# Portrait de l'évolution de la gestion des risques dans les ministères et les organisations publiques au Québec de 2005 à 2013

## Portrait of the Risk Management Evolution in Departments and Public Organizations in Quebec, 2005-2013

Benoit Ladouceur et Étienne Charbonneau

Volume 13, numéro 1, 2016

URI : https://id.erudit.org/iderudit/1038831ar

DOI : https://doi.org/10.7202/1038831ar

Aller au sommaire du numéro

Éditeur(s)

Centre d'études en gouvernance de l'Université d'Ottawa

ISSN

1912-0362 (numérique)

Découvrir la revue

Citer cet article

Ladouceur, B. & Charbonneau, É. (2016). Portrait de l'évolution de la gestion des risques dans les ministères et les organisations publiques au Québec de 2005 à 2013. *Revue Gouvernance / Governance Review, 13*(1), 28-49.
https://doi.org/10.7202/1038831ar

Résumé de l'article

La gestion des risques est présentée comme un processus qui devrait avoir un impact positif sur la performance des organisations publiques; il est donc intéressant d'en dresser le portrait et de regarder en quoi sa mise en oeuvre est liée aux bonnes pratiques généralement reconnues. Cette étude se fonde sur les réponses au questionnaire annuel sur l'application de la *Loi sur l'administration publique* (LAP) du Secrétariat du Conseil du trésor (2004-2013). Dans le cadre du régime de performance établi par l'appareil administratif québécois, le processus de gestion des risques devrait être graduellement adopté par les organisations publiques, ce qui est démontré dans le présent article. Les organisations de grande taille devraient être les plus susceptibles d'adopter rapidement les processus proposés. Dans une certaine mesure, cela devrait aussi être le cas des organisations qui se dotent de ressources et appliquent certaines bonnes pratiques, comme le soutien de la direction à l'égard de la démarche ou la désignation de responsables du processus. On constate une progression lente, mais constante, de l'ensemble des indicateurs de maturité étudiés (processus, politique, étendue des champs d'application). Globalement, les ministères et les organismes de plus grande taille ont tendance à s'approprier certains outils de gestion de risque plus rapidement, mais les plus petits organismes réussissent à combler une partie du retard qu'ils accusaient dans un premier temps.
# PORTRAIT DE L'ÉVOLUTION DE LA GESTION DES RISQUES DANS LES MINISTÈRES ET LES ORGANISATIONS PUBLIQUES AU QUÉBEC DE 2005 À 2013

Par Benoit Ladouceuri et Étienne Charbonneauii

## Résumé

La gestion des risques est présentée comme un processus qui devrait avoir un impact positif sur la performance des organisations publiques; il est donc intéressant d'en dresser le portrait et de regarder en quoi sa mise en œuvre est liée aux bonnes pratiques généralement reconnues. Cette étude se fonde sur les réponses au questionnaire annuel sur l'application de la Loi sur l'administration publique (LAP) du Secrétariat du Conseil du trésor (2004-2013). Dans le cadre du régime de performance établi par l'appareil administratif québécois, le processus de gestion des risques devrait être graduellement adopté par les organisations publiques, ce qui est démontré dans le présent article. Les organisations de grande taille devraient être les plus susceptibles d'adopter rapidement les processus proposés. Dans une certaine mesure, cela devrait aussi être le cas des organisations qui se dotent de ressources et appliquent certaines bonnes pratiques, comme le soutien de la direction à l'égard de la démarche ou la désignation de responsables du processus. On constate une progression lente, mais constante, de l'ensemble des indicateurs de maturité étudiés (processus, politique, étendue des champs d'application). Globalement, les ministères et les organismes de plus grande taille ont tendance à s'approprier certains outils de gestion de risque plus rapidement, mais les plus petits organismes réussissent à combler une partie du retard qu'ils accusaient dans un premier temps.

## Abstract

Risk management is a process that should have a positive impact on a public organizations' performance. As such, it is desirable to offer an accurate portrait of the process and to review how its application is related to generally recognize best practices. This research paper is based on data from an annual questionnaire on the application of the Public Administration Act compiled by Quebec's Treasury Board Secretariat (2004-2013). Within the performance regime established by the Treasury Board Secretariat, risk management should gradually be adopted, as demonstrated in this document. Large organizations should be encouraged to adopt the proposed processes more quickly. To a certain extent, organizations dedicating resources, designating process owners or applying best practices as management support should also be more mature as far as their risk management processes are concerned. There is a slow but upward trend regarding all indicators of risk management maturity (process, policy, scope of applications) studied. Overall, large ministries and organizations tend to adopt risk management tools quicker than small ones, although small organizations have been known to catch up on their initial slower start.
## Introduction

Élus et gestionnaires prennent des décisions sur la base d'informations fragmentaires, dans un contexte d'incertitudes, en tentant de minimiser les coûts sans toutefois compromettre les critères de succès (Liang et Wey 2013 : 129; Yin et al. 2009 : 470). La gestion des risques est donc devenue un passage obligé pour diverses administrations publiques afin de minimiser l'impact de ces incertitudes. Cette pratique est enchâssée dans des cadres réglementaires ou insérée au sein de processus internes dans le secteur public, et l'exercice est présenté comme une démarche permettant à une organisation d'atteindre ses objectifs, même quand elle est confrontée à des aléas. Toutefois, malgré ces attentes élevées, peu d'études dressent empiriquement le portrait d'une démarche de gestion des risques et de ses caractéristiques, et plusieurs ne contestent pas la manière dont la gestion des risques est appliquée ou utilisent des variables simplistes pour la représenter (Mikes et Kaplan 2014 : 9). Ce travail de recherche s'attelle donc à dresser un portrait de l'ampleur des activités de gestion des risques dans les ministères et organismes publics du gouvernement du Québec. Il se penchera sur la manière dont la gestion des risques est mise en œuvre, sur la célité de celle-ci, les effets de la taille de l'organisation sur l'adoption de telles pratiques, puis sur l'influence de l'imputabilité et des ressources affectées au processus.

## Le risque

La gestion des risques se veut un outil prospectif qui permettrait d'optimiser l'allocation de ressources limitées, mais aussi de fournir une assurance raisonnable à l'égard de la réalisation des objectifs (IRGC 2013a : 12; Gouvernement du Québec 2005a : 18; Alviniussenet Jankensgard 2014 : 59; Braig et al. 2011 : 1). Cet effort d'anticipation, si réalisé adéquatement, permettrait de réduire la probabilité d'être frappé par un évènement imprévu et de préparer des plans de contingence (IRGC 2013b : 12; Gouvernement du Québec 2012a : 64). La gestion des risques permettrait aussi d'accroître les chances d'une organisation d'atteindre ses objectifs, de parfaire sa gouvernance ainsi que d'améliorer son efficacité et son efficience (Gouvernement du Québec 2014a : 41; Gouvernement du Canada 2010 : 2; Cooper 2010 : 19).

