Le registre des risques est l’outil pivot d’une gouvernance cyber qui tourne. Bien construit, c’est lui qui alimente les comités, justifie les budgets, et trace les arbitrages. Mal construit, c’est un Excel mort de plus. Sur les 30+ registres que nous avons audités en 2023-2025, voici les 7 étapes qui distinguent ceux qui vivent de ceux qui meurent.
Les 7 étapes en flowchart
1. Définir le périmètre et la gouvernance
- Périmètre : quelle entité, quel SI, quelles activités
- Risk owner : qui porte chaque risque (toujours métier, jamais le RSSI seul)
- Gouvernance : qui valide quoi (comité sécurité, COMEX, CA)
- Outils : Excel, GRC dédiée (Galea, Tenable.io, ServiceNow), wiki structuré
2. Identifier les risques (sources)
Pour ne rien oublier, croiser plusieurs sources :
- Analyse EBIOS RM (scénarios stratégiques)
- Rapports d’audit interne et externe
- Incidents passés (post-mortem)
- Référentiels (ISO 27005, NIST 800-30, threat catalogues)
- Interviews business owners (1 entretien d’1h par fonction critique)
- Stats sectorielles (CESIN, ENISA, CERT-FR)
3. Caractériser chaque risque
Colonnes minimales pour chaque risque :
| Champ | Exemple |
|---|---|
| Identifiant | R-2026-024 |
| Titre | Compromission AD via prestataire TMA |
| Source de risque | Cybercriminalité organisée |
| Événement redouté | Chiffrement ransomware du SI prod |
| Valeur métier impactée | SI production + bureautique |
| Risk owner | DOSI |
| Contributeur cyber | RSSI |
| Date de création | 15/03/2026 |
| Statut | Actif |
4. Coter brut puis résiduel
Toujours coter deux fois :
- Risque brut = G × V sans aucun contrôle
- Risque résiduel = G × V compte tenu des contrôles existants
L’écart entre les deux mesure l’efficacité de votre dispositif actuel. C’est un indicateur précieux pour le COMEX.
5. Décider le traitement
Quatre options, à choisir explicitement pour chaque risque résiduel :
| Décision | Quand | Validation |
|---|---|---|
| Accepter | Risque résiduel acceptable selon politique | Risk owner + RSSI (formaliser) |
| Réduire | Risque résiduel inacceptable, mesures possibles | RSSI + DAF (budget) |
| Transférer | Assurance, externalisation contractuelle | Direction juridique + DAF |
| Refuser | Risque inacceptable, mesures impossibles | COMEX (arrêt activité) |
6. Suivre les actions
Chaque décision « Réduire » génère 1 ou plusieurs actions, à suivre comme un plan projet :
- Identifiant action (lié au risque)
- Description précise (vérifiable)
- Porteur opérationnel + sponsor
- Date cible + statut (planifié / en cours / clos / abandonné)
- Effort réel + budget consommé
- Justificatif de clôture (lien preuve)
7. Revoir et faire vivre
| Cadence | Quoi | Qui |
|---|---|---|
| Hebdo / bi-mensuel | Mise à jour des actions en cours | RSSI + porteurs |
| Trimestriel | Comité sécurité — re-cotation des risques évolués | RSSI + risk owners |
| Semestriel | Revue au COMEX — top 10 risques | RSSI + DG |
| Annuel | Revue complète (ajout / suppression / re-cotation systématique) | Tous |
Un registre des risques utile tient en moins de 50 entrées actives. Au-delà, on ne pilote plus, on inventorie. Mieux vaut 40 risques bien cotés et suivis que 200 entrées poussiéreuses qui n’intéressent personne.
Ce qu’on retient
Un registre des risques est un outil de pilotage, pas un livrable d’audit. Construit avec les bonnes colonnes, les bonnes cadences et les bons risk owners, il devient le tableau de bord central du RSSI. Mal construit, c’est un Excel oublié dans un dossier. La différence n’est pas dans l’outil — c’est dans la discipline de la cadence.
