Je vois l’appétence au risque comme le choix de ce qu’une entreprise veut et peut perdre pour poursuivre ses objectifs. En cybersécurité, reporter une modernisation ou une reprise affecte du capital tout en maintenant une exposition. Je veux rendre cet arbitrage visible : le « risque zéro » ne dit ni quoi financer ni quelle promesse doit tenir pendant une crise.
Séparer volonté et capacité
L’appétence exprime un choix ; la capacité impose une limite. Une prévision de revenus ne remplace pas la trésorerie disponible, et un plan de reprise suppose des personnes et des systèmes accessibles. Je définirais les seuils par fonction, conséquence et durée. Les obligations envers les personnes et les clients bornent aussi le choix : pouvoir payer une perte ne rend pas sa cause acceptable. Une dérogation interne ne modifie pas un engagement.
Décrire la perte avant le dispositif
Je réunirais impact opérationnel, fourchette de pertes, objectif de reprise et coût de réduction de l’exposition, hypothèses comprises. Si les commandes s’arrêtent, les expéditions peuvent dépendre de documents incomplets et la facturation devenir incertaine. Retrouver une application ne garantit pas des transactions fiables. Je distingue donc service minimum sûr, débit habituel et rapprochements achevés. La dépense doit expliquer quelle conséquence elle change, sans masquer l’incertitude.
Arbitrer entre expansion et reprise
Imaginons un distributeur qui hésite entre agrandir son entrepôt et renforcer la reprise, avec la même équipe pour les deux projets. La perte maximale possible ne justifie pas à elle seule le programme de résilience ; le rendement de l’expansion ne permet pas davantage d’ignorer l’exposition restante. Je comparerais aussi personnel, maintenance et exercices. Échelonner les travaux pourrait préserver des moyens pour protéger les transactions et éprouver un service minimum. Mais une dépendance commune au système principal et au secours peut rendre cette économie trompeuse.
Suivre la trésorerie et les dépendances
Je demande à quel moment la reprise entre en concurrence avec un paiement indispensable. Crédit et assurance comportent des conditions et des délais ; les autorisations de dépense doivent être prévues. Je vérifie aussi si plusieurs services comptent sur la même réserve ou les mêmes spécialistes. Des délais crédibles séparément peuvent devenir incompatibles lors d’un arrêt commun. La direction doit choisir l’ordre de reprise et assumer l’attente.
Donner une fin au report
Reporter peut préserver la trésorerie en réduisant les options. Je consigne scénario, hypothèses, exposition résiduelle, mesures transitoires, responsable et déclencheur de réexamen. Un exercice manqué ou une activité accrue peut invalider le choix initial. Je veux un budget dont la direction puisse expliquer ce qu’elle protège, ce qu’elle accepte et ce qui exige une autre décision. La sécurité devient ainsi une allocation de capital assumée.