ISO 27001 : mythe vs réalité – Mythe 3 : l’évaluation des risques est une étape purement théorique sans utilité pratique
Dans de nombreuses organisations, l’idée que l’évaluation des risques dans le cadre de la norme ISO 27001 est une obligation documentaire nécessaire, mais qu’elle n’apporte guère de valeur ajoutée réelle à l’action quotidienne, persiste. Souvent, cette étape est considérée comme une sorte d’exercice théorique qui se termine par des tableaux, des matrices d’évaluation ou des critères abstraits. Mais cette vision sous-estime considérablement l’importance cruciale de l’évaluation des risques. En effet, alors que l’analyse des risques se contente de décrire les risques existants et la manière dont ils apparaissent, c’est l’évaluation des risques qui transforme cette collecte d’informations en un outil orienté vers l’action.
