Appétence au risque.

Quantité et type agrégés de risque qu'une organisation est prête à rechercher ou à accepter pour atteindre ses objectifs stratégiques, fixés par le conseil et la direction générale. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Quantité et type agrégés de risque qu'une organisation est prête à rechercher ou à accepter pour atteindre ses objectifs stratégiques, fixés par le conseil et la direction générale.

L'appétence au risque exprime, au niveau stratégique, le niveau de risque qu'une organisation est prête à prendre pour créer de la valeur. Elle est généralement formalisée dans une déclaration couvrant des catégories comme la perte financière, l'impact client, l'exposition réglementaire et les incidents cyber, souvent avec un langage qualitatif de haut niveau. La déclaration guide la tolérance, les investissements de contrôle et les choix de traitement, et se décline en métriques par direction et en indicateurs clés de risque. Le conseil et la direction sont responsables de sa définition et de sa révision quand la stratégie, le paysage des menaces ou la réglementation évoluent. C'est un pilier de référentiels comme COSO ERM et ISO 31000.

Les défenses contre Appétence au risque combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Déclaration d'appétence au risque.