{"id":199293,"date":"2026-08-19T18:40:54","date_gmt":"2026-08-19T16:40:54","guid":{"rendered":"https:\/\/factorialhr.com\/blog\/?p=199293"},"modified":"2026-08-19T18:40:54","modified_gmt":"2026-08-19T16:40:54","slug":"appreciation-des-risques-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.fr\/blog\/appreciation-des-risques-iso-27001\/","title":{"rendered":"Appr\u00e9ciation des risques ISO 27001 : d\u00e9finition et m\u00e9thode"},"content":{"rendered":"

L’appr\u00e9ciation des risques est le moment o\u00f9 la plupart des projets ISO 27001 s’enlisent<\/strong>, et c’est aussi l\u00e0 que l’on voit si le syst\u00e8me de management a \u00e9t\u00e9 construit pour de vrai ou seulement sur le papier. Beaucoup d’organisations passent des semaines \u00e0 remplir un tableur gigantesque, rempli de dizaines de menaces th\u00e9oriques et de scores attribu\u00e9s au jug\u00e9, puis se pr\u00e9sentent \u00e0 l’audit avec un document que personne n’utilise et qui n’explique pas pourquoi certains contr\u00f4les ont \u00e9t\u00e9 retenus et d’autres \u00e9cart\u00e9s.<\/p>\n

Dans cet article, nous revenons sur ce qu’est l’appr\u00e9ciation des risques selon l’ISO 27001<\/strong>, sur les raisons pour lesquelles elle conditionne le reste du syst\u00e8me, sur la m\u00e9thode \u00e0 privil\u00e9gier et sur la fa\u00e7on de la mener \u00e9tape par \u00e9tape.<\/p>\n

Qu’est-ce que l’appr\u00e9ciation des risques dans l’ISO 27001 ?<\/h2>\n

L’appr\u00e9ciation des risques est le processus par lequel une organisation identifie les risques qui p\u00e8sent sur la s\u00e9curit\u00e9 de son information<\/strong> et d\u00e9termine leur probabilit\u00e9 et leur impact. Autrement dit : reconna\u00eetre ce qui peut mal tourner, avec quelle probabilit\u00e9 cela se produirait et quelles cons\u00e9quences cela aurait sur la confidentialit\u00e9, l’int\u00e9grit\u00e9 et la disponibilit\u00e9 de l’information.<\/p>\n

L’article 6.1.2 de l’ISO 27001<\/a> impose de d\u00e9finir un processus d’appr\u00e9ciation des risques<\/strong>, de l’appliquer de fa\u00e7on coh\u00e9rente et de conserver l’information document\u00e9e \u00e0 titre de preuve. La norme ne la pr\u00e9sente pas comme une t\u00e2che ponctuelle : elle exige de la r\u00e9p\u00e9ter \u00e0 intervalles planifi\u00e9s et \u00e0 chaque fois que surviennent des changements notables dans l’organisation ou dans son environnement.<\/p>\n

Il convient de clarifier trois termes que l’on emploie souvent comme synonymes alors qu’ils ne le sont pas. L’analyse des risques<\/strong> est la phase o\u00f9 l’on estime la probabilit\u00e9 et l’impact de chaque risque. L’appr\u00e9ciation des risques<\/strong> est le processus complet, qui inclut cette analyse ainsi que la comparaison des r\u00e9sultats avec les crit\u00e8res d’acceptation afin de d\u00e9terminer quels risques sont prioritaires. Et le traitement des risques<\/strong> est l’\u00e9tape suivante, celle o\u00f9 l’on d\u00e9cide quoi faire de chacun d’eux.<\/p>\n

Pourquoi l’appr\u00e9ciation des risques est-elle le point de d\u00e9part du SMSI ?<\/h2>\n

L’ISO 27001 est une norme fond\u00e9e sur le risque. Cela signifie que les contr\u00f4les mis en place par une entreprise ne proviennent pas d’une liste standard ni de l’imitation de la concurrence, mais de sa propre exposition<\/strong>. Deux organisations d’un m\u00eame secteur peuvent aboutir \u00e0 des dispositifs de contr\u00f4le tr\u00e8s diff\u00e9rents, tout simplement parce que leurs risques diff\u00e8rent.<\/p>\n

Cette logique place l’appr\u00e9ciation \u00e0 la base du syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information (SMSI)<\/a>. Ce sont ses r\u00e9sultats qui d\u00e9terminent quels contr\u00f4les de l’Annexe A vous allez appliquer et lesquels vous justifierez par \u00e9crit d’\u00e9carter. Sans une appr\u00e9ciation solide, cette d\u00e9cision reste sans fondement, et l’auditeur le rep\u00e8re imm\u00e9diatement.<\/p>\n

Il existe par ailleurs une d\u00e9pendance pr\u00e9alable \u00e0 garder \u00e0 l’esprit : on ne peut pas appr\u00e9cier des risques portant sur des actifs que l’on ne conna\u00eet pas<\/strong>.<\/p>\n

Approche qualitative ou quantitative : laquelle choisir ?<\/h2>\n

L’ISO 27001 n’impose aucune m\u00e9thode particuli\u00e8re. Elle exige que celle-ci soit coh\u00e9rente, reproductible et qu’elle produise des r\u00e9sultats comparables, mais laisse chaque organisation d\u00e9cider de son application. Dans la pratique, il existe deux grandes approches<\/strong>, et la plupart combinent des \u00e9l\u00e9ments des deux.<\/p>\n