Management du risque

Un registre des risques qui reste vivant

La plupart des registres des risques sont un tableur rempli une fois pour un audit, puis jamais rouvert. Risk Management fait du risque une pratique continue. Chaque risque a un responsable, une cotation sur une échelle que tous lisent de la même façon, un traitement assorti de responsables et d'échéances, et une revue selon un rythme que le système tient à votre place. Ce que vous récupérez n'est pas un document : c'est la preuve du raisonnement qui vous y a mené.

• Un registre unique, coté de façon cohérente, où prioriser revient à comparer plutôt qu'à deviner
• Des actions et des plans de traitement avec responsables, échéances et validation
• Des revues planifiées selon le niveau de risque, pour que le registre reflète les risques d'aujourd'hui et non ceux de l'an dernier
• Un historique complet de l'évolution de chaque risque et de son traitement

L'IA permet à chacun de mener une évaluation dans les règles, et vous gardez la main

Le travail sur le risque est d'ordinaire réservé aux spécialistes. La plupart des personnes chargées de compléter une analyse d'impact relative à la protection des données ne comprennent pas la moitié des questions. Un assistant IA intégré change la donne. Il explique chaque terme en langage clair en citant le standard dont il provient, rédige une réponse suggérée à partir de ce que vous savez déjà, et vérifie les lacunes de l'évaluation avant l'envoi. Une fois l'évaluation approuvée, il propose les risques que les réponses impliquent, chacun accompagné de son raisonnement et de la clause associée, que votre relecteur peut accepter, modifier ou rejeter.

Et les calculs restent les vôtres. Chaque cotation de votre registre est calculée à partir de valeurs saisies par une personne. L'IA peut proposer une cotation et expliquer son raisonnement, mais elle n'en écrit jamais aucune, et aucun risque ne devient actif sans confirmation humaine. Vous obtenez la rapidité de l'IA avec la responsabilité qu'exige une décision réglementée.

Une cotation que vous pouvez défendre

Risk Management est livré avec un modèle Vraisemblance × Impact 5×5 entièrement calibré, fondé sur NIST SP 800-30. La question « pourquoi est-ce un quatre ? » a enfin une réponse écrite. À mesure que vous définissez la vraisemblance et l'impact, la cotation, son niveau et sa couleur, ainsi que le traitement attendu s'affichent d'un coup. L'évaluateur voit la conséquence avant de la valider. Le traitement est obligatoire au-delà du niveau Moyen et imposé à l'enregistrement. Si un risque résiduel reste Moyen ou supérieur, le produit demande la validation documentée que son acceptation exige. C'est ainsi que se comble la lacune la plus fréquemment relevée en audit dans le management du risque.

Besoin d'un autre modèle ? Un moteur de méthodologie permet à votre administrateur de rédiger votre propre cotation (multifactorielle, pondérée ou fondée sur la sévérité maximale), de la versionner et de la publier. Personnaliser votre échelle et rester à jour ne sont plus incompatibles.

Jamais périmé, toujours prêt pour l'audit

Chaque risque porte une date de prochaine revue fixée selon son niveau (Critique et Élevé chaque mois, Moyen chaque trimestre, Faible chaque année), et le responsable est relancé à échéance. Même une revue « rien n'a changé » compte : elle remet le compteur à zéro et laisse la preuve documentée que vous avez examiné le risque. Les évaluations deviennent un exercice reproductible, daté et validé. La personne qui remplit une évaluation ne peut pas l'approuver, et une fois approuvée, elle est scellée et conservée définitivement. Lorsqu'un auditeur demande comment vous avez identifié vos risques et qui les a validés, le journal d'acceptation et le dossier d'évaluation contiennent déjà la réponse.