Il n'existe pas de définition unique et globalement acceptée du concept de risque dans les différentes entités formant l'administration publique au Québec. Pour la sécurité publique, le risque est une conséquence purement négative caractérisée par « la combinaison de la probabilité d'occurrence d'un aléa et des conséquences pouvant en résulter sur les éléments vulnérables d'un milieu donné » (Gouvernement du Québec 2008 : 44). Le risque peut aussi se référer à un impact négatif sur l'atteinte des objectifs
d'une organisation (Gouvernement du Québec 2014a : 1), ou à l'inverse revêtir une
dimension positive dans le cadre d'un projet (Infrastructure Québec 2013 : 3). Enfin, la
définition la plus large employée au Québec est celle qui est prônée par le Secrétariat du
Conseil du trésor (SCT), directement inspirée de la norme ISO 31000 (Secrétariat du
Conseil du trésor, page Internet A) : le risque est l'effet de l'incertitude sur l'atteinte des
objectifs d'une organisation (ISO 2009 : 1). Cette incertitude peut être probabiliste ou
épistémique (Howell et al. 2010 : 258), et c'est principalement cette dernière qui caractérise
la prise de décisions dans un contexte public (Lochte 2012 : 5). Le risque n'étant pas un
fait, mais bien une situation potentielle (Vatra et Jiroveanu 2010 : 518), son appréciation
vise à évaluer la conséquence potentielle et la probabilité d'occurrence d'un évènement
incertain (Scarlett et al. 2011 : 2). Dans la foulée de cette évaluation, la gestion des risques
permet l'application de stratégies de gouvernance du risque, dictées par la tolérance de
l'organisation. Le choix d'une stratégie adaptée présuppose une détermination et une
évaluation adéquate du risque (Ibid.; Rouillard 2003 : 1). Ces stratégies de gestion de
risques sont incluses dans la planification, qui vise à améliorer la performance,
notamment en prévoyant les changements dans l'organisation et son environnement
(Boyne 2010 : 61). Une idée centrale de la théorie de la planification (« planning theory »)
est que la raison peut être utilisée pour contrôler les comportements futurs et le succès de
l'organisation (Ibid.).

En tant que générateur de risques, régulateur et communicateur, le secteur public a des
responsabilités, ainsi que l'obligation, de réagir face aux incidents catastrophiques
majeurs (Cooper 2010 : 20). Les dirigeants d'une entreprise privée, eux, doivent
principalement assurer un rendement financier pour leurs actionnaires. L'un des défis
des administrations publiques est ainsi de composer avec des intérêts multiples, tout en
prenant certains risques qui seraient abandonnés par le secteur privé, alors que les
attentes pour une continuité de services essentiels dispensés de façon efficiente sont
présentes (Bock et Truck 2011 : 117; Government of British Columbia 2012 : 2). Les entités
publiques composent donc avec plusieurs types de risques, notamment opérationnels,
juridiques, politiques ou économiques (Benz et Sterchi 2001 : 45).

Afin de contrôler l'exposition aux risques de l'organisation, les citoyens pourraient
s'attendre à ce que des processus de gestion des risques soient solidement ancrés au sein
des administrations publiques. Or, cela ne serait pas le cas pour diverses raisons. Les
organisations publiques auraient une tolérance au risque moindre que les
administrations privées (Tabish et Neeraj Jha 2011 : 811; McPhee 2005 : 3; Messer et al.
2011 : 1096; Reynolds et al. 2009 : 72). Le secteur public souffrirait également d'une
aversion au risque. Cette aversion, jumelée à une absence de dynamiques de marché, aux
contraintes de personnel, à un degré élevé de contrôle hiérarchique et à un manque de
confiance managériale envers les employés, peut aboutir à une diminution de la capacité
de résolution de problèmes (Chen et Bozeman 2012 : 394). La présence de nombreuses règles, d'un faible pouvoir discrétionnaire et d'un manque de confiance des gestionnaires exacerbent la réticence des entités publiques à prendre des risques (Ibid. : 379). Ceci vient réduire la capacité d'adaptation lors de situations à cinétique rapide, favorisant des stratégies de gestion en amont. De par leur nature procédurale, les organisations publiques peuvent être moins agiles et flexibles (Braig et al. 2011 : 3). Les organisations qui sont matures ont également tendance à privilégier le statu quo, ce qui peut les amener à prendre moins de risques (Cooper 2010 : 50).

La gestion des risques fait aussi l'objet de critiques, puisqu'elle recourt à des outils d'une rigueur variable. Power (2009 : 851) souligne le tiraillement de la discipline entre une composante rigoureuse, où l'analyse est une science, et la dimension subjective, où la gestion des risques est un processus susceptible d'être teinté par les différents appétits du risque des individus. L'idée est réitérée par Hubbard (2009 : 17). La littérature se montre encore plus critique sur un manque de définitions du risque, bien qu'il faille néanmoins agir concrètement pour le gérer (Power 2004 : 14). La gestion des risques est présentée comme un effet de mode que tous veulent adopter, alors qu'une solution toute faite appliquée à une organisation où la gestion des risques n'existait pas auparavant ne mènera pas à des résultats utiles (Ibid. : 40). En fait, il existe peu de preuves que plusieurs outils de gestion des risques soient réellement efficaces (Hubbard 2009 : 4).

## Régime de performance

La mise en œuvre de la gestion des risques dans les entités publiques se veut une tentative d'influencer la gouvernance. Au Québec, dans le cadre de la mise en œuvre et du suivi de la Loi sur l'administration publique, les relations intragouvernementales entre le Secrétariat du Conseil du trésor et les ministères et organismes du gouvernement se qualifient comme étant un régime de performance (Talbot 2010 : 81). Talbot mentionne deux composantes d'un tel régime : un contexte institutionnel qui présente les entités qui ont un devoir de jouer dans la gouverne des organisations et des programmes, et la nature des interventions devant appuyer la performance recherchée.

