De nombreuses entreprises continuent d’évaluer leurs risques technologiques à l’aide d’étiquettes telles que élevé, moyen ou faible. Si ce système est utile pour classer les menaces, il est beaucoup moins pertinent lorsque un CIO ou un CISO doit défendre devant la direction un investissement de plusieurs centaines de milliers d’euros. Une nouvelle analyse du groupe Info-Tech Research propose de faire évoluer ces évaluations vers une modélisation qui traduit les principaux risques en pertes économiques estimées, en fréquence et en exposition annuelle.

Les clés de l’évaluation financière du risque informatique en 20 secondes

• Info-Tech remet en question les matrices traditionnelles basées uniquement sur des catégories de risque élevé, moyen ou faible.
• Elle suggère de quantifier économiquement les risques prioritaires, sans nécessairement couvrir l’ensemble du catalogue des menaces.
• Son approche combine l’impact d’une perte, la fréquence estimée et la perte annuelle attendue.
• Le NIST reconnaît également que les méthodes quantitatives peuvent améliorer la priorisation et justifier les traitements devant la direction.
• Le but est de comparer le coût de la réduction d’un risque à l’exposition économique réelle qu’il représente.

Cette démarche arrive à un moment où les responsables technologiques doivent expliquer différents types de risques lors des mêmes discussions budgétaires. Une attaque par ransomware, une panne d’un centre de données, une dépendance critique à un fournisseur cloud, une fuite d’informations ou une sanction réglementaire peuvent tous apparaître en rouge sur une matrice, mais cela ne précise pas automatiquement lequel devrait être prioritaire pour l’allocation du budget disponible.

C’est le problème que tente de résoudre la méthodologie Execute Data-Driven Risk Assessments d’Info-Tech. L’approche ne propose pas d’abandonner totalement les évaluations qualitatives, mais de les utiliser comme premier filtre, en réservant l’analyse économique plus fine pour les risques qui le justifient réellement.

Le problème de se contenter de dire qu’un risque est « élevé »

Les matrices de risques ont un avantage évident : elles permettent un travail rapide avec la probabilité et l’impact, tout en présentant des résultats compréhensibles.

Mais elles présentent aussi des limites.

Indiquer qu’un cyberattaque présente un risque « élevé » peut attirer l’attention, mais fournit peu d’informations concrètes lorsque la direction doit décider entre investir 300 000 euros pour renforcer la sécurité, renouveler une plateforme critique ou financer un autre projet.

Info-Tech identifie en outre des problèmes tels que la subjectivité des scores, la dispersion des données entre départements et la difficulté à gérer des modèles quantitatifs excessivement complexes.

Une simple conversion de « élevé » en un chiffre comme 8 sur 10 ne résout pas vraiment le problème. Une échelle ordinale reste une classification, même si elle utilise des nombres.

Le National Institute of Standards and Technology (NIST) distingue justement entre analyses qualitatives et quantitatives. Dans sa mise à jour de décembre 2025 sur l’intégration de la cybersécurité et la gestion des risques d’entreprise, il précise que l’approche quantitative, qui utilise des probabilités et des valeurs monétaires de pertes, offre une justification plus solide pour prioriser des actions devant la direction. Il insiste aussi sur le fait que la qualité de ces évaluations dépend des données et des modèles employés.

Ce subtilité est essentielle : attribuer un montant à un risque ne rend pas automatiquement l’estimation certaine.

Le risque concerne toujours des événements futurs, ce qui implique une part d’incertitude.

Du tableau de signalisation des risques à la détermination du coût potentiel pour l’entreprise

Info-Tech propose un processus en quatre phases.

D’abord, il s’agit de construire ou réviser le registre des risques en utilisant une taxonomie commune. Ensuite, une évaluation qualitative de la probabilité et de l’impact permet de distinguer les risques prioritaires de ceux qui ne nécessitent pas une analyse économique approfondie.

C’est lors de la troisième étape que la discussion change.

La méthodologie recommande d’estimer trois éléments : Single Loss Impact (SLI), indiquant l’impact d’une perte unique ; Occurrence Frequency (OF), correspondant à la fréquence d’occurrence de cette perte ; et Annualized Loss Expectancy (ALE), la perte annuelle attendue.

Un exemple simple peut éclairer ce processus.

Une organisation pourrait mesurer combien coûterait une interruption d’un service spécifique en tenant compte de la perte d’activité, des coûts de récupération, des heures de travail, des engagements contractuels, et autres coûts justifiables. Elle estimerait également la fréquence probable de cet incident.

