La gestion des risques technologiques est cruciale dans un monde où 70% des entreprises subissent des cyberattaques. Cet article révèle comment les experts-comptables peuvent transformer ces défis en opportunités, garantissant ainsi leur pertinence dans l’économie numérique en constante évolution.
Sous-Section 2 :
Technology Risk Management : Identification, évaluation et gestion des risques liés aux technologies de l’information et de la communication
Cette sous-section traitera respectivement la définition et le champ d’application (§1) et la conduite d’une mission de Technology Risk Management (§2).
§1. Définition et champ d’application
Dans une économie où les consommateurs et les investisseurs sont de plus en plus exigeants et où les changements se succèdent à un rythme effréné, les entreprises ne peuvent plus se contenter des démarches stratégiques traditionnelles. Elles sont obligées de prendre toujours plus de risques ; et ce quels que soient les objectifs qu’elles poursuivent.
Le risk management (Gestion des risques) est aujourd’hui une discipline qui prône une prise de risque consciente, « calculée » et maîtrisée.
Les entreprises qui réussissent dans la nouvelle économie sont celles qui prennent des risques calculés en vue d’atteindre leurs objectifs. Grâce à une confrontation permanente entre les opportunités et les menaces, elles prennent toujours les bonnes décisions et s’adaptent aux aléas et imprévus.
Les définitions du risque à connotation uniquement négative (danger, perte, etc.) font partie du passé : le fait pour une entreprise de ne pas saisir une opportunité peut être source d’un désavantage concurrentiel irréversible.
Le technology risk management s’intéresse plus particulièrement aux risques liés à l’utilisation des technologies de l’information et de la communication. Par exemple :
- les risques liés à la mise en place d’une nouvelle solution (échecs, litiges, dépassements budgétaires importants, etc.) ;
- la non adoption d’un plan de secours (Disaster Recovery Plan) ;
- les risques liés à l’intégrité et la sécurité du système d’information ;
- les risques liés à la protection des renseignements privés des clients ;
- la non adoption par une entreprise d’une solution technologique largement utilisée par ses concurrents ;
- la non adoption par une entreprise d’une solution technologique largement utilisée par ses fournisseurs ou ses clients, etc.
Selon un document intitulé « Technology Risk Management Guidelines for Financial Institutions » émis en novembre 2002 par l’Autorité Monétaire de Singapour, les risques liés aux technologies de l’information et de la communication incluent toute éventualité d’utilisation malveillante, violation, échec ou perte due à l’utilisation de matériel informatique, de logiciels, de systèmes informatiques ou de réseaux de communication.
Ces risques sont, selon le même document, liés aux :
- failles (logiques) du système,
- erreurs de traitement ou de manipulation,
- défauts de programmation des logiciels (bugs),
- défaillances matérielles,
- échecs système,
- capacités (de sauvegarde, de traitement, etc.) inadéquates ou inadaptées,
- vulnérabilité des réseaux,
- faiblesses des contrôles informatiques,
- problèmes de sécurité,
- accès illicites ou frauduleux, actes de piratage,
- possibilités de récupération (données, programmes, environnement) insuffisantes.
§2. Conduite d’une mission de Technology Risk Management
Chaque expérience dans le domaine du risk management est unique en soi. Les approches différent en effet selon la taille de l’entreprise, son secteur d’activité, sa stratégie, sa culture, les choix de la direction, la compétence de l’exécutif, etc.
Cependant, certaines étapes ont émergé et font partie des bonnes pratiques actuelles en matière de risk management1 :
| Table des étapes de risk management | |
|---|---|
| Étape | Description |
| Identification des risques | Détection et reconnaissance des risques potentiels |
| Évaluation des risques | Analyse de l’impact et de la probabilité |
| Traitement des risques | Mise en place de stratégies d’atténuation |
| Surveillance continue | Contrôle et réévaluation réguliers |
Lorsqu’une entreprise encourt des risques technologiques assez sérieux pour menacer la réalisation de ses objectifs, la direction se doit de mettre en place un cadre adéquat permettant d’affronter et d’atténuer ces risques.
Selon le document « Technology Risk Management Guidelines for Financial Institutions », une démarche rationnelle de technology risk management doit comporter les étapes suivantes :
- Identifier les actifs informationnels de l’entreprise ;
- Classer ces actifs par ordre d’importance ;
- Identifier, analyser, quantifier et atténuer les risques liés aux technologies de l’information et de la communication ;
- Mettre en place une politique adéquate en matière de sécurité ainsi que des mesures appropriées destinées à assurer l’intégrité et de la fiabilité des actifs informationnels de l’entreprise ;
- Protéger les actifs informationnels contre toute menace interne ou externe ;
- Développer et maintenir une veille permettant de détecter et de contrecarrer toute attaque ou activité malveillante ou suspecte visant ses systèmes d’information ou ses réseaux de communication.
La mission de technology risk management permet à l’expert-comptable de proposer une multitude de services plus ou moins techniques tels que :
- Inventaire et structuration des actifs informationnels de l’entreprise : collecte des données, diagnostic de l’organisation, identification des fonctions puis des Business Process, hiérarchisation des données, etc.
- Cartographie des risques liés aux technologies : comprendre l’architecture du système d’information et les possibilités de communication qu’il permet, assimiler les besoins des différents utilisateurs, diagnostic des principales fonctions du système : sauvegarde, restitution, traitement et calculs, gestion des profils d’accès, etc.
- Analyse et quantification d’un ou de plusieurs risques : déterminer les vulnérabilités, les menaces et les probabilités d’occurrence de chaque risque.
- Conception et mise en place d’un plan de sécurité :
- Evaluer les vulnérabilités, les menaces et les conséquences de la concrétisation d’un risque lié aux technologies de l’information et de la communication.
- Analyse coût-avantage : coût des mesures de sécurité contre le coût des conséquences d’une occurrence.
- Déterminer les contrôles et les mesures de sécurité permettant de protéger les actifs informationnels de l’entreprise.
- Mettre à jour l’évaluation des vulnérabilités notamment par des jeux d’essais (tentatives d’accès).
- Conception et mise en place d’un plan de continuité : prévoir des scénarios d’attaques ou d’incidents ainsi que les répliques correspondantes (plan de secours).
________________________
1 Selon le rapport conjoint AICPA – ICCA : Managing Risk in the New Economy. ↑
Questions Fréquemment Posées
Qu’est-ce que la gestion des risques technologiques ?
La gestion des risques technologiques s’intéresse aux risques liés à l’utilisation des technologies de l’information et de la communication, tels que les échecs de mise en place de solutions, la sécurité des systèmes d’information, et la protection des renseignements privés des clients.
Comment identifier les risques technologiques dans une entreprise ?
L’identification des risques consiste en la détection et la reconnaissance des risques potentiels auxquels l’entreprise peut faire face.
Pourquoi est-il important de gérer les risques technologiques ?
Il est important de gérer les risques technologiques pour prendre des risques calculés qui permettent d’atteindre les objectifs de l’entreprise et d’éviter des désavantages concurrentiels irréversibles.
Quelles sont les étapes de la gestion des risques technologiques ?
Les étapes de la gestion des risques technologiques incluent l’identification des risques, l’évaluation des risques, le traitement des risques, et la surveillance continue.