Registre des risques et méthodologie d'évaluation

1) Pourquoi et ce qui est inclus dans le registre

Objectif : un système unique de description, d'évaluation, de priorité et de surveillance des risques liés à l'argent (RGT/FC), des licences, des joueurs, des données et de la réputation.
Couverture : produits/ingénierie (SDLC/incidents), finances et paiements (PSP/conclusions), KYC/AML/sanctions, vie privée (GDPR), TPRM/vendeurs, marketing/SDK, données (DWH/BI), infrastructure/cloud/DR, opérations de Sapport et VIP.

2) Taxonomie des risques (exemple)

Sécurité de l'information et de la vie privée : fuites PII/KYC, accès non autorisé, non-logging, faïences DSAR.
Réglementation/conformité : violations des conditions de licence, AML/KYC/sanctions, interdictions publicitaires.
Opérations/processus : PSP/KYC downtime, défaut de libération, dégradation de latitude, incidents DR.
Fraude/abus : dépôts frod, bonus abuse, modèles d'attaque de paiement.
Financier : liquidité des partenaires, choc chargeback, concentration sur un seul PSP.
Wendor/Supply Chain : SDK vulnérables, sous-processeurs à faible TOMs.
Réputation/clients : augmentation des plaintes, chute de NPS, violations de RG.
Stratégique/géopolitique : sanctions, changements d'impôts/lois, blocage du trafic.

3) Carte de risque (champs obligatoires)

ID/Titre du risque

Catégorie (de la taxonomie)

Description de l'événement (ce qui peut arriver) et causes

Actifs/processus/juridictions sous influence

Propriétaire du risque (Risk Owner) et conservateur (Sponsor)

Contrôles disponibles (préventifs/détectives/correctifs)

Probabilité (P) et impact (I) avant les contrôles (inherent)

Risque résiduel (residual) après les contrôles

Plan de traitement (traitement) : réduire/éviter/accepter/transférer

Seuil d'escalade/niveau de menace (Low/Medium/High/Critical)

KRIs et déclencheurs, métriques et sources de données

Statut et durée (Prochaine évaluation) liés par la LEP/tickets

Communication avec le registre des contrôles (ID des contrôles) et les politiques

Commentaires de l'auditeur/des comités (décisions récentes)

4) Échelles d'évaluation (par défaut 5 × 5)

4. 1 Probabilité (P)

1 - Rarement (<1/5 ans)

2 - Faible (1/2-5 ans)

3 - Moyenne (annuelle)

4 - Haut (quartier)

5 - Très élevé (mois/plus souvent)

4. 2 Influence (I) - choisir le maximum des branches

Finances : 1 : <€10k· 2 : €10-100k· 3 : €100k-1m· 4 : €1-5m· 5 :> €5m

Vie privée/données : 1 : <1k entrées·...· 5:> 1M entrées/catégories spéciales

Régulateur/permis : 1 : avertissement· 3 : amende/vérification· 5 : suspension de permis

Disponibilité (SLO/SLA) : 1 : <15 min..· 5 :> 8 h pour les zones critiques

Score final : 'R = P × I' niveaux → : 1-5 Low, 6-10 Medium, 12-16 High, 20-25 Critical.

(Les seuils peuvent être adaptés à l'entreprise.)

5) Matrice de carte thermique et appétit pour le risque

Demande de risque : document avec des tolérances par domaine (par exemple, fuites PII - tolérance zéro ; downtime P95 - ≤ X min/mes ; chargeback rate — ≤ Y%).
Heatmap : visualisation R à 5 × 5 ; au-dessus de l'appétit - exigent un plan et des délais CAPA.
Budget des risques : quotas de risques « pris » avec justification (faisabilité économique).

6) Méthodes d'évaluation

6. 1 Qualité (démarrage rapide)

Évaluation par des experts des échelles P/I + justification, rapprochement avec l'historique des incidents et les données des IRC.

6. 2 Quantitative (prioritaire pour le Top-10)

Approche FAIR (simplifiée) : fréquence des événements × répartition probabiliste des dommages (P10/P50/P90) ; utile pour comparer les options de réduction.
Monte Carlo (1000-10k runs) : variabilité des dommages et de la fréquence → Loss Exceedance Curve (probabilité de perte> X).
TRA (Targeted Risk Analysis) : analyse ponctuelle pour la sélection des fréquences de surveillance/contrôle (pertinent pour les PCI/fournisseurs).

7) KRIs et sources

• Disponibilité/opérations : MTR, erreurs 5xx, P95 latency, incidents de P1/P2, % de skate automatique, capacité de cluster.
• Sécurité/vie privée :% MFA coverage, tentatives de stuffing crédentiel, exportations inhabituelles, SLA DSAR, drapeaux antimalvar.
• Paiements : taux d'auth par PSP, taux de charge, défaillance de la banque, part des cassettes manuelles.
• KYC/AML : TAT, faux taux positif, succès de sanctions, proportion d'escalade.
• Vendeurs : Conformité SLA, dérive de latence, taux d'incidents, pertinence des certificats.

