Risk scenarios

Le développement des scénarios de risques repose sur la description d’un événement de risque possible et la documentation des facteurs et domaines susceptibles d’être affectés par cet événement. Chaque scénario doit être lié à un impact ou à un objectif métier. Les événements de risque comprennent la défaillance d’un système, la perte de personnel clé, le vol, les interruptions de réseau, les coupures de courant, les catastrophes naturelles ou toute autre situation pouvant affecter la mission et les opérations de l’entreprise.

Les scénarios de risques basés uniquement sur l’imagination exigent de la créativité, de la réflexion, des consultations et des remises en question. Les incidents survenus dans le passé peuvent être utilisés comme base pour des scénarios futurs, ce qui permet de réduire les efforts nécessaires à leur élaboration. Même si les scénarios de risques fondés sur des événements passés doivent être pleinement analysés afin d’éviter la récurrence de situations similaires pouvant être évitées, il ne faut pas se concentrer uniquement sur ce qui s’est déjà produit, mais trouver un équilibre en tenant compte des scénarios qui ne se sont pas encore réalisés, mais qui pourraient survenir.

Les scénarios de risques peuvent être élaborés selon une approche descendante, guidée par les objectifs de l’entreprise, ou une approche ascendante, fondée sur des scénarios hypothétiques.

Une approche descendante de l’élaboration des scénarios repose sur la connaissance des objectifs de l’entreprise et sur la manière dont un événement de risque peut compromettre l’atteinte de ces objectifs. Dans ce modèle, le professionnel de la gestion des risques se concentre sur les conséquences des événements identifiés par la direction, susceptibles de ralentir la réalisation des objectifs fixés par la haute direction. Plusieurs scénarios sont élaborés pour permettre à l’entreprise d’examiner la relation entre l’événement de risque et l’objectif métier, de manière à pouvoir en mesurer l’impact.

L’approche descendante est appropriée pour la gestion globale de l’entreprise, car elle inclut à la fois les événements de risque liés aux technologies de l'information (TI) et ceux qui ne le sont pas. Un avantage de cette approche est qu’étant plus générale, elle est plus facilement acceptée par la direction, même si celle-ci n’est habituellement pas intéressée par les questions technologiques. Cette approche tient également compte des objectifs que la direction a identifiés comme étant prioritaires.

D’un autre côté, l’approche ascendante pour développer des scénarios de risque repose sur la description d’événements liés à des situations spécifiques à l’entreprise, généralement des situations hypothétiques imaginées par le personnel opérationnel impliqué dans des processus particuliers. Le professionnel des risques et l’équipe d’évaluation commencent par un ou plusieurs scénarios de risque génériques qu’ils affinent ensuite pour les adapter aux besoins spécifiques de leur organisation, en construisant notamment des scénarios complexes qui tiennent compte d’événements simultanés.

Enfin, le développement de scénarios selon l’approche ascendante peut être une excellente façon d’identifier des scénarios fortement dépendants de tâches spécifiques à un processus ou à un système, et qui ne seraient pas évidents pour quiconque n’est pas intimement impliqué dans ces activités, mais qui pourraient avoir des conséquences majeures pour l’entreprise. Un inconvénient de cette méthode est qu’il peut être plus difficile de maintenir l’intérêt de la direction pour des scénarios hautement techniques ou spécialisés.

Comment créez-vous des scénarios de risque ?