En vertu de son rôle de conseiller au niveau de la gestion des ressources de l'État, le SCT opère dans cette perspective. Il a la responsabilité de l'application d'une démarche rigoureuse de gestion des risques (Secrétariat du Conseil du trésor 2004 : 40), et l'application ainsi que la mise en œuvre de la LAP lui incombent. Il s'agit donc d'interventions du SCT visant à améliorer la performance des entités publiques. Quatre leviers d'influence à la disposition d'un organisme public prenant part à un régime de performance sont énumérés; soit la collecte d'information (« nodality »), l'autorité légitime (« authority »), les ressources financières (« treasure »), et le contrôle sur
les ressources (« *organization* ») (Talbot 2010 : 99). Ces outils peuvent être de nature plus
ou moins coercitive, mais doivent permettre de faire avancer les objectifs de
l'organisation. Pour Talbot, les organismes centraux (« *core executive* »), comme le SCT ont
accès, dans le cadre de leur mandat, à chacun des quatre leviers (Ibid. : 101). Dans le
contexte de la LAP, le SCT semble préconiser le levier d'autorité, puisqu'il utilise une loi
pour mesurer la performance et encadrer les devoirs des différentes entités. Toutefois,
contrairement à d'autres exigences clairement mentionnées, comme un plan stratégique
et la déclaration de services aux citoyens, la LAP ne comprend aucune obligation
d'appliquer la gestion des risques, ce qui amoindrit la force du levier. Les questions sur
la gestion des risques représentent une collecte d'informations ainsi qu'un levier, qui
n'est toutefois pas lié à l'octroi de ressources et n'entraîne pas de conséquences négatives
en cas de refus d'obtempérer. Il faut noter que l'un des moteurs favorisant l'implantation
d'un processus de gestion des risques dans les organisations privées est la présence de
requis réglementaires (Lundquist 2014 : 148). Théoriquement, leur absence pourrait
entraîner une adoption lente de la gestion des risques. La présence d'un cadre
réglementaire forçant la mise en œuvre de certaines pratiques peut avoir un impact
négatif, notamment une institutionnalisation de la culture liée à ce processus (Ohemeng
2011 : 469) et un désir de travailler uniquement pour satisfaire les règles (Ibid. : 478).
L'adoption non coercitive d'un règlement pourrait donc agir sur son réel degré de mise
en œuvre. Le conditionnel est employé, car il faudrait mener des recherches plus
approfondies pour établir empiriquement le pouvoir que les régimes de performance
détiennent sur une multitude d'organisations (Talbot 2010 : 101).

Devant cette incertitude empirique sur l'efficacité de la gestion des risques dans un régime de performance, il convient de dresser un portrait de sa mise en œuvre et des facteurs susceptibles de l'influencer, et ce, afin de laisser à des travaux de recherche ultérieurs le mandat de valider ses effets. C'est ce que nous ferons dans les prochaines parties en nous intéressant aux ministères et organismes du gouvernement du Québec.

Meilleures pratiques en matière de gestion des risques

Il existe dans la littérature un foisonnement de critères, de pratiques et de moyens à
employer pour assurer la mise en œuvre et l'efficacité d'un processus de gestion des
risques. Ces principes sont parfois issus de la recherche, mais souvent également de la
pratique ou de purs exercices de réflexion, sans fondement empirique. Pour mettre en
œuvre un processus de gestion des risques efficace, l'un des éléments les plus présents
dans la littérature est la nécessité d'obtenir l'appui constant de la direction ou des
dirigeants (Lundquist 2014 : 173; Department of Homeland Security 2010 : 7; Berg et
Tideholm 2012 : 16). Ce soutien doit s'articuler avec l'attribution de ressources suffisantes
(Goy 2014 : 193). Des investissements sont ainsi requis pour entraîner, communiquer,
promouvoir et appuyer le processus de gestion des risques, et ils peuvent prendre la
forme d'une équipe dédiée au déploiement de la solution (Performance Management
Network 1999 : 6). Pour être efficace, la gestion des risques doit être globale, systématique
et structurée (ISO 2009 : 7; Berg et Tideholm 2012 : 2; Lundquist 2014 : 155; Performance
Management Network 1999 : 21). La présence d'un responsable désigné et capable de
comprendre le risque pour le mitiger devrait être associée à une meilleure adoption de la
gestion des risques (Mikes et Kaplan 2014 : 6; Nocco et Stulz 2006 : 10).

Dans cet article, nous mettons à l'essai, dans les règles, les trois hypothèses suivantes :

1. La mise en œuvre d'un processus de gestion des risques devrait s'améliorer avec le temps. La progression devrait cependant suivre un rythme moindre que d'autres indicateurs qui sont explicitement cités dans la *Loi*, ce qui concorderait avec la théorie sur un régime de performance (Talbot 2010 : 99).

2. Le processus de gestion des risques serait plus mature dans les organisations de grande taille, hypothèse émanant d'une réflexion du SCT (Gouvernement du Québec 2009 : 31). Cette tendance s'étant vérifiée dans les dernières années des rapports, il convient de revenir sur les périodes qui ne furent pas couvertes de la sorte. Étant donnée leur taille, les ministères, ainsi que les organismes offrant des services à la population, devraient ainsi être plus matures en matière de gestion des risques, hypothèse reflétée dans cet article par la variable Typologie.

3. Les organisations désignant un responsable et fournissant des ressources devraient être plus matures en matière de gestion des risques. Ceci vient rejoindre la littérature (Lundquist 2014 : 173; Goy 2014 : 193).

Données et méthodologie

L'échantillonnage visé est l'ensemble des ministères et organismes du gouvernement du Québec qui ont répondu au questionnaire « Collecte d'information concernant l'application de la *Loi sur l'administration publique* » au cours des exercices 2004-2005 à 2012-2013. Il s'agit là d'une tâche à laquelle les entités sont soumises en vertu de l'article trois de la *Loi sur l'administration publique* (Gouvernement du Québec 2004-2014).

Les données sont colligées annuellement par le SCT, qui les regroupe, puis les traite pour
produire un rapport anonymisé qui est présenté au président de l'Assemblée nationale.
Les données utilisées dans ce travail de recherche ont été obtenues par le biais de
demandes en vertu de la *Loi sur l'accès à l'information*, puis rassemblées dans une base de
données unique. Un contrôle aléatoire a ensuite été effectué sur 10 pour cent des données,
afin de s'assurer de leur justesse. Une typologie a également été créée pour distinguer les
ministères des organismes et de voir ainsi s'il est possible de relever des tendances en
matière de gestion des risques selon le type d'entité.
<table><caption>Tableau 1. Description de la variable Typologie</caption><thead><tr><td>Type d'organisation</td><td>Nombre</td><td>Description</td></tr></thead><tbody><tr><td>Ministère central</td><td>4</td><td>Ministères responsables de l'encadrement de l'appareil d'état (Finance, Conseil exécutif, Conseil du trésor et Services gouvernementaux)</td></tr><tr><td>Ministère sectoriel</td><td>20</td><td>Ministères responsables d'un secteur précis de l'administration publique</td></tr><tr><td>Organisme public (services aux citoyens)</td><td>22</td><td>Organismes dont le mandat principal est d'interagir avec les citoyens et de leur offrir des services</td></tr><tr><td>Organisme public (services aux entités)</td><td>45</td><td>Organisme consultatif dont le mandat principal est d'appuyer d'autres entités de l'administration publique</td></tr></tbody></table>

Puis des tests statistiques ont été menés pour dégager certaines tendances, statuer sur les différences et mettre à l'essai nos hypothèses inspirées par la littérature. Le principal outil d'analyse est la méthode exacte de Fisher, un test solide pour traiter les échantillons de petite taille qui permet de déterminer si des différences statistiquement importantes peuvent être observées entre deux distributions. Il faut également souligner que les données du SCT permettent de mesurer l'application de pratiques, telles que déclarées par les entités, plutôt que la qualité réelle de la démarche. Afin d'établir les corrélations dans des distributions asymétriques, nous avons privilégié le coefficient de corrélation des rangs de Spearman. Enfin, nous avons recouru au test de Kruskal-Wallis, non paramétrique, pour valider la présence de relations entre une variable catégorique et une variable ordinale.

