Un registre des risques ISO qui fonctionne (et ne ressemble pas à un export de consultant)

Un registre des risques n'a pas besoin d'être un tableur de 300 lignes. Pour une PME, 30 à 60 risques est un objectif réaliste. Voici le format qui survit à un audit et reste utilisable au quotidien.

Le registre des risques est la liste centrale de « ce qui peut mal tourner ». Les consultants livrent parfois des feuilles de 300 lignes avec des risques théoriques. Pour une PME, 30 à 60 risques est réaliste. Chaque risque doit pouvoir être expliqué concrètement à un CFO non technique.

Pour chaque risque, vous documentez

• Description courte (« perte d'un ordinateur portable contenant des données client »)
• L'actif ou le processus concerné
• Menace (vol) et vulnérabilité (absence de chiffrement du disque)
• Probabilité (1-5) × impact (1-5) = score
• Mesures en place
• Responsable (nom)
• Score de risque résiduel
• Action complémentaire (optionnelle) + échéance

Scoring réaliste

Probabilité : 1 = très rare, 3 = peut arriver une fois par an, 5 = réalité quotidienne. Impact : 1 = désagrément, 3 = perte d'une journée de travail, 5 = entreprise en danger. Un score de 15 ou plus exige une action.

Fréquence de révision

• Chaque trimestre : passer en revue les risques en cours et en ajouter de nouveaux.
• Annuellement : révision complète lors de la revue de direction.
• Après chaque incident : mettre à jour le registre des risques avec les leçons apprises.

Exemples de risques PME réalistes

1. Ransomware sur l'ordinateur portable d'un collaborateur via un e-mail de phishing
2. Un ancien collaborateur a toujours accès aux données client (faille d'offboarding)
3. L'accès administrateur à la comptabilité n'est pas revu pendant plusieurs mois (retard de révision des accès)
4. Le fournisseur cloud tombe en panne pendant la haute saison
5. Un collaborateur clique sur un e-mail de phishing et une attaque MFA fatigue réussit
6. Un mot de passe partagé fuite via un copier-coller dans Slack

Pour la mise en place d'un journal d'incidents, voir : créer un journal d'incidents.