Les risques sont omniprésents, mais certains ont plus d'importance que d'autres. ISO 31000 (s'ouvre dans un nouvel onglet), la norme de gestion des risques ayant la plus large portée internationale, définit le risque comme « l'effet de l'incertitude sur les objectifs ». Dans toute entreprise, les incertitudes (qu'elles soient positives ou négatives) sont légion, et les objectifs peuvent aller de l'achat d'une nouvelle imprimante au lancement d'un nouveau produit.
Dans cet article, je vous propose des lignes directrices que vous pourrez utiliser pour évaluer les risques qui comptent vraiment. Au fil de mon exposé, j'insiste sur l'importance de la collaboration pour identifier, évaluer et atténuer les risques. Lorsque les services informatiques travaillent en étroite collaboration avec leurs unités opérationnelles, les risques peuvent être identifiés et pris en compte.
Identification des risques liés aux objectifs stratégiques
Les services informatiques ont pour mission d'identifier un large éventail de risques, notamment les systèmes non mis à jour, les nouvelles variantes de logiciels malveillants, les nouvelles techniques de hameçonnage et bien d'autres encore — la liste est longue. S'il est important de recenser ces risques, de les évaluer et de les hiérarchiser, vous devez tenir compte de leur contexte. Après tout, le risque lié à une seule faille de sécurité peut varier d'un système à l'autre.
Prenons, par exemple, deux serveurs de fichiers qui ne disposent pas, ni l'un ni l'autre, des derniers correctifs pour une application. Un serveur de fichiers stocke les menus du déjeuner de la cantine du personnel. Les autres magasins élaborent actuellement les maquettes d'un nouveau produit qui sera lancé le mois prochain.
Il est évident que le serveur contenant les documents de conception revêt une importance stratégique plus grande. Par conséquent, les risques qui le concernent devraient primer sur ceux qui affectent le serveur de fichiers contenant les menus du déjeuner.
Cet exemple nous permet d'en déduire une règle générale : tout risque qui compromet un objectif stratégique de haut niveau prime sur les risques qui n'affectent que des objectifs de niveau inférieur.
Compte tenu de cette règle, le processus d'évaluation des risques commence par l'identification des objectifs stratégiques de votre entreprise. Vous pourrez alors découvrir l'infrastructure informatique qui soutient votre entreprise dans la poursuite de ces objectifs.
Considérez cela comme une forme d'analyse de la chaîne d'approvisionnement. Vous suivez le flux des données, des personnes et des opérations, depuis un objectif général jusqu’aux systèmes et processus informatiques spécifiques qui aident l’entreprise à atteindre cet objectif. Ces systèmes et processus fonctionnent comme une sorte de chaîne d'approvisionnement au service des objectifs eux-mêmes.
Prenons par exemple le cas où votre entreprise aurait pour objectif général de proposer des services financiers fiables et à la pointe de la technologie via une application mobile. Il est évident que le serveur web, les bases de données et les modules logiciels qui prennent en charge cette application mobile revêtent une importance stratégique. Tout risque susceptible de les mettre hors ligne serait également considéré comme important, surtout si on le compare à un risque pesant sur une application interne qui n'est jamais utilisée par les clients.
Dans ce cas précis, l'équipe de gestion des risques de l'entreprise devrait se poser des questions telles que :
- Quels sont les systèmes et les processus qui contribuent directement à la fiabilité et à l'innovation de notre application mobile dédiée aux services financiers ?
- Quels sont les systèmes et les processus qui permettent le fonctionnement de ces systèmes et processus ?
- Quel est le système qui permet à l'application mobile de fonctionner ?
Pour évaluer les risques, identifiez ces interconnexions et cartographiez-les si nécessaire, en fonction des objectifs et des capacités de votre entreprise.
Tous les systèmes et processus de cette « chaîne d'approvisionnement » n'ont pas la même importance. Pour évaluer les risques au sein même de la chaîne d'approvisionnement, attribuez une valeur à chaque élément (qui présente un intérêt au regard de la règle 20/08 ), depuis l'objectif de plus haut niveau jusqu'au système ou processus de soutien le plus bas.
Définir un éventail de risques
Vos objectifs stratégiques doivent également être comparés et évalués. Il est rare qu'une entreprise les traite tous de la même manière.
Une fois que vous aurez identifié vos principaux objectifs, attribuez à chacun d'entre eux une valeur comprise dans une fourchette donnée. Par exemple, sur la base des échanges avec votre équipe de direction, vous pourriez attribuer à une croissance continue du chiffre d'affaires d'au moins 10 % de TCAC une valeur de 10 sur une échelle allant de 1 à 10, ce qui signifie qu'il s'agit de l'objectif le plus important.
By contrast, you might value regulatory compliance as a 7. Cela ne signifie pas pour autant que la conformité n'est pas importante pour l'entreprise. Cela signifie simplement que garantir la conformité est une excellente chose, mais que cela ne constituera pas la priorité absolue qui primera sur tous les autres investissements.
Identifiez ensuite les personnes, les processus et les technologies qui contribuent à la réalisation de chaque objectif stratégique. Classez ensuite chaque facteur favorable par ordre d'importance.
Pour apporter davantage de précisions, vous pouvez estimer la probabilité qu'une défaillance spécifique se produise. Par exemple, imaginez que votre entreprise dispose d'un serveur web hébergeant une application mobile essentielle à son activité. Les chances que ce serveur affiche des performances trop faibles pendant une période de forte affluence sont probablement plus élevées que celles que ce même serveur soit victime d'une coupure de courant qui mettrait hors service à la fois le système d'alimentation principal et le système de secours.
