Appréciation et traitement des risques (clauses 6.1 et 8)
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 14 minutes
L’appréciation des risques est le cœur d’un SMSI : c’est elle qui justifie chaque contrôle, chaque budget, chaque priorité. ISO 27001 n’impose pas de méthode, mais exige qu’elle soit définie, reproductible et qu’elle produise des résultats comparables d’une fois sur l’autre.
La méthode retenue par KamaPay
Section titled “La méthode retenue par KamaPay”KamaPay combine ISO/IEC 27005 (le cadre) et une approche inspirée d’EBIOS Risk Manager (des scénarios centrés sur les métiers et les sources de risque).
| Étape | Question | Livrable |
|---|---|---|
| 1 | Quelles sont nos valeurs métier et leurs biens supports ? | Cartographie des processus et des actifs |
| 2 | Quels événements redoutés et avec quelle gravité ? | Tableau des événements redoutés |
| 3 | Quelles sources de risque (fraudeurs, crime organisé, initiés, erreurs, pannes) ? | Liste des couples source / objectif |
| 4 | Quels scénarios mènent de la source à l’événement redouté ? | Scénarios stratégiques et opérationnels |
| 5 | Quel niveau de risque (gravité × vraisemblance) avec les mesures existantes ? | Registre des risques |
| 6 | Quel traitement ? | Plan de traitement, risques résiduels acceptés |
Les échelles adaptées au paiement mobile
Section titled “Les échelles adaptées au paiement mobile”Gravité
Section titled “Gravité”| Niveau | Financier | Clients | Réglementaire | Réputation |
|---|---|---|---|---|
| 1 — Mineure | < 5 M FCFA | Quelques clients, gêne passagère | Aucun | Aucun écho |
| 2 — Significative | 5 à 50 M FCFA | Centaines de clients | Remarque du régulateur | Réseaux sociaux locaux |
| 3 — Grave | 50 à 500 M FCFA | Milliers de clients, pertes financières | Injonction, sanction | Presse nationale |
| 4 — Critique | > 500 M FCFA | Service national indisponible > 1 jour, fuite massive | Sanction lourde, menace sur l’agrément | Crise durable, maison mère impliquée |
Vraisemblance
Section titled “Vraisemblance”| Niveau | Définition |
|---|---|
| 1 — Improbable | Jamais observé dans le secteur dans la région |
| 2 — Possible | Observé dans le secteur, pas chez nous |
| 3 — Probable | Déjà survenu chez nous ou fréquent chez nos pairs |
| 4 — Quasi certain | Survient régulièrement chez nous |
Niveau de risque = Gravité × Vraisemblance (1 à 16). Seuils : 1–4 acceptable, 6–8 à surveiller, 9–16 à traiter en priorité.
L’appétit pour le risque
Section titled “L’appétit pour le risque”Le conseil d’administration de KamaPay a fixé : « aucun risque résiduel supérieur à 8 sans acceptation formelle du directeur général, et aucun risque résiduel supérieur à 12 accepté ». C’est ce critère qui décidera du traitement.
Le registre des risques de KamaPay
Section titled “Le registre des risques de KamaPay”Les scénarios ci-dessous sont typiques des services de paiement mobile. Ils sont décrits au niveau métier, comme dans un registre réel.
| ID | Scénario de risque | Actifs | G | V | Brut | Mesures existantes | Résiduel |
|---|---|---|---|---|---|---|---|
| R-01 | Prise de contrôle de comptes clients via le remplacement frauduleux de la carte SIM (SIM swap) puis réinitialisation du code du wallet | Wallets, processus SIM de l’opérateur | 3 | 4 | 12 | Code secret client, SMS de confirmation | 12 |
| R-02 | Ingénierie sociale contre les clients (faux agents, faux service client) obtenant leurs codes | Wallets, réputation | 2 | 4 | 8 | Campagnes SMS de prévention | 8 |
| R-03 | Fraude interne : un employé du back-office crédite ou débloque des comptes de complices | Back-office, comptes wallets | 4 | 2 | 8 | Journalisation, contrôle a posteriori mensuel | 8 |
| R-04 | Fraude d’agents : opérations fictives pour capter des commissions, usage de comptes clients dormants | Réseau d’agents, commissions | 3 | 3 | 9 | Règles anti-fraude de base | 9 |
| R-05 | Abus des API marchands : identifiants volés ou partenaire compromis initiant des paiements frauduleux | Passerelle API | 4 | 2 | 8 | OAuth 2.0, liste d’IP autorisées | 8 |
| R-06 | Indisponibilité prolongée de la plateforme (panne, attaque par déni de service, rançongiciel) | Plateforme, centres de données | 4 | 2 | 8 | Site de secours (non testé de bout en bout) | 8 → à revoir |
| R-07 | Fuite des données KYC (pièces d’identité, photos) | Base KYC, stockage documents | 4 | 2 | 8 | Contrôle d’accès applicatif | 8 |
| R-08 | Compromission d’un fournisseur critique (éditeur de la plateforme avec accès distant) | Accès tiers, plateforme | 4 | 2 | 8 | Contrat sans clause sécurité détaillée | 8 |
| R-09 | Écart de rapprochement entre les soldes wallets et les comptes de cantonnement non détecté | Interfaces bancaires, comptabilité | 4 | 1 | 4 | Rapprochement quotidien automatisé | 4 |
