Indicateur clé de risque (KRI)

Définition

L'indicateur clé de risque, désigné par l'acronyme anglais KRI pour key risk indicator, est une mesure quantitative choisie pour signaler, en amont de sa matérialisation effective, une dégradation ou une évolution significative du niveau d'exposition d'une organisation à un risque donné, se distinguant ainsi de l'indicateur clé de performance qui mesure rétrospectivement une performance déjà réalisée plutôt que d'anticiper une évolution future du risque. Dans le domaine de la sécurité de l'information, un indicateur clé de risque peut par exemple suivre l'évolution du nombre de comptes disposant de privilèges administrateur non révisés depuis plus de six mois, le volume de trafic sortant anormal détecté sur le réseau, le nombre de systèmes n'ayant pas reçu de correctif de sécurité critique dans les délais fixés, ou le taux de dépendance à un unique prestataire critique pour une fonction essentielle de l'organisation. Un indicateur clé de risque efficace doit être suffisamment sensible pour détecter une dégradation avant qu'elle ne se traduise par un incident avéré, tout en évitant un nombre excessif de fausses alertes qui finiraient par désensibiliser la gouvernance à ses signaux. Ces indicateurs sont fréquemment associés à des seuils d'alerte correspondant aux niveaux de tolérance au risque définis par l'organisation, déclenchant une escalade automatique vers le comité des risques lorsqu'un seuil critique est franchi.