Direction : fixer les règles du jeu et décider des risques acceptables

La gestion des risques commence et se termine par la direction : elle fixe les règles du jeu, puis décide de ce qui est acceptable.

1. Fixer le cadre (établissement du contexte)

• Le périmètre : toute l'entreprise, ou un service, un site, un projet IA.
• Les critères d'impact : qu'est-ce qu'une conséquence « grave » chez nous ? Un montant, un nombre de clients touchés, une obligation légale non respectée, une atteinte à la réputation.
• Le seuil d'acceptation : à partir de quel niveau un risque doit-il être traité ? Exemple : tout risque élevé ou critique exige un plan ; un risque moyen peut être accepté par la direction.
• Les rôles : qui est propriétaire de chaque risque, qui tient le registre, quand on fait la revue, qui décide en cas de désaccord.

2. Associer les bonnes personnes

Les risques se voient d'abord sur le terrain. Les métiers, les RH, le juridique, l'informatique et les collaborateurs apportent chacun une partie de l'image. La direction s'assure que tous sont consultés et informés.

3. Approuver le traitement et accepter le reste

• Approuver le plan de traitement et ses moyens (budget, temps, outils).
• Accepter formellement les risques résiduels qui dépassent encore le seuil : par écrit, avec une date de revue. Dans la plateforme, l'acceptation est enregistrée dans la fiche du risque.
• Refuser une activité quand le risque est disproportionné.

4. Demander des comptes, régulièrement

Une revue trimestrielle suffit : niveau des risques, actions en retard, incidents, formation du personnel.