Registre et traitement des risques SI

Comprendre l’enjeu et le périmètre

Il rend les arbitrages de sécurité, continuité et investissement compréhensibles par les métiers.

Décrire actif ou activité, événement, impact, vraisemblance argumentée, mesures existantes et options de traitement.

Passer à l’action

• Construire des scénarios avec les métiers
• Évaluer les protections et les incertitudes
• Décider de réduire, éviter, transférer partiellement ou accepter

Formulez chaque constat en distinguant le critère attendu, la situation observée, la preuve disponible et la conséquence possible. Cette séparation évite de transformer une opinion en non-conformité et facilite une discussion contradictoire avec l'équipe auditée.

Responsabilités et moyens

Le propriétaire du risque porte les conséquences, les experts instruisent, et la direction accepte les risques dépassant les délégations.

Comparer coût du traitement, pertes plausibles et capacité à supporter le risque résiduel.

Produire et vérifier

Livrable utile

Un registre vivant, les plans de traitement et les acceptations de risque datées.

Preuve à rechercher

Vérifier que les mesures déclarées existent et que l’autorité acceptant le risque en comprend les conséquences.

Indicateur à interpréter

Suivre les risques importants sans décision et les mesures inefficaces ou échues.

Pour fermer une action, vérifiez le résultat et non seulement l'annonce de réalisation. Un nouveau document, une facture ou une capture d'écran peut prouver une livraison, mais seule une vérification adaptée permet d'évaluer la correction effective du problème initial.

Arbitrages et dépendances

Une multiplication de notes sans scénario peut masquer la dépendance commune qui crée le risque majeur.

Les risques dépendent des activités, fournisseurs, données, infrastructures et compétences.

Le niveau d'assurance dépend du périmètre et de l'échantillon. Une absence d'anomalie dans quelques dossiers n'autorise pas à conclure à une maîtrise générale. Rendez visibles les exclusions, les documents non obtenus et les sujets qui n'ont pas pu être testés.