Celle-ci commence par trois scénarios adaptés au contexte canadien — un cyberincident chez un fournisseur de niveau 2, une tentative d’acquisition étrangère d’un fabricant de composants de niche, une rupture d’approvisionnement critique au cours d’un programme en cours — et s’appuie sur eux pour illustrer la méthodologie. Nous abordons brièvement la norme ISO 31000 et le NIST RMF, puis consacrons la majeure partie du temps aux aspects pratiques : la création d’un registre des risques, les méthodes de notation qui ne vous induisent pas en erreur, les seuils de remontée, et comment informer un PDG qui dispose de six minutes et lit ses e-mails en même temps.