Gestion des risques humains : comment les RH peuvent réduire les risques émergents liés aux effectifs (2026)
Saviez-vous que vos collaborateurs font partie de votre environnement de sécurité ? Comment ?
La cybersécurité s’est traditionnellement concentrée sur les pare-feu, la protection des terminaux, les contrôles d’identité et d’autres défenses techniques. Mais aujourd’hui, les attaquants ciblent de plus en plus les personnes par le biais du phishing, de l’ingénierie sociale, du vol d’identifiants, de l’usurpation d’identité, de la compromission de messageries professionnelles et d’autres techniques qui exploitent les comportements humains.
Le Data Breach Investigations Report 2026 a confirmé que l’élément humain était présent dans 62 % de l’ensemble des violations de données, contre 60 % l’année précédente. Cela ne signifie pas que les collaborateurs constituent le maillon faible.
Cela souligne plutôt la nécessité de comprendre que vos collaborateurs font partie de l’environnement de sécurité. Les RH sont un partenaire important de la gestion des risques humains. Vous vous demandez comment ? Lisez la suite !
Qu’est-ce que la gestion des risques ?
La gestion des risques est un processus structuré qui consiste à identifier les risques potentiels, à évaluer leur probabilité et leur impact, à déterminer comment y répondre et à surveiller ces risques lorsque les conditions évoluent.
En termes simples :
Identifier → Évaluer → Répondre → Surveiller → Adapter
Dans le monde du travail, les risques peuvent provenir de nombreuses sources :
- Menaces de cybersécurité
- Erreurs humaines
- Fraude
- Non-conformité réglementaire
- Comportements répréhensibles au travail
- Exposition des données
- Défaillances opérationnelles
- Pénuries de compétences
- Mauvaise prise de décision
- Menaces internes
- Perturbations de l’activité
La gestion des risques ne consiste donc pas à éliminer tous les risques possibles, ce qui est presque impossible. Les organisations doivent plutôt chercher à comprendre :
- Que pourrait-il se passer ?
- Quelle est la probabilité que cela se produise ?
- Que se passerait-il si cela arrivait ?
- Que pouvons-nous faire pour réduire la probabilité ou l’impact ?
- Comment saurons-nous si le risque augmente ?
Une organisation peut disposer d’une excellente technologie et subir malgré tout une violation de données parce qu’une personne divulgue des identifiants, approuve une demande frauduleuse ou tombe dans le piège d’une attaque d’ingénierie sociale.
Qu’est-ce que la gestion des risques en ressources humaines ?
La gestion des risques en ressources humaines est le processus qui consiste à identifier, évaluer, prévenir et surveiller les risques liés aux personnes, à leurs comportements, aux processus de travail et au cycle de vie des collaborateurs.
Dans le contexte de la gestion des risques humains, cela inclut également les risques susceptibles de contribuer à des incidents de cybersécurité, à des violations de données, à des fraudes et à d’autres menaces de sécurité.
Pour les RH, cela signifie aller au-delà des risques traditionnels liés aux effectifs, tels que le turnover, les comportements répréhensibles au travail ou les problèmes de conformité, pour également examiner la manière dont les collaborateurs interagissent avec les systèmes, les informations et les technologies de l’entreprise.
Par exemple, les RH peuvent avoir à évaluer les risques liés à :
- Phishing et ingénierie sociale : les collaborateurs peuvent être manipulés pour partager leurs identifiants, cliquer sur des liens malveillants ou divulguer des informations sensibles.
- Risques internes : les collaborateurs peuvent exposer intentionnellement ou accidentellement des données de l’entreprise ou utiliser leurs accès de manière abusive.
- Protection des données : les collaborateurs peuvent mal gérer des informations personnelles, financières ou confidentielles concernant les employés.
- Intégration des nouveaux collaborateurs : les nouveaux employés peuvent recevoir des accès système inappropriés ou commencer leur poste sans comprendre les politiques de sécurité.
- Départ des collaborateurs : d’anciens employés peuvent conserver un accès aux systèmes, aux comptes ou aux informations de l’entreprise.
- Utilisation de l’IA : les collaborateurs peuvent saisir des informations confidentielles dans des outils d’IA non autorisés ou tomber dans le piège d’une usurpation générée par l’IA.
