Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Appétit pour le risque et indicateurs
L’appétit pour le risque est exprimé en termes mesurables, avec des indicateurs et des seuils qui déclenchent une action.
- SOC 2PartielleCC3.1 Des objectifs et des tolérances sont exigés ; la notion d’appétit pour le risque ne l’est pas.
- ISO 27001Partielle6.1.2(a) Critères de risque, y compris les critères d’acceptation.
- NIST CSFComplèteGV.RM-02
- PCI DSSAbsente Norme prescriptive ; aucune notion d’appétit pour le risque.
- HIPAAAbsente Aucune notion d’appétit pour le risque dans la Security Rule.
- GDPRAbsente Le risque est évalué au regard des droits des personnes, et non au regard d’un appétit pour le risque de l’organisation.
- Règlement européen sur l’IAPartielleArt. 9(5) Le risque résiduel doit être jugé acceptable.
- NIST AI RMFComplèteGOVERN 1.3
Construisez le contrôle une seule fois au regard de cet objectif et citez la clause que chaque auditeur demande. Une correspondance partielle indique ce que le référentiel omet ; une absence est un constat sur le référentiel, pas une lacune de votre programme.
Déclaration d’appétit pour le risque, définitions des KRI, enregistrements des dépassements de seuils.
Un appétit pour le risque qui ne peut pas être mesuré ne peut pas être dépassé, il n’est donc jamais discuté.