Registre des risques.

Ce qu'est réellement le registre

Le registre des risques est l'unique endroit où l'organisation suit ce qui l'inquiète et ce qu'elle fait pour y remédier. Les gens imaginent un tableur, et cela commence souvent ainsi, mais l'artefact qui compte est la discipline qui le sous-tend : chaque risque identifié, analysé, évalué au regard de l'appétence, doté d'un propriétaire, assorti d'une décision de traitement et réexaminé selon un cycle. Un registre rempli une seule fois pour une certification et jamais retouché n'est pas un registre des risques, c'est une pièce de musée. Le test consiste à savoir si vous pouvez regarder n'importe quelle ligne et voir quand elle a été revue pour la dernière fois, qui en est propriétaire et ce qui a changé depuis.

Chaque entrée comporte généralement une description du risque, l'actif ou l'objectif qu'il menace, l'analyse (vraisemblance et impact, quelle que soit la façon dont vous les notez), l'évaluation au regard de vos critères, le traitement retenu, le propriétaire désigné, le risque résiduel après traitement et une date de revue. Le niveau de détail est délibéré : lorsqu'un auditeur ou un incident tire sur un fil, l'entrée doit tenir. Les entrées vagues, sans propriétaire ni date, sont la première chose qu'un auditeur compétent repère, et elles sapent la crédibilité de tout le programme.

Comment il se connecte à tout le reste

Le registre n'est pas un document autonome, c'est le pivot auquel se branche le reste du programme de gestion des risques. L'identification et l'analyse suivent une méthodologie telle qu'ISO 27005 ou EBIOS RM, et leur résultat aboutit ici. La colonne de traitement est l'endroit où chaque risque rencontre la décision d'éviter, réduire, transférer ou accepter, et dans un contexte ISO 27001 cette décision se prolonge jusqu'à la Déclaration d'applicabilité et aux mesures qui la mettent en œuvre. La colonne d'évaluation n'a de sens que s'il existe une appétence au risque écrite à laquelle se référer, sinon chaque notation n'est que l'opinion d'un analyste. Le registre se situe donc en aval de la méthodologie et de l'appétence, et en amont du traitement et de la preuve des mesures.

C'est aussi pourquoi le registre est un document vivant lié à la revue de direction plutôt qu'un livrable ponctuel. De nouveaux risques apparaissent, les risques traités voient évoluer leur notation résiduelle, les propriétaires changent de poste, et l'appétence elle-même peut évoluer. Un programme mature revoit le registre selon une cadence définie et fait remonter les mouvements significatifs vers la revue de direction, de sorte que la direction prenne ses décisions sur une image actuelle plutôt que sur celle de l'an dernier.

Ce que les praticiens maintiennent réellement

En pratique, le registre est l'endroit où les bonnes intentions rencontrent la maintenance. Le plus dur n'est pas la première passe, c'est de le garder honnête au fil des ans. Les entrées datées comptent parce qu'un auditeur s'attend à voir un changement traçable : quand un risque a été soulevé, quand sa notation a évolué, quand le traitement s'est achevé. Les propriétaires désignés comptent parce qu'un risque sans propriétaire est un risque que personne ne gère réellement.

Les cycles de revue comptent parce que les tolérances et les dépendances dérivent, et qu'un registre vieux de deux réorganisations priorisera les mauvaises choses. Les champs sont faciles à énumérer et difficiles à tenir dans la durée, ce qui est précisément pourquoi le registre, et non la politique, est l'endroit où l'on voit si un programme de gestion des risques est vivant.

Une confusion fréquente oppose le registre et le plan de traitement. Le registre est l'inventaire des risques et de leur état actuel. Le plan de traitement est l'ensemble des actions auxquelles vous vous êtes engagé, avec échéances et responsabilités, pour ramener les risques à des niveaux acceptables. Ils se renvoient l'un à l'autre mais ne sont pas le même document, et lorsqu'ils divergent l'audit le remarque. Gardez le registre comme source de vérité pour l'état, et laissez le plan de traitement être la source de vérité pour le travail en cours.