Un risque est un événement potentiel qui pourrait nuire à votre activité. Le but du registre des risques est de les rendre visibles, de les hiérarchiser, puis de décider quoi faire de chacun.
Chaque risque est évalué selon deux dimensions : la probabilité qu'il se produise et l'impact s'il se produit. Le score est simplement leur produit.
Échelles 1 à 5, score de 1 (négligeable) à 25 (existentiel).
Vous évaluez chaque risque deux fois :
La probabilité × impact SI vous n'aviez aucun contrôle en place. C'est l'exposition de base, sans vos défenses.
Ce qui reste une fois vos contrôles déployés. C'est le risque que vous portez réellement aujourd'hui.
Visualisez vos risques sur une grille 5×5. Les zones rouges (score ≥ 12) demandent un traitement immédiat ; les zones vertes (score ≤ 4) peuvent être acceptées.
Ex. déployer MFA pour atténuer le risque de phishing.
Ex. accepter une hausse tarifaire AWS de 5%.
Ex. police d'assurance cyber pour transférer le coût d'une rançon.
Ex. cesser de stocker des données sensibles qu'on n'a pas besoin de stocker.
Chaque risque progresse à travers des états bien définis :
Vous pouvez toujours revenir en arrière (de Clôturé à Évalué par exemple) si la situation change. Chaque transition est tracée dans le journal d'audit.
- Visez 10-20 risques majeurs, pas 200 micro-risques.
- Reliez chaque risque à au moins un contrôle (sinon, à quoi sert-il dans le registre ?).
- Documentez la justification quand vous acceptez ou transférez — c'est ce que les auditeurs lisent.
- Re-évaluez les risques cyber tous les trimestres : ils bougent vite.