Risque résiduel.

Risque qui subsiste après l'application des contrôles et traitements prévus, que l'organisation doit accepter, transférer ou traiter davantage. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Risque qui subsiste après l'application des contrôles et traitements prévus, que l'organisation doit accepter, transférer ou traiter davantage.

Le risque résiduel est ce qui reste du risque inhérent une fois que les contrôles existants ou prévus ont réduit la vraisemblance ou l'impact. C'est la valeur la plus importante pour la décision, car les contrôles ne sont jamais parfaits et les menaces évoluent. Les organisations comparent le risque résiduel à leur appétence et à leur tolérance : tout ce qui dépasse doit être traité davantage, escaladé ou formellement accepté avec justification documentée et propriétaire. Il est enregistré dans le registre des risques et revu périodiquement, surtout en cas d'échec de contrôle, de menace nouvelle ou de dépendance nouvelle. Conseils et régulateurs exigent de plus en plus un reporting explicite du risque résiduel.

Les défenses contre Risque résiduel combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Risque net, Risque post-contrôle.