6.1.3 — Traitement des risques de sécurité

C’est ici que naît la Déclaration d’applicabilité — le document unique que votre auditeur de certification scrutera le plus.

En langage clair

Une fois les risques appréciés (6.1.2), la sous-clause 6.1.3 exige de décider quoi faire de chacun, de sélectionner les contrôles nécessaires pour le faire, et de documenter tout cela dans une Déclaration d’applicabilité (SoA) — le document qui relie formellement vos décisions de risque aux 93 contrôles de l’Annexe A.

Pourquoi cette exigence existe

Un registre des risques sur lequel personne n’agit n’est qu’une liste d’inquiétudes. Cette exigence force une décision sur chaque risque significatif, et rend cette décision traçable — pour qu’un auditeur, un nouvel employé, ou votre propre équipe six mois plus tard puisse voir exactement pourquoi un contrôle donné a été mis en œuvre, ou délibérément laissé de côté.

Scénario : une appréciation signale un risque élevé lié à une application héritée sans soutien du fournisseur. Sans décision de traitement, le risque reste simplement dans un tableur. Avec la 6.1.3 correctement appliquée, quelqu’un décide de retirer l’application dans les six mois, documente cette décision, assigne un responsable et une échéance, et la SoA reflète pourquoi les contrôles de l’Annexe A concernés n’étaient que partiellement mis en œuvre entre-temps — un auditeur y voit un risque géré, pas une lacune.

Ce que la norme attend

La norme attend un processus défini qui, pour chaque risque apprécié : sélectionne une option de traitement appropriée à la lumière des résultats de l’appréciation ; détermine tous les contrôles nécessaires pour mettre en œuvre cette option, et compare le résultat à l’Annexe A pour s’assurer que rien de nécessaire n’a été oublié ; produit la Déclaration d’applicabilité, listant les contrôles retenus, leur état de mise en œuvre, et la justification de toute exclusion ; produit un plan de traitement des risques décrivant comment les options choisies seront réellement mises en œuvre ; et obtient l’approbation formelle des propriétaires de risque, à la fois sur le plan de traitement et sur tout risque résiduel qui subsiste après traitement.

Les quatre options de traitement

• Modifier : appliquer un ou plusieurs contrôles pour réduire la probabilité ou l’impact — l’option la plus courante.
• Accepter : accepter sciemment le risque parce qu’il respecte vos critères — une décision délibérée, pas un oubli.
• Éviter : éliminer entièrement la source du risque, par exemple en abandonnant une activité ou un système.
• Partager : transférer une partie du risque à un tiers — assurance, fournisseur, ou partenaire spécialisé.

En pratique

• Parcourir votre registre des risques du plus au moins prioritaire et assigner une option de traitement à chaque risque au-dessus de votre seuil d’acceptation.
• Construire la SoA comme un tableau unique : les 93 contrôles de l’Annexe A, inclus ou exclus, justification, état de mise en œuvre, et un lien vers le ou les risques ayant motivé la décision.
• Ne jamais exclure un contrôle uniquement parce qu’il est incommode — chaque exclusion a besoin d’une justification fondée sur le risque qu’un auditeur pourrait vérifier indépendamment.
• Faire signer les propriétaires de risque par écrit, y compris sur le risque résiduel — un accord verbal n’est pas une preuve.

Preuves que l’auditeur demandera

• La Déclaration d’applicabilité, à jour et cohérente avec le registre des risques.
• Le plan de traitement des risques avec propriétaires, actions et échéances.
• L’approbation signée des propriétaires de risque sur le plan de traitement et le risque résiduel.
• La justification au dossier pour chaque contrôle de l’Annexe A exclu de la SoA.

Pièges courants

• Une SoA copiée d’un modèle, avec chaque contrôle marqué « inclus » sans lien avec la pertinence réelle.
• Exclure des contrôles pour éviter du travail, sans justification documentée et fondée sur le risque.
• Un plan de traitement sans propriétaires ni échéances — de bonnes intentions qui ne se ferment jamais.
• Un risque résiduel jamais formellement accepté par une personne ayant l’autorité de le faire.

Exigences liées

• 6.1.2 Appréciation des risques — le travail d’identification et d’analyse qui alimente cette étape de traitement.
• Annexe A · 93 contrôles — le catalogue dans lequel la SoA puise.
• 6.2 Objectifs de sécurité — les décisions de traitement alimentent souvent directement vos objectifs de sécurité.
• 8.3 Traitement des risques (opérationnel) — la mise en œuvre récurrente de cette même discipline de traitement.
• Clause parente : 6.1 Actions face aux risques et opportunités