Le risque inhérent est le niveau de risque avant de prendre en compte les contrôles ; le risque résiduel est celui qui reste une fois les contrôles appliqués. L'écart entre les deux mesure le travail que font réellement vos contrôles, et c'est le risque résiduel que l'on compare à l'appétit pour le risque pour décider si l'existant suffit ou s'il faut aller plus loin.
Les deux se calculent de la même façon, probabilité multipliée par impact. Ce qui change, c'est la question posée au moment de l'évaluation : pour le risque inhérent, que pourrait-il se passer s'il n'existait aucun contrôle ; pour le risque résiduel, que peut-il se passer avec les contrôles qui existent aujourd'hui et qui fonctionnent.
Un exemple chiffré
Prenons un risque présent dans presque tous les registres des risques financiers : un paiement versé à un tiers non autorisé parce que quelqu'un usurpe l'identité d'un fournisseur et demande à changer ses coordonnées bancaires. Nous utilisons une échelle de 1 à 5 pour la probabilité et pour l'impact, le niveau va donc de 1 à 25.
Risque inhérent. Sans aucun contrôle, n'importe quel e-mail demandant un changement de compte serait traité. Ces tentatives arrivent souvent au service comptabilité fournisseurs, la probabilité est donc de 4. L'impact est lui aussi élevé, car un paiement détourné se récupère rarement et peut représenter le montant total d'une grosse facture : 5. Niveau inhérent : 4 × 5 = 20.
Contrôles. L'entreprise en a deux. Le premier : tout changement de coordonnées bancaires est confirmé en appelant le fournisseur au numéro déjà enregistré dans le fichier fournisseurs, jamais à celui indiqué dans l'e-mail. Le second : une deuxième personne approuve le changement avant que le premier paiement parte vers le nouveau compte.
Risque résiduel. Les deux contrôles sont préventifs, ils agissent donc sur la probabilité : pour que la fraude passe, il faut que les deux échouent. Si l'on sait qu'ils sont appliqués (les appels et les approbations sont tracés), la probabilité descend à 2. L'impact ne change pas : si la fraude finit par passer, l'argent est perdu de la même façon. Niveau résiduel : 2 × 5 = 10.
C'est le détail que l'on oublie le plus souvent. Un contrôle préventif fait baisser la probabilité ; pour réduire l'impact, il faut autre chose : une assurance fraude, un accord avec la banque pour bloquer les virements suspects ou un plafond pour les paiements vers de nouveaux comptes. Si, dans votre matrice, tous les contrôles font baisser les deux axes en même temps, revoyez la façon dont ils sont évalués.
Les deux façons habituelles de calculer le risque résiduel
Dans la pratique, deux méthodes coexistent, et les deux sont valables si on les applique avec cohérence.
- Réévaluer la probabilité et l'impact. C'est ce que nous avons fait dans l'exemple : le responsable du risque note à nouveau chaque axe en tenant compte du contrôle qui agit dessus. C'est plus lent, mais cela oblige à expliquer pourquoi chaque chiffre baisse.
- Appliquer un pourcentage selon l'efficacité du contrôle. On évalue l'efficacité des contrôles (par exemple 60 %) et on réduit le niveau inhérent dans cette proportion : 20 × (1 − 0,60) = 8. C'est plus rapide et les résultats sont comparables d'un service à l'autre, mais tout dépend de la qualité de la mesure d'efficacité.
À notre avis, le pourcentage fonctionne quand l'efficacité vient de tests de contrôle documentés. Quand elle vient de l'opinion de la personne qui a conçu le contrôle, elle donne une précision qui n'existe pas : un 8 paraît plus exact qu'un 10, et il ne l'est pas. Si vous débutez, réévaluer les deux axes est plus honnête et plus facile à défendre devant un auditeur.
