L’équipe TPRM d’une institution financière gérait un registre des risques de quarante-sept constats couvrant son portefeuille de fournisseurs. Douze des quarante-sept étaient classés en priorité haute, la catégorie la plus élevée de leur grille de notation des risques. La revue hebdomadaire de la remédiation de l’équipe attribuait des tâches de suivi aux douze éléments hautement prioritaires et suivait les réponses des fournisseurs. Lors de la revue trimestrielle de gouvernance, le CISO a demandé lequel des douze éléments hautement prioritaires représentait le plus grand risque pour l’institution. Le responsable TPRM n’a pas pu répondre avec certitude : les douze éléments étaient tous classés « haut », mais ce classement reflétait la gravité de la lacune de contrôle sur une échelle standardisée plutôt que la conséquence réelle de la lacune dans le contexte de chaque relation fournisseur. L’élément un (absence de MFA sur un compte de service disposant d’un accès administrateur aux données de paiement des clients) et l’élément douze (un document de politique de sécurité obsolète) étaient tous deux classés « haut », parce que la grille de notation appliquait une gravité équivalente aux lacunes de contrôle d’authentification et aux lacunes documentaires dans les domaines de contrôle concernés. Les ressources de remédiation étaient allouées selon la rapidité de réponse des fournisseurs. Le fournisseur qui répondait le plus vite recevait le plus d’attention. Le fournisseur présentant le risque non atténué aux conséquences les plus lourdes recevait la même allocation que le fournisseur au document obsolète.
Que sont les défaillances de priorisation des risques, réellement ?
La priorisation des risques est le processus qui consiste à ordonner les risques selon l’urgence et l’intensité de la réponse de gestion en fonction de leur conséquence réelle, c’est-à-dire la combinaison de probabilité et d’impact qui détermine quels risques, s’ils n’étaient pas atténués, causeraient le plus de dommages. Les défaillances de priorisation surviennent lorsque le processus d’ordonnancement ne reflète pas fidèlement la conséquence réelle, soit parce que la méthode de notation confond différents types de gravité, soit parce que les étiquettes de priorité sont appliquées uniformément au sein des catégories, soit parce que l’allocation des ressources de remédiation est guidée par des facteurs autres que la conséquence, comme la réactivité du fournisseur, l’ordre des évaluations ou la commodité organisationnelle.
Le problème de l’égalité par catégorie est la défaillance de priorisation la plus courante. Les systèmes de notation des risques qui produisent des étiquettes de catégorie (haut, moyen, bas) créent une égalité au sein des catégories : tous les éléments hautement prioritaires sont également « hauts », tous les éléments moyens sont également « moyens ». Les étiquettes de catégorie différencient correctement les éléments d’une catégorie à l’autre, mais n’apportent aucune différenciation au sein de la catégorie la plus élevée. Dans un registre des risques comptant douze éléments hautement prioritaires, l’élément qui représente une conséquence grave imminente et celui qui représente une conséquence potentielle modérée par un scénario improbable sont tous deux étiquetés « haut » et reçoivent un traitement équivalent. La différenciation au sein d’une catégorie, c’est-à-dire le classement des douze éléments « hauts » selon leur conséquence relative, exige un niveau d’analyse que la notation par catégorie ne fournit pas.
Le problème de la gravité hors contexte aggrave celui de l’égalité par catégorie. Les grilles de notation des risques sont généralement conçues pour s’appliquer à toutes les relations fournisseurs du portefeuille : une méthode cohérente pour évaluer et comparer les risques fournisseurs. Les grilles hors contexte évaluent la gravité des lacunes de contrôle sans intégrer le contexte propre à chaque relation fournisseur : la sensibilité et le volume des données que traite le fournisseur, la profondeur de l’intégration aux systèmes, les obligations réglementaires applicables et la dépendance opérationnelle de l’organisation à l’égard du service du fournisseur. Un constat d’absence de MFA a une gravité générique dans la grille et une gravité propre à la relation, qui dépend de ce à quoi le compte concerné peut accéder. La gravité générique permet la comparaison au sein du portefeuille. La gravité propre à la relation permet une remédiation priorisée.
