Comment prioriser les actions — Phase 6 : Synthèse et formulation des recommandations › 2. Du constat à la recommandation : les étapes clés ?
Extrait de Audit du système d’information
Étant donné qu’une organisation ne peut pas tout corriger en même temps, il est fondamental d’indiquer un ordre de priorité.
Ce classement peut s’effectuer selon :
L’impact et la probabilité du risque (critique, haut, moyen, faible).
L’effort ou la complexité de mise en œuvre (rapide, modéré, lourd).
Le délai dans lequel la correction doit intervenir (immédiat, court terme, moyen terme, long terme).
Une matrice “effort / impact” ou une simple numérotation (1, 2, 3, …) permet à la direction de se repérer.
COBIT, notamment, conseille d’établir un “plan d’actions” réaliste, avec des responsables identifiés et un calendrier.
Un risque critique (par exemple une faille de sécurité majeure) exigera une action urgente, tandis qu’une amélioration de processus ITIL pourra être planifiée sur plusieurs mois.