Politique de gestion des risques

Définition

La politique de gestion des risques est le document cadre approuvé par la direction d'une organisation, définissant les principes généraux, la méthodologie et la gouvernance retenus pour identifier, évaluer, traiter et surveiller l'ensemble des risques auxquels elle est exposée, incluant les risques cyber et de conformité aux côtés des risques financiers, opérationnels, juridiques et stratégiques traditionnellement couverts par ce type de document. Cette politique doit préciser l'appétence au risque et les critères d'acceptation du risque retenus par l'organisation, la méthodologie d'appréciation des risques utilisée, qu'il s'agisse de l'ISO 27005 pour les risques de sécurité de l'information ou d'une méthodologie plus généraliste comme le référentiel COSO ERM pour les risques d'entreprise, les rôles et responsabilités des différents acteurs impliqués dans le dispositif, notamment les propriétaires de risques désignés pour chaque domaine, ainsi que la fréquence de révision de la cartographie des risques et des différents plans de traitement associés. Cette politique constitue le socle transversal sur lequel s'appuient les politiques plus spécifiques propres à chaque domaine de risque, comme la politique de sécurité de l'information exigée par la norme ISO 27001 ou la politique de continuité d'activité exigée par la norme ISO 22301, garantissant une cohérence méthodologique d'ensemble plutôt qu'une juxtaposition de démarches indépendantes non articulées entre elles.