Politique de Gestion des Risques RSSI

Appétit pour le risque et critères d'évaluation

L'appétit pour le risque (risk appetite) est la quantité globale de risque qu'une organisation est prête à accepter pour atteindre ses objectifs. Il est différent de la tolérance au risque (risk tolerance — les limites acceptables autour de l'appétit) et du seuil d'acceptation du risque (risk acceptance threshold — le niveau au-delà duquel un risque spécifique doit être traité). Ces trois concepts doivent être définis et formalisés par la direction.

Les critères d'évaluation des risques définissent comment mesurer la vraisemblance et l'impact des risques. Des échelles qualitatves (Très faible/Faible/Moyen/Élevé/Très élevé) ou quantitatives (probabilité et impact financier en euros) peuvent être utilisées. Le choix dépend de la maturité de l'organisation et de ses capacités à estimer des probabilités et des impacts précis. L'approche FAIR permet une quantification financière plus rigoureuse mais nécessite plus de données et d'expertise.

Rôles dans la gestion des risques SSI

La gouvernance des risques SSI implique plusieurs rôles : Direction (approuve l'appétit pour le risque et les décisions d'acceptation des risques résiduels significatifs), RSSI (pilote le processus de gestion des risques, coordonne les évaluations, présente les résultats à la direction), Propriétaires des risques (managers métier responsables des actifs ou processus exposés, décident de l'acceptation des risques résiduels dans leur périmètre), Auditeur interne (vérifie l'efficacité du processus de gestion des risques), et DPO (pour les risques liés aux données personnelles).

La matrice RACI de la gestion des risques SSI précise pour chaque étape du processus (identification, analyse, évaluation, traitement, surveillance) qui est Responsable (fait le travail), Accountable (rend compte du résultat), Consulted (apporte son expertise), Informed (est tenu informé). Cette clarification des rôles est essentielle pour que le processus fonctionne effectivement dans une grande organisation avec de nombreuses parties prenantes.

Intégration dans la gouvernance d'entreprise

La gestion des risques SSI doit être intégrée dans la gouvernance d'entreprise globale, pas traitée en silo. Les risques cyber significatifs doivent remonter au comité des risques ou au conseil d'administration (NIS2 art. 20 impose que les organes de direction approuvent les mesures de gestion des risques cyber). Cette remontée nécessite une traduction des risques techniques en impacts business compréhensibles par des non-techniciens.

L'intégration avec la gestion des risques opérationnels (ERM — Enterprise Risk Management) permet une vision consolidée des risques de l'organisation : un risque cyber (ex. : ransomware) est en même temps un risque opérationnel (interruption de service), un risque réglementaire (non-conformité NIS2, RGPD), et un risque financier (pertes directes, amende). Cette vision consolidée facilite la priorisation des investissements en sécurité dans le contexte global des risques de l'organisation.