| R-10 | Non-conformité réglementaire : incident majeur non déclaré dans les délais, données KYC non conservées | Processus conformité | 3 | 3 | 9 | Déclarations au cas par cas | 9 |
Le traitement des risques (6.1.3)
Section titled “Le traitement des risques (6.1.3)”Pour chaque risque, quatre options :
| Option | Signification | Exemple KamaPay |
|---|---|---|
| Réduire | Ajouter des contrôles | R-01 : détection du changement de SIM récent avant toute opération sensible |
| Transférer / partager | Assurance, contrat | R-08 : clauses de responsabilité et d’audit avec l’éditeur ; assurance cyber |
| Éviter | Renoncer à l’activité | Ne pas ouvrir une fonctionnalité de retrait sans agent tant que les contrôles ne sont pas prêts |
| Accepter | Décision formelle du propriétaire du risque | R-09 : risque résiduel faible, accepté par le directeur financier |
Le plan de traitement des risques
Section titled “Le plan de traitement des risques”| Risque | Mesures décidées | Contrôles Annexe A | Propriétaire du risque | Pilote | Échéance | Résiduel visé |
|---|---|---|---|---|---|---|
| R-01 | Signal « SIM changée récemment » partagé par l’opérateur et bloquant les opérations sensibles pendant une période de sécurité ; vérification renforcée de la réinitialisation du code | A.5.14, A.8.5, A.8.16 | Directeur commercial | Ingénieur SSI + anti-fraude | T+4 mois | 6 |
| R-02 | Programme de sensibilisation clients et agents ; numéro court officiel unique ; messages d’alerte dans l’app | A.6.3 | Directeur marketing | Ingénieur SSI | T+3 mois | 4 |
| R-03 | Double validation (principe des quatre yeux) des opérations manuelles au-delà d’un seuil ; revue trimestrielle des droits ; alertes sur opérations manuelles atypiques | A.5.3, A.5.18, A.8.2, A.8.16 | Directeur des opérations | DSI | T+3 mois | 4 |
| R-04 | Modèle de scoring anti-fraude des agents ; contrôles terrain ; clauses de résiliation | A.5.19, A.8.16 | Directeur réseau agents | Anti-fraude | T+6 mois | 6 |
| R-05 | Authentification forte des marchands (certificats clients), limites par marchand, surveillance des API | A.5.20, A.8.5, A.8.20 | Directeur commercial | DSI | T+4 mois | 4 |
| R-06 | Test de bascule complet sur le site de secours ; plan de continuité (chapitre 8) | A.5.29, A.5.30, A.8.14 | Directeur des opérations | DSI | T+6 mois | 4 |
| R-07 | Chiffrement du stockage KYC, accès restreint et journalisé, prévention de fuite de données | A.5.12, A.8.11, A.8.12, A.8.24 | DPO | DSI | T+6 mois | 4 |
| R-08 | Avenant sécurité, accès distant via bastion avec MFA et enregistrement des sessions, rapport ISAE 3402 / SOC 2 annuel | A.5.19 à A.5.22, A.8.2 | DSI | Ingénieur SSI | T+5 mois | 4 |
| R-10 | Procédure unique de déclaration des incidents avec calendrier réglementaire ; registre des incidents ; reporting trimestriel | A.5.24 à A.5.26, A.5.31 | Directeur conformité | Ingénieur SSI | T+2 mois | 3 |
L’acceptation du risque résiduel
Section titled “L’acceptation du risque résiduel”ISO 27001 exige que les propriétaires des risques approuvent le plan de traitement et acceptent les risques résiduels. Une simple fiche suffit :
ACCEPTATION DE RISQUE RÉSIDUEL — R-09──────────────────────────────────────────────────────────────Risque : Écart de rapprochement non détectéNiveau résiduel : 4 (G4 × V1) — sous le seuil d'appétit (8)Justification : Rapprochement quotidien automatisé, contrôle mensuel par la direction financière, audit annuelValidité : 12 mois, ou jusqu'à un changement majeur des interfaces bancairesPropriétaire : Directeur financier — Date — Signature──────────────────────────────────────────────────────────────Intégrer l’analyse de risques aux projets
Section titled “Intégrer l’analyse de risques aux projets”Le registre global ne suffit pas : chaque nouveau projet IT ou réseau (nouveau service, nouveau partenaire API, migration cloud) doit passer par une analyse de risques projet légère. KamaPay l’intègre à son processus projet sous forme de portes de validation sécurité :
| Jalon du projet | Exigence sécurité | Validé par |
|---|---|---|
| Lancement | Fiche de classification (données, criticité) + exigences de sécurité | Ingénieur SSI |
| Conception | Analyse de risques projet, revue d’architecture | Ingénieur SSI |
| Avant mise en production | Tests de sécurité (revue de code, scan de vulnérabilités, test d’intrusion si exposé) ; risques résiduels acceptés | RSSI + propriétaire du risque |
| Après mise en production | Mise à jour de l’inventaire, de la SoA si nécessaire, de la supervision | Exploitation |
💡 C’est exactement ce que recouvre la mission « assurer l’intégration des contraintes de sécurité aux projets IT et Réseaux » d’une fiche de poste d’ingénieur SSI.
Prochaine étape : La déclaration d’applicabilité →