Après le traitement du risque, il reste toujours un risque résiduel : aucune mesure, aussi robuste soit-elle, n’élimine complètement une menace. ISO/IEC 27005 prévoit une étape distincte pour cette réalité : l’acceptation du risque. Quatrième article de notre série, ce billet explique pourquoi cette étape ne peut pas être laissée implicite, et comment la formaliser dans une PME.
Ce que signifie « accepter » un risque au sens d’ISO 27005
Accepter un risque ne veut pas dire l’ignorer. Cela signifie qu’une personne ayant l’autorité nécessaire reconnaît explicitement le niveau de risque résiduel restant après traitement, et décide en toute connaissance de cause de le tolérer plutôt que d’investir davantage de ressources pour le réduire.
Cette décision doit être :
- explicite : consignée par écrit, pas présumée;
- justifiée : appuyée par les critères d’acceptation établis à l’étape du contexte;
- attribuée : signée par une personne ayant l’autorité de l’assumer, généralement un membre de la direction.
Pourquoi cette étape est souvent négligée dans les PME
Dans une PME sans équipe TI interne, il est fréquent que le traitement du risque s’arrête dès que quelques mesures techniques sont en place, sans qu’une décision formelle ne soit prise sur le risque restant. Ce raccourci pose deux problèmes :
- Personne n’est responsable si le risque résiduel se matérialise, puisqu’aucune décision consciente n’a été documentée.
- La direction ne connaît pas son exposition réelle, ce qui compromet sa capacité à prioriser les investissements futurs en sécurité.
Quand un risque résiduel est-il acceptable?
ISO 27005 renvoie directement aux critères d’acceptation du risque définis lors de l’établissement du contexte (voir le premier article de cette série). Un risque résiduel est généralement jugé acceptable lorsque :
- il se situe sous le seuil défini par la direction;
- le coût de traitement supplémentaire dépasse le bénéfice attendu;
- l’organisation dispose d’une capacité de détection et de réponse suffisante pour limiter les conséquences si le risque se matérialise malgré tout.
Documenter la décision
Un registre d’acceptation du risque, même simple, devrait inclure :
| Élément | Description |
|---|---|
| Risque résiduel | Description et niveau après traitement |
| Justification | Pourquoi ce niveau est jugé acceptable |
| Personne responsable | Qui accepte le risque, avec date et signature |
| Date de revue | Quand cette décision sera réexaminée |
Ce registre s’intègre naturellement au système de management de la sécurité de l’information exigé par la certification ISO 27001.
Cas particulier : les risques provenant de tiers
Lorsqu’un risque résiduel découle d’un fournisseur ou d’un partenaire (infogérant, plateforme infonuagique), l’acceptation doit tenir compte des engagements contractuels de ce tiers. L’organisation demeure responsable de la décision d’acceptation, même si une partie du risque est partagée contractuellement.
Erreurs fréquentes observées chez les PME
- Aucune trace écrite de l’acceptation, ce qui rend impossible de démontrer une gouvernance des risques cohérente en audit.
- Acceptation par défaut : le risque est simplement laissé de côté faute de temps, sans décision consciente.
- Absence de date de revue, ce qui fige une décision qui devrait pourtant être réexaminée périodiquement.
- Autorité mal définie : un responsable TI accepte seul un risque qui devrait relever de la direction générale, notamment lorsque les conséquences financières ou réglementaires sont importantes.
Ce que vérifiera un auditeur
L’auditeur cherchera des preuves que chaque risque résiduel a fait l’objet d’une décision consciente, documentée et attribuée à une personne ayant l’autorité appropriée. Un plan de traitement des risques qui s’arrête sans mention explicite du sort du risque résiduel est un constat fréquent en clause 6.1.3 d’ISO 27001.
Questions fréquentes
Qui a l’autorité pour accepter un risque ?
Cela dépend de l’ampleur du risque et des rôles définis à l’étape du contexte. Pour les risques les plus significatifs, il s’agit généralement de la direction générale ou du conseil d’administration.
Un risque accepté peut-il être reconsidéré plus tard ?
Oui, et il devrait l’être : les critères d’acceptation, la tolérance au risque de l’organisation et le contexte externe évoluent, ce qui justifie une revue périodique.
Que se passe-t-il si un risque accepté se matérialise ?
La documentation de la décision d’acceptation démontre que l’organisation a agi de façon responsable et informée, ce qui est pertinent tant pour la gouvernance interne que pour d’éventuelles obligations réglementaires.
L’acceptation du risque est-elle propre à ISO 27005 ?
Le concept existe dans la plupart des cadres de gestion des risques, mais ISO 27005 en précise l’application spécifique à la sécurité de l’information dans le cadre d’ISO 27001.
Quelles sont les prochaines étapes du processus ISO 27005 ?
La communication et la concertation, ainsi que la surveillance et la revue continues, qui font l’objet des deux prochains articles de cette série.
En résumé
L’acceptation du risque est l’étape qui rend une gestion des risques défendable : elle transforme un risque résiduel implicite en une décision assumée, documentée et attribuable. Pour une PME, formaliser cette étape, même simplement, renforce à la fois la gouvernance interne et la préparation à un audit ISO 27001.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte
- Étape 2 — Appréciation du risque
- Étape 3 — Traitement du risque
- Étape 4 — Acceptation du risque (vous êtes ici)
- Étape 5 — Communication et concertation
- Étape 6 — Surveillance et revue
Pour la vue d’ensemble du système de management, consultez aussi notre série ISO 27001, clause par clause.
Parlons de vos risques
Besoin d’aide pour structurer vos décisions de gestion des risques? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
