Guide pratique · ISO 31000:2018
Le risque, sans paralysie.
ISO 31000:2018
Un guide de pilotage indépendant : principes, cadre et processus de management du risque. Il ne remplace ni le texte officiel ni l’analyse de votre périmètre.
Les parties de la norme, sans superflu.
Une partie à la fois : points à examiner, conseils et exemples de preuves.
Poser les principes
L'esprit de la norme (§4) : Gérer le risque, c’est créer et préserver de la valeur en gérant l’effet de l’incertitude sur les objectifs. Huit principes servent de socle au cadre et au processus.
Points à examiner
- Intégré : le management du risque fait partie de toutes les activités (§4 a).
- Structuré et global : une approche cohérente rend les résultats comparables (§4 b).
- Adapté et proportionné au contexte et aux objectifs (§4 c).
- Inclusif : impliquer les parties prenantes au bon moment, avec leurs connaissances et leurs perceptions (§4 d).
- Dynamique : anticiper, détecter et réagir quand le contexte change (§4 e).
- Fondé sur la meilleure information disponible, en tenant compte de ses limites (§4 f).
- Attentif aux facteurs humains et culturels (§4 g).
- Amélioré en continu grâce à l’apprentissage et au retour d’expérience (§4 h).
L'astuce agile
Écrivez les huit principes sur une page, avec pour chacun une question à vous poser avant une décision importante : « Qui faut-il consulter ? », « Quelle est la limite de notre information ? ».
À éviter : Afficher les principes au mur sans jamais les utiliser dans une décision. · Créer un comité du risque séparé de la direction.
Exemples de preuves
Engager et intégrer
L'esprit de la norme (§5.2 à §5.3) : La direction porte le risque au quotidien et les organes de surveillance vérifient que le dispositif tient. L’intégration est le vrai défi : le risque se gère dans chaque partie de l’organisme, pas dans un service à part.
Points à examiner
- Intégrer le management du risque dans toutes les activités et adapter les composantes du cadre (§5.2).
- Publier une politique, ou une déclaration, qui expose l’approche retenue (§5.2).
- Allouer les ressources et attribuer l’autorité et la responsabilité aux bons niveaux (§5.2).
- Dire quel niveau et quelle nature de risque l’organisme accepte ou refuse, afin de fonder ses critères (§5.2).
- Pour les organes de surveillance : comprendre les risques pris, s’assurer que les systèmes fonctionnent et que l’information circule (§5.2).
- Relier le risque à la gouvernance, à la stratégie, aux objectifs et aux opérations plutôt que de le traiter à part (§5.3).
- Adapter l’intégration aux besoins et à la culture, de façon itérative (§5.3).
L'astuce agile
Commencez par les décisions qui comptent déjà (investissement, nouveau client, nouveau fournisseur) et ajoutez-y deux questions de risque. L’intégration réussit quand le risque entre dans un ordre du jour existant.
À éviter : Un service risque isolé qui produit des rapports que personne ne lit. · Une politique du risque sans niveau de risque acceptable.
Exemples de preuves
Concevoir le cadre
L'esprit de la norme (§5.4.1 à §5.4.5) : Avant de dérouler la méthode, on conçoit le cadre : comprendre le contexte, formuler l’engagement, distribuer les rôles, mobiliser les ressources, organiser la communication.
Points à examiner
- Analyser le contexte externe (facteurs sociaux, légaux, économiques, technologiques, relations contractuelles, dépendances) et interne (gouvernance, stratégie, culture, ressources, systèmes d’information) (§5.4.1).
- Formuler l’engagement : but, liens avec les objectifs, intégration à la culture et aux décisions, pouvoirs et responsabilités, ressources, objectifs contradictoires, compte rendu, revue (§5.4.2).
- Attribuer et communiquer les rôles, et identifier les propriétaires du risque (§5.4.3).
- Affecter les ressources : personnes et compétences, méthodes et outils, procédures documentées, systèmes d’information, formation (§5.4.4).
- Valider une manière de communiquer et de consulter, partagée par tous (§5.4.5).
L'astuce agile
Une page de cadrage : qui est propriétaire de quels risques, combien de temps y consacrer, quels outils (un tableur suffit), et quand on en parle (revue de direction, comité de projet).
