La phase de planification permet de se faire une idée de la situation actuelle et future de la gestion des risques au sein de l’entreprise.
Au cours de la phase de planification, les informations et la documentation existantes quant à la gestion des risques de l'entreprise sont examinées. Ainsi, il est possible de se faire une idée de la situation actuelle et du développement futur de la gestion des risques. Sur la base de ces résultats et du processus de sélection effectué, la planification du projet est mise en route.
Des objectifs clairs doivent être fixés dans le cadre de l'organisation de la gestion. En outre, l'évaluation des risques est la base servant à identifier les risques potentiels et les opportunités permettant d'atteindre les objectifs de l'entreprise. Pour ce faire, les objectifs ne doivent pas uniquement être connus des gestionnaires concernés mais fixés par écrit.
Avant d'effectuer la planification, il est important de savoir quels éléments relatifs à la gestion des risques sont déjà disponibles et quels objectifs peuvent ainsi être atteints. Il convient, entre autres, de prendre en considération les aspects suivants:
- Quelle est l'organisation de l'entreprise?
- Quels sont les instruments de gestion utilisés?
- L'entreprise a-t-elle déjà effectué une évaluation des risques?
- Comment les risques fondamentaux ont-ils été identifiés, surveillés et documentés?
- Comment se présente le paysage informatique et quels risques spécifiques à ce domaine doivent être intégrés à ladite évaluation?
L'application du projet de la gestion des risques dépend du soutien de la direction et du conseil d'administration. Sans cet appui, le projet pourrait être reporté voire même avorté. Les rôles et les responsabilités sont attribués selon les fonctions clé de l'entreprise. Ils doivent être fixés par écrit et annoncés aux collaborateurs concernés.
