« Analyser les risques » sonne comme un exercice réservé aux grandes entreprises dotées d'un service HSE. Pourtant, l'obligation s'applique de la même façon dès le premier salarié embauché, et la méthode attendue par le Code du travail n'a rien d'un audit externe complexe : elle peut être conduite en interne, par l'employeur lui-même, à condition de suivre quelques étapes dans l'ordre.
Ce que le Code du travail entend par « analyse des risques »
L'article L.4121-3 du Code du travail impose à l'employeur d'évaluer les risques pour la santé et la sécurité des travailleurs, y compris les risques psychosociaux : charge de travail, isolement, relations dégradées, autant que les risques physiques plus traditionnels (chutes, manutention, exposition à un produit). Cette évaluation n'est pas une déclaration d'intention : l'article R.4121-1 impose qu'elle soit transcrite dans un document, le document unique d'évaluation des risques professionnels (DUERP), mis à jour au moins une fois par an. Aucune exception de taille n'existe : l'obligation démarre dès l'embauche du premier salarié.
Par où commencer sans service dédié
La grille de référence la plus utilisée par les services de prévention est celle de l'INRS (ED 6403), qui structure l'analyse autour d'une vingtaine de familles de risques. Pour une petite entreprise, l'enjeu n'est pas de tout traiter en même temps, mais de procéder par unité de travail : un poste, une équipe ou un site cohérent, avec ses risques propres. Une entreprise de quinze salariés répartie entre un atelier et un bureau n'a pas une seule unité de travail, mais deux inventaires distincts à mener, même s'ils tiennent chacun sur une page.
Pour chaque risque identifié, la méthode se résume à trois questions : le risque existe-t-il réellement à ce poste, quelle est sa gravité potentielle, et quelle est la probabilité qu'il se produise. La cotation qui en résulte (souvent sur une échelle de quatre niveaux : faible, modéré, élevé, critique) sert ensuite à prioriser les actions, pas à remplir une case administrative.
L'angle mort le plus fréquent en petite entreprise
Les risques physiques sont en général correctement documentés, parce qu'ils sont visibles et déjà couverts par des réflexes de sécurité anciens. Les risques psychosociaux le sont beaucoup moins, pour une raison simple : sans service RH dédié, personne ne collecte spontanément cette donnée. Un dirigeant qui gère lui-même les ressources humaines à côté de son activité principale n'a souvent aucun indicateur régulier sur la charge ressentie par ses équipes, en dehors des remontées informelles à la machine à café.
Ce vide n'est pas une fatalité liée à la taille de l'entreprise : c'est un problème d'outillage, pas de volonté. Un point hebdomadaire de quelques secondes par collaborateur suffit à produire une matière factuelle là où il n'y avait qu'une impression, sans demander le temps d'une enquête RH classique.
Faire soi-même, ou se faire accompagner
Rien n'oblige une PME à faire appel à un consultant externe pour analyser ses risques : la loi n'exige pas de certification particulière pour conduire l'évaluation, seulement qu'elle soit sérieuse, documentée et régulièrement mise à jour. Un accompagnement (service de prévention et de santé au travail, consultant QVCT) reste utile pour les situations complexes ou pour un premier cadrage, mais la tenue au fil de l'eau du document reste, dans l'immense majorité des petites structures, un exercice interne.
Ce qu'il faut retenir
Analyser les risques professionnels dans une PME ne demande ni service dédié ni audit coûteux : une méthode par unité de travail, une cotation simple et une attention réelle portée aux risques psychosociaux suffisent à couvrir l'obligation légale, à condition de ne pas la traiter comme un exercice ponctuel qu'on referme une fois par an.