Gestion des risques et de la qualité
Ce que l'épreuve vérifie
Le domaine associe la maîtrise des risques (santé, sécurité, données, cyber, assurances) et la démarche qualité. On attend une méthode d'analyse hiérarchisée, la connaissance des obligations (DUERP, RGPD) et le choix d'actions de traitement adaptées au risque identifié.
Méthode et obligations
- Cartographie : identifier les risques par activité, estimer fréquence et gravité, calculer une criticité, hiérarchiser, puis traiter.
- Traitement : éviter, réduire (prévention), transférer (assurance), accepter ; chaque action reçoit un responsable et une échéance.
- DUERP : obligatoire, actualisé au moins une fois par an et à chaque changement important.
- RGPD : registre des traitements, base légale, minimisation, durée de conservation, droits des personnes, notification d'une violation à la CNIL sous 72 heures, analyse d'impact si le traitement est à risque élevé.
- Cyber : sauvegardes selon la règle 3-2-1, authentification multifacteur, gestion des habilitations, charte informatique, sensibilisation, plan de reprise.
- Assurances : responsabilité civile professionnelle, multirisque des locaux, perte d'exploitation, cyber.
- Qualité : roue PDCA, norme ISO 9001 (volontaire), indicateurs (taux de non-conformité, délai de traitement des réclamations), actions correctives face à un écart constaté, actions préventives en amont.
Exemple raisonné
Une PME identifie deux risques : une fuite de données clients par hameçonnage (fréquence 3/4, gravité 4/4, criticité 12) et une dégradation du matériel informatique (fréquence 2/4, gravité 2/4, criticité 4). La criticité 12 impose un plan prioritaire : sensibilisation et test de phishing, double authentification, sauvegardes 3-2-1, procédure de notification sous 72 heures. La criticité 4 relève de la surveillance et d'une maintenance planifiée. L'assurance cyber transfère une partie du risque financier mais ne remplace aucune action de prévention : le raisonnement attendu distingue réduction et transfert.
Pièges qui coûtent des points
- Confondre action corrective (sur la cause d'un écart déjà constaté) et action préventive (avant survenance).
- Citer la certification ISO 9001 comme une obligation légale.
- Oublier le délai de 72 heures ou l'autorité compétente (CNIL) dans la notification d'une violation de données.
- Traiter un risque par une assurance sans avoir évalué sa criticité.
- Produire un DUERP sans hiérarchie ni responsable d'action.