L’essentiel à retenir
- Risque = effet de l’incertitude sur les objectifs, positif ou négatif.
- Appréciation du risque = identifier et évaluer ; gestion = décider avec ces éléments.
- Processus : classer, identifier, évaluer, atténuer et réévaluer, suivre.
- Risque initial avant atténuation, risque résiduel après.
- Les risques sont acceptés puis gérés au sein de la gouvernance.
Qu’est-ce qu’un risque ?
TOGAF reprend la définition de l’ISO 31000 : le risque est l’effet de l’incertitude sur les objectifs. Cet effet désigne tout écart par rapport à ce qui est attendu, favorable comme défavorable. L’incertitude vient de ce qu’il faut anticiper l’avenir avec une information forcément imparfaite ; une information de meilleure qualité permet en principe de meilleures décisions.
Toute décision pèse opportunités et menaces, probabilité de résultats favorables ou dommageables et ampleur de chacun. Identifier et évaluer ces facteurs, c’est l’appréciation (ou analyse) du risque. Les mobiliser dans la prise de décision, c’est la gestion du risque, qui recherche un équilibre entre résultats positifs et négatifs.
Le processus TOGAF
Toute transformation comporte des risques. Il faut les identifier, les classer et les atténuer avant de démarrer, afin de pouvoir les suivre tout au long de l’effort. Le processus comprend six activités, listées ci-dessous.
- Classification des risques
- Identification des risques
- Évaluation du risque initial
- Atténuation des risques
- Évaluation du risque résiduel
- Suivi des risques
Approche qualitative ou quantitative
ADM Techniques décrit une approche qualitative. Pour une approche quantitative rigoureuse, TOGAF renvoie à l’Open FAIR Body of Knowledge (Open Risk Taxonomy et Open Risk Analysis), tandis que le Series Guide Integrating Risk and Security (G152) intègre ces notions à l’architecture de sécurité.
Deux niveaux de risque
Le risque initial est évalué avant de définir et de mettre en œuvre des mesures d’atténuation ; le risque résiduel l’est après leur mise en œuvre, s’il y en a. L’écart entre les deux montre l’effet attendu des mesures retenues.
L’atténuation est un effort continu. Les déclencheurs se situent souvent hors du champ des planificateurs, par exemple une fusion ou une acquisition, d’où la nécessité de surveiller en permanence le contexte de la transformation.
Le rôle de la gouvernance
L’architecte peut identifier des risques et en atténuer certains, mais c’est dans le cadre de gouvernance que les risques sont d’abord acceptés, puis gérés. Dans l’ADM, ils sont repérés dès la Phase A, lors de l’évaluation de la préparation à la transformation, et suivis en Phase G, où les fiches d’identification et d’atténuation sont tenues à jour comme artifacts de gouvernance. Un risque critique non atténué peut justifier un nouveau cycle, complet ou partiel.
LES MOTS À CONNAÎTRE
Le vocabulaire, avec du sens.
- Risk
- Effet de l’incertitude sur les objectifs (ISO 31000), favorable ou défavorable.
- Risk assessment
- Identification et évaluation des opportunités, menaces, probabilités et ampleurs.
- Initial level of risk
- Niveau de risque avant toute mesure d’atténuation.
- Residual level of risk
- Niveau de risque après la mise en œuvre des mesures d’atténuation.
- Open FAIR
- Corpus de The Open Group pour l’analyse quantitative du risque (O-RT, O-RA).