Risque réputationnel : pourquoi il est classé 16ᵉ, et pourquoi c'est une erreur

Dans le Baromètre des risques Allianz 2026, publié le 14 janvier 2026, l'atteinte à la réputation arrive au 16ᵉ rang des risques d'entreprise mondiaux, citée par 4 % des 3 338 experts interrogés dans 97 pays — en recul par rapport à 2025. Les quinze risques classés au-dessus ont un point commun : ils deviennent tous publics. Le risque réputationnel n'est pas un risque parmi vingt. C'est le convertisseur des dix-neuf autres. Et parce qu'il est classé seizième, il est budgété comme tel.

Ce que classent les cartographies, et ce qu'elles ne classent pas

Le classement mondial 2026 place les incidents cyber en tête pour la cinquième année consécutive (42 %), l'intelligence artificielle en deuxième position (32 %), les interruptions d'activité en troisième (29 %). En France, sur 150 répondants, les incidents cyber dominent à 40 %, devant les catastrophes naturelles et le couple incendie-explosion, à 27 % chacun.

Ces catégories nomment des causes. Aucune ne nomme le moment où la cause devient publique.

Le risque réputationnel, c'est la dégradation de la confiance qu'accordent vos parties prenantes — clients, salariés, autorités, financeurs, riverains — quand elles apprennent quelque chose sur vous. Il n'est jamais un événement autonome. Il est toujours la seconde vie d'un autre événement. Un incendie détruit un bâtiment le matin ; il devient une question sur votre sérieux industriel l'après-midi. Une cyberattaque bloque une chaîne logistique le lundi ; elle devient une question sur la protection des données clients le mardi.

Un classement qui sépare les deux fabrique mécaniquement un angle mort budgétaire. On finance la prévention de la cause. Jamais la maîtrise de sa version publique.

Ce que vous pouvez faire : ouvrez votre cartographie des risques. Comptez les lignes qui traitent de la survenance, et celles qui traitent de la parole publique qui suit. Le ratio est votre diagnostic.

Trois raisons pour lesquelles ce classement est un piège

1. La confiance déclarée n'est pas une capacité testée

L'étude QBE réalisée avec OpinionWay auprès de 301 dirigeants, directeurs financiers et responsables des risques d'entreprises de 50 à 4 999 salariés, menée du 2 au 31 octobre 2025 et publiée le 4 février 2026, donne un résultat frappant : près de 9 entreprises sur 10 s'estiment capables de faire face à une cyberattaque. 88 % se disent capables de gérer la défaillance d'un fournisseur informatique.

Cette confiance porte sur la restauration technique. Elle n'a jamais été mesurée sur la parole. Aucun audit ne demande : êtes-vous capable d'expliquer publiquement, dans les quatre-vingt-dix minutes, ce qui s'est passé, sans engager votre responsabilité juridique ni contredire votre communiqué de la veille ?

La même étude relève que 86 % de ces entreprises affrontent au moins deux risques en parallèle, et que la gestion des risques n'arrive qu'en quatrième position parmi les piliers de compétitivité cités par les dirigeants.

Ce que vous pouvez faire : ajoutez une seule question à votre prochain audit cyber ou industriel — qui prend la parole, et sur quels faits vérifiables à H+2 ?

2. Le public n'existe plus au singulier

Le Trust Barometer 2026 d'Edelman, publié le 18 janvier 2026 et mené dans 28 pays, décrit une bascule qu'il nomme le repli sur soi : 7 personnes sur 10 se déclarent réticentes, voire incapables, à faire confiance à quelqu'un dont les valeurs, les opinions ou les sources d'information diffèrent des leurs.

Traduction opérationnelle : le communiqué unique adressé à « l'opinion » suppose qu'il existe une opinion. Il n'y en a plus. Il y a des communautés d'information étanches, qui n'accorderont pas le même crédit au même énoncé et ne le recevront pas par les mêmes canaux. Une déclaration jugée sobre par la presse économique sera lue comme un aveu ailleurs, et comme une dissimulation ailleurs encore.

