• ✓ Nouvel onglet 260813 — méta du test, scores par module, et le registre des risques couvrant les questions des 4 modules fixes (Admin, RH, Finance, Informatique) et du/des module(s) sectoriel(s) sélectionné(s)
• ✓ Feuille « Garde » mise à jour — nouvelle ligne dans l'historique des tests (score 68%, 2 critiques, 5 élevés)
• ✓ Tableau de progression du niveau de risque actualisé pour le suivi dans le temps

Aucun référentiel de contrôle interne ou d'audit (COSO, ISO 31000, IIA) ne publie de proportion fixe universelle pour pondérer des fonctions comme Admin, RH, Finance ou Informatique — l'Institute of Internal Auditors le formule explicitement : la pondération des facteurs de risque est laissée au jugement de chaque organisation.

Deux approches simples ont été écartées : une pondération fixe identique pour tous les clients (arbitraire, ne reflète pas le contexte propre de chaque organisation), et une répartition selon le volume ou la part d'activité de chaque secteur (biaisée : une activité minoritaire en volume peut représenter un risque majeur — une faille numérique, par exemple, peut menacer l'existence d'une organisation sans rapport avec la part de l'informatique dans son activité globale).

Cet outil retient donc le principe de la Business Impact Analysis (BIA), méthodologie normée par l'ISO 22301 (continuité d'activité) : chaque domaine est pondéré selon l'impact d'une défaillance grave sur la continuité de l'organisation, indépendamment de son volume ou de sa probabilité de survenance. C'est la même logique que les régulateurs financiers britanniques (FCA/PRA) imposent à leurs organismes régulés via la notion d'« impact tolerance » : le niveau de rupture maximal tolérable avant que la viabilité de l'organisation ne soit irréversiblement atteinte.

Ces valeurs sont des points de départ modifiables, pas un jugement définitif sur votre organisation — à ajuster sur chaque écran de module selon votre contexte réel.

Aucun défaut n'est proposé pour les secteurs (module 5) : à la différence des 4 modules fixes, aucune statistique générale ne peut représenter la diversité des secteurs couverts par cet outil. Conformément au principe de la BIA, la criticité d'un secteur ne peut être évaluée que dans le contexte propre de votre organisation.

Le score d'un module n'est représentatif que si suffisamment de ses questions ont reçu une réponse : un module où une seule question sur dix a été renseignée produirait un score trompeur, dicté par cette unique réponse plutôt que par la réalité du module.

Cet outil applique la « règle de la moitié » (Half Rule), convention usuelle pour les scores composites en sciences sociales et dans les instruments de mesure validés (échelles de qualité de vie de type PROM) : un module ou secteur n'est considéré comme statistiquement représentatif que si plus de la moitié de ses questions applicables (c'est-à-dire hors questions marquées « Non applicable ») ont reçu une réponse.

Un module qui n'atteint pas ce seuil affiche tout de même un score indicatif à l'écran Bilan, mais avec un avertissement invitant à compléter les questions restantes avant de considérer le résultat comme définitif.

Chaque question répondue autrement que par sa meilleure option devient une ligne du registre des risques (écran Bilan) : une réponse imparfaite révèle une lacune de contrôle, donc un risque à traiter. Une question répondue par sa meilleure option, laissée sans réponse, ou marquée « Non applicable » ne génère aucune ligne.

Le score de risque suit la même logique P × I que le registre de référence (Registre_Risques_SCI-V2026.xlsx, voir glossaire) :

• ✓ Probabilité (1 à 4) — dérivée directement de la sévérité de la réponse choisie, sur la même échelle normalisée que le score de la question (0 = pire réponse, 1 = meilleure) : plus la réponse s'éloigne de la meilleure option, plus la probabilité que le risque se matérialise est jugée élevée.
• ✓ Impact (1 à 4) — reprend directement la criticité déjà déclarée pour le module ou le secteur dont relève la question (voir « Les 4 niveaux de criticité » ci-dessus) : un même type de lacune pèse plus lourd dans un module jugé existentiel que dans un module jugé faible pour l'organisation évaluée.
• ✓ Priorité — seuils du score P × I (maximum 16) repris tels quels du registre de référence : 1-3 Faible, 4-7 Moyen, 8-11 Élevé, 12-16 Critique.

