La structure de découpage des risques a désormais une branche IA

Votre registre des risques compte quarante lignes, il est à jour, et le projet vous a quand même surpris par un côté que personne n’avait regardé. Ce n’est pas rare et ce n’est pas la faute du registre. Un registre liste les risques un par un, et une liste à plat est précisément ce qui cache les trous.

Ce qu’est une RBS et en quoi elle diffère du registre

Le 15 septembre 2026 le PMI a publié un billet qui la définit avec précision. La structure de découpage des risques, la RBS selon son sigle anglais, est une carte hiérarchique et orientée sources de tout ce qui peut mettre votre projet en risque, organisée des catégories larges jusqu’aux origines précises.

L’analogie employée est celle qui l’explique le mieux. De même que la structure de découpage du projet organise le travail à faire, la RBS organise le risque que ce travail comporte. En haut se trouvent les catégories, classiquement technique, management, commercial et externe. Chacune s’ouvre en sous-branches plus précises, sur autant de niveaux que le projet en demande.

Et voici la distinction qu’il vaut mieux fixer, parce que presque tout le monde la saute. L’arbre nomme des sources, pas des risques. Les risques concrets et votre stratégie pour chacun continuent de vivre dans le registre, rattachés aux branches. La RBS ne remplace pas le registre, elle l’ordonne par origine pour que vous voyiez les grappes et les angles morts qu’une liste à plat recouvre.

D’après ce même billet, la discipline n’est pas nouvelle. Le guide pratique de management des risques du PMI traite la catégorisation par source comme un élément central, et le Guide PMBOK nomme la RBS comme un outil pour organiser le risque.

Où cela apparaît à l’examen

Dans le programme de juillet 2026, le risque vit dans Environnement d’affaires, le domaine qui pèse 26 pour cent, et non là où il se trouvait avant. Si cela vous semble nouveau, nous avons raconté tout le déplacement dans le billet sur Business Environment.

La tâche s’appelle planifier et gérer le risque, et elle compte sept habilitants. Identifier les risques, les analyser, les surveiller et les maîtriser, élaborer le plan de management des risques, tenir le registre des risques, exécuter le plan et communiquer l’état de l’impact d’un risque sur le projet.

Regardez le premier et le cinquième côte à côte. Identifier les risques et tenir le registre sont des habilitants distincts, et le programme les sépare exprès. La RBS travaille sur le premier. Le registre est le cinquième. Les confondre est l’erreur qui se paie dans les énoncés où l’équipe a revu le registre et où une menace que personne n’avait vue venir apparaît quand même.

Les quatre catégories classiques et les sept sources de risque IA viennent du billet publié par le PMI le 15 septembre 2026.

À quoi elle sert vraiment

Le PMI lui reconnaît trois usages et le deuxième est celui que la plupart des gens ratent.

Le premier est de couvrir toutes les sources. Les branches du haut servent de liste d’amorce dans les ateliers d’identification, pour qu’aucune catégorie entière ne passe sans être nommée. Le troisième est de rendre compte et de réutiliser, car les totaux remontent agrégés vers la direction et descendent dans le détail pour l’équipe, et le même arbre se réutilise d’un projet à l’autre pour comparer.

Le deuxième est de trouver où se concentre l’exposition, et il comporte un retournement. Vous rattachez chaque risque à sa branche la plus basse et vous totalisez par branche le score de probabilité par impact. Ce qui vous dit où regarder d’abord, c’est le total le plus élevé, pas le nombre le plus élevé. Une branche avec deux risques graves pèse plus qu’une avec quinze mineurs, et une liste triée par quantité vous envoie exactement du mauvais côté.

La branche que le PMI a ajoutée cette année

L’arbre classique suppose deux choses, que les systèmes se comportent de façon prévisible et que les décisions sont prises par une personne. L’IA casse les deux, avec un comportement probabiliste, une action autonome et des processus de décision parfois difficiles à expliquer.

La proposition du PMI n’est pas de refaire l’arbre. C’est de conserver vos catégories du haut et d’y accrocher une branche distincte, celle du risque lié à l’IA et aux systèmes intelligents, qui s’ouvre en sept sources.

Données, qui couvre qualité, biais, confidentialité, provenance et dérive. Modèle, qui couvre exactitude, robustesse, dérive, hallucination et calibrage. Autonomie, c’est-à-dire agir au-delà de l’autorité prévue, manquer l’escalade ou exécuter sans supervision suffisante. Explicabilité, c’est-à-dire opacité et difficulté d’audit. Gouvernance, c’est-à-dire responsabilité floue et contrôles faibles. Éthique, c’est-à-dire injustice, préjudice, mésusage et érosion de la confiance. Et cybersécurité propre à l’IA, qui comprend l’injection d’instructions, l’empoisonnement des données et l’accès non sécurisé aux outils.

Chaque source se définit, reçoit quelqu’un pour la surveiller, et la branche vient se placer à côté de celles que vous aviez déjà. Le standard IA du PMI, que nous avons détaillé en son temps, est le cadre plus large derrière tout cela.

Ce qui ne change pas

Le billet se termine sur trois principes qui valent pour n’importe quel arbre. Des sources et non des symptômes, parce que chaque branche doit nommer une origine capable d’engendrer de nombreux risques. Adapter l’arbre, parce qu’aucune RBS ne convient à tous les projets et que l’on part d’une générique. Et que chaque branche ait quelqu’un qui la regarde, parce qu’une source que personne ne surveille passe toute seule.

Il y a une phrase finale à emporter à l’examen comme au bureau. L’automatisation peut porter le registre et même recommander la réponse. Ce qu’elle ne porte jamais, c’est la responsabilité.

Rejoignez la liste d’attente

Chez The PM Architect nous écrivons les guides d’étude du PMBOK en cinq langues, avec des cas concrets de salle de cours et des exercices expliqués. Ils seront gratuits. Laissez votre e-mail sur la page d’accueil et nous vous préviendrons dès qu’ils seront disponibles.