Qu’est-ce qu’un plan de traitement des risques dans la GRC ?

Dans ISO/IEC 27001:2022, le traitement des risques relève de l’article 6.1.3 et suit un ordre précis :

• Choisir une option de traitement pour chaque risque issu de l’appréciation des risques.
• Déterminer toutes les mesures nécessaires à ce traitement, quelle qu’en soit la source.
• Les comparer à l’annexe A pour vérifier qu’aucune mesure nécessaire n’a été oubliée.
• Établir la Déclaration d’applicabilité (article 6.1.3 d).
• Élaborer le plan de traitement des risques (article 6.1.3 e).
• Obtenir des propriétaires des risques l’approbation du plan et l’acceptation des risques résiduels (article 6.1.3 f).

L’article 8.3 impose ensuite de mettre en œuvre le plan et de conserver des informations documentées sur les résultats du traitement. Le plan est donc à la fois un document de planification et le fil que suit l’auditeur jusqu’aux preuves de sa réalisation. Voir les documents exigés par ISO 27001.

Pour chaque risque, ou groupe de risques liés, un plan consigne en général :

• Le risque traité et l’option de traitement retenue.
• Les contrôles et mesures à mettre en place ou à renforcer, et les tâches qui les réalisent.
• Un responsable du plan, ainsi qu’un responsable et une échéance pour chaque action.
• Le niveau de risque visé après traitement, pour savoir quand le plan a atteint son but.
• L’approbation du propriétaire du risque et son acceptation du risque résiduel.
• Son statut, et les enregistrements qui prouvent que chaque action a été réalisée.

Accepter un risque est aussi une décision de traitement. Elle exige un propriétaire nommé et une validation formelle, et doit revenir en revue au lieu de rester acquise indéfiniment.

• Des plans qui listent des contrôles sans responsables ni échéances : rien ne montre qu’ils ont été mis en œuvre.
• Un risque résiduel jamais formulé, ou accepté par quelqu’un qui n’en est pas le propriétaire.
• Une Déclaration d’applicabilité qui ne correspond pas aux contrôles cités dans les plans.
• Des risques marqués « Atténuer » sans plan ni contrôle derrière.
• Des plans clôturés sans aucun enregistrement prouvant que les contrôles fonctionnent.
• Des risques acceptés qui ne sont plus jamais revus.

Dans Acuna GRC, les plans de traitement se trouvent dans l’espace de travail Operate, à côté du registre des risques. Vous fixez sur le risque la stratégie (atténuer, accepter, transférer ou éviter) et l’impact et la probabilité visés, puis créez un plan de traitement doté d’un responsable et d’un statut, relié aux risques qu’il traite et aux contrôles, mesures, tâches, documents et enregistrements qui le mettent en œuvre. La santé du plan est calculée à partir des contrôles, mesures et tâches reliés et remonte jusqu’au risque : une tâche manquée apparaît sur le risque qu’elle devait réduire.

Les risques suivent un workflow d’approbation ; seul le propriétaire ou un administrateur peut approuver, et l’approbation fixe une date de revue un an plus tard, avec des rappels 30 jours et 3 jours avant, puis une fois en cas de retard. La matrice bascule entre positions actuelles et cibles. Voir comment fonctionne la gestion des risques d’entreprise dans Acuna GRC.