1. Décrire le scénario
Reliez l'écart à l'actif, au processus, au tiers ou au contrôle concerné. Décrivez ce qui peut arriver, les personnes touchées et la preuve manquante.
- Fait observé et date
- Actif, service ou processus concerné
- Contrôle et preuve attendus
2. Évaluer probabilité, impact et exposition
Utilisez l'évaluation suggérée comme point de départ puis confrontez-la au contexte réel. Le score explique la priorité sans remplacer la discussion sur les conséquences réglementaires, financières ou opérationnelles.
- Probabilité : ce qui rend le scénario possible
- Impact : ce qui est perdu s'il survient
- Exposition : la partie de l'activité touchée
3. Choisir le traitement et le responsable
Décidez si le risque est réduit, accepté ou transféré. Précisez la mesure et la preuve attendue, ou conservez l'approbation et les conditions d'une acceptation ou d'un transfert.
- Responsable clair et, si besoin, reviewer ou approbateur
- Dates de début, d'échéance et de revue
- Critère de réalisation vérifiable
4. Transformer le traitement en tâche
Créez une tâche uniquement s'il n'en existe pas déjà une ouverte pour le même écart. Ajoutez contexte du contrôle, étapes, preuve attendue et liens pour éviter de reconstruire le problème.
- Éviter les doublons
- Garder le lien tâche-écart-contrôle
- Utiliser la date de revue pour préparer la prochaine vérification
5. Clôturer avec preuve et ré-audit
Terminer une tâche ne rend pas automatiquement un contrôle conforme. Vérifiez le changement ou le document, actualisez le risque résiduel et décidez par revue ou ré-audit.
- La preuve démontre le changement
- Le risque résiduel peut encore nécessiter une acceptation
- La décision finale reste humaine