Quel cadre de gestion des risques ?

Le National Institute of Standards and Technology a publié une nouvelle feuille de route complète qui fournit aux entreprises de tous les secteurs de nouvelles politiques, de nouveaux outils et de nouveaux moyens d’intégrer de manière transparente leurs systèmes de gestion des risques et de gestion de l’information. Élaboré par les National Institutes of Health (NIH) et le ministère américain de la sécurité intérieure (DHS), le cadre de gestion des risques pour les systèmes d’information fédéraux a transformé et guidé le développement et la mise en œuvre des systèmes d’information les plus importants du gouvernement fédéral, notamment l’Agence fédérale de gestion des urgences (FEMA), la Commission fédérale des communications (FCC) et la Banque fédérale de réserve de New York (FedBNY). Enfin, il définit le chapitre dans lequel est abordé le rôle des technologies de l’information dans la gestion des risques au sein des agences fédérales et gouvernementales. [Sources : 6,5,4]

Les conditions cadres et les structures de la gestion des risques pour les entreprises s’appliquent indépendamment de la manière dont une institution souhaite classer ses risques. L’organisme choisit un système de contrôles de sécurité et l’applique à un programme de sécurité de l’information qui tient compte de la gestion des risques organisationnels. Ce processus de gestion des risques doit comprendre l’élaboration d’un plan complet d’évaluation et de gestion des risques pour les systèmes d’information de l’organisation et, si possible, le recours à des experts en gestion des risques. Sources : 14,7,10]

Si vous souhaitez en savoir plus sur le cadre de gestion des risques et son application dans votre organisation, le cours se déroulera sur quatre jours. Sources : 1]

Le manuel de gouvernance RMA est consacré à l’étude d’une bonne culture de gestion des risques et couvre la gouvernance et la politique et fournit des informations sur les activités du conseil de direction et des comités de gouvernance au niveau de la direction qui surveillent les risques. Le document couvre tous les rôles et responsabilités de la gestion des risques et de la politique de gouvernance. Réaliser des évaluations des risques, donne une vue d’ensemble de la manière dont le cadre de gestion des risques s’intègre dans la structure de gouvernance globale de votre organisation et décrit la manière dont les évaluations des risques peuvent être réalisées et les risques réduits. Il comprend les détails de ses composantes et de son dossier de documentation et constitue un guide complet des composantes du cadre et de sa mise en œuvre. Sources : 4,9,0,14]

Pour bien comprendre et mettre en œuvre avec succès un cadre de gestion des risques, il faut bien comprendre comment il est structuré et utilisé. Le développement du cadre de gestion du risque mérite la priorité en tant qu’élément de la norme ISO31000, car les lignes directrices, les mandats, les obligations organisationnelles et les structures sont créés en coulisse. Sources : 8,4]

Dans l’évaluation du risque, le résultat critique d’une stratégie de gestion du risque est l’entrée de la composante de réponse au risque. Le processus de gestion des risques est encadré par l’évaluation de toutes les sources d’information sur les menaces, des briefings confidentiels aux sources publiques et privées, selon l’environnement de l’organisation. Cette identification est généralement soumise à un certain nombre de critères, tels que la présence ou l’absence de menaces potentielles, mais peut également être le résultat des risques et des stratégies de gestion décrits ci-dessus. Une valeur acceptable peut être élaborée en combinant l’évaluation des risques, l’analyse des risques et les stratégies d’atténuation des risques. Sources : 4,4,4]

Les lignes directrices sur la gestion des risques font référence à la gestion des risques comme à un processus cyclique qui commence par la conception et la mise en œuvre d’un cadre de gestion des risques. En tant qu’amélioration continue, le cycle itératif de gestion des risques exige un compte rendu continu des catastrophes liées aux risques ainsi qu’un suivi et une évaluation continus de la performance de l’organisation. [Sources : 13,13]

Un cadre de gestion des risques doit fournir des outils permettant de mieux comprendre les activités créatrices de valeur et les activités non créatrices de valeur. Les gestionnaires de risques doivent examiner et mettre à jour les politiques et procédures existantes afin de créer et d’intégrer des éléments de gestion des risques. Au lieu de rédiger leur propre cadre de gestion des risques, les entreprises devraient mettre à jour leurs politiques et procédures existantes pour intégrer ces éléments dans la gestion des risques, le cas échéant. Au cours de la préparation et de l’inclusion de ces documents dans le document de processus, les gestionnaires de risques doivent également revoir les politiques, procédures et outils actuels de l’entreprise en matière d’évaluation des risques. [Sources : 12,0,0]

Le processus de création d’un cadre de gestion des risques peut sembler intimidant et complexe, mais il est nécessaire. Il ne faut pas avoir l’intention de fournir une liste exhaustive de tout le travail à faire ou de tous les outils, outils et instruments disponibles. Un cadre de gestion des risques doit s’adapter aux besoins et aux caractéristiques de chaque organisation. [Sources : 13,8,11]

La norme ISO 31000 fournit aux gestionnaires de risques des conseils pour prêter attention aux huit (8) principes fondamentaux qui visent à créer et à protéger la valeur de l’organisme. Lors de l’élaboration d’un cadre de gestion du risque, l’organisme doit se référer à un processus, un principe ou un cadre de gestion du risque qui définit les principes et les lignes directrices de la gestion du risque au sein de l’organisme ainsi que les processus et les procédures de son intégration. Le processus de développement et de conception d’un cadre de gestion des risques commence par la compréhension de la portée et du contexte des risques et de la gestion au sein des organisations. Sources : 13,13,13]

Il y a cinq étapes fondamentales à suivre pour gérer les risques, chacune d’entre elles étant appelée processus de gestion des risques. Il existe trois types de processus de gestion des risques : P1, P2 et P3, et il n’existe pas de processus ou de cadre unique pour gérer tous les risques au sein d’une organisation. Par conséquent, la gestion des risques est également répartie et exclue des fonctions distinctes au sein de l’organisation qui concernent traditionnellement la gestion des risques. Sources : 3,2,2]

Sources :

• [0] : https://riskacademy.blog/risk-maturity-how-to-build-a-risk-management-framework/
• 1] : https://alpinesecurity.com/blog/risk-management-framework-rmf-overview/
• 2] : https://www.praxisframework.org/en/knowledge/risk-management
• [3] : https://www.360factors.com/blog/five-steps-of-risk-management-process/
• [4] : https://searchsecurity.techtarget.com/feature/Risk-Management-Framework
• [5] : https://en.wikipedia.org/wiki/Risk_management_framework
• [6] : https://www.complianceweek.com/risk-management/understanding-nists-new-risk-management-framework/24672.article
• [7] : https://www.itgovernanceusa.com/blog/an-introduction-to-the-nist-risk-management-framework
• [8] : https://sectara.com/news/risk-management-frameworks/
• [9] : https://www.itdojo.com/courses-risk-management-framework/fisma-risk-management-framework-rmf-training/
• [10] : https://www.clinicalleader.com/doc/key-ingredients-of-a-robust-risk-management-framework-0001
• [11] : https://www.invensislearning.com/blog/risk-management-framework-rmf/
• [12] : https://analystprep.com/cfa-level-1-exam/portfolio-management/risk-management-framework/
• [13] : https://www.dundaslawyers.com.au/what-is-a-risk-management-framework/
• [14] : https://www.rmahq.org/erm-framework/