- Fraude en entreprise : des collaborateurs ou des attaquants externes peuvent exploiter la confiance, l’autorité ou les processus internes pour initier des transactions frauduleuses.
- Violation des politiques : les collaborateurs peuvent ignorer, volontairement ou non, les exigences en matière de sécurité, de conformité ou de traitement des données.
Par exemple, si les collaborateurs du service financier échouent régulièrement à des simulations de phishing, les RH et l’équipe sécurité ne devraient pas se contenter d’enregistrer l’échec. Ils devraient chercher à comprendre pourquoi le risque existe, proposer une formation ciblée, vérifier si les comportements s’améliorent et déterminer si des contrôles supplémentaires sont nécessaires.
Le risque humain est une menace dynamique qui nécessite une quantification et une réduction continues.
Le cycle de gestion des risques humains
- Identification des risques
- Évaluation et analyse des risques
- Réduction des risques
- Intervention comportementale
- Surveillance continue
- Réduction des risques et amélioration
Le cycle Adaptive de gestion des risques humains
| Étape | Question pour les RH |
|---|---|
| Détecter | Qu’est-ce qui a changé ? |
| Diagnostiquer | Pourquoi cela change-t-il ? |
| Prioriser | Quelle est la gravité du problème ? |
| Intervenir | Que pouvons-nous faire pour réduire l’exposition ? |
| Surveiller | L’intervention a-t-elle fonctionné ? |
| Adapter | Que devons-nous changer ensuite ? |
Comment les RH peuvent-elles améliorer la gestion des risques humains au travail ?
La gestion des risques humains devient beaucoup plus efficace lorsque les RH l’intègrent aux pratiques quotidiennes de gestion des effectifs. Cela comprend notamment :
1. Rendez le signalement sûr et simple
Les collaborateurs doivent savoir :
- Que dois-je signaler ?
- À qui dois-je le signaler ?
- Que se passe-t-il après mon signalement ?
Supposons qu’une personne clique sur un lien suspect. Si elle pense qu’admettre son erreur pourrait lui attirer des sanctions, elle peut choisir de garder le silence. Ce silence peut aggraver la situation.
2. Proposez une formation continue à la sécurité, fondée sur les risques
La gestion des risques humains nécessite une sensibilisation continue à la sécurité, adaptée aux risques auxquels les collaborateurs sont réellement confrontés.
La formation doit tenir compte de facteurs tels que le poste du collaborateur, son niveau d’accès, les comportements observés, son exposition aux menaces et l’évolution de ses responsabilités.
Par exemple, un collaborateur qui gère des données de paie peut avoir besoin d’une formation plus approfondie sur le phishing, l’usurpation d’identité et la fraude aux paiements, tandis qu’un collaborateur ayant accès à des systèmes contenant des données clients sensibles peut avoir besoin d’une formation renforcée sur la protection des identifiants et le traitement des données.
L’objectif est de développer des comportements sécurisés que les collaborateurs appliquent de manière constante dans leur travail quotidien.
3. Intégrez la sécurité au processus d’onboarding
La sécurité doit commencer avant même que les collaborateurs ne prennent pleinement leurs fonctions. Les nouveaux employés doivent comprendre :
- L’utilisation acceptable des technologies
- Les exigences relatives aux mots de passe et à l’authentification
- Le traitement des données
- Le signalement des tentatives de phishing
- Les politiques d’utilisation de l’IA
- La confidentialité
- Le signalement des incidents
- Les responsabilités liées aux accès
Les premières semaines constituent une occasion d’établir de bonnes habitudes.
4. Renforcez la collaboration entre les RH, l’IT et la sécurité
La gestion des risques humains devient difficile lorsque les départements travaillent séparément.
Les RH peuvent savoir :
- Qui a rejoint l’entreprise
- Qui est parti
- Qui a changé de poste
- Qui est en congé
- Qui fait l’objet d’une enquête
L’IT et la sécurité peuvent savoir :
- Qui dispose de quels accès
- Quels systèmes sont utilisés
- Où apparaissent des activités suspectes
- Quels contrôles de sécurité présentent des défaillances
Aucune des deux parties ne dispose à elle seule d’une vision complète. La solution repose sur une collaboration claire et un partage approprié des informations.
