Risque inhérent vs risque résiduel.

Le même risque vu à deux moments

Le risque inhérent et le risque résiduel ne sont pas deux risques différents. Ce sont le même scénario mesuré à deux instants : avant que vos contrôles n'agissent, et après qu'ils ont agi. Le risque inhérent est l'exposition brute, le niveau de vraisemblance et d'impact auquel vous feriez face si les contrôles concernés étaient absents ou défaillaient entièrement. Le risque résiduel est ce qui subsiste une fois les contrôles en place et opérant comme prévu. Les lire côte à côte est tout l'intérêt, car l'écart entre les deux est la valeur visible de votre dispositif de contrôle. Un écart important indique que les contrôles font leur travail ; un écart mince indique que vous dépensez de l'effort pour une réduction faible et que vous devriez en chercher la raison.

Traiter ces niveaux comme une paire change votre façon de dépenser. Si deux scénarios partagent un niveau résiduel similaire mais que l'un partait d'un niveau inhérent bien plus élevé, l'ensemble de contrôles qui le maintient bas accomplit un travail considérable et mérite d'être protégé dans le budget. Le scénario qui a à peine bougé de l'inhérent au résiduel est celui à réexaminer : soit le contrôle est faible, soit c'est le mauvais contrôle, soit le risque n'a jamais été aussi exposé que le notait l'évaluation.

Ce qu'attendent les auditeurs et les normes

L'écart entre l'inhérent et le résiduel est l'endroit où réside l'assurance ; il doit donc être justifié plutôt qu'affirmé. Un auditeur lit le registre et demande trois choses pour chaque valeur résiduelle : quels contrôles l'ont réduite, si ces contrôles fonctionnent réellement plutôt que d'être seulement documentés, et qui a accepté ce qui subsiste. Ce dernier point compte. Le risque résiduel est accepté par un propriétaire nommé ayant l'autorité de le porter, et cette acceptation doit s'inscrire dans l'appétit au risque de l'organisation. Un niveau résiduel qui dépasse l'appétit n'est pas une entrée achevée ; c'est un point ouvert qui exige un traitement supplémentaire, un transfert, ou une exception délibérée et documentée.

Cette logique est inscrite dans les principaux référentiels. ISO 31000 présente la gestion des risques comme une boucle itérative où le traitement modifie le risque, le risque modifié étant ensuite réévalué, ce qui correspond exactement au passage de l'inhérent au résiduel. ISO/IEC 27005 applique le même raisonnement au risque lié à la sécurité de l'information et indique explicitement que le risque résiduel doit être évalué et formellement accepté par la direction avant qu'un système ne soit mis en service ou maintenu en production.

Les orientations du NIST sur l'appréciation des risques portent la distinction identique entre le risque auquel une organisation fait face et la part qui subsiste après l'application des réponses. Aucune de ces normes ne traite le résiduel comme un nombre que l'on calcule une fois et que l'on classe.

Bien le faire en pratique

Dans un registre opérationnel, chaque ligne devrait permettre à un lecteur de retracer l'évaluation inhérente, les contrôles appliqués, l'évaluation résiduelle, et le propriétaire nommé qui l'a acceptée. Gardez une méthode d'évaluation cohérente entre l'inhérent et le résiduel afin que les deux soient véritablement comparables ; si vous notez l'impact et la vraisemblance différemment à chaque étape, l'écart ne signifie rien. Réévaluez le résiduel chaque fois qu'un contrôle change, se dégrade, ou se révèle inefficace lors des tests, car le risque résiduel n'est aussi à jour que les contrôles qui le sous-tendent. Une valeur résiduelle fixée il y a deux audits et jamais réexaminée est de la décoration, pas de l'assurance.

Le jugement qui rapporte vraiment consiste à relier le risque résiduel à l'appétit et au traitement. Une fois que le résiduel se situe au niveau de l'appétit ou en dessous, l'acceptation est raisonnable et le propriétaire signe. Lorsqu'il se situe au-dessus, l'entrée honnête consigne l'écart et le plan pour le combler, plutôt que d'arrondir le nombre vers le bas pour faire bonne figure. Cette discipline est ce qui transforme un registre, d'artefact de conformité, en un outil que le conseil peut réellement utiliser pour répartir son attention.