Série Flowlysis · Outils & principes · Fiche N° O-74

CHIFFRER UN RISQUE EN EUROS

On remplace la couleur d'un risque par deux estimations : la chance qu'il arrive dans l'année, et ce qu'il coûterait, en fourchette. La perte évitée par une mesure se compare alors à son prix.

Aussi appeléquantification du risque, courbe de dépassement de perte Principe qu'il appliquele risque a un propriétaire métier, fiche P-14 Se prépare enune demi-journée d'entraînement des estimateurs Se fait enune heure par scénario, dans un tableur Levier principalROI
flowlysis.
Ce que ça rapporte
Impact sur le TTM
Faible
Impact sur la qualité (FTR)
Faible
Impact sur l'Opex / Capex
Élevé
Ce que ça coûte
Coût d'implémentation
Faible
Difficulté d'implémentation
Moyen
Difficulté de maintien
Moyen
Faible Moyen Élevé N/A (sans objet)
1

Le problème auquel ça s'appliqueEt ce qu'il vous coûte chaque année

Ce que vous voyez déjà
  • « Le CISO dit que c'est rouge. Je ne sais pas quoi arbitrer. »
  • Deux risques sont rouges tous les deux. L'un coûterait 50 k€, l'autre 5 M€.
  • La mesure passe d'un comité au suivant. Personne ne sait ce qu'elle rapporte.
Où part l'argent

Une couleur ne se compare pas à un prix. Le budget va au risque le mieux plaidé. Une mesure rentable attend, une autre coûte plus qu'elle n'évite, et personne ne le voit.

L'ordre de grandeur, à la louche

Comptez-le avec le CISO, sur les mesures du dernier budget.

Combien de fois / anmesures de sécurité arbitrées en comité
×
Ce que ça coûte à chaque foisbudget annuel d'une mesure
×
Part qu'on évitemesures qui coûtent plus qu'elles n'évitent
=
Gain / anbudget rendu ou réorienté
Quand ça ne sert à rien

Quand un texte ou un contrat impose la mesure : il n'y a plus d'arbitrage. Ou quand elle coûte si peu qu'on la prend sans débat. Si personne ne sait ce que coûte une journée d'arrêt, commencez par là (fiche O-70).

2

Comment ça marcheLa mécanique, en clair

L'idée en une phrase

Une probabilité et une fourchette en euros, sans puis avec la mesure, donnent la perte évitée chaque année.

Les gestes, dans l'ordre
  1. Écrire le risque en une phrase : qui, par où, quelle perte.
  2. Entraîner les estimateurs : des séries de dix questions à réponse connue, une fourchette à 90 % chacune. Un estimateur calibré en encadre neuf en moyenne.
  3. Estimer la chance que l'événement arrive dans l'année, puis son coût en fourchette à 90 % : une chance sur vingt de chaque côté.
  4. Perte annuelle attendue ≈ probabilité × (0,65 × bas + 0,35 × haut) : la perte typique reste près du bas.
  5. Refaire l'estimation avec la mesure. La perte évitée se compare à son coût annuel.
  6. Avec plusieurs risques, simuler dix mille années (Monte-Carlo) et lire la chance de dépasser le seuil du comité.
Ce qu'il faut avoir sous la main

Le CISO, le propriétaire métier, les incidents déjà vécus.

Le signe que ça a marché

Le comité tranche une mesure en euros, sans citer la couleur du risque.

3

Les pièges de l'implémentationCe qui fait rater, et ce qu'on fait à la place

Au lancementUn chiffre unique

« L'impact, c'est 500 k€. » Le chiffre a l'air précis et cache ce qu'on ignore.

Une fourchette à 90 %, large si on sait peu.

Au lancementLa catastrophe en borne haute

L'estimateur met le pire imaginable en haut de la fourchette. La perte attendue gonfle.

Un haut surprenant, pas impossible : une chance sur vingt au-dessus.

PendantDes estimateurs jamais testés

Les fourchettes sont étroites, et rien ne dit qu'elles encadrent le vrai.

Des séries de dix questions nouvelles, jusqu'à neuf sur dix en moyenne.