- Égalité par catégorie au sein des niveaux de priorité : tous les éléments « hauts » traités comme également hauts, quelle que soit leur conséquence relative
- Notation de la gravité hors contexte : gravité des lacunes de contrôle non ajustée à l’impact propre à la relation
- Allocation de la remédiation selon la réactivité du fournisseur : ressources allouées aux plus réactifs plutôt qu’aux constats aux conséquences les plus lourdes
- Aucun classement au sein des catégories : les éléments du niveau de priorité le plus élevé ne sont pas différenciés davantage
- Conséquence non reliée à l’urgence de la remédiation : les lacunes aux conséquences les plus lourdes ne bénéficient pas d’une réponse accélérée
Pourquoi c’est important
Les défaillances de priorisation des risques sont importantes pour le TPRM parce qu’elles déterminent où se concentrent les ressources de remédiation et l’attention de la direction, et donc où la réduction des risques se produit réellement. Un programme qui répartit les ressources de manière égale entre tous les éléments hautement prioritaires obtiendra une réduction des risques proportionnelle sur chacun d’eux. Un programme qui répartit les ressources en proportion de la conséquence obtiendra une réduction des risques nettement plus forte dans les domaines les plus importants. La différence de réduction des risques entre ces deux approches est la conséquence de la qualité de la priorisation.
L’argument du coût d’opportunité est la façon la plus directe d’expliquer pourquoi la qualité de la priorisation compte. Les programmes TPRM disposent de ressources limitées : un nombre fixe d’évaluateurs, une capacité d’échange avec les fournisseurs fixe et une tolérance réglementaire limitée à l’égard des délais de remédiation. Chaque unité de ressource consacrée à un document de politique obsolète est une unité de ressource qui n’est pas consacrée à l’absence de MFA sur un compte de service de données de production. Une priorisation qui ne différencie pas au sein du niveau hautement prioritaire gaspille une fraction de chaque unité de ressource de remédiation sur des éléments aux conséquences moindres, au détriment de ceux aux conséquences plus lourdes.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à traiter les étiquettes de catégorie de risque comme des priorités de risque plutôt que comme un mécanisme de premier tri qui exige une différenciation supplémentaire au sein du niveau le plus élevé. Les étiquettes de catégorie répondent à la question « à quel niveau cet élément appartient-il ? ». Le classement au sein d’une catégorie répond à la question « au sein de ce niveau, lequel exige la réponse la plus urgente ? ». Les deux questions sont nécessaires à une priorisation efficace.
- Traiter les étiquettes de catégorie de risque comme une priorisation complète plutôt que comme un premier tri
- Aucun classement au sein des catégories pour les éléments du niveau le plus élevé
- Notation hors contexte : gravité non ajustée à la conséquence propre à la relation
- Allocation de la remédiation non reliée au classement par conséquence
- Aucune évaluation explicite des conséquences pour les éléments du niveau le plus élevé
À quoi ressemblent les bonnes pratiques
Les programmes de priorisation des risques matures complètent la notation par catégorie par une évaluation des conséquences pour les éléments du niveau le plus élevé, en évaluant explicitement l’impact propre à la relation de chaque constat hautement prioritaire et en classant les éléments de ce niveau selon leur conséquence relative.
- Évaluation des conséquences pour les éléments du niveau le plus élevé : évaluation de l’impact propre à la relation, au-delà de la notation par catégorie
- Classement au sein des niveaux : éléments hautement prioritaires ordonnés selon leur conséquence relative
- Le périmètre d’accès aux données comme amplificateur de conséquence : constats portant sur des systèmes à l’accès plus large aux données pondérés plus fortement
- Remédiation selon le SLA échelonnée par conséquence : les constats aux conséquences les plus lourdes bénéficient de délais accélérés
- Revue régulière de la priorisation : classement mis à jour à mesure que l’état et le contexte des constats évoluent
Outils
Quantification des risques : méthode FAIR, RiskLens
La méthode FAIR fournit un cadre de classement des risques fondé sur les conséquences, en quantifiant la perte attendue associée à des scénarios de risque précis afin de permettre une priorisation fondée sur l’impact financier plutôt que sur la gravité par catégorie. Pour les praticiens TPRM, appliquer l’analyse FAIR aux constats du niveau le plus élevé apporte la différenciation des conséquences que ne fournit pas la notation par catégorie.
