Les risques sont partout, mais certains risques comptent plus que d’autres. ISO 31000, la norme de gestion des risques ayant la portée internationale la plus large, définit le risque comme « l’effet de l’incertitude sur les objectifs ». Dans n’importe quelle entreprise, les incertitudes (à la fois positives et négatives) abondent, et les objectifs peuvent aller de l’achat d’une nouvelle imprimante au lancement d’un nouveau produit.
Dans cette publication, je vous propose des directives que vous pouvez utiliser pour mesurer les risques qui comptent. En cours de route, je souligne l’importance de la collaboration pour identifier, mesurer et atténuer les risques. Lorsque les services informatiques travaillent en étroite collaboration avec leurs unités commerciales, les risques peuvent être compris et traités.
Identifier les risques associés aux objectifs stratégiques
Les organisations informatiques sont chargées d’identifier un large éventail de risques, y compris les systèmes non corrigés, les nouvelles variantes de logiciels malveillants, les nouvelles techniques d’hameçonnage et plus encore. La liste continue. Bien qu’il soit important de suivre ces risques, de les mesurer et de les hiérarchiser, vous devez tenir compte de leur contexte. Après tout, le risque d’une vulnérabilité de sécurité unique peut différer d’un système à l’autre.
Prenons l’exemple de deux serveurs de fichiers qui ne disposent pas des derniers correctifs pour une application. Un serveur de fichiers stocke les menus de déjeuner pour la cafétéria des employés. Les autres magasins fabriquent des conceptions pour un nouveau produit qui sera introduit le mois prochain.
Il est clair que le serveur avec les documents de conception est plus stratégiquement important. Par conséquent, ses risques doivent être prioritaires sur les risques affectant le serveur de fichiers avec les menus de déjeuner.
À partir de cet exemple, nous pouvons dériver une règle générale : tout risque qui compromet un objectif stratégique de haut niveau prévaut sur les risques qui affectent uniquement les objectifs de niveau inférieur.
Compte tenu de cette règle, le travail de mesure des risques commence par l’identification des objectifs stratégiques de votre entreprise. Vous pourrez ensuite explorer l’infrastructure informatique qui soutient la poursuite de ces objectifs par votre entreprise.
Considérez-le comme une forme d’analyse de la chaîne d’approvisionnement. Vous recherchez le flux de données, de personnes et d’opérations, d’un objectif de haut niveau aux systèmes et processus informatiques spécifiques qui aident l’entreprise à atteindre cet objectif. Ces systèmes et processus fonctionnent comme une sorte de chaîne d’approvisionnement pour les objectifs eux-mêmes.
Par exemple, supposons que votre entreprise a un objectif de haut niveau de fournir des services financiers fiables et de pointe via une application mobile. Il est clair que le serveur Web, les bases de données et les modules logiciels qui prennent en charge cette application mobile sont stratégiquement importants. Tout risque qui pourrait les mettre hors ligne serait également considéré comme important, en particulier lorsqu’il est comparé à un risque pour une application interne qui n’est jamais utilisée par les clients.
Dans ce cas, l’équipe de gestion des risques de l’entreprise doit poser des questions telles que :
- Quels systèmes et processus prennent directement en charge la fiabilité et l’innovation de notre application mobile de services financiers ?
- Quels systèmes et processus activent ces systèmes et processus ?
- Quel est le système qui fait fonctionner l’application mobile ?
Pour mesurer les risques, identifiez ces interconnexions et tracez-les si nécessaire conformément aux objectifs et capacités de votre entreprise.
Tous les systèmes et processus de cette « chaîne d’approvisionnement » ne sont pas tout aussi importants. Pour mesurer les risques au sein de la chaîne d’approvisionnement elle-même, attribuez une valeur à tout (ce qui compte en tenant compte de la règle 20/08 ) de l’objectif de niveau supérieur au système ou processus de soutien le plus bas.
Construire une gamme de risques
Vos objectifs stratégiques doivent également être comparés et valorisés. Il est rare qu’une entreprise les traite toutes de manière égale.
Une fois que vous avez identifié vos objectifs principaux, attribuez à chacun une valeur sur une certaine plage. Par exemple, sur la base de conversations avec votre équipe de direction, vous pouvez attribuer une croissance continue du chiffre d’affaires d’au moins 10 % du TCAC, une valeur de 10 sur une plage de 1 à 10, ce qui signifie que c’est le plus important.
En revanche, vous pouvez valoriser la conformité réglementaire en tant que 7. Cela ne signifie pas que la conformité n’est pas importante pour l’entreprise. Cela signifie simplement que garantir la conformité est excellent, mais ce ne sera pas la priorité de haut niveau qui prévaut sur tous les autres investissements.
Ensuite, identifiez les personnes, les processus et les technologies impliqués dans le soutien de chaque objectif stratégique. Classez ensuite l’importance de chaque facteur de soutien.
