Comment créer une matrice de risques liés aux dépendances numériques ?
D’après Les cahiers de la souveraineté
Une matrice de risques liés aux dépendances transforme les constats de la cartographie en scénarios à traiter. Elle doit permettre de comprendre ce qui pourrait se produire, sur quel actif ou processus, avec quelles conséquences et sous la responsabilité de qui.
Décrire un scénario précis
Chaque ligne comporte un identifiant de risque, l'actif ou le processus concerné, une catégorie et une description. Une formulation comme « dépendance à l'éditeur » reste trop générale : il faut préciser l'événement redouté, par exemple une hausse de prix difficile à absorber ou une évolution imposée pendant une période critique.
Des exemples fictifs permettent de varier les scénarios : hausse des coûts d’un CRM, mise à jour imposée, départ de l’unique expert d’un ERP ou concentration du chiffre d’affaires sur un client. Ces exemples illustrent des mécanismes différents ; ils ne décrivent pas des événements constatés dans une entreprise réelle.
Qualifier le risque et ses conséquences
La matrice distingue la probabilité et l'impact, puis présente le niveau de risque retenu. Les échelles utilisées doivent être explicites et appliquées de manière cohérente. Une appréciation telle que « moyen » ou « élevé » ne remplace pas l'explication des conséquences et des hypothèses.
Lorsqu'un scénario dépend d'informations encore incertaines, cette limite doit rester visible. L'objectif est de permettre un arbitrage compréhensible, pas de donner une précision artificielle à l'évaluation.
Suivre les actions et la solution de repli
Pour chaque risque, préciser les mesures prévues, le responsable et le statut. Les actions peuvent porter sur les contrats, les compétences, l'architecture ou l'organisation. Dans l'exemple de l'expert ERP, elles consistent à documenter le savoir-faire et à former des personnes capables de prendre le relais.
La solution de repli et son délai de bascule doivent être suivis séparément du plan de prévention. Un délai inscrit dans un exemple ne vaut pas engagement opérationnel : il doit être adapté au contexte et vérifié. La revue de la matrice sert enfin à constater les actions réalisées, les difficultés et les risques qui restent acceptés.