Ce que vous pouvez faire : segmentez vos messages par communauté d'information, pas par canal de diffusion. Ce n'est pas le même travail.

3. La désinformation a rejoint le risque numéro deux

La catégorie « intelligence artificielle » du baromètre Allianz 2026 est passée de la 10ᵉ place (10 % des réponses en 2025) à la 2ᵉ place (32 %) en un an — la plus forte progression du classement. Sa définition inclut explicitement les enjeux de désinformation et de mésinformation.

Autrement dit : la production d'un récit adverse crédible est devenue industrialisable, et les experts du risque l'ont enfin classée. Le délai entre votre événement et la première version concurrente de cet événement s'est effondré. Vous ne courez plus après les journalistes. Vous courez après un contre-récit qui n'a besoin ni de vérifier ni d'attendre.

Ce que vous pouvez faire : constituez en amont un socle de faits datés et vérifiables — volumes, périmètres, historiques de contrôle. Le seul contrepoids à un récit rapide est un fait antérieur.

Ajoutez une colonne à votre cartographie : la version publique

C'est un exercice d'une demi-journée, et il ne coûte rien. Reprenez vos cinq premiers risques. Pour chacun, remplissez quatre lignes.

- Découverte : Qui l'apprend en premier, et par quel canal ?

- Vitesse : Combien de temps avant qu'un tiers en parle publiquement ?

- Voix : Qui prend la parole dans l'heure, avec quel mandat ?

- Fait : Quel élément vérifiable pouvons-nous donner à H+2 sans risque juridique ?

Appliqué au risque incendie-explosion, troisième risque des entreprises françaises à 27 % selon Allianz en 2026, cela donne : découverte par les riverains avant l'alerte interne, images de fumée en ligne en quelques minutes, question sanitaire avant tout élément technique, préfecture et élus locaux en interlocuteurs immédiats. Aucune de ces quatre lignes n'apparaît dans une cartographie classique. Toutes déterminent l'issue.

Ce que vous pouvez faire : faites remplir ce tableau par vos opérationnels, pas par votre direction de la communication. Ce sont eux qui savent qui verra quoi en premier. Une demi-journée suffit pour les cinq premiers risques.

Le premier canal n'est pas la presse. C'est l'interne.

Edelman relève en 2026 un écart considérable : la confiance des salariés envers leur propre employeur atteint 78 %, contre 64 % pour les entreprises auprès du grand public et 53 % pour les gouvernements.

Vos salariés sont donc à la fois le public qui vous croit le plus, et le relais le plus crédible auprès de tous les autres. En crise, s'ils apprennent l'événement par la presse ou par un message de leur belle-sœur, vous perdez les deux d'un coup — et cet actif de confiance ne se reconstitue pas à la fin de la crise.

Cela déplace un point d'organisation. Les cadres de proximité deviennent porte-parole de fait, face à leurs équipes, souvent dans l'heure. Ils n'ont presque jamais été préparés à cet exercice, qui est un métier à part entière : nos formations en média training de crise intègrent systématiquement ce niveau.

Ce que vous pouvez faire : écrivez aujourd'hui le message interne des trente premières minutes. Trois phrases, valables pour 80 % de vos scénarios. Il ne dit pas ce qui s'est passé. Il dit que vous savez, que vous traitez, et quand vous reparlerez.

À retenir

• L'atteinte à la réputation est classée 16ᵉ des risques d'entreprise mondiaux, à 4 % des réponses, en recul (Allianz Commercial, 14 janvier 2026).
• Les quinze risques classés au-dessus deviennent tous publics : la réputation est leur canal de conversion, pas leur concurrent.
• Près de neuf entreprises françaises sur dix se disent capables de faire face à une cyberattaque (QBE × OpinionWay, 4 février 2026) — une confiance mesurée sur la technique, jamais sur la parole.
• Sept personnes sur dix se disent réticentes à faire confiance à qui ne partage pas leurs sources d'information (Edelman, 19 janvier 2026) : le communiqué unique ne couvre plus rien.
• La désinformation figure désormais dans le deuxième risque mondial, passé de la 10ᵉ à la 2ᵉ place en un an.
• La confiance des salariés envers leur employeur atteint 78 %, contre 64 % pour les entreprises auprès du grand public : l'interne est le premier canal, pas le dernier.

