ISO 31000.

Une norme générique, pas un système de management

ISO 31000 est la référence internationale pour gérer le risque de toute nature, dans toute organisation. Elle est volontairement générique. Les mêmes principes, le même cadre organisationnel et le même processus s'appliquent, que le risque concerné soit financier, opérationnel, stratégique, lié à la sécurité, environnemental ou cyber. Cette largeur de champ est précisément l'objectif. Une décision d'achat, une entrée sur un nouveau marché et une exposition à un rançongiciel peuvent toutes être évaluées avec le même vocabulaire et la même logique, ce qui permet à un conseil d'administration de comparer des risques qui, autrement, resteraient dans des silos distincts avec des cotations incompatibles.

Le malentendu le plus courant consiste à traiter ISO 31000 comme ISO 27001 ou ISO 22301. Ce n'est pas une norme d'exigences et elle n'est pas certifiable. Il n'existe aucun système de management ISO 31000 à auditer ni aucune qualification d'auditeur principal ISO 31000, quoi qu'en disent certains catalogues de formation. La norme propose des lignes directrices à adapter, pas des exigences auxquelles se conformer. Les organisations l'intègrent à leur mode de fonctionnement existant, plutôt que d'ajouter un système certifié distinct.

Principes, cadre et processus

ISO 31000 repose sur trois parties reliées entre elles que les praticiens apprennent à distinguer. Les principes énoncent ce à quoi ressemble une bonne gestion du risque : elle est intégrée à l'organisation, structurée, adaptée au contexte, ouverte aux parties prenantes, dynamique, fondée sur la meilleure information disponible et orientée vers la création et la protection de la valeur. Le cadre concerne le leadership et la gouvernance, la façon dont la gestion du risque est mandatée, conçue, mise en œuvre, évaluée et améliorée dans le temps pour qu'elle s'installe durablement. Le processus est le moteur opérationnel que l'on exécute de façon répétée.

1. Établir le contexte. Définir le périmètre, les objectifs et l'environnement interne et externe dans lequel le risque évolue.
2. L'identification, l'analyse et l'évaluation du risque, qui forment ensemble l'appréciation du risque.
3. Le traitement du risque. Choisir comment modifier le risque, puis mettre en œuvre et vérifier les mesures de maîtrise.
4. La communication, la consultation, la surveillance et la revue, qui englobent l'ensemble du cycle et le maintiennent à jour.

Comment elle se situe par rapport aux normes voisines

ISO 31000 est la norme mère. ISO 27005 applique la même logique de processus au risque lié à la sécurité de l'information et s'aligne sur un système de management de la sécurité de l'information ISO 27001. EBIOS Risk Manager, la méthode française publiée par l'ANSSI, est une manière concrète et orientée scénarios de mener une appréciation du risque de sécurité qui se rattache aux mêmes étapes. Aucune de ces approches ne contredit ISO 31000 ; elles la spécialisent. Un risk manager qui maîtrise le processus générique peut passer de l'une à l'autre sans réapprendre les fondamentaux, ce qui explique pourquoi la norme est enseignée en premier.

Le vocabulaire est partagé via le Guide ISO 73, le document complémentaire qui définit les termes de la gestion du risque afin que « vraisemblance », « conséquence » et « traitement du risque » signifient la même chose dans tous les documents et au sein de toutes les équipes. S'accorder tôt sur ces définitions évite les querelles de cotation qui font dérailler de nombreux ateliers de risque.

Ce que les praticiens en font concrètement

En pratique, ISO 31000 façonne le registre des risques, les ateliers d'appréciation et la remontée d'information vers la direction. Un risk manager s'en sert pour justifier pourquoi un risque est détenu, coté et traité de telle manière, et pour montrer que l'approche est cohérente plutôt qu'improvisée au cas par cas. Comme la norme n'est pas certifiable, la façon reconnue de démontrer la compétence passe par un titre personnel. Le parcours PECB déroule Foundation, puis Risk Manager, puis Lead Risk Manager, en partant de la connaissance des concepts jusqu'au pilotage d'un programme de gestion du risque à l'échelle d'une organisation.