Plan de traitement des risques ISO 27001 : contenu et mise en œuvre
Le plan de traitement des risques ISO 27001 indique ce qui sera fait pour chaque risque qui n'est pas accepté en l'état : l'option retenue (réduire, transférer, éviter ou accepter), les mesures ou actions, le responsable, la date prévue, l'avancement et le risque résiduel attendu. L'ISO/IEC 27001:2022 l'exige à l'article 6.1.3, ainsi que l'approbation du plan et l'acceptation du risque résiduel par les propriétaires des risques ; l'article 8.3 exige sa mise en œuvre, avec conservation des preuves des résultats.
Ce qu'exige l'ISO/IEC 27001:2022 pour le traitement des risques
Le traitement commence là où s'arrête l'appréciation des risques (article 6.1.2). En résumé, l'article 6.1.3 demande à l'organisation de :
- choisir pour chaque risque une option de traitement adaptée, à partir des résultats de l'appréciation ;
- déterminer les mesures nécessaires pour mettre en œuvre cette option, quelle qu'en soit la source ;
- comparer ces mesures avec l'annexe A pour ne pas oublier de mesure nécessaire ;
- établir la déclaration d'applicabilité avec les mesures retenues et exclues, et leur justification ;
- formuler le plan de traitement des risques ;
- obtenir l'approbation du plan et l'acceptation du risque résiduel par les propriétaires des risques.
L'article 8.3 exige de mettre le plan en œuvre et de conserver des informations documentées sur les résultats. Un auditeur ne vérifie donc pas seulement que le plan existe : il vérifie que les actions avancent, qu'il y a des preuves et qu'une personne habilitée a validé le risque qui subsiste. Les organisations qui utilisent la méthode EBIOS Risk Manager de l'ANSSI peuvent s'en servir pour l'appréciation ; le plan doit tout de même répondre aux exigences de l'article 6.1.3.
Les colonnes d'un plan de traitement des risques sous Excel
La norme n'impose aucun format. Voici les colonnes du plan de traitement du kit NexoDocs (ISMS-RSK-03 Plan de traitement des risques), conçues pour suivre chaque ligne du registre des risques jusqu'à la déclaration d'applicabilité :
| Colonne | À quoi elle sert |
|---|---|
| ID risque et risque | Le même identifiant que dans le registre : relie appréciation, traitement et déclaration d'applicabilité |
| Niveau actuel | Le niveau évalué lors de l'appréciation, avant traitement |
| Option | Réduire, Transférer, Éviter ou Accepter |
| Action ou mesure à mettre en œuvre | Ce qui sera réellement fait, en une phrase vérifiable |
| Mesures Annexe A | Les mesures associées (par exemple A.5.17 et A.8.5 pour les identifiants) |
| Responsable et date prévue | Qui la réalise et pour quand |
| Statut et % avancement | Planifié, En cours, Mis en œuvre, Accepté ou Annulé ; base du suivi mensuel |
| Impact résiduel et vraisemblance résiduelle | L'estimation une fois l'action appliquée |
| Niveau résiduel et catégorie résiduelle | Calculés automatiquement avec les mêmes critères que l'appréciation |
| Risque résiduel approuvé par et date d'approbation | La preuve que le propriétaire du risque l'a accepté |
| Budget ou ressources | Ce qu'il faut pour tenir la date |
| Résultat attendu / indicateur d'efficacité | Comment savoir que cela a fonctionné (par exemple 100 % des comptes avec MFA) |
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Les quatre options de traitement des risques
| Option | Quand l'utiliser | Exemple |
|---|---|---|
| Réduire | Le risque dépasse les critères d'acceptation et des mesures raisonnables existent | Rendre la MFA obligatoire pour limiter le vol d'identifiants |
| Transférer | Un tiers peut absorber une partie de l'impact | Cyber-assurance ou contrat avec le fournisseur cloud |
| Éviter | L'activité ne vaut pas le risque | Ne plus stocker de données de cartes sur ses propres serveurs |
| Accepter | Le niveau est dans les critères ou le traitement serait disproportionné | Risque faible accepté par son propriétaire, daté et signé |
Transférer un risque ne supprime pas la responsabilité : l'organisation reste redevable envers ses clients et les autorités, et doit piloter le tiers. Accepter n'est pas non plus « ne rien faire » : c'est une décision documentée du propriétaire du risque, revue lors de l'appréciation suivante.
