Identification des risques et des exigences

En matière de gestion du risque et de la conformité, la première chose à faire est de bien connaître son périmètre, son niveau de maturité en la matière. Il s’agit en effet d’avoir une parfaite connaissance des exigences auxquelles l’on doit faire face et les problématiques ou autres incidents à prévenir et qui peuvent subvenir dans le cadre des services délivrés, afin de pouvoir y remédier et savoir quelle action entreprendre en cas d’incident. A cela s’ajoute également la nécessité d’analyser les impacts des risques identifiés ou des non conformités éventuelles afin d’en déduire les bons objectifs de sécurité et les contrôles associés que l’on doit retrouver dans les politiques correspondantes. Malheureusement, pour beaucoup d’organisations, politiques et procédures sont très éparpillées au sein des différents départements fonctionnels, souvent sans mises à jour régulières et largement dépassées quant aux exigences de conformité. Au-delà de cette structuration autour de différentes politiques, les organisations doivent également disposer d’une véritable gestion du risque tant au regard de leur activité qu’au regard de la conformité à laquelle elles sont sujettes. Rappelons que la nonconformité constitue en elle-même un certain type de risque. Comme vu précédemment, l’organisation doit disposer d’une liste des risques potentiels identifiés avec leur impact, ainsi que d’un programme destiné à traiter les risques soit en l’évitant, en l’acceptant, en le réduisant ou encore en le transférant. L’ensemble du cycle de vie du risque doit être parcouru de son identification à son traitement final. Nous donnons ci-dessous un schéma présentant l’articulation entre les différentes étapes décrites (source RSA). Or, pour beaucoup d’organisations, construire un programme coordonné des risques se révèle difficile à cause en particulier du manque de centralisation des éléments nécessaires et du maintien indispensable du bon niveau d’information au travers de l’ensemble des départements. Il manque également souvent une classification et une échelle de risque, commune à toute l’organisation, permettant également une compréhension du risque identique pour l’ensemble du personnel. Quoi qu’il en soit, le processus de collecte des données autour du risque, se révèle souvent très consommateur de temps et lourd à gérer, d’où certaines réticences bien naturelles. Néanmoins un tel travail est indispensable si l’organisation veut pouvoir disposer d’une bonne gestion des risques, qui plus est, intégrée à la gestion de la conformité.