Pour fournir une nuance supplémentaire, vous pouvez estimer la probabilité qu’une défaillance spécifique se produise. Par exemple, imaginez que votre entreprise dispose d’un serveur Web prenant en charge une application mobile essentielle à l’entreprise. Les chances que ce serveur fournisse des performances anormalement lentes pendant une période d’utilisation de pointe sont probablement plus élevées que les chances que ce même serveur succombe à une panne de courant qui plante à la fois les systèmes d’alimentation principale et de secours.
En multipliant le classement pour la valeur stratégique du serveur (par exemple, 7 sur 10) par la probabilité d’un risque spécifique (par exemple, 50 % ou 0,5), vous pouvez commencer à classer les risques et à identifier ceux qui nécessitent une action plus immédiate.
Par exemple, disons que la probabilité qu’un serveur fournisse des performances lentes est de 40 %, tandis que la probabilité qu’un serveur plante en cas de panne de courant catastrophique n’est que de 2 %. Si l’importance du serveur classe 7 sur une plage de 1 à 10, alors la valeur de risque pour le scénario de performance lente serait de 7 fois 0,40, ce qui donne 2,8. La valeur de risque pour le scénario de panne de courant serait alors de 7 fois 0,02, ce qui donne 0,14. Le scénario de performance lente, qui a la valeur de risque la plus élevée (2,8 contre 0,14), est évidemment le risque qui nécessitera d’abord une attention.
L’importance de la collaboration pour mesurer les risques
La réalisation de ce type d’évaluation des risques nécessite beaucoup de travail et une ouverture à l’acceptation de l’ambiguïté, du paradoxe et de l’incertitude. Cela inclut la collecte d’informations détaillées sur les personnes, les processus et les technologies dans l’ensemble de l’entreprise et leur synthèse pour comprendre ce qu’il faut faire.
Réalistement, aucune personne ou équipe ne connaît spontanément tous les détails et vulnérabilités associés à tous les systèmes et processus informatiques qui soutiennent tous les objectifs stratégiques de l’entreprise. Le service informatique devra demander de l’aide.
Mon conseil : si vous évaluez les processus et technologies d’un service, demandez de l’aide à ce service. Par exemple, si vous souhaitez comprendre les risques entourant les applications du service des ressources humaines (RH), parlez-en à un membre des RH. Ils sauront probablement des choses sur leur application que l’équipe des opérations informatiques ne connaît pas.
Lorsque vous parlez à des personnes extérieures au service informatique, minimisez votre utilisation du jargon technique. Lorsque vous parlez avec des collègues du service informatique, il est acceptable d’utiliser un jargon technique tel que « Vos contrôles sont-ils opérationnels ? » Mais en dehors de l’informatique, ce type de langage est susceptible de prêter à confusion.
Lorsque je parle à des personnes non informatiques, je parle plutôt généralement en termes d’autonomisation des bonnes choses et de prévention des mauvaises choses. Je leur pose également des questions sur l’objectif d’un processus ou d’une candidature. Je discute des objectifs de notre processus de gestion des risques. Et j’explique comment nos évaluations des risques peuvent les aider à accomplir leur travail et à atteindre leurs propres objectifs de service en augmentant la certitude de réussite.
Un autre conseil : ne dites jamais à quelqu’un comment faire quelque chose sans lui demander au préalable comment il pense que cela devrait être fait. Si vous imposez une solution, vous pourriez manquer une alternative créative. Vous pouvez également constater que les gens s’en remettent à suivre une nouvelle politique qui les affecte directement, surtout si elle ne prend pas en compte leurs idées.
Une meilleure solution : demandez conseil aux utilisateurs professionnels. Vous pouvez ensuite trouver une solution de gestion des risques qu’ils sont susceptibles de prendre en charge.
La gestion des risques est un problème d’entreprise, et pas seulement un problème informatique
Lorsque des personnes extérieures à l’informatique réalisent que vous leur faites confiance et que vous êtes vraiment intéressé par ce qu’elles ont à dire, elles communiqueront avec vous plus librement. Ils seront également plus susceptibles de s’approprier les solutions de gestion des risques que vous avez mises en place conjointement.
Cette collaboration continue est un avantage de l’adoption d’une approche « systèmes » pour gérer les risques grâce à l’intégration. Vous découvrez non seulement les détails dont vous avez besoin pour mesurer les risques plus précisément, mais vous informez également les parties prenantes de l’organisation sur l’importance de la mesure et de l’atténuation des risques. Et vous collaborez avec ces parties prenantes pour développer des solutions qui minimisent les risques que vous avez tous les deux identifiés.
La mesure des risques se traduit inévitablement par quelques surprises, et certaines peuvent être effrayantes ou Aha ! moments. Mais la mesure des risques améliore presque toujours la communication entre les services. Cela peut également aider l’ensemble de l’entreprise à prendre de meilleures décisions concernant la réduction de l’incertitude et la réalisation des objectifs les plus importants de l’entreprise.
Consultez le premier blog de cette série, Mesurer ce qui compte : aligner la mesure des risques sur les objectifs de l’entreprise.
En savoir plus sur la solution de gestion des risques de Tanium.