Le résultat ne serait plus simplement :

« Risque d’indisponibilité : élevé ».

Mais plutôt une estimation économique exprimée sous forme de scénarios ou de plages, facilitant une question plus stratégique : combien coûte de réduire l’exposition et quelle est la perte économique résiduelle après cette réduction ?

Enfin, Info-Tech recommande de partager ces résultats avec les responsables métier et la direction pour orienter les décisions.

Ce concept s’apparente au FAIR (Factor Analysis of Information Risk), un modèle quantitatif utilisé pour analyser les risques liés à l’information et aux opérations, en se basant sur la fréquence et l’ampleur probable des pertes. Il insiste aussi sur le fait que l’incertitude doit être explicitement intégrée dans le calcul via des plages ou des distributions, plutôt que de présenter une seule valeur comme une prédiction exacte.

Un outil pour décider où investir, non pour prédire l’avenir

Le véritable intérêt pratique se mesure lorsqu’il faut comparer différentes options.

Supposons qu’une entreprise identifie deux risques « élevés » : une interruption prolongée d’une application interne et un incident de ransomware.

Une matrice classique pourrait les classer approximativement au même niveau. En revanche, une analyse financière cherche à répondre à des questions supplémentaires : quelles pertes chaque scénario pourrait entraîner, avec quelle fréquence, combien coûterait une mesure de mitigation, et quelle réduction de risque elle permettrait.

Ce processus permet d’évaluer des investissements dans backup, reprise d’activité, redondance, sécurité, continuité d’entreprise, formation ou infrastructure en utilisant un langage plus conforme aux attentes des responsables financiers.

Il évite aussi le risque de dépenser massivement pour une menace qui, même si sensible, a une exposition économique inférieure à d’autres risques moins visibles mais tout aussi critiques.

Cependant, la quantification ne dispense pas de faire preuve de discernement.

Le NIST rappelle que les méthodes quantitatives exigent des données suffisamment fiables, ce qui n’est pas toujours possible ou pertinent. Même avec des données incomplètes, structurer l’analyse peut aider à mieux comprendre les variables, mais le résultat demeure incertain.

Il est donc plus raisonnable de travailler avec plages et probabilités que de tenter de convaincre le conseil qu’un incident précis coûtera 2.473.621 euros exactement.

FAIR partage cette philosophie : il définit le risque à partir de la fréquence et de l’ampleur probables des pertes futures, en insistant sur une représentation explicite de l’incertitude.

Pour ceux qui doivent engager des budgets, cela signifie que la conversation peut passer de « c’est urgent parce que le risque est rouge » à une explication plus précise : quelle est l’exposition estimée, quels facteurs la génèrent, combien une intervention peut la réduire et quel risque résiduel la direction accepte en fin de compte.

Info-Tech accompagne cette méthode d’outils pour élaborer des évaluations et partager leurs résultats avec les responsables de risque. Son approche ne demande pas non plus de quantifier immédiatement chaque menace — elle privilégie d’abord une évaluation qualitative pour cibler les efforts là où cela vaut vraiment la peine.

Cette approche hybride a probablement l’un de ses atouts majeurs. Les matrices colorées peuvent continuer à servir pour classer une multitude de risques. Le problème surgit quand on veut que ce même tableau coloré serve aussi à prendre des décisions d’investissement.

Questions fréquentes

Qu’est-ce qu’une évaluation quantitative des risques TI ?

C’est une analyse qui cherche à exprimer l’exposition en utilisant des variables mesurables, telles que la probabilité d’occurrence ou l’impact économique, plutôt que de se limiter à des catégories comme risque élevé, moyen ou faible.

Faut-il calculer tous les risques d’une entreprise en termes financiers ?

Pas nécessairement. La méthodologie d’Info-Tech propose de commencer par une évaluation qualitative pour prioriser, puis d’appliquer une analyse financière plus approfondie aux risques qu’il faut impérativement traiter.

Que signifie ALE en gestion du risque ?

ALE correspond à Loss Expectancy Annualisée, ou perte annuelle attendue. Elle sert à exprimer en termes économiques l’exposition prévue à un certain scénario sur une année.

Les matrices de risque élevé, moyen et faible restent-elles utiles ?

Oui. Elles restent une méthode rapide pour la classification et la priorisation initiale. Leur limite apparaît quand elles sont utilisées seules pour justifier des investissements ou comparer différents scénarios de réduction du risque.

vía : prnewswire