Norme ISO 31000 (Gestion des risques)
La norme ISO 31000 n’est pas une norme de certification — personne n’obtient la « certification ISO 31000 ». Il s’agit d’un ensemble de principes et d’un cadre définissant la manière dont une organisation doit appréhender et gérer les risques de toute nature, et pas uniquement les cyberrisques. C’est d’ailleurs là que réside sa valeur : elle vous offre une structure commune pour aborder les risques — les identifier, les analyser, les évaluer, les traiter et les surveiller au fil du temps — qui s’applique aussi bien à une cyberattaque qu’à une perturbation de la chaîne d’approvisionnement, à un changement réglementaire ou à une acquisition malheureuse.
La plupart des organisations disposent déjà d’un système qui s’apparente à la gestion des risques : un tableur intitulé « registre des risques », mis à jour de manière sporadique, que personne en dehors de l’équipe chargée de la conformité ne lit réellement avant de prendre une décision. La norme ISO 31000 est indispensable pour transformer cela en un outil réellement utilisé par la direction — un processus intégré au processus décisionnel, et non un simple document destiné à satisfaire un auditeur.
À qui s'adresse ce document ?
Les organisations qui ont besoin d’un cadre de gestion des risques crédible et structuré — soit parce que leur conseil d’administration l’exige, soit parce qu’un organisme de réglementation ou un client s’attend à en voir un, soit simplement parce que la direction a constaté que les décisions en matière de risques sont prises à l’instinct et souhaite que cela cesse. Cela constitue également une base utile pour des cadres plus spécifiques : un processus de gestion des risques solide, inspiré de la norme ISO 31000, facilite la mise en œuvre du NIST CSF, du CMMC ou du SOC 2, car vous n’avez pas à repartir de zéro pour définir votre approche des risques chaque fois qu’une nouvelle exigence apparaît.
Comment j’aborderais la question
Je ne crois pas aux cadres de gestion des risques qui n’existent que sur le papier et nulle part ailleurs ; c’est pourquoi j’élabore le processus en fonction de la manière dont votre organisation prend réellement ses décisions : qui doit donner son avis, quelles informations ces personnes doivent consulter et à quelle fréquence ces informations doivent être actualisées pour garantir leur fiabilité. Cela implique de définir de véritables critères de risque spécifiques à votre activité plutôt que des étiquettes génériques de gravité, de mettre en place un processus d’identification et d’analyse des risques qui associe les personnes qui sont réellement confrontées à ces risques au quotidien, et d’instaurer un suivi permettant de détecter toute évolution de la probabilité ou de l’impact d’un risque, au lieu de se contenter d’un examen annuel par simple habitude. Le critère permettant de déterminer si cette approche a fonctionné n’est pas un audit sans faille, mais le fait de savoir si, dans six mois, une personne chargée de prendre une décision concrète se référera réellement à ce cadre plutôt que de le contourner.
Si votre gestion des risques vous semble davantage relever de la paperasserie que d’un véritable outil, contactez-moi et nous y remédierons ensemble.