# Résultats

## Progression du processus

Selon les données du SCT, l'application de la gestion des risques était en hausse entre 2004 et 2013, comme illustrée ici à la figure 1, en fonction de la variable Typologie. Il faut noter que cette figure intègre la réponse à deux questions, soit si un processus intégré est en place (exercices 2004-2005 à 2007-2008) et si l'entité a conduit des activités de gestion des risques (exercices subséquents), puisque le libellé du questionnaire a été modifié.
<figure><img src="image_1.png" /><figcaption>Figure 1. Évolution de la gestion des risques</figcaption></figure>

Source : Calculs des auteurs

Les éléments obligatoires en vertu de la LAP, comme la rédaction d'un plan stratégique et d'un rapport annuel de gestion, sont associés à des taux plus élevés. La rédaction de ces deux plans est réalisée à plus de 95 pour cent, et ce, dès l'exercice 2005-2006 (Gouvernement du Québec 2006 : 17, 19).

Des outils encadrants sont nécessaires lors de la mise en œuvre d'un processus. À ce titre, une politique de gestion des risques est un document important qui permet souvent de présenter l'étendue et les étapes du processus, d'identifier la structure de gestion des risques, etc. Il est possible de voir la présence accrue d'une politique de gestion des risques au fil des ans, passant de 12,8 pour cent des entités en 2005-2006 pour atteindre un maximum de 42,9 pour cent pour l'exercice 2011-2012. Il faut toutefois souligner une légère diminution au cours de l'exercice 2012-2013, la proportion passant alors à 40,7 pour cent. Malgré une progression graduelle de la proportion d'entités ayant développé une politique de gestion des risques, il faut garder à l'esprit qu'elle demeure faible. Au niveau de la présence d'une politique de gestion des risques, seules quelques relations statistiquement significatives émergent. Pour l'exercice 2008-2009, les ministères ont davantage tendance à avoir développé pareille politique (méthode exacte de Fisher 0,039). Pour l'exercice 2009-2010, les ministères sectoriels et les organismes fournissant des services à la population ont davantage tendance à avoir une politique en place (méthode exacte de Fisher 0,013). Pour l'exercice 2010-2011, les ministères et les
organismes offrant des services à la population ont davantage tendance à avoir une politique de gestion des risques (méthode exacte de Fisher 0,017). Pour l'exercice 2012-2013, les ministères sectoriels et les organismes chargés de fournir des services aux citoyens ont plus souvent répondu positivement à la question (méthode exacte de Fisher 0,046).

## Ressources

Selon la littérature, le soutien de la direction et l'octroi de ressources demeurent des facteurs de succès critiques pour la mise en œuvre d'un processus. Il faut toutefois souligner que dans la majorité des exercices, ces éléments n'étaient pas mesurés dans les questionnaires.

Pour l'exercice 2005-2006, une série de questions couvre la distribution des responsabilités en matière de gestion des risques. Plusieurs énoncés traitent de bonnes pratiques qui ont été identifiées, tels le soutien de la direction, l'attribution de ressources, un processus englobant et la communication.

Ainsi, l'appui de la direction aux gestionnaires devrait favoriser les efforts de mise en œuvre. Cette variable est en relation statistiquement significative avec la présence d'un processus de gestion des risques (méthode exacte de Fisher 0,041). La promotion de la gestion des risques par la direction et l'appui aux gestionnaires sont également associés à la mise en œuvre d'une politique de gestion des risques (méthode exacte de Fisher de 0,002 et 0,031). L'appui de la direction augmente ainsi la propension à avoir développé un processus ou une politique. Les données rejoignent donc la théorie (Lundquist 2014 : 173; Goy 2014 : 193). Le tableau suivant illustre les relations entre l'appui de la direction et certains comportements des gestionnaires des organisations.
<table><caption>Tableau 2. Relations entre le soutien de la direction et les activités des gestionnaires (méthode exacte de Fisher)</caption><thead><tr><th></th><th>Gestionnaires<br>S'approprient<br>la démarche<br>et la suivent<br>activement.</th><th>Gestionnaires<br>Déterminent<br>et évaluent les<br>risques et les<br>contrôles de<br>leur secteur<br>d'activité.</th><th>Gestionnaires<br>Suivent<br>l'évolution<br>des risques.</th><th>Gestionnaires<br>Responsables<br>de<br>l'application<br>de mesures<br>liées au<br>contrôle et à<br>la gestion des<br>risques de<br>leur secteur<br>d'activité.</th><th>Gestionnaires<br>Rendent<br>compte à la<br>direction de la<br>gestion des<br>contrôles et<br>des risques.</th></tr></thead><tbody><tr><td><strong>Direction</strong><br>Assure la<br>promotion de la<br>gestion des risques<br>au sein de<br>l'organisation.</td><td>0,143</td><td>0,080</td><td>0,366</td><td>0,014</td><td>0,366</td></tr><tr><td><strong>Direction</strong><br>Appuie les<br>gestionnaires dans<br>la mise en place du<br>processus de<br>gestion des risques.</td><td>0,000</td><td>0,084</td><td>0,001</td><td>0,006</td><td>0,001</td></tr><tr><td><strong>Direction</strong><br>S'assure que<br>l'organisation<br>développe<br>l'expertise en<br>matière de gestion<br>des risques.</td><td>0,737</td><td>0,179</td><td>0,326</td><td>0,087</td><td>1,000</td></tr><tr><td><strong>Direction</strong><br>Suit la progression<br>de l'application de<br>la démarche de<br>contrôle et de<br>gestion des risques.</td><td>0,021</td><td>0,003</td><td>0,043</td><td>0,000</td><td>0,009</td></tr><tr><td><strong>Direction</strong><br>Intègre la prise en<br>compte des risques<br>de l'organisation<br>dans ses activités<br>de gouverne.</td><td>0,072</td><td>0,037</td><td>0,004</td><td>0,244</td><td>0,000</td></tr></tbody></table>
Les données du SCT pour l'exercice 2005-2006 indiquent que l'appui direct de la direction aux gestionnaires, le suivi sur la progression de la gestion des risques ainsi que son intégration à la prise de décision ont des effets plus marqués sur les pratiques en la matière du personnel-cadre. À l'inverse, se contenter de s'assurer que l'organisation développe une expertise en matière de gestion des risques n'a que peu d'influence sur l'adoption du processus. Dans tous les cas où des relations statistiquement significatives sont soulevées, l'appui de la direction se révèle stratégique.

