Tolérance au risque

Définition

La tolérance au risque désigne la déclinaison opérationnelle de l'appétence au risque d'une organisation, exprimant pour chaque catégorie de risque, ou parfois pour chaque risque individuel identifié, la marge d'écart acceptable par rapport au niveau visé avant qu'une action corrective ne devienne nécessaire. Alors que l'appétence au risque relève d'un choix stratégique global validé par la gouvernance, la tolérance au risque se traduit concrètement par des seuils quantifiés et des critères d'acceptation du risque utilisables au quotidien par les équipes opérationnelles lors de l'appréciation des risques de sécurité de l'information, conformément à la méthodologie décrite par la norme ISO 27005. Par exemple, une organisation peut afficher une appétence au risque globalement prudente en matière de cybersécurité tout en tolérant un délai de correction de trente jours pour les vulnérabilités jugées de criticité modérée, ce délai constituant précisément le seuil de tolérance opérationnel décliné de l'orientation stratégique générale. Cette articulation entre appétence stratégique et tolérance opérationnelle permet d'éviter deux écueils fréquents : une déclaration d'appétence trop abstraite pour orienter concrètement les décisions du quotidien, ou à l'inverse une multiplication de seuils opérationnels déconnectés de toute vision stratégique cohérente, rendant difficile l'arbitrage entre différentes priorités de traitement des risques identifiés au sein de l'organisation.