Plan de traitement des risques (PTR) CompliKey

Comprendre simplement le module, son rôle et son fonctionnement

Cet article explique de façon claire, structurée et concrète le module Plan de traitement des risques (PTR) de CompliKey.

L’objectif est double :

1. permettre à un client PME / ETI de comprendre exactement à quoi sert le module,
2. donner à un RSSI, DSI ou auditeur une lecture crédible et défendable.

Qu’est-ce qu’un Plan de traitement des risques ?

Le Plan de traitement des risques est un outil de suivi et de pilotage des risques identifiés comme résiduels après une analyse de risques.

Il répond à une question simple :

Une fois les risques identifiés, comment l’organisation prouve qu’elle les suit, les traite et les arbitre dans le temps ?

Le PTR ne sert pas à analyser les risques.

Il sert à montrer qu’ils sont pris en compte, suivis et gérés.

Pourquoi le PTR est souvent mal maîtrisé

Dans beaucoup d’organisations, le plan de traitement des risques est :

1. un tableau figé produit après l’analyse de risques,
2. peu ou pas mis à jour,
3. difficile à exploiter en audit.

Résultat :

1. des risques “oubliés”,
2. aucune vision de l’évolution dans le temps,
3. peu de preuves concrètes de gouvernance.

👉 Le module PTR de CompliKey a été conçu pour transformer ce livrable ponctuel en outil de suivi continu.

À quoi sert le module PTR dans CompliKey ?

Dans CompliKey, le PTR est un module indépendant, orienté gouvernance et preuve.

Il permet de :

1. centraliser les risques résiduels,
2. suivre leur état et leur évolution dans le temps,
3. documenter les décisions de traitement,
4. démontrer en audit que les risques sont connus, suivis et arbitrés.

👉 Le PTR est avant tout une preuve de pilotage, pas un outil d’analyse de risques.

Quels risques sont gérés dans le PTR ?

Le module PTR ne crée pas de risques “théoriques”.

Il gère uniquement :

1. des risques résiduels,
2. issus d’une analyse de risques réalisée en amont (interne ou externe).

Exemple :

Panne du serveur ou indisponibilité du service

Risque identifié lors de l’analyse de risques, conservé comme résiduel.

Que contient concrètement un risque dans le PTR ?

Chaque risque est décrit de manière claire et exploitable, avec notamment :

1. Description du risque
2. Date de première identification
3. Criticité (ex. faible / moyen / élevé)
4. Responsable
5. Plan de réponse (réduire, accepter, etc.)
6. Commentaire de traitement
7. (ex. arbitrage, choix techniques ou organisationnels)
8. Période d’analyse
9. Statut (ex. en attente de validation)
10. Mesures associées (si applicable)
11. Historique des analyses précédentes

👉 L’objectif n’est pas la complexité, mais la clarté et la traçabilité.

Comment fonctionne le suivi dans le temps ?

Un fonctionnement par itérations

Le PTR CompliKey repose sur une logique simple :

1. chaque risque est suivi par périodes successives,
2. chaque période correspond à une itération d’analyse.

Cela permet de :

1. conserver l’historique,
2. montrer l’évolution des décisions,
3. expliquer pourquoi un risque reste présent ou change de statut.

Peut-on lier des risques aux mesures de conformité ?

Oui.

Un risque peut être lié à une ou plusieurs mesures présentes dans le tableau de conformité.

Cela permet de :

1. montrer comment le risque est traité concrètement,
2. éviter les plans de traitement “déconnectés” de la réalité,
3. renforcer la cohérence entre conformité et gestion des risques.

Le PTR reste toutefois volontairement léger :

1. pas de gestion de tâches avancée,
2. pas de suivi projet détaillé.

Le PTR est-il multi-périmètres ?

Oui.

1. Un PTR est rattaché à un ou plusieurs périmètres (entité, produit, client…).
2. Il est possible d’avoir plusieurs PTR en parallèle, selon les contextes.

👉 Cela permet de respecter la logique CompliKey :

une gouvernance claire, contextualisée, sans mélange des périmètres.

Le PTR est-il exploitable en audit ?

Oui.

Le module PTR permet de démontrer :

1. que les risques résiduels sont identifiés,
2. qu’ils sont suivis dans le temps,
3. que des décisions de traitement sont prises et documentées.

Chaque risque est :

1. horodaté,
2. historisé,
3. justifié.

👉 Même sans export PDF aujourd’hui, le PTR constitue une preuve directe de pilotage des risques.

Ce que le PTR CompliKey ne fait volontairement pas

Pour rester simple, crédible et utilisable, le PTR CompliKey :

1. ne réalise pas d’analyse de risques complète,
2. n’impose aucune méthodologie (EBIOS, ISO, etc.),
3. ne calcule pas de scores complexes,
4. ne prétend pas “supprimer” les risques automatiquement.

👉 Il formalise des décisions humaines, dans un cadre clair et traçable.

Cas d’usage typiques

PME / ETI :

Suivre ses risques résiduels et prouver en audit qu’ils sont maîtrisés dans le temps.

Consultant GRC / RSSI :

Disposer d’un support clair pour démontrer le suivi des risques chez ses clients.

DSI / RSSI :

Arbitrer les priorités, documenter les choix et expliquer la posture de risque à la direction.

Bénéfices concrets

Les utilisateurs constatent notamment :

1. une meilleure priorisation des risques,
2. moins de risques oubliés ou non suivis,
3. une continuité réelle entre deux audits,
4. une meilleure lisibilité pour la direction et les auditeurs.