Selon la littérature, la présence d'un responsable de la gestion des risques devrait avoir un impact sur le niveau de maturité d'une entité (IRGC 2013a : 17; Government of British Columbia 2012 : 6). Pour l'exercice 2006-2007, 37 pour cent des entités reconnaissent avoir désigné un responsable. La distribution des valeurs de cette variable ne montre pas de relations significatives avec les variables Type et Typologie. Pour l'exercice 2006-2007, 10,9 pour cent des entités qui n'étaient pas dotées d'une personne responsable de la gestion possédaient une politique de gestion des risques, alors que cette proportion monte à 29,6 pour cent lorsqu'un responsable est désigné. Ce lien n'est toutefois pas statistiquement significatif. Pour le même exercice, 32,6 pour cent des entités sans responsable désigné ont un processus de gestion des risques alors que cette proportion atteint 81,46 pour cent lorsqu'un responsable est désigné, un lien qui est statistiquement significatif (méthode exacte de Fisher 0,000).

Ce ne sont que plusieurs années plus tard que des questions sur la présence de ressources reviennent dans les questionnaires. Pour l'exercice 2010-2011, seulement 27,4 pour cent des entités mentionnent avoir nommé un responsable de la gestion des risques; ce sont les ministères centraux et les organismes offrant des services à la population qui ont le plus tendance à avoir répondu positivement (méthode exacte de Fisher 0,01). Il s'agit là d'une diminution par rapport aux valeurs obtenues lors de l'exercice 2006-2007. Il n'existe pas de relation statistiquement significative entre la présence d'un responsable et l'étendue des champs d'application de la gestion des risques, toutefois, telle présence est associée à une plus grande probabilité qu'une entité soit dotée d'une politique ou d'un processus de gestion des risques, les résultats respectifs des tests exacts de Fisher étant significatifs à 0,001 et 0,013. Pour l'exercice 2012-2013, 51,9 pour cent des entités ont identifié un responsable de la gestion des risques. Sur un total de 65 entités pour l'exercice en question, seulement 54 ont répondu aux questions sur la présence d'un responsable (individu ou comité). De ces 54 entités, 24 soutiennent n'avoir ni responsable individuel, ni comité en charge de la gestion des risques. Ceci représente donc 44,4 pour cent d'entités sans réelle imputabilité, et ce, bien qu'elles appliquent un processus de gestion des risques (54,7 pour cent en tenant compte des entités n'ayant pas entrepris le processus). Pour ce dernier exercice, il n'existe pas de relations statistiquement significatives entre la présence d'un responsable (individu ou comité) et les variables
Type et Typologie. Toujours pour l'exercice 2012-2013, on voit l'absence d'un lien entre la présence d'un responsable ou d'un comité de gestion des risques et l'étendue des champs d'application. Par contre, la présence d'un responsable est normalement associée à une politique ou à un processus de gestion des risques (Tests exacts de Fisher significatifs à 0,000 dans les deux cas). De même, la présence d'un comité est également associée à l'existence d'une politique ou d'un processus, les résultats des tests exacts de Fisher appliqués étant significatifs à respectivement 0,001 et 0,000.

Pour les exercices 2011-2012 et 2012-2013, une estimation des ressources impliquées en gestion des risques est fournie par les entités. Pour l'exercice 2011-2012, les entités attribuent en moyenne 0,14 cadre (écart type 0,39) et 0,39 non-cadre (écart type 1,46) à la gestion des risques (en équivalent temps complet). Il convient de noter l'écart type très élevé dans les réponses, beaucoup d'entités déployant peu ressources ou aucune alors que certaines en déploient un grand nombre. Dans les deux cas, le coefficient d'asymétrie (« skewness ») des distributions est positif (5,9 et 7,2), ce qui laisse voir un centre de masse de la distribution centré sur les valeurs plus faibles. Pour l'exercice 2011-2012, une relation statistiquement significative est présente entre l'étendue des champs d'application et le nombre de personnels réguliers (coefficient de corrélation des rangs de Spearman 0,0387), mais non lorsque le nombre de personnels d'encadrement est employé, que ce soit de façon isolée ou en combinant le nombre total de personnel régulier et d'encadrement. Pour l'exercice 2012-2013, le format des réponses au sujet des ressources est passé d'une variable continue à une variable ordinale, ce qui vient limiter les comparaisons.

Il existe une relation statistiquement significative entre les ressources d'encadrement et la variable Typologie, les organismes offrant des services aux autres entités étant surreprésentés dans la catégorie qui réserve moins de 0,1 ressource d'encadrement à des activités de gestion des risques. Ce lien n'est pas maintenu en ce qui a trait aux ressources régulières. Pour cet exercice, il n'y a pas de relation statistiquement significative entre le nombre de ressources affectées et l'étendue des champs d'application de la gestion des risques, ce qui peut toutefois provenir du caractère restrictif du test employé, la méthode exacte de Fisher.

En résumé, l'imputabilité du processus de gestion des risques, qu'il s'agisse d'un individu ou d'un comité, semble davantage liée à la présence d'une politique, mais pas nécessairement à une plus grande étendue des champs d'application.
# Champs d'application de la gestion des risques

La gestion des risques peut, par définition, être appliquée à un grand nombre de sphères. L'étendue des champs d'activité où elle intervient est un indicateur approximatif d'un processus global de gestion des risques. La figure 2 présente l'évolution des différents champs d'application au fil du temps.

<figure><img src="image_2.png" /><figcaption>Figure 2. Évolution du taux d'application de la gestion des risques par champs d'activité</figcaption></figure>

Source : Calculs des auteurs

On voit une augmentation graduelle de la proportion d'application de la gestion des risques à différents champs d'activités. Toutefois, sauf dans le cas des deux premiers exercices où les ministères avaient tendance à davantage appliquer la gestion des risques à certains champs, le type d'entité ne vient pas influencer la propension à appliquer la gestion des risques à un domaine précis. À l'exception de l'exercice 2006-2007, le type
d'entités n'a pas de portée sur l'étendue des champs d'application de la gestion des risques (test de Kruskal-Wallis de 0,0060).

# Discussion

## Progression du processus

Les efforts d'application ne semblent pas toujours égaux entre les différents types d'entités. Au début de la période d'étude, l'écart entre les ministères et les organismes était moindre, le type de préoccupations et d'efforts étant plus homogène. Ces constats contrastent nettement avec les années subséquentes, où nous assistons à un clivage entre les ministères et les organisations au niveau de la mise en œuvre de processus de gestion des risques. Ceci pourrait laisser sous-entendre que les ministères ont été des innovateurs de la première heure et que leur démarche a été adoptée plus rapidement. La diffusion d'innovations suit normalement une courbe en « S », où un petit nombre adopte l'innovation avant que le phénomène ne s'accélère et que la majorité des entités ne suivent la tendance (Rogers 2003 : 272). Puis, un plateau est atteint quand les dernières entités hésitent à adopter l'innovation. Les résultats présentés dans cet article ne semblent pas toujours suivre la courbe mentionnée par Rogers; la mise en œuvre d'une démarche de gestion des risques se fait de manière plus graduelle sans qu'un effet d'entraînement marqué surgisse, et on arrive même à une légère baisse lors de la dernière année. Il est possible que ce phénomène suive davantage la courbe de Mazmanian et Sabatier (1989 : 280) qui est présentée dans la figure 3.