En multipliant le classement correspondant à la valeur stratégique du serveur (par exemple, 7 sur 10) par la probabilité d'un risque spécifique (par exemple, 50 % ou 0,5), vous pouvez à la fois classer les risques et identifier ceux qui nécessitent une intervention plus immédiate.
Prenons par exemple le cas où la probabilité qu’un serveur présente des performances médiocres serait de 40 %, tandis que la probabilité qu’un serveur tombe en panne lors d’une coupure de courant catastrophique ne serait que de 2 %. Si l'importance du serveur est de 7 sur une échelle allant de 1 à 10, alors la valeur du risque pour le scénario de performances réduites serait égale à 7 multiplié par 0,40, ce qui donne 2,8. Dans ce cas, la valeur de risque pour le scénario de coupure de courant serait égale à 7 multiplié par 0,02, ce qui donne 0,14. Le scénario de faible performance, qui présente la valeur de risque la plus élevée (2,8 contre 0,14), est manifestement le risque auquel il faudra s'attaquer en priorité.
L'importance de la collaboration pour évaluer les risques
La réalisation de ce type d'évaluation des risques demande beaucoup de travail et nécessite d'être ouvert à l'ambiguïté, aux paradoxes et à l'incertitude. Cela consiste à recueillir des informations détaillées sur les personnes, les processus et les technologies au sein de l'entreprise, puis à les synthétiser afin de déterminer les mesures à prendre.
En réalité, aucune personne ni aucune équipe ne connaît d'emblée tous les détails et toutes les vulnérabilités liés à l'ensemble des systèmes et processus informatiques qui soutiennent l'ensemble des objectifs stratégiques de l'entreprise. Le service informatique devra solliciter de l'aide.
Mon conseil : si vous évaluez les processus et les technologies d'un service, demandez de l'aide à ce service. Par exemple, si vous souhaitez comprendre les risques liés aux applications du service des ressources humaines (RH), adressez-vous à un collaborateur de ce service. Ils auront probablement des informations sur leur application que l'équipe des opérations informatiques ne connaît pas.
Lorsque vous vous adressez à des personnes extérieures au service informatique, évitez autant que possible d'utiliser du jargon technique. Lorsque vous discutez avec vos collègues du service informatique, vous pouvez tout à fait utiliser un jargon technique, par exemple : « Vos contrôles sont-ils opérationnels ? » Mais en dehors du domaine de l'informatique, ce genre de langage risque de prêter à confusion.
Lorsque je m'adresse à des personnes qui ne sont pas du milieu informatique, j'utilise généralement des termes qui font référence à la mise en avant des aspects positifs et à la prévention des aspects négatifs. Je leur pose également des questions sur le fonctionnement d'un processus ou sur l'objectif d'une application. Je présente les objectifs de notre processus de gestion des risques. Et j'explique comment nos analyses de risques peuvent les aider à mener à bien leurs missions et à atteindre les objectifs de leur service en renforçant les chances de réussite.
Un autre conseil : ne dites jamais à quelqu'un comment faire quelque chose sans lui avoir d'abord demandé comment il pense qu'il faudrait s'y prendre. Si vous imposez une solution, vous risquez de passer à côté d'une alternative créative. Vous constaterez peut-être également que les gens hésitent à se conformer à une nouvelle politique qui les concerne directement, surtout si celle-ci ne tient pas compte de leurs idées.
Une meilleure solution : demander l'avis des utilisateurs professionnels. Vous pourrez alors proposer une solution de gestion des risques qu'ils seront susceptibles d'approuver.
La gestion des risques relève de l'entreprise dans son ensemble, et non pas uniquement du domaine informatique.
Lorsque les personnes qui ne font pas partie du service informatique se rendent compte que vous leur faites confiance et que ce qu’elles ont à dire vous intéresse sincèrement, elles communiqueront plus librement avec vous. Ils seront également plus enclins à s’approprier les solutions de gestion des risques proposées par l’ (s’ouvre dans un nouvel onglet) que vous avez mises en place conjointement.
Cette collaboration continue est l'un des avantages d'une approche « systémique » de la gestion des risques par l'intégration. Non seulement vous découvrez les informations dont vous avez besoin pour évaluer les risques avec plus de précision, mais vous sensibilisez également les parties prenantes de l'organisation à l'importance de l'évaluation et de l'atténuation des risques. Et vous aurez l'occasion de collaborer avec ces parties prenantes afin d'élaborer des solutions permettant de minimiser les risques que vous avez identifiés ensemble.
La mesure des risques réserve inévitablement quelques surprises, dont certaines peuvent être effrayantes ou vous faire dire « Ah, mais bien sûr ! » instants. Mais la mesure des risques améliore presque toujours la communication entre les services. Cela peut également aider l'ensemble de l'entreprise à prendre de meilleures décisions pour réduire les incertitudes et atteindre ses objectifs les plus importants.
Découvrez le premier article de cette série, « : Mesurer ce qui compte : aligner la mesure des risques sur les objectifs de l'entreprise ». (s'ouvre dans un nouvel onglet)
Pour en savoir plus sur la solution de gestion des risques « » de Tanium : (s'ouvre dans un nouvel onglet).