PendantChiffrer sans comparer

Le risque vaut 116 k€ par an. La mesure, elle, n'est pas chiffrée.

Deux estimations, sans et avec, plus le coût annuel de la mesure.

Dans la duréeDes fourchettes figées

Un incident est arrivé. L'estimation de l'an dernier reste au registre.

Revoir à la date de révision et après chaque incident (fiche P-14).

4

ExempleCas type du tertiaire, du constat au résultat

La situation de départ
L'objet

L'accès à distance de 40 prestataires de maintenance au progiciel de gestion locative d'un bailleur social, par identifiant et mot de passe.

Ce qui cloche

L'authentification forte des prestataires est reportée depuis deux budgets.

Ce qu'ils regardaient avant

Une matrice cinq sur cinq où ce risque partage la case rouge avec six autres.

Les chiffres de départ, hypothèses du cas
12 %de chances par an d'une intrusion par un compte de prestataire 200 k€ à 2,4 M€son coût, fourchette à 90 % 4 %de chances par an avec l'authentification forte, même coût s'il arrive 30 k€coût annuel de la mesure, mise en place comprise
Ce qu'ils ont fait Après le test de calibrage, le CISO a estimé la probabilité, la directrice de la gestion locative le coût total. Le comité a comparé la perte évitée au prix.
Le déclencheurTroisième report en comité : « C'est rouge, mais tout est rouge. »
▶
Le gesteDeux estimations en fourchette, sans puis avec la mesure, dans un tableur.
▶
Ce qu'ils ont vuUne perte attendue de 116 k€ par an sans la mesure, de 39 k€ avec.
▶
La décisionFinancer la mesure. Seuil du comité : au plus 2 % de chances par an de perdre plus de 1 M€.
Ce que ça a donné
116 → 39 k€

Coût moyen s'il arrive ≈ 0,65 × 200 + 0,35 × 2 400 = 970 k€ ; par an, 12 % × 970 = 116 k€. Avec la mesure, 4 % × 970 = 39 k€.

≈ 78 k€ évités

En moyenne par an : (12 % − 4 %) × 970 = 77,6 k€, pour 30 k€ de coût. 2,6 € évités par euro dépensé, 47,6 k€ de gain net.

3,8 → 1,3 %

Ce risque seul, plus de 1 M€ perdus dans l'année : 12 % × 31,4 % = 3,8 %, puis 4 % × 31,4 % = 1,3 %, sous le seuil de 2 %. Le tableur donne les 31,4 % : la chance qu'une intrusion coûte plus de 1 M€.

Refaites-le avec le risque rouge le plus discuté chez vous : une probabilité et une fourchette, sans puis avec la mesure. Posez la perte évitée à côté du prix, sur l'A3 de décision (fiche O-11).

1 · DE LA COULEUR AUX EUROS Scénario de perte qui, par où, quelle perte Probabilité dans l'année un pourcentage, pas une note × Coût s'il arrive, en euros fourchette à 90 % Deux risques rouges 50 k€ ou 5 M€ : même couleur, rien à comparer bas haut 5 % sous le bas 5 % au-dessus du haut longue queue Perte annuelle attendue ≈ probabilité × (0,65 × bas + 0,35 × haut) Perte évitée : sans moins avec la mesure ⇄ Coût annuel de la mesure Plusieurs risques : simuler dix mille années, lire la chance de dépasser le seuil. 2 · L'ACCÈS DES PRESTATAIRES En moyenne par an, en k€ (à l'échelle) perte sans 116 perte avec 39 coût mesure 30 77,6 évités pour 30 dépensés CHANCE DE PERDRE PLUS QUE…, DANS L'ANNÉE 10 % 5 % 0 100 k€ 1 M€ 10 M€ sans la mesure avec 3,8 % 1,3 % seuil du comité : 2 %

À gauche, la couleur remplacée par une probabilité et une fourchette, puis la comparaison au coût. À droite, le cas : les pertes attendues et le prix de la mesure, puis la chance de dépasser chaque montant, sans et avec, face au seuil du comité.