À éviter : Des rôles attribués sans temps ni autorité. · Un logiciel acheté avant d’avoir défini la méthode.
Exemples de preuves
Déployer, évaluer, améliorer
L'esprit de la norme (§5.5 à §5.7) : Mettre en œuvre avec un plan réaliste, mesurer si le cadre sert vraiment les objectifs, et l’adapter dès que le contexte change.
Points à examiner
- Élaborer un plan de mise en œuvre avec calendrier et ressources (§5.5).
- Identifier où, quand, comment et par qui les décisions sont prises, et ajuster les processus décisionnels si nécessaire (§5.5).
- S’assurer que les dispositions sont comprises et appliquées, avec l’implication des parties prenantes (§5.5).
- Mesurer périodiquement la performance du cadre : finalité, plans, indicateurs, comportement attendu (§5.6).
- Vérifier qu’il aide encore à atteindre les objectifs (§5.6).
- Surveiller et adapter le cadre aux changements externes et internes (§5.7.1).
- Améliorer en continu pertinence, adéquation et efficacité, et attribuer les plans d’amélioration (§5.7.2).
L'astuce agile
Un plan de 90 jours sur un périmètre pilote (une activité, un projet), puis un retour d’expérience avant d’étendre.
À éviter : Déployer partout en même temps. · Juger le cadre à la quantité de documents produits.
Exemples de preuves
Cadrer le processus
L'esprit de la norme (§6.1 à §6.3) : Le processus commence par un cadrage : qui consulter, quel périmètre, quel contexte, quels critères pour juger de l’importance d’un risque. Il est itératif, pas linéaire.
Points à examiner
- Appliquer le processus au niveau voulu : stratégie, opérations, programme ou projet (§6.1).
- Communiquer et consulter à toutes les étapes pour réunir les expertises et les points de vue (§6.2).
- Définir précisément le périmètre : objectifs, décisions à prendre, temps, lieu, inclusions et exclusions, outils, ressources, documentation, liens avec d’autres activités (§6.3.2).
- Établir le contexte externe et interne en repartant des facteurs analysés pour le cadre (§6.3.3).
- Définir les critères de risque : niveau et type de risque acceptables, échelle pour juger de l’importance, alignés sur les valeurs, les objectifs et les ressources (§6.3.4).
- Revoir les critères en continu (§6.3.4).
L'astuce agile
Définissez vos critères sur une page : échelle de gravité, échelle de vraisemblance, niveau où l’on agit, niveau où l’on accepte. Gardez 4 ou 5 niveaux, pas 10.
À éviter : Copier les critères d’une grande entreprise dans une structure de 15 personnes. · Cadrer sans consulter ceux qui connaissent l’activité.
Exemples de preuves
Apprécier le risque
L'esprit de la norme (§6.4.1 à §6.4.4) : Trois temps : identifier, analyser, évaluer. Le but est de décider mieux, pas de produire une cotation parfaite.
Points à examiner
- Mener l’appréciation de façon systématique, itérative et collaborative, avec la meilleure information disponible (§6.4.1).
- Identifier les risques, qu’ils soient sous votre contrôle ou non : sources, causes, événements, menaces et opportunités, vulnérabilités, changements de contexte, risques émergents (§6.4.2).
- Rester attentif aux limites de l’information, aux biais et aux hypothèses des personnes impliquées (§6.4.2).
- Analyser vraisemblance, conséquences, complexité, volatilité et efficacité des moyens de maîtrise existants, par des méthodes qualitatives, quantitatives ou mixtes (§6.4.3).
- Documenter et communiquer aux décideurs les hypothèses, exclusions et limites de l’analyse (§6.4.3).
- Comparer les résultats aux critères pour décider : ne rien faire de plus, examiner des options, analyser davantage, maintenir les moyens de maîtrise, réexaminer les objectifs (§6.4.4).
- Enregistrer, communiquer et valider le résultat aux bons niveaux (§6.4.4).
L'astuce agile
Un atelier de deux heures avec les personnes qui font le travail vaut mieux qu’un questionnaire. Notez ce qui peut vous aider à atteindre vos objectifs autant que ce qui peut vous en empêcher.
À éviter : Une cotation au dixième de point sur des données qui n’existent pas. · Un registre de 300 risques jamais relu.
