Acceptation du risque TIC DORA : modèle de fiche, validation et suivi

Une acceptation du risque TIC est défendable si elle porte sur un risque résiduel identifié, reste bornée dans le temps et fait l’objet d’une validation proportionnée à sa criticité. Le dossier doit relier la décision à des mesures compensatoires, à un plan d’action et à des preuves de suivi. Une échéance dépassée ne vaut jamais reconduction tacite.

Quand l'acceptation d'un risque TIC est-elle défendable ?

L’acceptation est une décision de traitement du risque, non une dérogation permanente. Elle peut être retenue lorsque la réduction immédiate est techniquement impossible, lorsque son délai dépend d’un programme déjà engagé ou lorsque son coût serait disproportionné au regard du risque résiduel — à condition de rester dans les limites approuvées.

L’article 6, paragraphe 8, point b), de DORA prévoit que la stratégie de résilience opérationnelle numérique fixe le niveau de tolérance au risque TIC conformément à l’appétence au risque de l’entité.

1. Vérifier la position du risque par rapport aux limites approuvées

La fiche doit citer la limite applicable : seuil d’impact, classe de risque résiduel, exposition financière ou indisponibilité maximale définie en interne. Un risque hors appétence ne suit pas le circuit d’acceptation ordinaire : il impose une escalade vers l’instance habilitée et un plan de retour dans les limites.

2. Arbitrer explicitement les quatre options de traitement

Consigner pour chaque option la raison de son rejet immédiat et la preuve correspondante :

• réduire : correctif indisponible, dépendance à une migration ou délai de déploiement documenté ;
• transférer : assurance excluant le scénario ou transfert contractuel ne réduisant pas l’exposition opérationnelle ;
• éviter : arrêt du processus incompatible avec une obligation de service ou une décision métier approuvée ;
• accepter : exposition résiduelle limitée, mesures compensatoires actives et remédiation planifiée.

L’argument « coût trop élevé » ne suffit pas : il faut rapprocher le coût, le délai et les contraintes de l’impact potentiel.

3. Écarter l’acceptation qui masquerait une non-conformité

Une acceptation interne ne suspend aucune exigence légale, réglementaire ou contractuelle. Si le scénario révèle une non-conformité, la fiche doit identifier l’exigence concernée, le plan de remédiation, son responsable et l’instance informée. À défaut, la décision n’est pas une acceptation de risque défendable, mais une absence de traitement.

Critère de done : les quatre options ont été arbitrées, la limite d’appétence applicable est citée et aucune obligation non respectée n’est laissée sans remédiation.

Les champs indispensables de la fiche d'acceptation

La fiche doit être compréhensible par un valideur qui n’a pas participé à l’analyse. Chaque champ obligatoire est renseigné ou porte une mention « non applicable » justifiée.

1. Décrire un scénario exploitable

Utiliser une formulation causale : « En raison de [menace ou vulnérabilité], [événement] affecte [actifs ou processus] et entraîne [conséquence métier]. »

Le bloc d’identification comprend :

• identifiant unique du risque et date d’ouverture ;
• menace, vulnérabilité ou événement déclencheur ;
• applications, infrastructures, données et interfaces concernées ;
• processus métier et entités juridiques exposés ;
• fonction critique ou importante concernée, le cas échéant ;
• impacts opérationnels, financiers, réglementaires et sur les clients.

2. Documenter l’exposition résiduelle

La fiche distingue le niveau initial du niveau résiduel après prise en compte des contrôles déjà opérationnels. Elle cite la méthode et la version du référentiel d’évaluation utilisées, sans présenter la matrice interne comme une règle universelle.

Pour chaque contrôle existant, préciser son propriétaire, sa dernière date de test et la preuve disponible. Un contrôle seulement prévu dans un plan d’action ne réduit pas encore le risque résiduel.

3. Motiver la décision métier

La justification indique :

• la contrainte empêchant le traitement immédiat ;
• les options de réduction, transfert ou évitement écartées ;
• les dépendances techniques, budgétaires ou contractuelles ;
• la durée demandée et le résultat attendu à son terme ;
• les conséquences d’un refus de l’acceptation.

4. Identifier les acteurs et les pièces

Le bloc de gouvernance contient le propriétaire du risque, le responsable des actions, les avis du RSSI et de la fonction risques, le décideur, la date de décision, l’échéance et la prochaine revue. Les pièces jointes peuvent inclure une analyse technique, un résultat de test, un devis, une décision budgétaire, un ticket de remédiation ou un compte rendu de comité.

Critère de done : le scénario, les actifs, l’impact, le niveau résiduel, la justification, les acteurs, les dates et les preuves sont tous documentés.

Quel valideur prévoir selon le niveau de risque ?

Le propriétaire métier ne doit pas accepter seul le risque qu’il porte. Une table d’habilitation interne doit séparer l’avis de sécurité ou de maîtrise des risques de la décision d’acceptation.