<figure><img src="image_3.png" /><figcaption>Figure 3. Mise en œuvre cumulative d'une politique dans le temps</figcaption></figure>

Source : Mazmanian et Sabatier (1989 : 280).
Il est nécessaire de souligner que ces deux courbes sont normalement applicables à une population relativement fixe, ce qui permet de voir la mise en œuvre progresser au rythme prévu. Dans le cas du présent échantillonnage, des entités apparaissent et disparaissent tous les ans, ce qui peut venir gêner la diffusion de la démarche de gestion des risques ou fournir un portrait tronqué. Une hypothèse serait que les grandes organisations ont davantage tendance à appliquer des innovations (Rogers 2003 : 409). Ceci pourrait expliquer la plus grande maturité des ministères et des organismes offrant des services à la population, plus grands que les organismes-conseils, quoiqu'un rattrapage ait été observé au cours des dernières années. La mise en œuvre d'un processus peut s'essouffler et décroître avec le temps, phénomène qui peut être perçu ici dans certains indicateurs qui sont en légère décroissance pour le dernier exercice. Seul un suivi futur permettra de voir si les acquis en gestion des risques se maintiendront.

## Ressources

Le soutien de la direction semble avoir un impact sur les pratiques de gestion des risques qui sont déployées, et ce, au moins jusqu'au palier des gestionnaires. Sans pouvoir faire un lien avec la performance des organisations, il est possible de souligner que ceci rejoint la littérature. Il demeure impossible de vérifier si cette tendance se maintient dans le temps, comme cette question n'apparaît que pour un seul exercice, exercice qui est de surcroît placé relativement tôt dans la mise en œuvre de la démarche. Il faut également mentionner que le travail de leadership de la direction semble plus influent en matière de comportements adoptés que le type d'organisation (et donc indirectement de sa taille). L'imputabilité est cruciale afin de permettre le déploiement d'un processus de gestion des risques (Government of British Columbia 2012 : 6). Selon nos résultats, elle est associée à une plus grande présence de politiques et de processus de gestion des risques. Pour le seul exercice demandant clairement si la direction appuie la gestion des risques (2005-2006), moins de la moitié des organisations peuvent compter sur un soutien sans équivoque de leurs responsables, ce qui peut nuire à la mise en œuvre du processus et expliquer la lente progression de son adoption.

Dans l'ensemble, une faible proportion d'entités est dotée d'un responsable attitré à la gestion des risques. La présence d'un responsable passe de 37 pour cent en 2006-2007 à 27,4 pour cent en 2010-2011, avant de progresser jusqu'à 51,9 pour cent en 2012-2013. Cette tendance généralement à la hausse devrait permettre d'améliorer la performance des entités. Pour l'exercice 2012-2013, 44,4 pour cent des entités pratiquant la gestion des risques n'avaient pas de responsable désigné (individu ou comité). Cette proportion semble élevée puisqu'il s'agit d'un exercice neuf années après le début du suivi sur la mise en œuvre de la gestion des risques. Certes, comme nous l'avons indiqué, la présence d'un responsable n'est généralement pas liée à l'étendue des champs d'application de la
gestion des risques. Cependant, il existe des relations statistiquement significatives qui montrent que la présence d'un responsable ou d'un comité est associée à la présence de politiques ou de processus. Cela pourrait avoir un effet structurant sur l'application de la gestion des risques. Il est donc possible que l'imputabilité sur le processus de gestion des risques dans les organisations publiques mène à l'apparition de mécanismes administratifs, sans toutefois avoir un impact sur la maturité du processus en ce qui a trait à son aspect englobant. Cette application dans une perspective bureaucratique peut ne pas mener à de réels résultats (Jimenez 2013 : 585). Le suivi de la LAP se penche sur son application et non sur ses résultats; il n'est donc pas possible de relier la performance d'une organisation à la présence de ressources dédiées à la gestion des risques. Si le questionnaire avait été plus cohérent au fil des ans, il aurait été intéressant de tenter d'isoler l'effet de la présence d'un responsable, par exemple en faisant un suivi sur d'autres indicateurs, et ce, avant et après la désignation de la personne.

## Champs d'application de la gestion des risques

Comme mentionné dans la revue de littérature, la gestion des risques devrait être appliquée le plus largement possible afin de détecter ce qui pourrait faire dévier l'organisation de ses objectifs et en atténuer la portée. Il est important de noter que la tendance à mettre en œuvre la gestion des risques dans différents champs d'activité est généralement à la hausse. L'exercice 2009-2010 connaît une exception majeure, où une baisse substantielle s'est fait ressentir dans la majorité des champs d'activités sans qu'une raison précise puisse être identifiée. Des pistes explicatives ont été explorées sans succès, notamment un changement dans la LAP, une modification majeure des champs d'activités du questionnaire ou la tenue d'élections. La gestion des risques est le plus utilisée dans la gestion des processus d'affaires, la gestion des ressources et l'informatique, à l'inverse une proportion moindre d'entités y ont recourt dans la gestion de projet et les dimensions éthiques. Dans ce dernier champ, il s'agit d'une activité nouvellement ajoutée au questionnaire, ce qui peut expliquer sa plus faible adoption : quand de nouveaux champs d'activité apparaissent dans le questionnaire, la proportion des entités la tendance à être plus faible avant de progresser. Sans pouvoir statuer sur une raison profonde, nous subodorons que le questionnaire peut servir de moteur encourageant les entités à développer certains champs d'application de la gestion des risques, et ce, afin de mieux paraître face au SCT. À l'inverse, il est également possible de supposer que le questionnaire est rédigé en tenant compte des nouvelles préoccupations du SCT et que toute priorité est déjà communiquée par l'entremise d'autres canaux. En somme, il faut souligner la progression lente, mais constante de l'ensemble des indicateurs de maturité (processus, politique, étendue des champs d'application) qui sont présentés dans cet article. Globalement, les ministères et les organismes de plus grande
taille ont tendance à s'approprier plus rapidement certains moyens, mais les organismes de petite taille réussirent à combler une partie du retard qu'elles accusaient.

## Limites

Le questionnaire sur l'application de la LAP est une bonne source de données étant donné son taux de participation élevé dû à son caractère obligatoire; toutefois, certaines limites doivent être prises en compte :

a. Il s'agit de données autorapportées, même si elles sont vérifiées par un superviseur et contresignées par un sous-ministre;

b. la définition du concept de risque n'est pas normalisée;

c. le questionnaire manque de cohérence fil des ans, le libellé des questions de même que les thèmes abordés changent souvent, ce qui vient limiter la comparabilité d'une année à l'autre;

d. le questionnaire n'est pas une mesure de la qualité de la mise en œuvre de la démarche de gestion des risques; et

e. il n'y a pas de mise en relation avec les résultats des organisations.

