Gestion des risques · LEÇON 07 SUR 08
Comment tester la résistance d’une organisation face à un scénario extrême cohérent ?
Tester les scénarios extrêmes. Décrire l’incertitude, apprécier l’exposition et choisir une réponse cohérente avec les objectifs.
7 notions1 cas guidé5 questions1 livrable
Objectifs
Ce que vous saurez produire
Méthode directrice : Formuler un choc cohérent, ses transmissions, ses décisions et son retour à l’équilibre.
Mobiliser 7 notions et justifier leur application aux faits.
Produire scénario de stress utilisable pour réviser, décider ou transmettre une analyse.
Notions clés
7 notions reliées à la leçon
Chaque notion est traitée par sa définition, son utilité, sa méthode, son principal piège et un exemple.
Continuité d’activité
Définition. Capacité organisée à maintenir ou rétablir des activités prioritaires après une perturbation.
Utilité. Limiter l’interruption et préserver les services essentiels dans des conditions dégradées.
Méthode. Identifier les activités prioritaires, définir les besoins, concevoir les solutions et réaliser des exercices.
Piège. Rédiger un plan sans vérifier les ressources, coordonnées, dépendances et capacités réelles.
Exemple. Une activité essentielle bascule vers une procédure manuelle lorsque son application est indisponible.
Gestion de crise
Définition. Organisation exceptionnelle de décision, coordination et communication face à une situation grave et évolutive.
Utilité. Maintenir une compréhension partagée et prendre des décisions rapides malgré l’incertitude.
Méthode. Définir la structure, préparer les fiches réflexes, entraîner les équipes et documenter les décisions.
Piège. Réunir trop d’acteurs sans rôles, journal de décision ni critères de sortie de crise.
Exemple. Après une interruption majeure, la cellule arbitre les services prioritaires et informe les parties concernées.
Risque cyber
Définition. Risque portant sur la confidentialité, l’intégrité ou la disponibilité des systèmes et informations.
Utilité. Protéger les activités dépendantes du numérique et limiter les effets d’une attaque ou défaillance.
Méthode. Identifier les actifs critiques, modéliser les scénarios, évaluer les contrôles et tester la réponse.
Piège. Limiter le risque cyber aux outils techniques et négliger les processus, prestataires et comportements humains.
Exemple. Un compte compromis permet un accès indu à des données et perturbe un service.
Risque de fraude
Définition. Risque d’acte intentionnel de tromperie ou de dissimulation visant un avantage indu.
Utilité. Prévenir, détecter et traiter les scénarios combinant motivation, opportunité et rationalisation.
Méthode. Construire des scénarios, identifier les accès et possibilités de collusion, puis tester les contrôles.
Piège. Concevoir les contrôles uniquement pour les erreurs involontaires et ignorer le contournement intentionnel.
Exemple. La création d’un fournisseur fictif est facilitée par des droits incompatibles et une revue insuffisante.
Risque de projet
Définition. Événement incertain susceptible d’affecter les objectifs, coûts, délais, qualité ou bénéfices d’un projet.
Utilité. Anticiper les obstacles et préserver la capacité d’arbitrage avant qu’ils ne deviennent des problèmes.
Méthode. Examiner objectifs, hypothèses, dépendances, interfaces, compétences et changements à chaque jalon.
Piège. Confondre le registre des risques avec la liste des tâches en retard ou des problèmes déjà survenus.
Exemple. Une dépendance à une donnée non disponible menace la date de mise en service.
Réduction du risque
Définition. Action qui diminue la vraisemblance, l’impact ou les deux dimensions d’un scénario.
Utilité. Ramener l’exposition à un niveau compatible avec l’appétit et les objectifs.
Méthode. Cibler la cause ou la conséquence, estimer l’effet, attribuer la mesure et tester son fonctionnement.
Piège. Ajouter des mesures redondantes sans démontrer leur effet marginal ni leur coût de fonctionnement.
Exemple. Un contrôle d’accès réduit la possibilité d’une modification non autorisée.
Risque
Définition. Effet possible de l’incertitude sur l’atteinte d’un ou plusieurs objectifs définis.
