On prévoit le crash d’un avion de ligne sur les bureaux, et on oublie le stagiaire qui a les droits d’administrateur. Un grand classique de l’analyse de risques, tiré de notre livre « Audit-moi si tu peux ».
Ce qui s’est passé
Audit ISO 27001 dans une entreprise agroalimentaire d’une trentaine de personnes. L’auditeur ouvre l’analyse de risques et tombe sur un scénario inattendu : un avion qui s’écrase sur les bureaux.
« Pourquoi avez-vous retenu ce risque ? Je suis ici depuis deux jours et je n’ai pas vu un seul avion. »
Réponse, imparable : « Ben, on ne sait jamais. »
Ailleurs, dans une entreprise du numérique en santé de 20 personnes, l’analyse compte… 1 235 risques. Question de l’auditeur : comment faites-vous pour les gérer et les traiter ? Long silence, puis : « Je viens de comprendre que nous allons devoir tout refaire. »
Ce que l’auditeur regarde vraiment
L’analyse de risques est le cœur du réacteur d’un SMSI : c’est elle qui justifie chaque mesure de sécurité, chaque budget, chaque priorité. L’auditeur n’y cherche pas l’exhaustivité ni le spectaculaire. Il cherche trois choses :
- des scénarios réalistes : le rançongiciel, la boulette humaine, la panne d’un fournisseur, plutôt que la météorite ;
- des niveaux qui permettent de décider : quand tous les risques sont cotés « moyens », pas de jaloux… et surtout aucune décision à prendre ;
- une analyse vivante : mise à jour à chaque changement important (nouveau logiciel, incident, déménagement), pas un fichier rempli une fois dans la douleur puis rangé dans « Archives ».
Une analyse de risques figée, c’est comme la météo de la semaine dernière : elle était peut-être exacte, mais elle ne vous empêchera pas de finir trempé.
À vous de jouer
Trois questions à vous poser :
- Nos scénarios de risques correspondent-ils aux attaques et incidents qui touchent vraiment des entreprises comme la nôtre ?
- Notre analyse permet-elle de décider, ou tous nos risques ont-ils à peu près la même note ?
- Quand avons-nous mis à jour notre analyse de risques pour la dernière fois, et à la suite de quel changement ?
La moralité du livre : un bon scénario de risque, c’est crédible, probable… pas digne d’un film catastrophe.
Pour aller plus loin : les écueils de la gestion des risques (et comment les éviter) sont détaillés dans notre livre « Audit-moi si tu peux ».
Chronique adaptée de notre livre « Audit-moi si tu peux : Chroniques (presque) véridiques de l’audit ISO 27001 » (KyNeo, 2026). Préparée avec l’aide d’une intelligence artificielle et validée par KyNeo.