Comment évaluer le risque résiduel
Le risque résiduel est ce qui reste après le traitement. Évaluez-le sur la même échelle que l'appréciation (dans le kit, impact multiplié par vraisemblance, chacun de 1 à 4) et comparez-le aux mêmes critères d'acceptation. Par défaut, le kit retient : Moyen à partir de 6, Élevé à partir de 9 et Critique à partir de 16 ; un risque élevé doit être traité dans un délai de 3 mois maximum. Si le niveau résiduel reste au-dessus des critères, ajoutez des actions ou faites-le accepter explicitement par le propriétaire, avec une justification.
Exemple tiré du kit complété (NubeSur) : le vol des identifiants d'un développeur part d'un niveau 12 (Élevé). Avec la MFA obligatoire sur le dépôt, le cloud et la messagerie, l'impact résiduel est évalué à 4 et la vraisemblance à 1, le niveau résiduel est 4 (Faible), et le responsable du développement l'approuve avec une date.
Le lien avec la déclaration d'applicabilité
Ce sont les deux faces d'un même travail. Le plan dit ce qui sera fait pour chaque risque ; la déclaration d'applicabilité dit quelles mesures de l'annexe A sont retenues ou exclues, pourquoi et si elles sont mises en œuvre. Chaque mesure du plan devrait apparaître comme retenue dans la déclaration, et chaque mesure retenue devrait être justifiée par un risque, une exigence légale ou contractuelle, ou une décision de l'organisation.
Constats fréquents en audit
- Actions vagues comme « améliorer la sécurité », sans mesure précise ni date.
- Responsables génériques (« l'informatique ») au lieu d'un rôle ou d'une personne.
- Risque résiduel non évalué ou non validé par le propriétaire du risque.
- Dates dépassées sans nouvelle date ni explication.
- Mesures du plan absentes de la déclaration d'applicabilité, ou l'inverse.
- Un plan qui n'est pas mis à jour après une nouvelle appréciation des risques.
Modèle : le plan de traitement des risques du kit ISO 27001
Le plan de traitement du kit ISO 27001 de NexoDocs en français est un classeur Excel sans macros avec les colonnes de ce guide, des listes déroulantes pour l'option et le statut, le niveau et la catégorie résiduels calculés automatiquement selon les critères approuvés (onglet « Critères ») et un exemple entièrement complété pour une entreprise fictive. Il est relié à la méthode d'appréciation des risques, au registre des risques et à la déclaration d'applicabilité du kit.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Le plan de traitement des risques est-il obligatoire dans l'ISO 27001 ?
Oui. L'article 6.1.3 exige de le formuler et de le conserver comme information documentée, et l'article 8.3 exige sa mise en œuvre avec conservation des résultats.
Qui approuve le plan de traitement des risques ?
Les propriétaires des risques. Ils approuvent le plan et acceptent le risque résiduel ; indiquez sur chaque ligne leur nom ou leur rôle et la date.
Peut-on accepter des risques élevés ?
La norme le permet si le propriétaire du risque prend une décision éclairée et documentée, mais un auditeur attendra une justification claire et une revue périodique. Dans les critères du kit, c'est prévu à titre exceptionnel seulement, avec l'approbation de la direction.
À quelle fréquence mettre à jour le plan ?
À chaque changement de l'appréciation des risques et dans le suivi courant du SMSI ; en pratique, un point d'avancement mensuel et une revue complète au moins une fois par an.
Un modèle garantit-il la réussite de l'audit ?
Non. La certification dépend de la mise en œuvre du SMSI et de l'audit d'un organisme de certification ; un bon modèle organise le travail et laisse des preuves claires.
Guides associés
Analyse des risques ISO 27001 : que doit contenir la matrice ?
Ce que l'ISO/IEC 27001:2022 exige pour l'appréciation des risques, les colonnes d'une matrice SMSI et le calcul du niveau. Échantillon Excel gratuit.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Analyse des écarts ISO 27001 : où en est votre SMSI par rapport à la norme ?
Analyse des écarts ISO/IEC 27001:2022 : 29 questions sur les articles 4 à 10, les 93 mesures de l'annexe A, la notation avec feu tricolore et la suite du projet.
Lire le guide →Mis à jour: 2026-10-29