Le risque zéro est une mauvaise cible

Le risque zéro est une promesse séduisante. Dans un système d’information réel, c’est surtout une mauvaise cible.

Chaque contrôle, chaque redondance, chaque procédure et chaque exigence de sécurité a un coût. Ce coût peut être financier, organisationnel, humain ou simplement ralentir l’entreprise. Chercher à éliminer tous les risques localement peut donc produire un risque global plus élevé.

Le risque doit être arbitré, pas nié

Un SI ne peut pas être gouverné comme si toutes les applications, toutes les données et tous les processus avaient la même criticité. Certains méritent un niveau maximal de protection. D’autres non.

Le rôle du pilotage consiste à distinguer ce qui est essentiel de ce qui est seulement important, puis à dimensionner l’effort en conséquence.

Le coût de la protection existe

Augmenter le niveau de contrôle peut réduire une catégorie de risque tout en en créant d’autres : complexité, délais, rigidité, dépendance, coûts d’exploitation, contournements par les utilisateurs.

Une gouvernance mature ne cherche donc pas à maximiser chaque protection. Elle cherche à optimiser le risque global de l’entreprise.

Raisonner en impact

La question pertinente n’est pas seulement « quelle est la probabilité d’un incident ? », mais aussi « quel serait son impact réel ? ». Ce raisonnement oblige à regarder le processus de bout en bout : opérations, finance, image, conformité, clients, collaborateurs.

Cette approche permet de concentrer les moyens là où ils ont réellement de la valeur.

Accepter certains risques

Accepter un risque n’est pas l’ignorer. C’est le connaître, le documenter, le comparer aux alternatives et décider qu’à cet instant le coût de sa réduction serait supérieur au bénéfice attendu.

Cette décision doit être explicite. Elle relève de la gouvernance, pas d’un défaut de vigilance.

Une approche proportionnée

Le bon niveau de sécurité, de contrôle ou de redondance n’est donc pas le maximum techniquement possible. C’est le niveau cohérent avec la criticité du processus, les conséquences d’une défaillance et les objectifs de l’entreprise.

Le risque zéro n’est pas un objectif de gestion. L’arbitrage éclairé, oui.