1. Définir une table de délégation interne

Un schéma de validation peut prévoir, à titre d’exemple :

Situation	Décideur à désigner dans la politique interne	Avis requis
Risque résiduel faible, dans l’appétence	Responsable métier habilité	Fonction risques
Risque modéré, dans l’appétence	Directeur de fonction ou membre de comité habilité	RSSI et fonction risques
Risque élevé mais encore dans une limite approuvée	Comité des risques ou membre de la direction désigné	RSSI, risques et conformité selon l’impact
Risque hors appétence ou exposition agrégée significative	Instance prévue pour les exceptions, avec escalade à l’organe de direction	Avis formalisés des fonctions de contrôle

Les intitulés et seuils doivent correspondre à la gouvernance réelle de la SGP ou de l’établissement de paiement.

2. Escalader les cas sensibles

L’escalade est requise lorsque le risque dépasse l’appétence, affecte une fonction critique ou importante, cumule plusieurs acceptations sur le même actif ou crée une exposition agrégée significative. Les avis divergents sont conservés avec la motivation de la décision finale.

L’article 5, paragraphe 2, point a), de DORA attribue à l’organe de direction la responsabilité ultime de la gestion du risque TIC. Cela n’impose pas de lui soumettre chaque fiche, mais exige des délégations explicites, cohérentes avec cette responsabilité de l’organe de direction.

Critère de done : le décideur dispose d’une délégation valide et les avis requis sont datés, attribués et conservés.

Mesures compensatoires, échéance et conditions de révocation

Une mesure compensatoire doit réduire la vraisemblance ou l’impact du scénario pendant la période d’acceptation. Elle ne remplace pas la remédiation cible.

1. Rendre chaque mesure vérifiable

Pour chaque mesure, renseigner : propriétaire, date de mise en œuvre, fréquence de contrôle, preuve attendue et conséquence d’un échec. Exemples :

• restriction d’accès avec export périodique des habilitations ;
• règle de filtrage avec journal attestant son activation ;
• surveillance renforcée avec compte rendu de revue ;
• sauvegarde supplémentaire avec résultat d’un test de restauration ;
• procédure manuelle avec preuve d’exercice ;
• rapprochement quotidien avec anomalies et visas conservés.

2. Fixer deux dates distinctes

La fiche comporte une date de réexamen, antérieure à la date de fin, et une échéance d’acceptation. Le réexamen laisse le temps d’évaluer les preuves, de terminer la remédiation ou d’escalader avant l’expiration.

3. Écrire les déclencheurs de révocation

Sans attendre l’échéance, la décision est réexaminée en cas d’incident lié au scénario, d’augmentation de l’exposition, de changement d’actif, de nouvelle vulnérabilité, de test défavorable, d’échec d’une mesure compensatoire ou d’évolution réglementaire. La fiche précise qui peut suspendre l’acceptation et vers quelle instance l’escalade est dirigée.

Critère de done : aucune mesure n’est dépourvue de propriétaire, de délai, de preuve attendue ou de conséquence en cas d’échec.

Comment suivre et clôturer une acceptation de risque

L’acceptation reste ouverte dans le registre des risques jusqu’à une clôture appuyée par des preuves. Elle ne disparaît ni à la livraison d’un correctif ni à l’expiration de sa date.

1. Relier les objets de suivi

Conserver des liens traçables entre :

• l’identifiant de la fiche d’acceptation ;
• le risque enregistré ;
• les tickets ou actions de remédiation ;
• les contrôles compensatoires ;
• les comptes rendus de revue ;
• les alertes et incidents associés ;
• les preuves de clôture.

Le registre mentionne au minimum le statut, le propriétaire, le décideur, l’échéance, la prochaine revue et l’état du plan d’action.

2. Examiner les preuves à chaque jalon

À chaque revue, le propriétaire confirme l’exposition, l’efficacité des mesures et l’avancement des actions. Tout retard, contrôle défaillant ou changement de scénario entraîne une réévaluation et, si nécessaire, une escalade.

3. Prononcer une clôture formelle

La clôture intervient après :

• remédiation vérifiée et réévaluation du risque résiduel ;
• disparition documentée du scénario, par exemple après retrait de l’actif ;
• remplacement par une nouvelle décision formelle couvrant un scénario ou un périmètre modifié.

La preuve de clôture identifie le vérificateur, la date, les tests réalisés et le niveau de risque mis à jour. L’historique des versions, décisions et avis est conservé dans la piste d’audit.

L’article 6, paragraphe 3, de DORA impose la documentation et la revue périodique du cadre de gestion du risque TIC, ainsi que sa révision après certains incidents, constats de contrôle ou tests. La page DORA de l’Autorité bancaire européenne centralise les textes techniques associés.

4. Interdire la reconduction tacite

À l’échéance, trois issues seulement sont admises : clôture, nouvelle décision formelle sur la base d’une évaluation actualisée, ou escalade. Modifier uniquement la date revient à transformer une exception temporaire en dérogation permanente.

Critère de done : la clôture est approuvée, les actions sont vérifiées, le risque résiduel est mis à jour et l’historique reste accessible.

À VÉRIFIER : compléter la procédure avec les exigences sectorielles applicables à l’entité concernant les délégations, la conservation des décisions et l’intervention de l’organe de direction.

Sources :

• Règlement (UE) 2022/2554 — DORA
• Autorité bancaire européenne — Digital Operational Resilience Act