5. Faites du processus de départ une composante de la gestion des risques
Le départ d’un collaborateur constitue un événement critique du point de vue du risque humain. Lorsqu’un collaborateur quitte l’entreprise, celle-ci doit disposer de processus clairs pour :
- Supprimer les accès aux systèmes
- Récupérer les appareils
- Protéger les informations de l’entreprise
- Transférer les responsabilités
- Supprimer les accès aux comptes partagés
- Informer les équipes concernées des changements
Un processus tardif de suppression des accès peut laisser une exposition inutile. Les RH doivent donc travailler étroitement avec l’IT et la sécurité sur les contrôles liés au cycle de vie des collaborateurs.
Gestion des risques humains et confidentialité des collaborateurs
La gestion des risques humains peut impliquer le suivi des comportements des collaborateurs, des résultats de sensibilisation à la sécurité, des simulations de phishing, des violations de politiques et d’autres indicateurs de risque.
En tant que professionnel des RH, cela soulève une question importante : comment gérer les risques liés aux collaborateurs sans transformer le suivi des risques en surveillance excessive des employés ?
Vous devez donc vous assurer que les données relatives aux risques humains sont collectées dans un objectif business clair, accessibles uniquement aux personnes autorisées et traitées conformément aux exigences applicables en matière de droit du travail et de protection des données.
L’objectif est d’identifier les comportements et les situations à risque sur lesquels l’organisation peut agir, tout en préservant la confiance des collaborateurs.
Comment l’IA transforme la gestion des risques humains en 2026
L’IA transforme le paysage des menaces dans deux directions.
Premièrement, les attaquants peuvent utiliser l’IA pour rendre l’ingénierie sociale plus convaincante et plus facile à déployer à grande échelle.
Deuxièmement, les collaborateurs peuvent utiliser l’IA d’une manière qui introduit de nouveaux risques pour l’organisation.
Par exemple, un collaborateur peut copier des informations confidentielles dans un service d’IA parce qu’il souhaite obtenir de l’aide pour résumer un document.
Le collaborateur n’a peut-être aucune intention d’exposer les informations de l’entreprise. Pourtant, ce comportement peut tout de même créer un risque. L’IA rend également les usurpations d’identité plus difficiles à détecter.
Les vidéos deepfake, le clonage vocal et les messages générés par l’IA peuvent donner l’impression qu’une attaque provient d’un dirigeant ou d’un collègue de confiance. Les supports de la conférence 2026 de l’ISACA identifient spécifiquement les deepfakes, les médias synthétiques, le clonage vocal et la tromperie assistée par l’IA comme des défis émergents liés aux risques humains, car ils exploitent la confiance, l’autorité et la prise de décision sous pression.
Les RH ont donc un rôle à jouer dans la préparation des collaborateurs face à un nouveau type de tromperie. Les collaborateurs doivent apprendre non seulement :
« Ne cliquez pas sur les liens suspects. »
mais aussi :
« Ne faites pas confiance à une demande urgente simplement parce que la voix, la vidéo ou le message semble provenir de quelqu’un que vous connaissez. »
Checklist de gestion des risques humains pour les RH
Avant de considérer votre programme de gestion des risques humains comme mature, posez-vous les questions suivantes :
- Les RH, l’IT et la sécurité ont-ils des responsabilités clairement définies ?
- Les risques humains sont-ils formellement identifiés et documentés ?
- Savez-vous quels postes traitent les informations les plus sensibles ?
- La formation à la sécurité est-elle adaptée aux différents postes ?
- Les collaborateurs savent-ils comment signaler une activité suspecte ?
- Sont-ils encouragés à signaler leurs erreurs ?
- Les simulations de phishing et d’ingénierie sociale sont-elles utilisées de manière appropriée ?
- Les comportements à risque récurrents sont-ils identifiés ?
- Les interventions sont-elles ciblées sur les risques réels ?
- Le départ des collaborateurs est-il connecté à la suppression de leurs accès ?
- Les managers sont-ils formés pour renforcer les attentes en matière de sécurité ?
- Les politiques d’utilisation de l’IA sont-elles claires ?
- Les collaborateurs sont-ils formés à reconnaître les tromperies utilisant l’IA ?