Les IRC communiquent avec les risques et déclenchent des escalades au-delà des seuils.

8) Cycle de vie du risque (flux de travail)

1. Identification → enregistrement de la carte.
2. Évaluation (inherent) → mapping des contrôles → évaluation résidentielle.
3. Décision de traitement (traitement) et plan CAPA (dates/propriétaires).
4. Surveillance KRIs/incidents, mise à jour de la carte.
5. Comité trimestriel sur les risques : révision du Top-N, rediffusion de l'appétit.
6. Fermeture/consolidation ou mise en observation (liste de surveillance).

9) Communication avec les contrôles et l'audit

• Préventif : RBAC/ABAC, SoD, limites, cryptage, WebAuthn, segmentation.
• Détectives : SIEM/alertes, rapprochements, logs WORM, UEBA.
• Correctifs : Annulations, verrous de paiement, révocation de clés, correctifs urgents.
• L'audit DE/OE vérifie que les contrôles réduisent le risque à l'appétit et fonctionnent de façon stable.

10) Exemples de cartes (YAML, fragments)

10. 1 Fuite de PII à travers le SDK de Vendor (Tier-1)

yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5  # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-15

10. 2 Dégradation du PSP : échec de l'autorisation de paiement

yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"

11) Agrégation et gestion de portefeuille

Top-N (Risk Register View) : trier par residual R et « au-dessus de l'appétit ».
Thèmes (Thèmes de risque) : clusters (vendeurs, vie privée, PSP) → propriétaires de thèmes.
Cartes des interdépendances : riski↔kontroli↔vendory↔protsessy.
Scénarios et stress tests : et si « PSP # 1 et KYC # 1 ne sont pas disponibles 2 heures ? » - évaluation des dommages cumulés et plan d'action.
LEC (Loss Exceedance Curve) : profil de perte annuel pour le conseil/conseil.

12) Seuils d'escalade et signaux

Opérational : SLO/SLA violations → Incident P1/P2.
Compliance/Privacy : excès de rétention, échec du DSAR, exportation sans « purpose » → escalade immédiate du DPO/Legal.
Vendor : échecs de SLA répétés → CAPA chez le fournisseur, renégociation du contrat.
Financial : la sortie chargeback> du seuil → les contrôles de main, la correction des limites/bonus.

13) RACI (agrandi)

14) Métriques (KPI/KRI) du système de gestion des risques

Coverage : 100 % des processus critiques ont des risques et des propriétaires enregistrés.
Review On-time : ≥ 95 % des cartes ont été révisées à temps.
Above Appetite : ↓ QoQ la proportion de risque est supérieure à l'appétit.
CAPA Closure (High/Critical) : ≥ 95 % à temps.
Detection Lag : médiane du temps entre la déviation du KRI et l'escalade (tend vers le ↓).
Incident Recurrence : incidents répétés pour une raison : 0.

15) Chèques-feuilles

15. 1 Création d'une carte

• Catégorie et description de l'événement/causes
• Actifs/processus/juridictions notés
• Évalué par P/I (inherent) et residual avec justification
• Mapping Control (ID), KRIs et sources de données
• Plan de la LEP/échéancier/propriétaires
• Seuil d'escalade et niveau de menace

15. 2 Comité trimestriel

• Top 10 sur l'appétit residual et supérieur
• Risques nouveaux/emergents, modifications des lois/fournisseurs
• Statut de l'ACPA et arriérés
• Décisions : adopter/réduire/transférer/éviter ; mettre à jour l'appétit/seuils

16) Feuille de route pour la mise en œuvre (4-6 semaines)

Semaines 1 à 2 : approuver la taxonomie, les échelles, l'appétit ; sélectionner un outil (table/BI/IRM). Créer 10-15 cartes de démarrage par processus critiques.
Semaines 3 à 4 : associer les risques aux contrôles et aux IRC ; construire une carte thermique/dashboard ; lancer un comité des risques.
Semaines 5 à 6 : mettre en place une évaluation quantitative pour la Top-5 (FAIR/Monte Carlo light), automatiser la collecte des KRIs, formaliser les escalades et les rapports à bord.

17) Sections wiki liées

Contrôles internes et leurs audits, ISO 27001/27701, SOC 2, PCI DSS, IGA/RBAC/Least Privilège, TPRM et SLA, Incidents et fuites, DR/BCP, Politique des logs et WORM - pour un cycle complet « Risque et contrôle → → métrique → preuves ».

TL; DR

Le registre ouvrier des risques = la taxonomie précise + les échelles standardisées + les appétits/seuils → les cartes avec les propriétaires, контролями et KRIs → теплокарта et les comités → l'estimation prioritaire quantitative pour les Top-risques et CAPA au terme fixé. Cela rend les risques gérables, comparables et prouvables pour les entreprises et les régulateurs.