Publiée par l'ISO en 2018, ISO 31000 fournit des lignes directrices pour la gestion des risques applicable à toute organisation, quelle que soit sa taille, son secteur d'activité ou sa nature — privée, publique ou associative. Contrairement aux normes de systèmes de management telles qu'ISO/IEC 27001 ou ISO 22301, ISO 31000 ne vise pas la certification des organisations : elle constitue un cadre de référence pour les professionnels chargés de concevoir, mettre en œuvre, piloter ou améliorer les pratiques de gestion des risques au sein de leur organisation.
Concept clé · Universalité du cadre
ISO 31000 s'applique à tout type de risque, quelle qu'en soit la nature — stratégique, opérationnel, financier, réglementaire, environnemental, sécurité de l'information, continuité d'activité. Elle ne remplace pas les normes sectorielles : elle en constitue le cadre de référence commun, garantissant la cohérence et l'articulation des démarches de gestion des risques au sein d'une organisation.
La norme s'articule autour de trois composantes interdépendantes : les principes, qui définissent les caractéristiques d'une gestion des risques efficace ; le cadre, qui organise l'intégration de la gestion des risques dans la gouvernance de l'organisation ; et le processus, qui décrit les étapes opérationnelles — communication et consultation, établissement du contexte, appréciation des risques (identification, analyse, évaluation), traitement, surveillance et revue.
La certification personnelle PECB ISO 31000 Lead Risk Manager atteste de la capacité à concevoir et à mettre en œuvre un programme de gestion des risques fondé sur ISO 31000, à en assurer le pilotage et l'amélioration continue, et à en communiquer les résultats à la direction.
ISO 31000 ne peut être enseignée de manière isolée. Sa valeur opérationnelle tient précisément à sa capacité à structurer et à unifier des démarches de gestion des risques menées dans des contextes très différents. Mon approche consiste à ancrer ISO 31000 dans son écosystème normatif et réglementaire, à articuler ses composantes avec les méthodes d'appréciation des risques reconnues, et à illustrer chaque concept par des situations issues de la pratique.
ISO 31000:2018
Gestion des risques — Lignes directrices · Cadre de référence universel, applicable à toute organisation et tout type de risque
Normes complémentaires de la famille ISO 31000
ISO 31073:2022
Gestion des risques — Vocabulaire · Terminologie de référence internationale
IEC 31010:2019
Gestion des risques — Techniques d'appréciation des risques · Répertoire de 41 méthodes et outils
Applications sectorielles — instanciation des principes ISO 31000
ISO/IEC 27005
Risques liés à la sécurité de l'information
ISO 22301
Risques liés à la continuité d'activité
EBIOS Risk Manager
Appréciation des risques cyber — environnements complexes
ISO/IEC 42001
Risques liés aux systèmes d'intelligence artificielle
Environnement réglementaire
NIS2
Gestion des risques cyber — entités essentielles et importantes
DORA
Risques liés aux TIC — secteur financier
ISO/IEC 27001
Système de Management de la Sécurité de l'Information
ISO 19011
Audit des systèmes de management
Principes — Les fondements d'une gestion des risques efficace
ISO 31000 énonce huit principes qui caractérisent une gestion des risques efficace : intégrée, structurée et exhaustive, adaptée au contexte, inclusive, dynamique, fondée sur la meilleure information disponible, tenant compte des facteurs humains et culturels, et orientée vers l'amélioration continue. Ces principes ne sont pas des exigences formelles : ils constituent le référentiel critique permettant d'évaluer la maturité d'une démarche et d'identifier les axes d'amélioration.
Cadre — Intégration à la gouvernance
Le cadre décrit comment la gestion des risques doit être intégrée à la gouvernance de l'organisation : mandat et engagement de la direction, conception du cadre (compréhension du contexte, définition des rôles et responsabilités, allocation des ressources), mise en œuvre, évaluation et amélioration. L'enjeu central est l'intégration de la gestion des risques dans les processus de décision à tous les niveaux de l'organisation — et non son traitement comme une fonction isolée ou purement réglementaire.
Processus — Appréciation et traitement des risques
Le processus ISO 31000 comprend : la communication et la consultation (continues, à toutes les étapes) ; l'établissement du contexte externe, interne et de la gestion des risques ; l'appréciation des risques (identification, analyse, évaluation) ; le traitement des risques (choix et mise en œuvre des options) ; la surveillance et la revue ; et l'enregistrement et le compte rendu. Ce processus est itératif : il s'adapte à l'évolution du contexte et des risques identifiés.
IEC 31010 — Techniques d'appréciation des risques
La norme IEC 31010:2019 recense 41 techniques d'appréciation des risques — des entretiens structurés et de l'analyse SWOT aux méthodes probabilistes (arbres de défaillance, nœuds papillon, simulation de Monte-Carlo) — et précise pour chacune les situations d'utilisation appropriées, les avantages et les limites. Sa maîtrise est indispensable pour sélectionner et appliquer les méthodes les mieux adaptées à chaque contexte opérationnel.
Articulation avec les normes sectorielles
ISO 31000 constitue le cadre générique dont ISO/IEC 27005, ISO 22301 et d'autres normes sectorielles sont des instanciations. Comprendre cette relation permet d'éviter la redondance des démarches, de garantir la cohérence du programme global de gestion des risques et de tirer pleinement parti des synergies entre les différents domaines. Cette vision transverse est particulièrement précieuse pour les organisations soumises à des exigences réglementaires multiples (NIS2, DORA, etc.).
Cette approche est nourrie par une expérience opérationnelle acquise auprès de grands groupes internationaux, d'organisations du secteur de la défense, d'entités critiques au sens des réglementations NIS2 et DORA, d'établissements d'enseignement supérieur, des Big Four et d'organismes de formation internationaux. Elle s'appuie sur une pratique de terrain développée en France, au Luxembourg et en Scandinavie, auprès d'organisations confrontées à des exigences élevées en matière de gouvernance et de gestion des risques.
La gestion des risques est souvent perçue comme une discipline technique, réservée aux spécialistes. Mon approche vise à en faire une compétence accessible à tout manager, tout auditeur et tout dirigeant, en ancrant les concepts dans des situations opérationnelles concrètes et en montrant comment ISO 31000 s'articule avec les décisions de gouvernance au quotidien.
ISO 31000 prend toute sa valeur lorsqu'elle est intégrée à la gouvernance de l'organisation — non comme une procédure parmi d'autres, mais comme une discipline de pensée qui améliore la qualité des décisions à tous les niveaux.