- Les indicateurs de risques humains sont-ils régulièrement examinés ?
- Les questions de confidentialité et de protection des données des collaborateurs sont-elles intégrées au suivi ?
- La direction soutient-elle activement le programme ?
- Les enseignements tirés des incidents précédents sont-ils utilisés pour améliorer les formations et les processus ?
Si plusieurs réponses sont « non », l’organisation dispose probablement de possibilités importantes pour renforcer son programme de gestion des risques humains.
Comment mesurer la gestion des risques humains
Utilisez une combinaison des indicateurs suivants pour mesurer le taux de réussite du programme.
Indicateurs de formation
- Taux de complétion des formations
- Scores aux évaluations
- Taux de complétion des formations spécifiques aux postes
- Temps nécessaire pour suivre les formations obligatoires
Indicateurs comportementaux
- Taux d’échec aux simulations de phishing
- Taux de signalement des tentatives de phishing
- Échecs répétés
- Signalements d’activités suspectes
- Violations des politiques
Indicateurs de réponse
- Temps nécessaire pour signaler un incident
- Temps nécessaire pour répondre à un incident
- Temps nécessaire pour contenir un incident
- Nombre d’incidents récurrents
Indicateurs de risque
- Score de risque humain
- Risque par département
- Risque par poste
- Évolution du risque dans le temps
- Tendances des comportements à haut risque
Indicateurs de culture
- Volonté des collaborateurs de signaler leurs erreurs
- Compréhension des politiques de sécurité
- Renforcement des bonnes pratiques par les managers
- Confiance des collaborateurs dans le processus de signalement des activités suspectes
« L’exposition de l’organisation a-t-elle diminué après cette intervention ? »
À retenir
En tant que professionnel des RH, vous devez être capable de répondre à la question suivante : Quels comportements humains créent des risques et sommes-nous en train de réduire ces risques ?
Cela signifie aller au-delà du simple suivi du taux de complétion des formations. Les RH doivent comprendre où les risques humains apparaissent, proposer une sensibilisation à la sécurité ciblée, travailler étroitement avec l’IT et la sécurité et veiller à ce que les processus liés aux collaborateurs, comme l’onboarding et l’offboarding, ne créent pas d’exposition supplémentaire.
La gestion des risques humains doit également évoluer à mesure que les menaces, les technologies et les comportements des collaborateurs changent.
La gestion des effectifs peut aider les dirigeants à comprendre les personnes et les conditions d’exécution qui entourent le problème.
Pour les organisations qui peinent déjà à identifier où la performance des effectifs commence à dériver, la plateforme d’intelligence d’exécution de PerkFlow peut fournir une visibilité sur les tendances de performance, l’alignement et les écarts d’exécution, sans se présenter comme une solution de cybersécurité.
Foire aux questions
Quelle est la différence entre la gestion des risques humains et la sensibilisation à la sécurité ?
La sensibilisation à la sécurité apprend aux collaborateurs à reconnaître les menaces, tandis que la gestion des risques humains mesure et réduit les comportements qui créent une exposition aux risques de sécurité.
Quels sont des exemples de cyberrisques humains ?
Il peut s’agir du phishing, de l’ingénierie sociale, du vol d’identifiants, de l’exposition des données, des menaces internes, de la compromission de messageries professionnelles et de l’utilisation non sécurisée de l’IA.
Comment les RH peuvent-elles réduire les risques de cybersécurité ?
Les RH peuvent contribuer à réduire les risques de cybersécurité grâce à des formations adaptées aux postes, à de bonnes pratiques de signalement, à des processus d’onboarding et d’offboarding sécurisés et à des politiques de sécurité claires.
Comment l’IA affecte-t-elle la gestion des risques humains ?
L’IA accroît les risques humains en permettant des tentatives de phishing plus convaincantes, des deepfakes, des usurpations d’identité et l’utilisation non sécurisée d’outils d’IA avec des données sensibles de l’entreprise.
La gestion des risques humains relève-t-elle uniquement de la responsabilité de l’IT ?
Non. La gestion des risques humains nécessite une collaboration entre les RH, l’IT, la sécurité, la conformité, les managers et les autres fonctions de l’entreprise.
Écrit par Ufan-Abasi Francis