Exemples de preuves
Traiter, suivre, rendre compte
L'esprit de la norme (§6.5 à §6.7) : Choisir comment répondre, planifier l’action, vérifier qu’elle fonctionne, et garder une trace utile aux décisions.
Points à examiner
- Choisir les options de traitement en comparant bénéfices, coûts, efforts et inconvénients : refuser le risque, le prendre ou l’augmenter pour saisir une opportunité, éliminer la source, modifier la vraisemblance ou les conséquences, partager, maintenir sur décision éclairée (§6.5.2).
- Tenir compte des obligations, des engagements et de l’opinion des parties prenantes, pas seulement de l’économique (§6.5.2).
- Informer les décideurs du risque résiduel, le documenter et le suivre (§6.5.2).
- Établir un plan de traitement : justification, responsables, actions, ressources, mesures de performance, contraintes, suivi, échéances (§6.5.3).
- Planifier le suivi continu et la revue périodique, à toutes les étapes, et intégrer les résultats au pilotage de la performance (§6.6).
- Documenter le processus et ses résultats, et adapter les rapports aux publics, au coût, à la fréquence et à la sensibilité de l’information (§6.7).
L'astuce agile
Un plan de traitement tient dans le même tableau que le risque : action, pilote, échéance, risque résiduel et qui l’accepte. Faites un point mensuel de 20 minutes sur les cinq risques majeurs.
À éviter : Traiter tous les risques avec le même niveau d’effort. · Des rapports si fréquents et si longs qu’ils ne sont plus lus.
Exemples de preuves
Ce qu’est cette norme
Six repères pour bien la lire.
ISO 31000 n’est pas une norme de système de management comme les autres. Mieux vaut le savoir avant de l’ouvrir.
Repères documentaires
16 points de départ pour votre dispositif.
Ces 16 repères sont une aide méthodologique Viva QSE. ISO 31000 est un guide : elle ne fixe pas d’exigences documentaires. Ces documents sont ceux qui rendent votre démarche lisible et pilotable. Vérifiez les recommandations dans l’édition officielle applicable.
Politique de management du risque
Déclaration de la direction : approche, ressources, responsabilités, communiquée en interne et aux parties prenantes.
Analyse du contexte
Contexte externe et interne qui influence vos objectifs.
Rôles et propriétaires du risque
Qui porte la responsabilité du risque, avec le pouvoir de le gérer.
Communication et consultation
Modalités validées pour partager l’information et recueillir les avis.
Plan de mise en œuvre du cadre
Calendrier, ressources et décisions concernées.
Périmètre du processus
Objectifs, décisions, inclusions et exclusions, ressources et liens avec d’autres activités.
Critères de risque
Niveau et type de risque acceptables, échelles pour juger de l’importance.
Registre des risques
Risques identifiés, analysés et évalués, avec leurs propriétaires.
Plans de traitement du risque
Options retenues, responsables, actions, ressources, mesures et échéances.
Évaluation du cadre
Indicateurs et résultats de la mesure de performance du cadre.
Plans d’amélioration
Lacunes et opportunités identifiées, tâches et responsables.
Hypothèses et limites de l’analyse
Hypothèses, exclusions et biais communiqués aux décideurs.
Décisions d’évaluation du risque
Résultats de l’évaluation, validés aux niveaux appropriés.
Risque résiduel et son acceptation
Niveau de risque résiduel, décision et personne qui l’accepte.
Résultats du suivi et de la revue
Constats, enseignements et retours d’information.
Rapports de management du risque
Rapports adaptés aux destinataires, à la fréquence et à la sensibilité de l’information.
Un guide, pas un substitut à la norme
ISO 31000 donne des lignes directrices : elle ne se prête pas à la certification. Interprétation méthodologique indépendante de Viva QSE. Le texte officiel reste la référence. Ces repères ne constituent ni une validation normative ni une garantie de conformité.
Expertises et accompagnement · Guide ISO 9001 · Guide ISO 22301 · Guide ISO/IEC 27001 · Guide ISO 45001 · Ressources
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 20000-1, ISO 22301.
Déployer votre dispositif
ISO, RGPD ou projet : mission de déploiement sur trois mois. Voir l’offre Build, ses conditions et ses tarifs.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger