La gestion des risques, informatiques ou autres, a longtemps été traitée
de
manière « artisanale » par les entreprises, mais elle remporte aujourd’hui
un franc succès auprès des grands comptes internationaux qui, poussés par
une évolution des réglementations et un souhait de se prémunir au maximum
contre les risques divers, demandent à leurs DSI de déployer des systèmes
dédiés à cette problématique.

Le défi de la gestion des risques est donc plus que d’actualité pour les
DSI
avec comme ligne de conduite la mise en oeuvre d’une démarche normalisée et
industrielle !
Mais cartographier et gérer les risques n’est pas pour eux une chose
évidente. En effet, la gestion du risque informatique s’attache à
identifier
les risques qui pèsent sur le système d’information, ses activités, ses
utilisateurs... Son analyse impose donc une veille étendue prenant en
compte
toutes les spécificités propres à la société.
L’on comprend donc parfaitement que la duplication d’un modèle existant
est
difficile à reproduire au vu des données spécifiques de chaque entreprise.

La réussite de ces projets passe finalement par une sensibilisation active
de l’ensemble des collaborateurs. Il s’agit de mettre fin à des habitudes
de
gestion individuelle et d’insuffler un modèle organisationnel tourné vers
le
partage de l’information et le travail collaboratif. Sans ce pré requis,
les
entreprises ne pourront pas mettre en place une véritable politique
efficace
de gestion de risque. En effet, le succès de ce type de déploiement repose
sur une implication forte des collaborateurs qui doivent adhérer au
processus défini (prise en compte de référentiels risques et de la
méthodologie définie en amont, utilisation d’un outil de saisie
normalisé).
Notons d’ailleurs que les phases amont de définition des référentiels
risques occupent aujourd’hui une place grandissante dans les nouveaux
projets de Risk Management.

Dans le contexte actuel, fort est de constater qu’une démarche
industrielle
reposant sur l’utilisation d’outils informatiques semble devenir la règle
de
fonctionnement.
Ce type de pratiques a d’ailleurs été largement porté par de grands
groupes
pour qui la cartographie et la gestion des risques informatiques
représentaient une donnée stratégique et ce, quelle que soit la nature de
leurs activités et leur organisation.

Néanmoins, la puissance et la fiabilité de l’outil de gestion du risque
informatique ne font pas tout et il ne faut pas oublier que mots de passe,
anti-virus et autres mesures de sécurité dépendent avant tout de contrôles définis et suivis par des personnes.

Sans une structuration stricte de la politique de gestion des risques et
sans la mise en place de procédures détaillées respectées par tous les
utilisateurs, il est toujours possible de contourner les contrôles
informatiques. (C’est même considéré par certains comme un challenge !)
La gestion de ce type de risques est donc avant tout une problématique
humaine où la moindre faille peut rapidement être exploitée, à des fins de
malveillance ou non, mais toujours au péril de l’entreprise.

Dans le cadre de sa gestion des risques, le DSI doit donc instaurer une
démarche efficace qui ne saurait dissocier la mise en ouvre d’outils
spécifiques et l’application de mesures de contrôles rigoureuses.