Modèle de registre des risques : modèle gratuit pour ISO 14971, ISO 27001 et NIS2
Un registre des risques se lit deux fois : quand vous cotez un risque, puis quand un auditeur demande comment vous avez décidé qu’il était acceptable. Ce modèle de registre des risques, gratuit, garde les deux au même endroit : une cotation 5 × 5 avant et après traitement, des critères d’acceptation fixés à l’avance, les actions de traitement et la date de la prochaine revue.
Registre des risques : [produit, projet ou périmètre]
Référentiel : [ISO 14971 / ISO/IEC 27001 / NIS2 article 21 / autre] · Méthode : [plan ou procédure de gestion des risques, version] · Responsable du registre : [nom] · Approuvé par : [nom, date]
1. Échelles de cotation (5 × 5)
| Note | Probabilité (P) | Gravité (G) |
|---|---|---|
| 1 | Rare : [votre définition, par ex. moins d’une fois en 10 ans] | Négligeable : [votre définition] |
| 2 | Peu probable : [définition] | Mineure : [définition] |
| 3 | Possible : [définition] | Modérée : [définition] |
| 4 | Probable : [définition] | Majeure : [définition] |
| 5 | Quasi certaine : [définition] | Critique : [définition] |
2. Critères d’acceptation
Niveau = probabilité × gravité. Fixés avant toute cotation, dans [votre plan ou procédure], par exemple : [1 à 4 faible : acceptable] · [5 à 9 moyen : acceptable s’il est réduit autant que possible] · [10 à 16 élevé : à réduire avant acceptation] · [20 à 25 critique : non acceptable]. Un risque résiduel au-dessus des critères n’est accepté qu’avec un motif écrit, par [fonction].
3. Registre
| N° | Risque | Responsable | Avant traitement | Décision | Actions de traitement | Après traitement | Accepté par | Prochaine revue |
|---|---|---|---|---|---|---|---|---|
| R-01 | [cause] → [événement] → [conséquence] | [nom] | [P] × [G] = [niveau] | [réduire / accepter / éviter / transférer] | [action, responsable, échéance] | [P] × [G] = [niveau] | [nom, date, motif si au-dessus des critères] | [date] |
| R-02 | [cause] → [événement] → [conséquence] | [nom] | [P] × [G] = [niveau] | [réduire / accepter / éviter / transférer] | [action, responsable, échéance] | [P] × [G] = [niveau] | [nom, date, motif si au-dessus des critères] | [date] |
4. Revue
Revu tous les [n] mois, et après [un incident, une réclamation, un changement ou une nouvelle vulnérabilité]. Dernière revue : [date, nom]. Changements depuis : [nouveaux risques, nouvelles cotations, risques clôturés]. Prochaine revue : [date].
L’utiliser dans Confluence
- Cliquez sur Copier le modèle, ouvrez une nouvelle page Confluence et collez : titres, listes et tableaux restent en place.
- Remplacez les parties [entre crochets] et supprimez ce qui ne vous concerne pas.
- Pour le réutiliser, enregistrez-le comme modèle d’espace : Paramètres de l’espace › Modèles › Créer un modèle, puis collez.
Adapter le modèle de registre des risques à votre référentiel
- ISO 14971 (dispositifs médicaux). Écrivez chaque risque sous la forme phénomène dangereux → situation dangereuse → dommage, et cotez la probabilité d’occurrence du dommage et sa gravité. Vos critères d’acceptabilité viennent de votre plan de gestion des risques ; après les mesures de maîtrise, évaluez chaque risque résiduel puis, à la fin, le risque résiduel global. Si un risque résiduel n’est pas acceptable selon vos critères et qu’aucune autre mesure de maîtrise n’est réalisable, il ne peut être accepté que si une analyse bénéfice/risque montre que les bénéfices l’emportent (article 7.4). Pour l’ISO 14971, « transférer » n’est pas une mesure de maîtrise.
- ISO/IEC 27001 (articles 6.1.2 et 6.1.3). Cotez les risques pour la confidentialité, l’intégrité et la disponibilité de l’information, chacun avec un propriétaire du risque. Les propriétaires des risques approuvent le plan de traitement et acceptent les risques résiduels, et l’appréciation est refaite à intervalles planifiés (article 8.2).
- NIS2 article 21. Notez à laquelle des dix mesures de l’article 21, paragraphe 2, se rattache chaque risque, des politiques d’analyse des risques à l’authentification multifacteur. L’article 20 demande à l’organe de direction d’approuver ces mesures et d’en superviser la mise en œuvre.
Trois erreurs que les auditeurs voient souvent
- Une seule cotation. Sans cotation après traitement, rien ne montre que les actions ont changé le risque.
- Des critères fixés après les cotations. Décidez ce qui est acceptable avant de coter, sinon chaque risque finit « acceptable ».
- Un registre que personne ne revoit. L’ISO/IEC 27001 attend des appréciations à intervalles planifiés, et l’ISO 14971 attend que les informations de production et de post-production nourrissent la gestion des risques.
Cette page vous aide à planifier et à documenter ; ce n’est pas un conseil juridique. Vérifiez le texte officiel et les consignes de votre autorité. À lire aussi : mener ses CAPA dans Jira, pour les actions qui naissent d’un risque.