Comment construire une matrice des risques pour un audit du SI ?
D’après Audit du système d’information
La matrice rapproche la vraisemblance et l'impact selon des critères partagés. Elle sert à comparer les risques et à expliciter les priorités, pas à remplacer l'analyse des situations concrètes.
Pour visualiser la répartition des risques et focaliser sur les plus importants, il est classique de recourir à une matrice de risques (probabilité en abscisse, impact en ordonnée).
On y classe chaque risque identifié :
Les risques dans la zone « rouge » ou « critique » étant ceux à traiter en priorité
Les risques « modérés » pouvant être pris en charge dans un second temps, suivant les ressources disponibles et la stratégie de l'organisation
Les risques « faibles » étant parfois considérés comme « acceptables » dans la mesure où leurs conséquences sont limitées ou leurs coûts de traitement trop élevés par rapport aux bénéfices.
Cette approche est cohérente avec ce que décrit COBIT dans ses pratiques de gestion de la performance et des risques, et rejoint également l'ISO 31000 qui encourage une classification explicite pour guider la prise de décision.