Rentrée 2026 : la résilience, réponse à la superposition des risques

La rentrée n’est pas seulement scolaire. Pour les risk managers, elle favorise souvent les réflexions sur nos cartographies et les sujets à travailler ou à intégrer à nos exercices 2026 ou 2027.

Et dans la continuité des dernières années, il est fort à parier que les cartographies vont s’étoffer de nouveaux sujets, voire changer au moins en partie sur le plan méthodologique.

Ce qui frappe n’est pas l’apparition de nouveaux risques, mais leur superposition, qui change la nature de la réponse attendue : non plus un dispositif par risque, mais une résilience à développer. Tour d’horizon des sujets qui s’accumulent, avant d’y revenir.

Le World Economic Forum le formule sans détour dans son Global Risks Report 2026 : la confrontation géo-économique arrive en tête des risques susceptibles de déclencher une crise mondiale, et progresse encore à horizon deux ans. Guerre commerciale, guerre hybride, fragmentation des chaînes d’approvisionnement, instrumentalisation des dépendances critiques : la logique de coopération cède du terrain face à une logique de confrontation, avec des conséquences directes sur l’approvisionnement des PME et ETI exportatrices ou dépendantes d’importations.

Sur le plan national, l’incertitude est budgétaire et électorale. La présidentielle 2027 évidemment, avec de nombreux candidats déclarés ou pressentis, et des jeux instables en attendant les programmes, ralliements et nouvelles candidatures. Cette campagne se déroule en parallèle de l’examen des budgets 2027 de l’État et de la Sécurité sociale — un calendrier qui alimente déjà les craintes d’un blocage des arbitrages économiques. Pour les entreprises, c’est un horizon de visibilité réglementaire et fiscale réduit sur au moins douze mois.

Le climat, lui, ne relève plus de l’hypothèse. L’été 2026 a vu plus de 96 000 hectares (source Copernicus) brûler en France à mi-juillet — dépassant déjà le record de 2022 — sur fond de vagues de chaleur prolongées. Le risque physique climatique s’installe comme donnée structurelle de toute cartographie, bien au-delà des seuls secteurs exposés historiquement.

Sur le volet conformité, 2026 marque un tournant : dix ans après leur entrée en vigueur, devoir de vigilance et loi Sapin II cessent d’être déclaratifs. Le tribunal judiciaire de Paris a prononcé en mars la première condamnation d’une société mère au titre du devoir de vigilance (Rocher/Flormar), confirmant la notion de chaîne de valeur internationale et donc l’obligation de couvrir tout le périmètre, filiales comprises, puis a jugé en juin le plan climatique de TotalEnergies incomplet (impact des émissions aval). En juillet, l’AFA a infligé sa première sanction pécuniaire directe sous Sapin II.

Enfin, la menace cyber ne faiblit pas : l’ANSSI reporte 1 366 incidents en 2025, avec les collectivités et PME industrielles en première ligne. La Cyber attaque de l’été de la DGFiP a vu la fuite de la première intrusion (Juin-Juillet) concerner près de 300 000 professionnels (sociétés, indépendants, associations…).

Les sujets plus prospectifs, s’ils ne sont pas encore dans toutes les cartographies, méritent largement leur place dans nos radars. La désinformation alimentée par l’IA générative, que le WEF classe désormais parmi les tout premiers risques à court terme, exposant autant la réputation des entreprises que le débat public.

Sur ce même terrain de l‘IA, plusieurs analyses économiques (Crédit Agricole, FMI) pointent désormais un risque financier systémique : les niveaux historiques des valorisations technologiques tandis que les schémas de financement circulaire entre fournisseurs et utilisateurs de capacités de calcul IA gonflent – pour certains observateurs, artificiellement- les chiffres d’affaires : un dégonflement voire une explosion de cette bulle pourrait déclencher un choc de marché à ne pas sous-estimer.

Instabilité financière qui s’ajoute aux risques plus connus : enjeux inflationnistes, interdépendance des fragilités pays/banques liées aux hausses des ratios dette/PIB…

On peut encore citer les potentielles tensions sociales, que les enjeux budgétaires des Etats pourraient raviver dans les prochains mois. Mais aussi d’autres tendances à plus long termes (les chamboulements des modèles économiques, l’émergence de marchés virtuels, la mutation des métiers, la redéfinition du lien entreprise-salarié…) que vous pouvez retrouver dans l’étude d’Arengi Vigie2040.

Face à cette accumulation, l’erreur serait de continuer à traiter chaque risque isolément. La réponse est structurelle, et elle porte un nom : la résilience organisationnelle — la capacité d’une entreprise à absorber un choc, quel qu’il soit, et à s’en relever. C’est une propriété de l’organisation avant d’être un document : elle se joue dans la culture, le design organisationnel, la structure financière, la diversification des activités et des implantations. Une entreprise résiliente l’est d’abord by design.

Concrètement, trois leviers :

• Prévention et robustesse. Faire en sorte que l’interruption ne survienne pas, ou que son impact reste marginal : identification et traitement des points de dépendance unique, redondances, marges de sécurité dans les processus critiques.
• Absorption et rebond. Tenir le choc puis repartir : dispositif de gestion de crise, PCA et PRA, couvertures assurantielles, marges de trésorerie. C’est ici, et ici seulement, que le PCA, souvent mis en avant, intervient — à trois conditions : être à jour, avoir été éprouvé en exercice, et rester articulé à la cartographie des risques dont il découle, pour couvrir les scénarios qui comptent plutôt qu’une liste générique.
• Adaptation. Faire évoluer l’operating model, l’organisation et les processus pour intégrer la résilience dans les décisions courantes : doubler une source d’approvisionnement critique, passer du « just in time » au « just in case » là où le risque le justifie, c’est-à-dire arbitrer explicitement entre optimisation des coûts et robustesse. Levier le plus lent et le plus coûteux — et le plus déterminant face à des risques qui se cumulent.

Le point d’entrée est une question de gouvernance : quel niveau de perturbation notre modèle est-il capable d’encaisser, et quel prix acceptons-nous de payer pour élargir cette marge de sécurité ? À l’heure où les risques ne se succèdent plus mais se cumulent, cette question se traite au même niveau que la stratégie ou la performance financière — pas comme une case à cocher en fin d’exercice.

Sources : World Economic Forum, Global Risks Report 2026; France Info ; https://www.copernicus.eu/en ; ANSSI, Panorama de la cybermenace 2025. Tribunal judiciaire de Paris (jugements des 12 mars et 25 juin 2026, via Gossement Avocats et Lefebvre Dalloz Compétences) ; Commission des sanctions de l’AFA, décision du 9 juillet 2026 (via Décision commission des sanctions Affaire Société V. et M. S, Le Club des Juristes) , FMI Rapport sur la stabilité financière dans le monde, Crédit Agricole Intelligence artificielle : promesse, spéculation et fragilité financière, Etude Vigie2040