Plateformes GRC avec classement des risques : Archer, MetricStream
Les plateformes GRC dotées de fonctions de classement des risques permettent d’ordonner explicitement les risques au sein des niveaux de priorité, rendant possible le classement au sein des catégories qu’exige une priorisation fondée sur les conséquences. Pour les praticiens TPRM, utiliser les fonctions de classement de la plateforme GRC pour ordonner explicitement les éléments hautement prioritaires selon leur conséquence relative apporte la différenciation que les seules étiquettes de catégorie ne peuvent pas fournir.
Enjeux de gouvernance
Le défi de gouvernance de la priorisation des risques tient à la subjectivité de l’évaluation des conséquences. Le classement au sein d’une catégorie exige des jugements sur la conséquence relative, plus contestés que la notation par catégorie : les évaluateurs peuvent ne pas s’accorder sur le fait que le constat A a plus de conséquences que le constat B lorsque les deux sont classés « haut ». La solution de gouvernance passe par des critères de conséquence explicites, qui définissent ce qui rend un constat hautement prioritaire plus urgent qu’un autre en termes de périmètre d’accès aux données, d’obligations réglementaires et de dépendance opérationnelle.
- Classer explicitement les dix premiers éléments du registre des risques par conséquence, comme point de départ
- Définir des critères de conséquence : ce qui rend un élément « haut » plus urgent qu’un autre
- Allouer les ressources de remédiation en proportion du classement par conséquence
- Fixer des délais de remédiation accélérés pour les trois premiers éléments du classement
- Revoir le classement chaque mois : éléments aux conséquences les plus lourdes confirmés et suivis
Si vous êtes une petite équipe
Prenez les éléments hautement prioritaires actuels de votre registre des risques et posez une question pour chacun : si ce constat reste non atténué pendant les trois prochains mois, quel est le pire scénario possible pour notre organisation ? Dressez la liste des pires scénarios. Ordonnez les éléments du pire scénario le plus grave au moins grave. Cet ordonnancement, réalisé en trente minutes, constitue un classement fondé sur les conséquences que votre notation par catégorie ne produit pas. Allouez vos ressources de remédiation et votre fréquence de suivi en proportion de ce classement.
- Indiquer le pire scénario possible sur trois mois pour chaque constat hautement prioritaire
- Ordonner les constats selon la gravité du pire scénario pour établir un classement par conséquence
- Allouer les ressources de remédiation et la fréquence de suivi en proportion du classement
- Revoir le classement chaque mois et le mettre à jour lorsque le contexte évolue
Ce qu’il faut exiger
Demandez directement :
« Pour les constats hautement prioritaires de votre registre des risques, comment différenciez-vous l’urgence et l’allocation des ressources au sein du niveau « haut » ? En particulier, l’absence d’un contrôle d’authentification sur un système disposant d’un accès administrateur aux données des clients est-elle traitée avec plus d’urgence qu’une lacune documentaire également classée « haut » ? »
Preuves attendues
- Méthode ou critères de classement des risques au sein d’un même niveau
- Délais de remédiation différenciés selon la conséquence
- Constats ouverts aux conséquences les plus lourdes et état de leur remédiation
- Méthode d’évaluation des conséquences pour les éléments du niveau le plus élevé
Il convient de demander à un fournisseur qui présente douze éléments hautement prioritaires lequel des douze a les conséquences les plus lourdes et quel est le délai de remédiation de cet élément précis. La catégorie confirme le niveau. Le classement par conséquence détermine où l’attention se porte en premier.
Comment le prouver
- Documentation de la méthode de classement fondée sur les conséquences
- Traces de la priorisation au sein des niveaux
- Allocation des ressources de remédiation alignée sur le classement par conséquence
- Traces de suivi des constats aux conséquences les plus lourdes
À retenir
Douze éléments hautement prioritaires notés également « haut » n’ont pas des conséquences égales. L’absence de MFA sur un compte de service disposant d’un accès administrateur aux données de paiement des clients a plus de conséquences qu’un document de politique obsolète. Les deux sont classés « haut ». Aucun n’est traité avec plus d’urgence que l’autre. Une priorisation qui ne différencie pas au sein du niveau le plus élevé alloue des ressources égales à des risques inégaux. Le programme gère la liste. Il ne gère pas le risque. Classez les douze par conséquence. Allouez les ressources en proportion de ce classement. L’élément aux conséquences les plus lourdes reçoit la réponse la plus urgente. C’est cela, la priorisation des risques. Tout le reste est de la gestion de liste.