ISO 31000

Risk management

ISO 31000 est une famille de normes relatives à la gestion des risques codifiées par l'Organisation internationale de normalisation. ISO 31000:2018 fournit des principes et des lignes directrices génériques sur la gestion des risques auxquels les organisations pourraient être confrontées négativement, car ceux-ci pourraient avoir des conséquences en termes de performance économique et de réputation professionnelle.

ISO 31000 vise à fournir un paradigme universellement reconnu pour les praticiens et les entreprises employant des processus de gestion des risques pour remplacer la myriade de normes, méthodologies et paradigmes existants qui diffèrent selon les secteurs, les domaines et les régions. À cette fin, les recommandations fournies dans la norme ISO 31000 peuvent être adaptées à toute organisation et à son contexte.

La portée de cette approche de la gestion des risques est de permettre à toutes les tâches stratégiques, de gestion et opérationnelles d'une organisation à travers les projets, les fonctions et les processus d'être alignées sur un ensemble commun d'objectifs de gestion des risques.

En conséquence, la norme ISO 31000 s'adresse à un large groupe de parties prenantes, notamment :

parties prenantes au niveau de la direction

titulaires de nomination au sein du groupe de gestion des risques d'entreprise

analystes des risques et dirigeants

les supérieurs hiérarchiques et les chefs de projet

conformité et auditeurs internes

praticiens indépendants.

ISO 31000 donne une liste sur la manière de gérer les risques :

Éviter le risque en décidant de ne pas démarrer ou poursuivre l’activité qui donne lieu au risque

Accepter ou augmenter le risque afin de saisir une opportunité

Supprimer la source de risque

Changer la probabilité

Changer les conséquences

Partager le risque avec une ou plusieurs autres parties (y compris les contrats et le financement des risques)

Conserver le risque grâce à une décision éclairée

Le processus de gestion des risques décrit dans la norme ISO 31000 comprend les activités suivantes :

Identification des risques : identifier ce qui pourrait nous empêcher d’atteindre nos objectifs.

Analyse des risques : comprendre les sources et les causes des risques identifiés ; étudier les probabilités et les conséquences compte tenu des contrôles existants, pour identifier le niveau de risque résiduel.

Évaluation des risques : comparer les résultats de l'analyse des risques avec les critères de risque pour déterminer si le risque résiduel est tolérable.

Traitement des risques : modifier l'ampleur et la probabilité des conséquences, tant positives que négatives, pour obtenir une augmentation nette des avantages.

Établir le contexte : cette activité, qui n’était pas incluse dans les descriptions précédentes du processus de gestion des risques, consiste à définir le périmètre du processus de gestion des risques, à définir les objectifs de l’organisation et à établir les critères d’évaluation des risques. Le contexte comprend à la fois des éléments externes (environnement réglementaire, conditions de marché, attentes des parties prenantes externes) et des éléments internes (la gouvernance de l’organisation, la culture, les normes et règles, les capacités, les contrats existants, les attentes des travailleurs, les systèmes d’information, etc.).

Suivi et examen : cette tâche consiste à mesurer la performance de la gestion des risques par rapport à des indicateurs, dont la pertinence est périodiquement revue. Il s'agit de vérifier les écarts par rapport au plan de gestion des risques, de vérifier si le cadre, la politique et le plan de gestion des risques sont toujours appropriés, compte tenu du contexte externe et interne de l'organisation, de rendre compte des risques, de l'avancement du plan de gestion des risques et de l'efficacité de la politique de gestion des risques. est suivi et examine l’efficacité du cadre de gestion des risques.

Communication et concertation. Cette tâche permet de comprendre les intérêts et les préoccupations des parties prenantes, de vérifier que le processus de gestion des risques se concentre sur les bons éléments, et aide également à expliquer la justification des décisions et des options particulières de traitement des risques.

La norme comprend un certain nombre de principes que la gestion des risques doit vérifier :

crée et protège de la valeur

est basé sur les meilleures informations

fait partie intégrante des processus organisationnels

est adapté

fait partie de la prise de décision

prend en compte les facteurs humains et culturels

aborde explicitement l’incertitude

est transparent et inclusif

est systématique, structuré et opportun

est dynamique, itératif et réactif au changement

facilite l’amélioration continue de l’organisation