Le responsable et l'échéance indicative de chaque mesure (écran Contre-mesures) sont attribués par module/secteur (ex. Direction RH pour tout risque du module RH) et par palier de priorité (30 jours pour un risque critique, 60 pour un risque élevé, 90 jours et plus au-delà) — même granularité que le registre de référence, qui assigne un responsable par catégorie de risque plutôt que par risque individuel.

• ✓ Institute of Internal Auditors (IIA), Developing a Risk-Based Internal Audit Plan, 2ᵉ édition, Global Practice Guide, 2025.
• ✓ ISO 22301:2019 — Sécurité et résilience — Systèmes de management de la continuité d'activité (principe de la Business Impact Analysis).
• ✓ Financial Conduct Authority (FCA) / Prudential Regulation Authority (PRA), cadre Operational Resilience — notion d'« impact tolerance ».
• ✓ Association of Certified Fraud Examiners (ACFE), Occupational Fraud 2024: A Report to the Nations.
• ✓ Society for Human Resource Management (SHRM), statistiques sur le coût de remplacement d'un collaborateur (2023).
• ✓ Verizon, Data Breach Investigations Report (DBIR) 2025.
• ✓ IBM, Cost of a Data Breach Report 2025.
• ✓ Allianz Commercial, Allianz Risk Barometer 2026.
• ✓ Cella D. et al., Combining anchor and distribution-based methods to derive minimal clinically important differences — origine de la « Half Rule » (règle de la moitié) pour la validité des sous-échelles PROM/FACIT, reprise ici pour le seuil minimal de réponses par module.
• ✓ Registre_Risques_SCI-V2026.xlsx (dossier de référence du projet) — matrice Probabilité × Impact et seuils de priorité, repris à l'identique pour la génération automatique du registre des risques de cet outil.

Point de vigilance écarté explicitement : la statistique très répandue « 60% des PME ferment dans les 6 mois suivant une cyberattaque » (National Cyber Security Alliance, ~2012) a été officiellement désavouée par son émetteur en 2022 et n'est plus utilisée ici — remplacée par la donnée Verizon DBIR 2025 (19% de dépôts de bilan), plus récente et vérifiable.

• ✓ Nouveau client crée un dossier vierge pour une première évaluation. Si un dossier est déjà ouvert dans la session, une confirmation est demandée avant d'effacer les réponses non exportées.
• ✓ Reprendre un dossier existant importe le classeur Excel généré lors d'un test précédent. La fiche client, les secteurs cochés et les réponses détaillées sont restitués automatiquement.
• ✓ Exception : si le questionnaire a évolué depuis le dernier export, les réponses détaillées ne peuvent pas être restituées et l'évaluation doit être reprise depuis le début.

• ✓ Le test compte 7 étapes, de la Fiche client au Bilan. C'est ce que mesure la barre de progression en haut de page.
• ✓ Les 4 modules fixes (Admin, RH, Finance, Informatique) et le module sectoriel se remplissent dans l'ordre souhaité, via la rangée de pastilles cliquables. Passer d'un module à l'autre ne fait perdre aucune réponse.
• ✓ Le bouton Quitter, disponible dès la Fiche client, ramène à l'accueil sans effacer les réponses. Un bandeau « Dossier en cours » permet ensuite de reprendre exactement où l'évaluation s'était arrêtée.
• ✓ Une fois le Bilan atteint, les écrans suivants (Contre-mesures, Plan d'action, Rapport, Export) forment la phase de restitution. Ce ne sont plus des étapes du test : ils restent accessibles à tout moment via leur propre rangée de pastilles.

• ✓ Chaque question propose 4 réponses, classées de la plus conforme à la moins conforme. Répondre selon la pratique réelle de l'organisation, pas selon l'objectif visé.
• ✓ Certaines questions proposent une réponse « Non applicable » (par exemple si l'organisation n'a pas de personnel expatrié). Elle exclut la question du calcul du score, sans compter comme une réponse défavorable.
• ✓ Chaque module et secteur dispose d'un sélecteur de criticité, qui détermine son poids dans le score global. Le détail et les sources de cette méthode figurent dans la Méthodologie.

• ✓ Depuis l'écran Export, le classeur mis à jour est envoyé par e-mail : indiquer l'adresse de destination puis valider.
• ✓ Le classeur reçu est à conserver et à réutiliser lors du prochain test, via « Reprendre un dossier existant ».
• ✓ Ne jamais modifier sa structure (noms de feuilles, en-têtes, cellules protégées) : une structure altérée peut rendre un futur import, voire un futur export, impossible.