PM-09 - Stratégie de gestion des risques (PaFF)
Énoncés :
a. Élaborer une stratégie complète de gestion :
1. des risques pour les activités et les biens organisationnels, les individus, les autres organisations et le gouvernement associés à l’exploitation et à l’utilisation des systèmes de l’organisation
2. des risques d’atteinte à la vie privée qui pèsent sur les personnes dans le cadre du traitement autorisé des renseignements personnels
b. Mettre en place la stratégie de gestion des risques uniformément dans l’ensemble de l’organisation
c. Passer en revue et mettre à jour la stratégie de gestion des risques [Affectation : fréquence définie par l’organisation] ou au besoin pour tenir compte des changements organisationnels
c. à tous les trois ans
Une stratégie de gestion des risques panorganisationnelle comprend une expression de la tolérance de l’organisation aux risques liés à la sécurité et à la protection de la vie privée, les stratégies d’atténuation des risques liés à la sécurité et à la protection de la vie privée, les méthodes d’évaluation des risques acceptables, un processus pour l’évaluation des risques liés à la sécurité et à la protection de la vie privée dans l’organisation en ce qui a trait à sa tolérance aux risques et les approches à adopter pour surveiller le risque au fil du temps. La ou le cadre supérieur responsable de la gestion des risques (chef du ministère ou haut responsable) s’assure que les processus de gestion de la sécurité de l’information s’alignent avec les processus de planification stratégique, opérationnelle et budgétaire. La fonction de gestion des risques exercée par la ou le cadre supérieur responsable de la gestion des risques peut faciliter une application uniforme de la stratégie de gestion des risques dans l’ensemble de l’organisation. La stratégie de gestion des risques peut reposer sur des intrants liés à la sécurité et à la protection de la vie privée qui sont tirés d’autres sources internes et externes à l’organisation et permettent d’assurer une portée générale et complète de la stratégie. La stratégie de gestion des risques liés à la chaîne d’approvisionnement décrite au contrôle PM-30 peut également fournir de l’information utile sur la stratégie de gestion des risques panorganisationnelle.