Pourquoi trois nombres et pas un
Un score unique cache la question qui compte : le risque est-il faible parce que la menace est petite, ou parce que des contrôles coûteux le maintiennent bas ? L’inhérent et le résiduel séparent les deux. Le cible ajoute la promesse : le score que le plan de traitement livrera, avec ses actions et ses dates. Lire les trois côte à côte est la manière dont un comité des risques arbitre : conserver un contrôle qui porte un grand écart inhérent-résiduel, financer les plans dont l’écart résiduel-cible est le plus large.
Un score résiduel ne vaut que ses contrôles
Le score résiduel est l’endroit où les registres mentent le plus, parce qu’il est d’ordinaire saisi à la main sur l’hypothèse que les contrôles fonctionnent. Dans un modèle vérifié, le résiduel hérite des contrôles : chaque contrôle a un statut calculé sur une preuve datée, et un contrôle qui échoue ou dont la preuve a expiré relève le résiduel automatiquement. Le nombre bouge alors pour une raison qu’un relecteur peut tracer, au lieu de rester à la valeur saisie un an plus tôt.
Face à l’appétence
La comparaison qui ferme la boucle est celle du résiduel à l’appétence : un résiduel dans l’appétence est surveillé, un résiduel au-dessus exige une décision de l’autorité que l’écart requiert, et le cible doit tenir dans l’appétence, sinon le plan n’en est pas un. C’est la lecture qu’un dossier de conseil devrait offrir pour chaque risque majeur : l’inhérent pour l’enjeu, le résiduel pour l’état, le cible pour l’engagement.