1Erreurs transverses

Erreur	Pourquoi ça pose problème
Confondre événement redouté et scénario	L'événement redouté décrit un impact (« perte de confidentialité des données clients »), pas un mode opératoire — le mode opératoire vient en ateliers 3 et 4.
Vouloir être exhaustif	EBIOS RM privilégie une approche efficace plutôt qu'exhaustive — un document trop long, qui traite tous les cas de figure, finit rarement lu et exploité.
Improviser une échelle au moment où on en a besoin	Les échelles (gravité, vraisemblance) doivent être définies en amont, avec plusieurs parties prenantes, pour éviter une vision biaisée par un seul métier.
Confondre méthode et norme	EBIOS RM n'est pas une norme mais une méthode qui applique le modèle de l'ISO 27005:2022 — voir la comparaison détaillée.

2Atelier 1 — Cadrage & socle

Erreur	Pourquoi ça pose problème
Vouloir cartographier tout le SI	L'atelier 1 n'est pas une démarche de cartographie exhaustive — 5 à 10 valeurs métier et une description macro des biens supports suffisent généralement.
Sauter la matrice RACI	Sans rôles et responsabilités formalisés dès l'activité 1-1, les directions métier restent en retrait alors qu'elles doivent être partie prenante de l'analyse.
Oublier de coter les événements redoutés	Sans gravité associée, impossible de prioriser plus tard les scénarios à l'atelier 5 — la gravité se transmet tout au long de la chaîne.

3Atelier 2 — Sources de risque

Erreur	Pourquoi ça pose problème
Retenir trop de couples SR/OV	Une liste exhaustive mais superficielle est moins utile qu'un nombre restreint de couples bien qualifiés, réellement développés ensuite en scénarios.
Laisser un objectif visé générique	« Espionnage » ne suffit pas — il faut le contextualiser (« vol de l'information X ») pour qu'il pointe vers une valeur métier précise et des biens supports identifiables en atelier 4.

4Atelier 3 — Scénarios stratégiques

Erreur	Pourquoi ça pose problème
Sauter l'écosystème	Beaucoup d'attaques réussies passent par un prestataire ou un fournisseur peu mature — ignorer l'écosystème revient à ignorer le vecteur le plus probable.
Ne considérer que les chemins directs	Un scénario stratégique peut être constitué de plusieurs chemins d'attaque alternatifs, parfois plus vraisemblables via une partie prenante que frontalement.

5Atelier 4 — Scénarios opérationnels

Erreur	Pourquoi ça pose problème
Sur-détailler les scénarios opérationnels	Le niveau de détail façon MITRE ATT&CK est utile pour objectiver la vraisemblance en atelier, mais noierait le rapport final — garder une synthèse lisible pour les décideurs.
Travailler sans architecte SI autour de la table	Sans expertise technique, difficile d'évaluer la faisabilité réelle d'un chemin d'attaque sur les biens supports concernés.

6Atelier 5 — Traitement

Erreur	Pourquoi ça pose problème
Ne pas faire valider l'acceptation d'un risque	Un risque accepté doit être une décision formelle et documentée du responsable désigné, pas un oubli silencieux du plan de traitement.
Penser que le risque résiduel est nul	Les mesures de sécurité ne font généralement baisser que la vraisemblance, pas la gravité — un risque résiduel subsiste presque toujours.
Ne pas dater le suivi	Sans comité de suivi SSI périodique et sans cadre de déclenchement des cycles, l'analyse devient une photo figée qui se périme vite.