| Risque inhérent | Risque résiduel | |
|---|---|---|
| Ce qu'il mesure | L'exposition sans contrôles | L'exposition avec les contrôles qui existent et fonctionnent |
| À quoi il sert | Décider où mettre des contrôles et où ce n'est pas nécessaire | Décider si le risque est acceptable ou s'il faut le traiter davantage |
| Avec quoi on le compare | Avec le risque résiduel, pour voir ce qu'apportent les contrôles | Avec l'appétit et la tolérance au risque |
| Quand il change | Quand l'activité, le processus ou la menace change | En plus, quand un contrôle est créé, échoue ou n'est plus appliqué |
| Nom dans MAGERIT (Espagne) | Risque potentiel | Risque résiduel |
Les erreurs qui faussent la comparaison
- Évaluer le risque inhérent en tenant compte des contrôles. C'est l'erreur la plus fréquente. Si, en notant le risque inhérent, quelqu'un se dit « bon, ça, on le vérifie déjà », le risque inhérent sort bas, l'écart avec le résiduel disparaît et les contrôles semblent ne rien apporter. Il aide d'écrire sur la fiche du risque : « évaluer comme s'il n'existait aucun contrôle ».
- Compter des contrôles que personne n'a testés. Un contrôle décrit dans une politique ne réduit pas le risque tant qu'il n'y a pas de preuve qu'il est appliqué. Si le dernier test a échoué, le risque résiduel devrait remonter.
- Additionner des contrôles qui font la même chose. Deux revues de la même donnée par la même personne ne divisent pas le risque par deux. Pour que deux contrôles se cumulent, ils doivent être indépendants.
- Un risque résiduel à zéro. Aucun contrôle n'élimine un risque. Si le résiduel tombe à zéro, soit le risque était mal décrit, soit il a été totalement évité (par exemple en arrêtant l'activité), et il vaut mieux alors le clôturer au lieu de continuer à l'évaluer.
- Gonfler le risque inhérent pour mettre la réduction en valeur. C'est tentant dans les rapports au comité : un inhérent à 25 partout fait passer n'importe quel contrôle pour un grand progrès. Le comité a besoin d'un risque inhérent raisonnable et d'un risque résiduel crédible.
Que faire du risque résiduel
Le risque résiduel se compare à l'appétit pour le risque approuvé par la direction. S'il est en dessous, on l'accepte et on le surveille. S'il le dépasse, il faut le traiter : le réduire avec davantage de contrôles, le partager (une assurance, un contrat) ou l'éviter en arrêtant l'activité. Et si l'organisation décide d'accepter un risque résiduel au-delà de son appétit, cette décision doit être signée par quelqu'un qui a l'autorité pour la prendre.
En sécurité de l'information, c'est une exigence explicite. L'ISO/IEC 27001:2022 demande, au paragraphe 6.1.3, que les propriétaires des risques approuvent le plan de traitement et acceptent les risques résiduels. Lors d'un audit de certification, on vous demandera la preuve de cette acceptation. Pour voir comment cela s'articule avec la méthode d'analyse, nous l'expliquons dans le lien entre ISO 27005 et ISO 27001.
En Espagne, les organismes soumis à l'Esquema Nacional de Seguridad (ENS, le cadre national de sécurité) utilisent souvent MAGERIT, la méthode d'analyse des risques de l'administration espagnole. MAGERIT ne parle pas de risque inhérent : elle appelle risque potentiel celui qui est calculé sur les actifs et les menaces sans mesures de protection, et risque résiduel celui qui reste après les avoir appliquées. C'est la même idée sous un autre nom : si vous héritez d'une analyse faite avec MAGERIT, inutile de la refaire pour parler de risque inhérent et résiduel.
Quand l'échelle de 1 à 5 ne suffit plus
Une matrice 5 × 5 permet de classer les risques, mais elle ne dit pas combien d'argent est en jeu. Deux risques de niveau 10 peuvent être séparés par plusieurs ordres de grandeur. Pour les risques les plus élevés, chiffrer en euros ou en dollars le risque inhérent et le risque résiduel permet de comparer le coût d'un contrôle avec la perte qu'il évite. Nous le détaillons dans la quantification des risques : de quoi s'agit-il et comment l'appliquer.
Dans le module de gestion des risques de GlobalSuite®, chaque risque a son évaluation inhérente et résiduelle avec sa carte de chaleur, et chaque contrôle a son responsable, son statut et le résultat de son dernier test. Quand un test échoue, on voit quels risques reposent sur ce contrôle. Si vous voulez le voir avec vos propres risques, demandez une démo.
Sources : fiche de l'ISO/IEC 27001:2022 sur iso.org et MAGERIT v3 sur le portail de l'administration électronique espagnole. L'exemple est fictif et ne correspond à aucun client. Contenu revu en octobre 2026.