Questions fréquentes

Qu'est-ce que le risque réputationnel ?

‍Le risque réputationnel désigne la dégradation de la confiance accordée par les parties prenantes d'une organisation — clients, salariés, autorités, financeurs, riverains — à la suite d'un événement rendu public. Il n'existe presque jamais de façon autonome : il constitue la seconde vie d'un autre risque, industriel, cyber, social ou réglementaire. C'est ce qui le rend difficile à cartographier et facile à sous-budgéter.

Quels sont les principaux risques des entreprises françaises en 2026 ?

‍Selon le Baromètre des risques Allianz publié le 14 janvier 2026, sur 150 répondants français : les incidents cyber arrivent en tête (40 %), devant les catastrophes naturelles (27 %), l'incendie et l'explosion (27 %), les interruptions d'activité (25 %) et les risques politiques et sociaux (23 %). L'intelligence artificielle fait son entrée au 8ᵉ rang (15 %).

Comment mesure-t-on le risque réputationnel ?

‍Il n'existe pas d'indicateur normalisé, et c'est précisément pourquoi il est mal classé dans les cartographies. En pratique, trois mesures sont exploitables : le délai entre l'événement et votre première prise de parole, le nombre de porte-parole réellement entraînés rapporté au nombre de sites exposés, et le délai de rétablissement de la confiance mesuré auprès des clients et des salariés après un incident.

Combien de temps a-t-on pour réagir en cas de crise ?

‍Il n'existe aucun délai normatif, et les règles empiriques du type « la première heure » ont vieilli avec les usages. Le repère utile est différent : vous avez jusqu'à ce qu'un tiers raconte l'événement à votre place. Ce délai dépend du nombre de témoins, pas de votre organisation. Une première prise de parole n'exige pas d'explication complète : elle établit que vous savez, que vous agissez, et quand vous reparlerez.

Qui doit prendre la parole en cas de crise, le dirigeant ou un porte-parole ?

‍Les deux, à des moments différents. Le dirigeant porte l'engagement et la responsabilité, généralement au-delà des premières heures et lorsque l'événement est grave. Le porte-parole désigné porte la continuité et la répétition, sur la durée. L'erreur fréquente consiste à faire monter le dirigeant trop tôt, sur des faits non consolidés, ce qui le rend responsable de chaque rectification ultérieure.

Faut-il communiquer en interne avant l'externe ?

‍Oui, dans la quasi-totalité des cas. Les salariés sont le public le plus confiant et le relais le plus crédible : leur confiance envers leur employeur atteint 78 %, contre 64 % pour les entreprises auprès du grand public (Edelman, 2026). Découvrir la crise par un média ou un réseau social produit une double perte : la confiance interne, et le relais externe.

Comment savoir si mon entreprise est préparée ?

‍Un test simple : demandez à trois personnes différentes, séparément, qui déclenche la cellule de crise et sur quel critère écrit. Si les trois réponses divergent, ou si le critère n'est pas écrit, le dispositif n'est pas opérationnel — indépendamment de l'épaisseur du classeur. Un exercice de gestion de crise fournit ensuite une mesure objective.

Quand faire appel à une agence de communication de crise ?

‍Deux moments justifient un recours externe. En amont, pour construire et éprouver le dispositif, parce qu'un regard interne ne voit pas ses propres angles morts. Pendant, lorsque l'événement implique des victimes, une procédure judiciaire, une exposition médiatique nationale, ou lorsque l'équipe dirigeante est elle-même partie à la crise et ne peut plus s'auto-arbitrer.

Laurent Vibert est fondateur et dirigeant de Nitidis, agence de conseil en communication sensible et de crise. Ancien porte-parole et directeur de la communication d'une institution de 8 500 personnes, il accompagne dirigeants et comités exécutifs dans la préparation et le pilotage de situations sensibles.