La matrice de risques 4×4 est l’outil le plus utilisé en GRC — et probablement le plus mal utilisé. Sur les 80+ matrices que nous avons vues en audit, 7 sur 10 sont calibrées de façon à concentrer 80 % des risques dans la diagonale, ce qui les rend inutiles pour la priorisation. Cet article explique comment construire une matrice qui reste utile au-delà du premier comité.
À quoi sert une matrice de risques
Une matrice de risques sert uniquement à arbitrer un budget. Si elle ne le fait pas, elle ne sert à rien. Concrètement : à la fin de l’analyse, le COMEX doit pouvoir dire « ce risque est dans la zone rouge donc on libère 200 k€ pour le traiter avant juin ». Sans ce lien décisionnel, on a fait un beau dessin.
Pour cela, trois conditions :
- Les niveaux de gravité (G1 à G4) doivent être chiffrés en euros, jours d’arrêt, nombre de personnes — pas en qualificatifs flous.
- Les niveaux de vraisemblance (V1 à V4) doivent être ancrés sur des données (stats CERT-FR, retours d’expérience internes, maturité des défenses).
- Les zones de la matrice doivent traduire des décisions automatiques (acceptation, traitement obligatoire, escalade COMEX, refus).
Calibrer les axes pour qu’ils soient utilisables
Axe Gravité — calibrage proportionnel à la taille de l’organisation
| Niveau | PME (CA < 50 M€) | ETI (CA 50 M€ – 1 Md€) | Grand groupe (CA > 1 Md€) |
|---|---|---|---|
| G1 Mineur | < 50 k€ ou < 1 jour | < 500 k€ ou < 1 jour | < 5 M€ ou < 1 jour |
| G2 Significatif | 50 – 250 k€ ou 1-5 j | 500 k€ – 5 M€ ou 1-5 j | 5 – 50 M€ ou 1-5 j |
| G3 Grave | 250 k€ – 1 M€ ou 5-15 j | 5 – 25 M€ ou 5-15 j | 50 – 200 M€ ou 5-15 j |
| G4 Critique | > 1 M€ ou > 15 j | > 25 M€ ou > 15 j | > 200 M€ ou > 15 j |
Axe Vraisemblance — calibrage par fréquence attendue
| Niveau | Label | Fréquence attendue | Probabilité annuelle |
|---|---|---|---|
| V1 | Improbable | Une fois tous les 10 ans | ≤ 10 % |
| V2 | Rare | Une fois tous les 3 à 10 ans | 10 – 30 % |
| V3 | Possible | Une fois tous les 1 à 3 ans | 30 – 70 % |
| V4 | Probable | Une fois par an minimum | > 70 % |
Visualisation interactive de la matrice
Définir les zones d’acceptation, traitement, refus
L’étape oubliée : associer à chaque zone une règle de décision automatique. Sans cette règle, chaque risque sera débattu individuellement, ce qui anéantit l’intérêt de la matrice.
| Zone | Décision automatique | Validation requise | Délai d’action |
|---|---|---|---|
| Inacceptable (V4×G4) | Refus du risque, arrêt de l’activité concernée | COMEX + CA | Immédiat |
| Critique | Traitement obligatoire, budget débloqué | COMEX | 3 mois |
| Élevé | Traitement planifié sur le budget annuel | RSSI + DAF | 12 mois |
| Modéré | Traitement si budget disponible | RSSI | Selon priorité |
| Faible | Surveillance, pas d’action immédiate | RSSI | Revue annuelle |
| Négligeable | Acceptation explicite | RSSI | N/A |
Les 5 pièges qui rendent une matrice inutile
1. Axes flous (« faible / moyen / fort »)
Sans ancrage chiffré, chaque participant cote différemment. Résultat : des moyennes molles et impossibles à arbitrer. Toujours définir les niveaux en € et en jours.
2. Tous les risques dans la diagonale
Symptôme d’une cotation « politique » : on ne veut pas vexer en mettant trop haut, ni rassurer en mettant trop bas. Résultat : 80 % des risques en zone modéré/élevé, rien à arbitrer. Forcer une distribution étalée.
3. Matrice 5×5 ou 6×6
Plus de granularité tue la décision. 4×4 force le débat. Au-delà, chaque petit déplacement devient un combat.
4. Pas de revue annuelle
Une matrice de risques est une photo. Sans revue annuelle minimum (et idéalement trimestrielle), elle vieillit en silence.
5. Confusion risque brut / risque résiduel
On doit toujours afficher les deux : le risque brut (sans contrôles) ET le risque résiduel (après contrôles existants). Sinon impossible de mesurer l’efficacité des mesures.
Une matrice de risques n’est pas un outil de communication, c’est un outil de décision. Si elle ne déclenche pas d’action automatique selon la zone, vous avez fait une belle infographie sans utilité opérationnelle.
Ce qu’on retient
Une bonne matrice de risques tient en une page, distingue clairement risque brut et résiduel, associe à chaque zone une décision automatique, et se révise au moins une fois par an. C’est aussi simple — et aussi rare — que ça.
