Traitement des risques.

Décision et actions visant à modifier un risque, en général en l'acceptant, le réduisant, le transférant ou en l'évitant, selon les critères de l'organisation. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Décision et actions visant à modifier un risque, en général en l'acceptant, le réduisant, le transférant ou en l'évitant, selon les critères de l'organisation.

Le traitement des risques est l'étape du cycle de gestion où chaque risque évalué reçoit une réponse. Les options classiques sont : accepter (vivre avec le risque résiduel), réduire (appliquer des contrôles pour diminuer la vraisemblance ou l'impact), transférer (assurances, clauses contractuelles, externalisation) ou éviter (arrêter ou repenser l'activité). Le plan de traitement précise propriétaires, coûts, délais, risque résiduel cible et contrôles tirés de référentiels comme l'annexe A d'ISO/IEC 27001 ou NIST SP 800-53. Il est suivi dans le registre des risques et révisé lorsque les contrôles défaillent, que les menaces changent ou que les objectifs métier évoluent. Un traitement efficace est proportionné au risque et aligné sur l'appétence et la tolérance.

Les défenses contre Traitement des risques combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Réponse au risque, Plan de mitigation.