Utilité. Formuler ce qui pourrait affecter un objectif afin de décider d’une réponse proportionnée.
Méthode. Nommer l’objectif, décrire l’événement incertain, préciser les causes et les conséquences plausibles.
Piège. Décrire un problème déjà certain comme un risque ou omettre l’objectif qu’il pourrait affecter.
Exemple. La dépendance à un fournisseur peut retarder une production et affecter l’objectif de continuité.
Cas guidé
Un risque mal formulé. Angle de travail : tester les scénarios extrêmes
Le registre contient la ligne suivante : « Cyberattaque, critique ». Aucune cause, conséquence ni mesure n’est précisée.
Étape 1. Continuité d’activité
Réécrivez le scénario de risque.
Guide de résolution
Identifier les activités prioritaires, définir les besoins, concevoir les solutions et réaliser des exercices. Repères de contrôle : Activités et ressources prioritaires définies · Solutions de secours réalistes · Plans exercés et corrigés.
Afficher la réponse attendue
Relier une menace et une vulnérabilité à un événement et à des conséquences.
Étape 2. Gestion de crise
Proposez des critères d’évaluation.
Guide de résolution
Définir la structure, préparer les fiches réflexes, entraîner les équipes et documenter les décisions. Repères de contrôle : Rôles et suppléants préparés · Journal des faits et décisions tenu · Exercices suivis d’actions.
Afficher la réponse attendue
Définir probabilité, impacts opérationnels, financiers, réglementaires et réputationnels.
Étape 3. Risque cyber
Listez les informations nécessaires au suivi.
Guide de résolution
Identifier les actifs critiques, modéliser les scénarios, évaluer les contrôles et tester la réponse. Repères de contrôle : Actifs critiques et dépendances connus · Scénarios menace-vulnérabilité formulés · Détection et reprise testées.
Afficher la réponse attendue
Ajouter contrôles, responsable, indicateurs, plan d’action et date de revue.
Synthèse attendue. La réponse finale doit relier les faits aux notions mobilisées, expliciter les hypothèses et aboutir à scénario de stress.
Auto-évaluation
Vérifier la maîtrise avant de poursuivre
Répondez sans consulter les cartes, puis comparez avec les éléments attendus.
Définissez Continuité d’activité.
Comparer avec la réponse
Capacité organisée à maintenir ou rétablir des activités prioritaires après une perturbation.
Quelle utilité professionnelle attribuez-vous à Gestion de crise ?
Comparer avec la réponse
Maintenir une compréhension partagée et prendre des décisions rapides malgré l’incertitude.
Quelle méthode appliquez-vous pour traiter Risque cyber ?
Comparer avec la réponse
Identifier les actifs critiques, modéliser les scénarios, évaluer les contrôles et tester la réponse.
Quel piège faut-il éviter avec Risque de fraude ?
Comparer avec la réponse
Concevoir les contrôles uniquement pour les erreurs involontaires et ignorer le contournement intentionnel.
Donnez un exemple d’application de Risque de projet.
Comparer avec la réponse
Une dépendance à une donnée non disponible menace la date de mise en service.
Production attendue
Scénario de stress
Rédigez scénario de stress sur une à deux pages. Appuyez chaque conclusion sur un fait, une notion du cours et une trace attendue.
Les faits, hypothèses et informations manquantes sont séparés.
Au moins trois notions sont appliquées : Continuité d’activité, Gestion de crise, Risque cyber.
La méthode, la conclusion et la prochaine action sont formulées sans ambiguïté.
Les limites de l’analyse et les pièces à conserver sont indiquées.
Sources officielles
Textes et référentiels à consulter
Ces liens mènent vers les organismes qui publient les programmes, normes ou recommandations mobilisés par la matière.
SOURCE 01 · ISO
Famille ISO 31000, management du risque
Cadrer principes, gouvernance, processus et vocabulaire de gestion des risques.
SOURCE 02 · The Institute of Internal AuditorsGlobal Internal Audit Standards
Relier gouvernance, évaluation des risques et activité d’audit interne.
SOURCE 03 · ACPRContrôle interne
Situer les contrôles dans le pilotage des risques d’un organisme financier.
Navigation du programme