L’essentiel à retenir
- Une mesure de réduction ne supprime pas nécessairement le risque.
- L’acceptation du risque restant est une décision de gouvernance.
- Le suivi continue pendant la transformation.
Le risque concerne les résultats
Un risque est lié à une incertitude pouvant affecter un objectif. Son effet peut être défavorable ou favorable ; l’analyse doit préciser les conséquences qui comptent pour l’entreprise. Dans une transformation, risques techniques, humains, opérationnels ou externes peuvent se combiner. Une difficulté de formation peut ainsi rendre inutilisable une solution pourtant techniquement conforme.
La démarche comprend six activités : classification, identification, évaluation du risque initial, atténuation, évaluation du risque résiduel et suivi. L’évaluation aide à apprécier probabilité et impact, puis à prioriser les réponses. Le classement doit soutenir la décision plutôt que produire une précision artificielle : une estimation doit indiquer ses hypothèses et les informations encore manquantes.
Gouverner le risque restant
Le risque initial est apprécié avant les mesures de réduction. Le risque résiduel est celui qui subsiste après ces mesures. Il n’est pas automatiquement nul et son acceptation relève de l’autorité appropriée. Le suivi vérifie que les actions ont été réalisées et que l’exposition reste acceptable quand le contexte évolue.
- Nommer les responsables des actions et du suivi.
- Relier les risques aux décisions de roadmap et de migration.
- Revoir les évaluations après une nouvelle information ou un changement important.
LES MOTS À CONNAÎTRE
Le vocabulaire, avec du sens.
- Initial risk
- Risque évalué avant application des mesures de réduction.
- Residual risk
- Risque restant après application de ces mesures.