Comment fonctionne la gestion des risques d’entreprise dans Acuna GRC ?

La plupart des référentiels demandent le même socle. L’article 6.1.2 d’ISO/IEC 27001:2022 exige un processus d’appréciation des risques défini : des critères de risque, dont les critères d’acceptation, des risques identifiés avec un propriétaire, des conséquences et une vraisemblance analysées, et des niveaux de risque comparés aux critères pour fixer les priorités. L’article 6.1.3 traite ensuite du traitement, et les articles 8.2 et 8.3 imposent de conserver les résultats de l’appréciation et du traitement des risques. Voir ce qu’est un plan de traitement des risques.

Concrètement, chaque risque a besoin :

• D’un propriétaire nommé, capable de l’approuver et d’accepter ce qui reste.
• D’un niveau inhérent (impact et probabilité avant traitement) et d’un niveau cible ou résiduel.
• D’une stratégie de traitement et des contrôles et mesures qui la mettent en œuvre.
• De liens vers ce qu’il concerne : actifs, processus, fournisseurs, activités de traitement.
• D’une date de revue et d’un historique des décisions.

• Créez le risque ou l’opportunité dans Risks & Opportunities, évaluez l’impact et la probabilité, choisissez une stratégie de traitement (atténuer, accepter, transférer ou éviter) et fixez les valeurs visées après traitement. Acuna GRC calcule la valeur du risque.
• Reliez les actifs, menaces, processus, activités de traitement, tiers, mesures et contrôles concernés. Le registre des menaces démarre avec un catalogue de sources de menace, classées par type de source et par confidentialité, intégrité, disponibilité et traçabilité.
• Demandez l’approbation. Le risque passe par In progress, Approval required, Approved, To be reviewed et Archived ; seul le propriétaire ou un administrateur peut approuver, et l’approbation fixe la prochaine revue un an plus tard.
• Créez un plan de traitement doté d’un responsable et d’un statut, relié aux contrôles, mesures, tâches, documents et enregistrements qui le mettent en œuvre.
• Réalisez les tâches. La santé du plan est calculée à partir des contrôles, mesures et tâches reliés et remonte jusqu’au risque.
• Confirmez la revue le moment venu. Le propriétaire reçoit un rappel 30 jours et 3 jours avant, puis une fois en cas de retard ; la confirmation reporte la date d’un an et l’inscrit dans l’historique du workflow.

Le registre offre quatre vues : Register (lecture seule), Table (modification en ligne), Matrix et Categories. La matrice est une carte de chaleur impact par probabilité, colorée selon votre appétence au risque, avec une bascule Actual ou Target : vous voyez où se situent les risques aujourd’hui et où le traitement doit les amener. Le panneau de détail montre l’évolution du niveau de chaque risque dans le temps.

Vous pouvez filtrer par statut, catégorie, probabilité, impact, traitement ou propriétaire, modifier le statut en masse et exporter la liste filtrée en XLSX ou CSV. Les périmètres et les étiquettes restreignent chaque vue à une entité, un site ou un service, et les profils d’accès limitent chacun aux périmètres sur lesquels il travaille.

• Des risques sans propriétaire, ou portés par l’équipe sécurité au nom du métier.
• Des cotations saisies une fois, jamais reliées aux contrôles censés les réduire.
• Un registre tenu à l’écart des actifs, des processus et des fournisseurs : personne ne voit ce qu’un seul incident toucherait.
• Un traitement choisi mais jamais suivi d’un plan, de tâches et de preuves.
• Aucun cycle de revue : l’appréciation de l’an dernier reste en place alors que l’activité a changé.

Dans Acuna GRC, les liens vers les contrôles et leur santé et la revue annuelle de chaque risque approuvé répondent aux trois derniers points.