pour un fait établi : on n'attribue pas une probabilité à ce qui a déjà eu lieu. On lui attribue une ampleur, une imputabilité et un coût, qui sont d'autres grandeurs.

Les critères de bascule et ce qu'ils changent dans une note de veille

Trois critères font passer un dossier du potentiel à l'avéré : l'existence d'une source primaire vérifiable, l'indépendance des chaînes d'information qui la corroborent, et la démonstration de l'exposition de l'organisation concernée. Aucun des trois n'est un seuil quantitatif, et le nombre d'articles publiés n'en remplace aucun. Le franchissement se décide, se date et se consigne.

Ce franchissement suppose donc une décision explicite et un décideur identifié, ce qui en fait un objet de gouvernance avant d'être un objet de méthode. La matière première reste néanmoins la couverture : NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, distingue les reprises de la publication d'origine et ramène chaque signal à sa source, ce qui raccourcit le délai de qualification.

En rédaction, la gradation impose une règle simple : un seul état par objet dans une même note, annoncé dès la première phrase, avec la base qui le justifie. Le lecteur doit savoir ce qu'on lui demande, prendre une décision d'anticipation, arbitrer sur un fait établi ou organiser une réponse à un dommage. Ces trois demandes ne se mélangent pas. Une note qui les mélange oblige son lecteur à choisir seul, ce qui revient à ne rien lui demander.

Le passage d'un risque potentiel à un risque avéré n'est pas une montée en intensité : c'est une décision datée sur la solidité d'un fait, et elle a un auteur.

Questions fréquentes

Quelle est la définition d'un risque avéré en veille et en gestion des risques ?

Un risque avéré est un risque dont la base factuelle est établie par une source primaire vérifiable, corroborée par des chaînes d'information indépendantes, et dont l'exposition de l'organisation est démontrée. Le dommage n'a pas eu lieu : ce qui est acquis, c'est le fait qui rend le scénario réel, non sa réalisation.

Quelle différence entre risque potentiel et risque avéré ?

La différence porte sur le statut de la connaissance, non sur la gravité. Le risque potentiel est une hypothèse construite dont un élément au moins reste supposé. Le risque avéré repose sur un fait vérifié. Le passage de l'un à l'autre suppose un élément de preuve nouveau, pas une accumulation de mentions dans la presse.

Un risque matérialisé est-il encore un risque ?

Au sens strict, non : le dommage est survenu, l'objet devient un constat. L'expression subsiste par usage, mais elle décrit une situation où la veille sert à reconstituer une chronologie et à conserver des pièces plutôt qu'à détecter une éventualité. Confondre les deux fonctions conduit à surveiller ce qu'il faudrait déjà documenter.

Combien de sources faut-il pour qualifier un risque d'avéré ?

La question du nombre est mal posée. Dix reprises d'une même dépêche ne constituent qu'une seule chaîne d'information et ne valent pas corroboration. Deux sources primaires indépendantes valent davantage que vingt citations dérivées. Le critère est l'indépendance des chaînes et la nature primaire du document, jamais le décompte des publications.