Auteur: Manu Steens
Dans ce post, j’écris ma propre opinion, pas celle d’une organisation.
ISO 31000 prescrit en grande partie dans les grandes lignes à quoi peut ressembler un système de management des risques. Cela vous oblige à effectuer une évaluation des risques et à proposer des mesures que vous devez ensuite mettre en œuvre. Cependant, il ne prescrit pas comment évaluer une mesure (voir mon blog précédent https://emannuel.fr/fr/hoe-een-maatregel-van-business-continuity-management-en-risico-management-beoordelen/)
Il ne décrit pas non plus comment savoir si vous êtes prêt à prendre un risque. C’est de cela que je veux parler maintenant. Parce que si une mesure a été évaluée positivement, le travail réel ne fait que commencer.
Une première étape consiste à effectuer efficacement une évaluation des risques. Il n’y a pas moyen de contourner cela. C’est ce qu’il faut faire. Mais la définition d’une mesure n’est que le début de la préparation opérationnelle réelle au risque. Il y a quelques choses que vous devez faire / vérifier, en plus de le mettre en œuvre.
- Avez-vous un budget?
Prévoyez un budget suffisamment important. Et il existe plusieurs types de budgets que vous pouvez fournir.
Le premier est le budget dont vous avez besoin pour la mise en œuvre de la mesure choisie.
Un deuxième est le budget dont vous pourriez avoir besoin pour une assurance externe.
Un troisième est le budget dont vous pourriez avoir besoin pour traverser les périodes sombres, une sorte de budget de transition.
Un quatrième possible est un budget sous la forme d’un captif. Cela n’est pertinent que pour les risques très importants ou pour les portefeuilles à risques importants.
Ces budgets doivent être représentés dans le bilan. Sans double objectif.
- Avez-vous des gens?
Dans de nombreuses crises, il y a toujours une pénurie de main-d’œuvre dans les activités opérationnelles. Il est préférable de penser à l’avance aux personnes et aux types de profils dont vous aurez besoin. Discutez-en à l’avance avec les RH pour voir si elles peuvent inclure les activités qui leur sont demandées dans leur partie du plan de continuité des activités (PCA).Connaissent-ils des personnes ayant les profils appropriés? Connaissent-ils les contacts nécessaires pour les obtenir rapidement? Les RH doivent également donner un coup de main.
- Avez-vous des ressources matérielles?
Souvent, les gens ne peuvent rien faire s’ils n’ont pas l’équipement nécessaire. Disposez-vous de l’équipement de secours nécessaire pour cela? Avez-vous les biens et les renseignements nécessaires pour poursuivre le travail ou les services? Y a-t-il des biens ou de l’équipement qui sont dupliqués comme solution de secours à des fins multiples, avec des mesures multiples? L’organisation peut-elle se le permettre ?
- Avez-vous les informations nécessaires (distribuées)?
Il peut s’agir de l’arbre de connexion au sein de votre organisation ou des données de connexion du système de notification, etc. Nos propres employés sont-ils au courant de la mesure lorsque cela est utile et nécessaire? L’environnement (interne et externe) est-il conscient du risque possible si cela est pertinent pour lui? Les autres parties prenantes aussi?
- Avez-vous un propriétaire du risque?
Qui est responsable de la gestion du risque lorsqu’il se matérialise? Est-ce le propriétaire du processus? Quelqu’un d’autre? La gestion de la crise est-elle déléguée à une autre personne? Vous avez déjà discuté de la mesure avec lui dans le cadre d’une évaluation opérationnelle. (cfr. URL Supra.) Qui fait quoi et qui rend compte à l’équipe de gestion de crise (CMT)?
- Avez-vous un sponsor du risque?
En règle générale, il s’agit d’un gestionnaire de haut rang qui approuve les budgets de la mesure. De plus, vous avez déjà discuté de la mesure avec lui dans le cadre d’une évaluation stratégique. (cfr. URL Supra.)
Enfin, si une mesure n’était pas possible, avez-vous un plan d’action? Avez-vous parlé à des gestionnaires de risques d’autres organisations qui peuvent avoir des risques similaires et qui ont des plans? Pouvez-vous échanger vos expériences ? Pouvez-vous conclure des accords avec des concurrents pour le déploiement conjoint de personnes lorsqu’un risque se présente?
Cocher cette liste n’empêche pas votre mesure d’échouer. Mais après tout, il peut convaincre les parties intéressées que l’organisation a déjà pris les mesures nécessaires pour éviter, prévenir ou atténuer le risque s’il se produit.