Un registre des risques qui mène à une décision

Une ligne, un risque, une lettre

Le registre des risques est inclus dès l'offre Starter. Chaque risque y porte :

• une référence stable (RSK-001, puis la lettre LR-2026-001) ;
• l'actif ou le projet concerné, et son propriétaire ;
• sa cotation sur votre matrice, avant et après mesures (voir la cotation des risques) ;
• son origine : proposé par une analyse automatisée puis accepté par un analyste, ou saisi à la main ;
• un statut qui suit sa vie : identifié, en analyse, en traitement, accepté, transféré, évité, clos.

Un risque proposé par l'IA n'entre au registre qu'après acceptation par l'analyste. Il y arrive avec le statut « Identifié » et un traitement encore à définir : la suite est une décision humaine.

La lettre de risque

Avec l'offre Pro et supérieures, chaque risque a sa lettre de risque : le document que lit et signe la personne qui porte le risque. Elle rassemble, dans cet ordre :

1. la fiche du risque : actif ou projet, propriétaire, impact, vraisemblance, traitement, statut ;
2. le bloc décision et signature : date, signature du propriétaire, plan de traitement retenu et sa justification ;
3. les menaces et les vulnérabilités identifiées ;
4. un résumé exécutif ;
5. le plan d'action, quand le traitement retenu est la réduction du risque ;
6. chaque scénario : chaîne de risque, notes avant et après mesures avec leurs justifications, mesures ;
7. les matrices du risque, avant et après mesures.

La décision est placée avant l'analyse, délibérément : c'est l'engagement du propriétaire, et il se lit avant les pages qui le justifient. La lettre s'exporte en PDF, au format A4, une à une ou pour tout le registre.

La signature du propriétaire

Le propriétaire signe sa décision dans l'application. AIRA enregistre qui a signé, le propriétaire désigné du risque et le traitement signé. Quelques règles rendent cette signature utile :

• on ne signe pas un risque sans propriétaire, ni un traitement encore « à définir » ;
• si quelqu'un signe pour le compte du propriétaire, la lettre l'affiche ;
• si le traitement change après la signature, la lettre indique que la signature est caduque : une décision signée ne peut pas être modifiée en silence.

Il s'agit d'une signature dans l'application, tracée, et non d'une signature électronique qualifiée au sens du règlement eIDAS.

Du traitement à l'action

Une lettre de risque porte autant d'actions que nécessaire (référencées ACT-0001…), suivies dans le plan de traitement, inclus dès l'offre Starter :

• un responsable choisi dans votre organigramme ;
• une échéance, un avancement et un suivi daté ;
• les actifs concernés, repris du risque et ajustables ;
• un tableau en colonnes dont vous nommez les étapes.

Le retard est calculé, pas déclaré : une action dont l'échéance est passée et qui n'est pas terminée apparaît en retard, sans que personne ait à le signaler. Les indicateurs (à faire, en cours, en retard, fait) sont calculés de la même façon.

Garder la trace

• Chaque risque conserve ses dix dernières versions.
• L'historique des analyses garde chaque analyse lancée, avec la décision prise sur ses propositions : acceptées ou refusées, par qui, quand.
• Avec l'offre Pro et supérieures, un journal d'audit trace toutes les modifications de l'espace.