## Conclusion

Il est possible d'affirmer que l'application de la LAP par le SCT constitue un régime de performance visant à améliorer la gouverne de l'administration publique québécoise. Si la gestion des risques n'est pas nommément mentionnée dans la *Loi*, le questionnaire sur sa mise en œuvre mesure plusieurs indicateurs connexes. Le SCT semble ainsi privilégier le levier de collecte d'information pour faire progresser les pratiques de gestion des risques. Les modifications au questionnaire sur la LAP, ainsi que la publication des résultats, peuvent être vues comme autant de tentatives visant à rectifier l'environnement procédural des entités et à leur faire adopter telle pratique.

L'intérêt et le soutien de la direction sont des facteurs de succès qui sont associés à plusieurs activités de gestion des risques que mènent les gestionnaires, tels que l'identification, l'évaluation et le suivi des risques. Ceci semble indiquer que l'appui de la direction est un réel facteur de succès, quoiqu'il soit impossible, à la lueur des présentes données, de le lier à la qualité des résultats du processus. L'imputabilité du processus semble également exercer une influence, car les entités dotées d'un responsable ou d'un comité de gestion des risques tendent davantage à s'être munies d'un processus ou d'une politique de gestion des risques. Toutefois, l'absence d'une réelle variable indépendante au niveau d'un indicateur de maturité ou d'efficacité de la gestion des risques limite les analyses d'impact de l'imputabilité sur l'utilité du processus.
Ce travail de recherche propose des pistes d'amélioration. Premièrement, les concepts de risque et de gestion des risques doivent être clairement définis et communiqués pour être appliqués. Deuxièmement, les définitions retenues devraient être les plus globales possible, et ce, afin de permettre aux différentes entités de les employer dans les contextes qui leur sont propres. Troisièmement, il faut nommer une personne responsable du processus ainsi que des propriétaires des différents risques, contrôles et les actions connexes. Quatrièmement, afin d'augmenter l'utilité des données générées par les ministères et organismes, le questionnaire du SCT pourrait être stabilisé dans le temps, et ce, de manière à permettre l'utilisation de réelles études longitudinales, plutôt que de simplement comparer l'évolution de certaines proportions. Des recherches futures pourraient alors mettre en relation les activités de gestion des risques des différentes entités et la performance atteinte, et ainsi statuer sur la contribution de ces activités à l'efficacité des organisations publiques.

La gestion des risques demeure un domaine en émergence qui ne bénéficie pas d'un vocabulaire consensuel, contrairement à d'autres dimensions de la gestion, axées sur les résultats. Toutefois, la littérature soutient généralement la thèse selon laquelle la gestion des risques apporte des bénéfices aux organisations publiques et privées. Dans l'ensemble, elle progresse à un rythme constant, bien que plus lent que d'autres éléments qui sont mentionnés clairement dans la LAP. Le levier d'influence de l'autorité semble donc plus efficace que celui de la collecte d'information. La proportion des champs d'application qui sont couverts par la gestion des risques tend aussi à croître. Les organisations de plus grande taille ont une plus grande propension à adopter les éléments de la démarche, ce qui vient rejoindre la théorie. Quant à l'étendue des champs d'application, perçue comme un indicateur de maturité, il semble que le déploiement davantage de ressources mène à une application inégale.

## Bibliographie

Alviniussen, Alf et Hakan Jankensgard. 2014. « Value and Risk – Enterprise Risk Management at Statoil ». John R.S. Fraser, Betty J. Simkins et Kristina Narvaez (dir.). *Implementing Enterprise Risk Management*. Hoboken, NY : Wiley, p. 59-73.

Benz, Martin et Martin Sterchi. 2001. « La gestion des risques dans le secteur public », *La Vie économique – Revue de politique économique*, 5 : 44-49.

Berg, Johan et Erik Tideholm. 2012. *Risk Management in the Norwegian Public Road Administration – A Case Study*. Göteberg : Chalmers University of Technology, p. 1-74.
Bock, Katrin et Stefan Truck. 2011. « Assessing Uncertainty and Risk in Public Sector Investment Projects », *Technology and Investment 2*(2): 105-123.

Boyne, George A. 2010. « Strategic Planning ». Rachel E. Ashworth, George A. Boyne et Tom Entwistle. *Public Service Improvement: Theories and Evidence*. New York, NY : Oxford University Press, p. 60-77.

Braig, Stephan, Biniam Gebre et Andrew Sellgren. 2011. « Strengthening risk management in the US public sector », *McKinsey Working Papers on Risk*, 28 : 1-13.

Chen, Chung-An et Barry Bozeman. 2012. « Organizational Risk Aversion: Comparing the Public and Non-Profit Sectors », *Public Management Review*, 14(3) : 377-402.

Cooper, Thomas. 2010. « Strategic Risk Management in the Municipal and Public Sector – An Exploration of Critical Success Factors and Barriers to Strategic Risk Management within the Province of Newfoundland and Labrador », *Research Project*, p. 1-89.

Department of Homeland Security. 2010. « Risk Management Practices in Public and Private Sector: Executive Summary ». Washington, DC, p. 1-9.

Gouvernement du Québec. 2005a. « Cinq années de gestion axée sur les résultats au gouvernement du Québec — Rapport sur la mise en œuvre de la *Loi sur l'administration publique* » . Québec, QC, p. 1-69.

Gouvernement du Québec. 2005b. « Rapport de la présidente du Conseil du trésor et ministre responsable de l'Administration gouvernementale sur l'application de la *Loi sur l'administration publique* – 2004-2005 » . Québec, QC, p. 1-53.

Gouvernement du Québec. 2006. « Rapport de la présidente du Conseil du trésor et ministre responsable de l'Administration gouvernementale sur l'application de la *Loi sur l'administration publique* – 2005-2006 » . Québec, QC, p. 1-56.

Gouvernement du Québec. 2008. « Concepts de base en sécurité civile » . Québec, QC, p. 1-60.

Gouvernement du Québec. 2009. « Rapport de la présidente du Conseil du trésor et ministre responsable de l'administration gouvernementale sur l'application de la *Loi sur l'administration publique* – 2008-2009 » . Québec, QC, p. 1-56.

Gouvernement du Québec. 2012a. « Rapport du président du Conseil du trésor et ministre responsable de l'Administration gouvernementale sur l'application de la *Loi sur l'administration publique* – 2011-2012 » . Québec, QC, p. 1-80.

Gouvernement du Québec. 2014a. « Guide sur la gestion axée sur les résultats » . Québec, QC, p. 1-62.
Government of British Columbia. 2012. « Risk Management Guideline for the BC Public Sector ». Vancouver, Colombie-Britannique, p. 1-22.

