Registre des risques : pourquoi votre fichier Excel dit la vérité une semaine par an

Ce qu'un registre des risques doit contenir

Quel que soit le cadre utilisé (ISO/IEC 27005 pour la sécurité de l'information, ou une méthode interne), un registre sérieux contient au minimum : l'identification du risque, son propriétaire, l'évaluation (probabilité, impact, criticité), la décision de traitement, les mesures ou contrôles associés, et la date de dernière revue.

Le registre n'est pas un livrable ponctuel : c'est un document de pilotage, censé refléter l'état courant. C'est précisément là que le tableur atteint ses limites.

Casse n°1 : les versions

Un fichier registre_risques_v7_final_MAJ.xlsx envoyé par email existe immédiatement en plusieurs exemplaires divergents. Personne ne sait quelle version fait foi, et la consolidation avant chaque comité devient un travail en soi.

Casse n°2 : les liens

Un risque renvoie à des contrôles, des exigences et des actions correctives. Dans un tableur, ces liens sont des conventions de nommage fragiles ; dès qu'une ligne bouge, la chaîne casse en silence. Or c'est exactement ce que l'auditeur suit : ce risque, traité par quel contrôle, prouvé par quel document.

Casse n°3 : l'historique

Qui a modifié cette cotation, quand, et pourquoi ? Le tableur ne le dit pas. L'historique des évaluations est pourtant ce qui montre que votre gestion des risques vit, au lieu d'être refaite la veille de l'audit.

Casse n°4 : le recalcul

Quand une échelle d'évaluation change ou qu'un risque est réévalué, tout ce qui en dépend (criticité, priorités, matrice) doit suivre. Dans un tableur, ce recalcul dépend de formules que plus personne n'ose toucher.

Le symptôme est connu : le registre est juste au moment où on le ferme, faux une semaine après. Il dit la vérité une semaine par an, celle de l'audit.

Les critères d'un registre vivant

Un registre qui tient dans la durée a une seule source de vérité, des liens natifs entre risques, contrôles et preuves, un historique automatique des évaluations, et un recalcul immédiat. Que vous l'obteniez avec un outil ou une discipline d'équipe stricte, ce sont les quatre critères à exiger.