Oram applique la démarche classique d'évaluation du risque, sans en inventer une nouvelle.

Les quatre étapes

1. Identification — quoi peut arriver, et sur quel périmètre du projet.
2. Analyse — cotation selon deux axes (probabilité et impact), puis score et niveau.
3. Évaluation — comparaison au seuil d'acceptation de l'organisation.
4. Traitement — mesure de mitigation, responsable, échéance, risque résiduel.

La cotation

Deux cotes coexistent sur chaque risque :

• inhérente : sans tenir compte des contrôles existants ;
• résiduelle : après application des mesures.

Les échelles (nombre de niveaux, libellés, seuils d'acceptation) sont configurables par organisation : aucune grille imposée.

Les mesures de mitigation

Une mesure n'est pas une ligne de commentaire : c'est un objet lié au risque, avec un responsable, une échéance, un statut, et un effet mesurable sur la cote résiduelle. C'est ce lien qui rend une analyse défendable devant un auditeur.

L'export

L'analyse sort sous forme de document (Word, PowerPoint, gabarit maison) comprenant : la synthèse par catégorie, la matrice, le détail des risques et de leurs mesures, la date et l'auteur de chaque cotation.

La partie TI

Pour les risques liés aux systèmes d'information, la méthode de référence est celle des normes de sécurité (ISO/IEC 27005, NIST SP 800-30) : sources de menace, vulnérabilités, scénarios. Oram s'y rattache pour proposer des formulations de risques, tout en conservant la classification de niveau 1 commune à toute l'organisation.