Goy, Jacquetta. 2014. « Developing Accountability in Risk Management – The British Columbia Lottery Corporation Case Study ». John R.S. Fraser, Betty J. Simkins et Kristina Narvaez (dir.). *Implementing Enterprise Risk Management*. Hoboken, NY : Wiley, p. 179-205.

Howell, David, Charlotta Windahl et Rainer Seidel. 2010. « A project contingency framework based on uncertainty and its consequences », *International Journal of Project Management*, 28(3) : 256-264.

Hubbard, Douglas W. 2009. *The Failure of Risk Management – Why It’s Broken and How to Fix It*. Hoboken, NY : Wiley.

Infrastructure Québec. 2013. « Guide méthodologique – La gestion des risques dans les grands projets d’infrastructure publique ». Québec, QC, p. 1-95.

International Risk Governance Council. 2013a. *Public Sector Governance of Emerging Risks – Hallmarks and drivers*. Lausanne, CH, p. 1-63.

International Risk Governance Council. 2013b. *Public Sector Governance of Emerging Risks – How can central governments improve their anticipation of and early response to emerging risks?* Lausanne, CH, p. 1-20.

International Standard Organization. 2009. « ISO 31000 Risk Management – Principles and guidelines on implementation ».

Jimenez, Benedict Salazar. 2013. « Strategic Planning and the Fiscal Performance of City Governments during the Great Recession », *The American Review of Public Administration*, 43(5) : 581-601.

Liang, Shuh et Wann-Ming Wey. 2013. « Resource Allocation and Uncertainty in Transportation Infrastructure Planning: A study of highway improvement program in Taiwan », *Habitat International*, 39 : 128-136.

Lochte, Sara. 2012. « Projects in Uncontrollable Environments – Uncertainty Management in Projects Pursuing Interests (PPIs) », *PM World Journal*, 1(3) : 1-15.

Lundquist, Anne. 2014. « Lessons from the Academy – ERM Implementation in the University Setting ». John R.S. Fraser, Betty J. Simkins et Kristina Narvaez (dir.). *Implementing Enterprise Risk Management*. Hoboken, NY : Wiley, p. 143-178.

Mazmanian, Daniel A. et Paul A. Sabatier. 1989. *Implementation and Public Policy* (3rd ed.). Lanham, NY : University Press of America.

McPhee, Ian. 2005. « Risk and Risk Management in the Public Sector ». Public Sector Governance & Risk Forum. Australia : Australian National Audit Office, p. 1-25.
Messer, Kent D., Gregory L. Poe et William D. Schulze. 2011. « The Value of Private versus Public Risk and Pure Altruism: an Experimental Economics Test », *Applied Economics*, 45(9) : 1089-1097.

Mikes, Anette et Robert S. Kaplan. 2014. « Toward a Contingency Theory of Enterprise Risk Management », *Working Paper 13-063*. Cambridge, MA : Harvard Business School.

Nocco, Brian W. et Rene M. Stulz. 2006. « Enterprise Risk Management: Theory and Practice », *Journal of Applied Corporate Finance*, 18(4) : 8-20.

Ohemeng, Frank Louis Kwaku. 2011. « Institutionalizing the Performance Management System in Public Organizations in Ghana », *Public Performance & Management Review*, 34(4) : 467-488.

Performance Management Network. 1999. *Review of Canadian Best Practices in Risk Management – Summary of Findings*.

Power, Michael. 2004. *The Risk Management of Everything – Rethinking the Politics of Uncertainty*. London, R.-U. : Demos, p. 73.

Power, Michael. 2009. « The Risk Management of Nothing », *Accounting, Organizations and Society*, 34(6) : 849-855.

Reynolds, Douglas B., Jacob Joseph et Reuben Sherwood. 2009. « Risky Shift Versus Cautious Shift: Determining Differences in Risk Taking Between Private and Public Management Decision-Making », *Journal of Business and Economics Research*, 7(1) : 63-79.

Rogers, Everett M. 2003. *Diffusion of Innovations – Fifth Edition*. New York, NY : Free Press, p. 535.

Rouillard, Lucie. 2003. « Trois visages de la gestion du risque pour un gouvernement », *Sources ENAP*, 18(1) : 1-3.

Scarlett, Lynn, Igor Linkov et Carolyn Kousky. 2011. « Risk Management Practices: Cross-Agency Comparisons with Minerals Management Service ». Washington, DC : Resources for the future, p. 1-56.

Secrétariat du Conseil du trésor. 2004. « Plan de modernisation 2004-2007 : Moderniser l'État – Pour des services de qualité aux citoyens ». Québec, QC, p. 1-118.

Tabish, Syed Zafar Shahid et Kumar Neeraj Jha. 2011. « Identification and Evaluation of Success Factors for Public Construction Projects », *Construction Management and Economics*, 29(8) : 809-823.

Talbot, Colin. 2010. *Theories of Performance: Organizational and Service Improvement in the Public Domain*. New York, NY : Oxford University Press.
Vatra, Nicusor et Daniel C. Jiroveanu. 2010. « Risk Management in Public Key Infrastructure », *Review of International Comparative Management*, 11(3) : 518-525.

Yin, Yafeng, Samer M. Madanat et Xiao-Yun Lu. 2009. « Robust Improvement Schemes for Road Networks under Demand Uncertainty », *European Journal of Operational Research*, 198(2) : 470-479.

## Sites Internet consultés :

Gouvernement du Canada. 2010. *Framework for the Management of Risk*.

http://www.tbs-sct.gc.ca/pol/doc-eng.aspx?id=19422&section=HTML. [Consulté le 16 février 2016].

Gouvernement du Québec. *Politique de gestion des risques*.

http://www.vgq.gouv.qc.ca/fr/fr_organisation/fr_fichiers/fr_politique_gestionrisques.do c.pdf. [Consulté le 16 février 2016].

Secrétariat du Conseil du trésor A. *Gestion des risques*.

http://www.tresor.gouv.qc.ca/cadredegestion/gestion-axee-sur-les-resultats/au-cours- du-cycle-mesurer-et-sameliorer/gestion-des-risques/index.html. [Consulté le 16 février 2016].

Secrétariat du Conseil du trésor B. *Conseil du Trésor*.

http://www.tresor.gouv.qc.ca/ministre-et-secretariat/ministre/conseil-du-tresor/. [Consulté le 16 février 2016].

<footnote>i Benoit Ladouceur est diplômé de la maîtrise à l'École nationale d'administration publique. Gestionnaire de risques pour une compagnie minière, il se passionne pour l'application des méthodes de sa discipline aux risques stratégiques et opérationnels dans le cadre de projets d'envergure.</footnote>

<footnote>ii Étienne Charbonneau est professeur agrégé à l'École nationale d'administration publique et membre du Centre de recherche sur la gouvernance (CERGO). Ses intérêts de recherche portent principalement sur la mesure et la gestion de la performance, l'étalonnage dans les organisations publiques et la satisfaction des citoyens.</footnote>