ISO 31000 : principes, cadre et processus du management du risque

ISO 31000 est la norme internationale qui donne des lignes directrices pour le management du risque : huit principes, un cadre organisationnel porté par la direction et un processus applicable à tous les risques, dans toute organisation. Elle est la référence commune de la gestion des risques, et les méthodes spécialisées, d'ISO 27005 à EBIOS Risk Manager, reprennent son processus. Elle a une particularité qui surprend souvent : elle ne se certifie pas. Voici ce qu'elle contient, ce qui la distingue d'ISO 27005 et comment s'en servir.

La norme ISO 31000, intitulée « Management du risque — Lignes directrices », s'adresse à toute organisation, quels que soient sa taille, son activité et son secteur, et à tous les types de risques. Elle ne dit pas quels risques gérer ni comment les coter : elle décrit une façon d'organiser la gestion des risques pour qu'elle serve réellement les décisions.

• Historique : une première édition en 2009, puis une deuxième en 2018, plus courte et centrée sur la création de valeur, que l'ISO a présentée comme une simplification. Cette édition 2018 a été réexaminée et confirmée en 2023.
• En France : elle est publiée par l'AFNOR sous la référence NF ISO 31000 (juin 2018), qui a remplacé la version de 2010.
• Révision en cours : un projet de troisième édition est à l'étude au comité technique ISO/TC 262, chargé du management du risque. Tant qu'il n'est pas publié, la version de 2018 reste la référence.

Elle repose sur une définition très courte du risque : l'effet de l'incertitude sur les objectifs. Cet effet peut être positif ou négatif, ce qui fait du management du risque un outil de décision autant que de protection.

Au centre de la norme figure la finalité du management du risque : créer et protéger la valeur. Huit principes décrivent ce qui rend un dispositif efficace. Ils servent de grille de lecture : un dispositif qui en ignore un fonctionne mal, même avec une excellente méthode de cotation.

Le cadre décrit comment intégrer le management du risque dans l'organisation. Il place au centre le leadership et l'engagement de la direction, entouré de cinq activités qui forment un cycle :

• intégration : inscrire la gestion des risques dans la gouvernance, la stratégie et les opérations ;
• conception : comprendre l'organisation et son contexte, formuler l'engagement, attribuer les rôles et les responsabilités, allouer les ressources, organiser la communication ;
• mise en œuvre : déployer le dispositif, avec un plan, des échéances et des décisions réellement prises en compte ;
• évaluation : mesurer périodiquement si le dispositif atteint ses objectifs ;
• amélioration : adapter le dispositif et corriger ses faiblesses.

C'est la partie la plus souvent négligée. Beaucoup d'organisations ont un processus d'appréciation des risques sans cadre : pas de mandat de la direction, pas de propriétaire désigné, pas de revue. Les rôles que ce cadre doit répartir sont détaillés dans notre article sur la gestion des risques et celui sur le risk manager.

Le processus d'ISO 31000 compte six activités, telles qu'elles apparaissent dans le sommaire public de la norme :

1. Communication et consultation, tout au long du processus, avec les parties prenantes internes et externes.
2. Périmètre, contexte et critères : ce que couvre l'exercice, l'environnement interne et externe, et les critères qui diront si un risque est acceptable.
3. Appréciation du risque, en trois temps : identification, analyse (causes, conséquences, vraisemblance, efficacité des mesures existantes) et évaluation par comparaison aux critères.
4. Traitement du risque : choix des options (éviter, réduire, partager, conserver, ou prendre un risque pour saisir une opportunité), puis plan de traitement.
5. Suivi et revue, pour vérifier que le processus et ses résultats restent pertinents.
6. Enregistrement et élaboration de rapports, pour tracer les décisions et rendre compte.

Ce processus générique est celui que reprennent les normes et méthodes spécialisées. Le schéma ci-dessous montre comment les trois parties de la norme s'articulent, puis comment le même processus se décline selon le domaine.

La norme ne vient pas seule. Deux documents l'accompagnent le plus souvent :

• ISO 31073:2022, le vocabulaire du management du risque, qui a remplacé l'ancien Guide 73 : risque, source de risque, propriétaire du risque, appétence pour le risque, risque résiduel ;
• IEC 31010:2019, qui présente des techniques d'appréciation du risque : remue-méninges, entretiens structurés, analyse des modes de défaillance, arbres de défaillances, nœud papillon, matrice gravité et vraisemblance, et bien d'autres, avec leurs forces et leurs limites.

Ces normes partagent le même vocabulaire que les normes de systèmes de management, ce qui facilite les ponts avec ISO 27001, ISO 22301 ou ISO 9001.

ISO/IEC 27005 applique le processus d'ISO 31000 à la sécurité de l'information. Sa quatrième édition, publiée en octobre 2022, s'aligne explicitement sur ISO 31000:2018 et sur ISO/IEC 27001:2022. Les deux normes ne s'opposent pas : l'une donne le cadre général, l'autre le décline pour un domaine.

La méthode française EBIOS Risk Manager s'inscrit dans le même paysage : son guide la déclare compatible avec ISO 31000:2018 et conforme à ISO/IEC 27005:2022. En pratique, une organisation choisit ISO 31000 pour son dispositif d'ensemble, puis ISO 27005 ou EBIOS RM pour ses analyses de risques de sécurité, avec les mêmes échelles, de façon que les risques cyber remontent dans la cartographie des risques de l'entreprise.

C'est une question fréquente, et la réponse est nette : une organisation ne peut pas être certifiée ISO 31000. L'ISO l'indique elle-même : la norme fournit des lignes directrices et non des exigences, elle n'est donc pas destinée à la certification, mais elle peut guider les programmes d'audit interne ou externe. Une norme certifiable, comme ISO 27001, emploie le verbe « doit » et fixe des exigences vérifiables ; ISO 31000 emploie la formule « il convient de » et propose des bonnes pratiques.

Trois confusions reviennent souvent :

• Les certificats de personnes délivrés par des organismes de formation (« risk manager ISO 31000 ») attestent qu'une personne a suivi une formation et réussi un examen, pas qu'une organisation applique la norme.
• Les certifications de systèmes de management comme ISO 27001, ISO 22301 ou ISO 9001 exigent une approche par les risques. ISO 31000 aide à la construire, mais c'est la norme certifiable qui est auditée.
• Une évaluation par un tiers au regard d'ISO 31000 reste possible, sous forme d'audit ou de diagnostic de maturité. Elle a de la valeur, mais ne donne pas lieu à un certificat accrédité.