Ressource gratuite · ISO/IEC 27001:2022
Modèle de plan de traitement des risques ISO 27001
La clause 6.1.3 exige un plan de traitement des risques : pour chaque risque au-dessus de votre seuil, une décision, les mesures qui la mettent en œuvre, un responsable et une date. Utilisez les colonnes ci-dessous ou téléchargez le CSV avec deux exemples.
Les colonnes indispensables
- Identifiant et description du risque (issus du registre des risques)
- Propriétaire du risque (une personne habilitée à l'accepter)
- Niveau de risque initial : probabilité × impact avant traitement
- Option de traitement : réduire, accepter, transférer ou éviter
- Mesures retenues de l'Annexe A (par exemple A.5.15 Contrôle d'accès, A.8.5 Authentification sécurisée)
- Actions : quoi, qui et pour quand
- Niveau de risque résiduel après traitement
- Date d'approbation et personne ayant accepté le risque résiduel
Les quatre options de traitement
- Réduire (modifier) : appliquer des mesures pour diminuer la probabilité ou l'impact
- Accepter (retenir) : accepter le risque s'il est dans votre appétence, avec une justification consignée
- Transférer (partager) : déplacer une part du risque par assurance ou contrat, tout en maîtrisant ce qui reste chez vous
- Éviter (supprimer) : arrêter l'activité ou retirer l'actif à l'origine du risque
Approbation et acceptation
- Les propriétaires des risques ont approuvé le plan de traitement
- Les propriétaires des risques ont accepté par écrit les risques résiduels
- Le risque résiduel est consigné et inférieur au seuil d'acceptation convenu
- Chaque mesure choisie figure dans la Déclaration d'applicabilité, et chaque inclusion de la DdA renvoie à un risque ou à une exigence
Ce que vérifient les auditeurs
- Aucun risque au-dessus du seuil n'est laissé sans décision
- Les traitements sont mis en œuvre, pas seulement planifiés, avec des preuves datées
- Les niveaux de risque résiduel découlent des mesures appliquées
- Le plan est revu après les incidents, les audits et les changements importants
D'après la clause 6.1.3 et l'Annexe A de l'ISO/CEI 27001:2022. Le CSV contient deux lignes illustratives à remplacer par vos propres risques. Voir iso.org pour la norme de référence.
FAQ sur le plan de traitement des risques
- Qu'est-ce qu'un plan de traitement des risques en ISO 27001 ?
- C'est le plan documenté de la clause 6.1.3 qui consigne, pour chaque risque apprécié, l'option de traitement choisie, les mesures de l'Annexe A ou autres qui la mettent en œuvre, le responsable des actions et le risque résiduel.
- Quelle différence entre registre des risques et plan de traitement ?
- Le registre liste les risques et leurs niveaux. Le plan dit ce que vous ferez pour chacun. Beaucoup d'équipes les réunissent dans un seul tableur, mais la norme les traite comme deux informations documentées distinctes.
- Peut-on accepter un risque au lieu de le traiter ?
- Oui. Accepter un risque est une option valide s'il respecte vos critères d'acceptation et que son propriétaire l'approuve. La décision et sa justification doivent être consignées.
- Comment le plan se relie-t-il à la Déclaration d'applicabilité ?
- Les mesures choisies dans le plan alimentent la DdA. Chaque mesure est marquée applicable avec le risque traité comme justification, et les mesures exclues exigent un motif.
Suivez les traitements, pas des tableurs
CATAAM relie chaque risque aux mesures qui le traitent et collecte les preuves automatiquement : le risque résiduel devient démontrable.