Management du risque
Identifiez, évaluez, traitez et revoyez vos risques au même endroit. L'IA aide chacun à mener une évaluation dans les règles, et chaque décision laisse une trace défendable.
Tenez un registre des risques que toute votre équipe peut alimenter. La cotation, le traitement et la revue restent cohérents, selon une fréquence suivie par le système, et les évaluations sont prêtes pour l'audit.
Transformez vos évaluations des risques en décisions que vous menez à leur terme
La plupart des registres des risques sont un tableur rempli une fois pour un audit, puis jamais rouvert. Risk Management fait du risque une pratique continue. Chaque risque a un responsable et une cotation que tous lisent de la même façon. Chaque risque reçoit un traitement, avec des responsables et des échéances, et fait l'objet d'une revue à une fréquence que le système suit à votre place. Vous n'obtenez pas un document, mais la preuve de la manière dont vous êtes arrivé à vos conclusions.
Les risques proviennent de plusieurs sources. Une évaluation, une revue des parties prenantes ou un travail sur la qualité peuvent chacun en faire remonter un. Un risque créé à partir d'une source arrive en revue, et non déjà validé. Les domaines d'activité, les catégories et les vues enregistrées gardent lisible un registre qui couvre toute l'organisation.
À quoi cela ressemble
Regroupez les risques, les scores et les dates de revue dans un seul registre. Ces risques sont enregistrés à l'état de brouillon, avec des scores inhérents calculés. Leur évaluation résiduelle n'a pas encore été réalisée, et le registre l'indique.
Cas d\u2019usage
Réaliser une évaluation dans les règles est à la portée de tous
Un assistant IA intégré vous explique le jargon en s'appuyant sur la norme concernée. Il rédige des réponses à partir de ce que vous savez déjà et signale les lacunes avant que vous ne soumettiez votre dossier. Une AIPD ou une appréciation du risque d'un SMSI est ainsi menée correctement, au lieu de reposer sur le seul spécialiste qui comprend les questions.
Prouvez comment vous avez identifié vos risques
Une évaluation transforme l'identification des risques en un exercice daté et validé. Celui qui la réalise ne peut pas l'approuver. L'approbation verrouille l'enregistrement. Les risques proposés par l'IA figurent au dossier, chacun accompagné de son raisonnement et de la clause associée, aux côtés du nom de la personne qui les a confirmés.
Réévaluez sans tout recommencer
Lorsqu'une évaluation arrive à échéance, la campagne suivante est préremplie avec les dernières réponses approuvées. Vous ne modifiez donc que ce qui a changé. À l'approbation, l'IA calcule l'écart risque par risque et le propose à votre relecteur pour confirmation.
Preuves d'un management actif
Les revues sont planifiées selon le niveau de risque et relancées en cas de retard. Chaque traitement et chaque acceptation sont consignés. Le registre des acceptations fournit à l'auditeur les décisions validées (la justification, l'identité de la personne qui a accepté et la date) sans avoir à courir après l'information.
Un management du risque qui résiste à l'audit
L'IA vous assiste, elle ne décide jamais
Un assistant aide les non-spécialistes à évaluer correctement et propose les risques qu'implique une évaluation. Mais chaque score reste un chiffre saisi par une personne, et chaque proposition doit être validée par un humain.
Une notation défendable
Un modèle 5x5 calibré, vraisemblance x impact, fondé sur NIST SP 800-30. La bande, la couleur et le traitement attendu s'affichent au fur et à mesure de la notation. Un moteur vous permet de créer votre propre modèle lorsque vous en avez besoin.
Revu à intervalles réguliers, prêt pour l'audit
Des revues planifiées selon le niveau de risque et relancées à l'échéance. Une acceptation du risque résiduel consignée avec validation. Des évaluations approuvées, puis scellées définitivement. Les preuves d'audit qu'un auditeur réclame sont déjà là.
Méthodologies
Adoptez la méthodologie qu'exige votre décision.
Le produit est livré avec un modèle 5x5 Vraisemblance x Impact entièrement calibré, fondé sur NIST SP 800-30. À la question « pourquoi est-ce un quatre ? », il existe donc une réponse écrite. Ce modèle est une option parmi d'autres, pas le seul choix possible. Un moteur de méthodologie permet à votre administrateur de rédiger sa propre méthode de cotation - multifactorielle, pondérée ou par sévérité maximale -, d'en fixer les seuils, de la versionner et de la publier.
L'essentiel est de rendre la méthode explicite. Les facteurs, les échelles et les seuils des tranches constituent une configuration que vous pouvez présenter à un auditeur. Les règles de traitement et de revue qui découlent d'une tranche sont rattachées à la méthodologie, plutôt que laissées à l'habitude. Les valeurs ci-dessus correspondent à la configuration de cet espace de travail, et non à une échelle fixe imposée à tous.
- Notation par facteurs, avec des échelles et des seuils que vous pouvez consulter et modifier
- Règles de traitement et de revue selon le niveau, définies avec la méthodologie
- Méthodologies versionnées : modifier votre échelle ne réécrit pas l'historique
Évaluation et traitement
Distinguer l'exposition initiale de ce qui est maîtrisé
Une fiche de risque conserve son évaluation inhérente, l'appréciation qui la sous-tend, les contrôles sur lesquels elle s'appuie et le traitement prévu. Elle les tient distincts. Le risque inhérent et le risque résiduel sont deux valeurs différentes, et un contrôle proposé n'est pas un contrôle en fonctionnement. Rattacher l'un ne réduit pas l'autre à lui seul.
Le risque ci-dessus est un brouillon enregistré : décrit, évalué pour l'exposition inhérente, son contexte de revue et de traitement en place, son appréciation résiduelle restant à faire. Le traitement est exigé au-delà du niveau Moyen et imposé à l'enregistrement. Un risque résiduel qui demeure au niveau Moyen ou supérieur appelle la validation documentée que son acceptation requiert.
- Cotation du risque inhérent et du risque résiduel gérée séparément, avec rattachement aux mesures de maîtrise mises en œuvre
- Plans de traitement du risque avec responsables, échéances et validation
- Revues planifiées par niveau : critiques et élevés tous les mois, moyens tous les trimestres, faibles une fois par an
- Journal d'acceptation consignant la justification, l'auteur de l'acceptation et sa date