Maturité ISO 31000 · Gestion des risques d’entreprise
Votre gestion des risques située sur ISO 31000, traduite en plan d’action chiffré.
10 thématiques, 159 questions, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité ISO 31000 · Gestion des risques d’entreprise
10 thématiques, 159 questions, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic ISO 31000:2018 lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
L’appétence au risque est-elle définie et utilisée dans les décisions de l’organisation ?
- N1
Aucune appétence au risque formalisée. Les arbitrages se font au jugement, sans référence partagée.
- N2
Une appétence figure dans la politique de gestion des risques, mais elle reste générale et n’est pas reliée à des seuils exploitables.
- N3
L’appétence est déclinée en seuils par catégorie de risque, diffusée aux porteurs et citée lors des décisions d’investissement.
- N4
Les dépassements de seuil déclenchent une escalade tracée vers le niveau hiérarchique compétent, avec décision consignée.
- N5
L’appétence est révisée périodiquement au regard des incidents, des évolutions du contexte et de la stratégie, avec un historique documenté des révisions.
Action pour passer de N2 à N3
Traduire l’énoncé d’appétence en seuils chiffrés par catégorie de risque, les faire valider au comité des risques du prochain trimestre, puis les intégrer au modèle de fiche de risque et au dossier de décision d’investissement.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur ISO 31000.
De quoi parle ce référentiel
ISO 31000 est la norme de référence du management du risque. Elle s’organise en trois ensembles : des principes (le risque se gère de manière intégrée, structurée, adaptée au contexte, inclusive et dynamique), un cadre organisationnel (leadership et engagement, intégration, conception, mise en œuvre, évaluation, amélioration) et un processus (établissement du contexte, appréciation en trois temps avec identification, analyse et évaluation, puis traitement, enregistrement, communication et revue). La version 2018 a resserré le texte et placé le leadership de la direction au centre du cadre. ISO 31000 fournit des lignes directrices, elle ne pose pas d’exigences certifiables.
Sa difficulté de pilotage vient de là. Presque toutes les organisations déclarent s’en inspirer, peu savent dire à quel niveau de maîtrise elles se situent. La cartographie des risques sert-elle réellement aux arbitrages d’investissement, ou vit-elle sa vie à côté du plan stratégique ? Qui décide de l’appétence au risque, et cette décision est-elle écrite quelque part ? Les risques portés par les filiales et les business units remontent-ils selon une échelle comparable, ou chacune applique-t-elle sa propre cotation ? Sans réponse, le comité des risques discute d’une liste, pas d’une trajectoire.
Une confusion revient souvent : ISO 31000 n’est ni ISO 31010 ni un système de management. ISO 31010 est le catalogue des techniques d’appréciation, ISO 31000 le cadre qui dit comment les mobiliser. Et contrairement à ISO 9001 ou ISO 27001, aucun organisme ne certifie ISO 31000. Autre point de contexte : la multiplication des obligations sectorielles, DORA pour la finance, NIS 2 pour la cybersécurité, le devoir de vigilance et la CSRD pour les risques extra-financiers, pousse à unifier des dispositifs jusqu’ici séparés. ISO 31000 fournit précisément la grammaire commune, à condition d’être appliquée au-delà du vocabulaire.
Le diagnostic de maturité pose une question différente de celle de l’audit de conformité. L’audit demande si l’exigence est satisfaite, oui ou non. Le diagnostic situe chaque pratique sur une échelle progressive, du geste informel au dispositif révisé sur la base des retours d’expérience, et nomme l’action qui fait passer au niveau suivant. Sur une norme de lignes directrices comme ISO 31000, c’est la seule lecture qui produise une trajectoire exploitable en comité.
Dans Datamensio, le référentiel est prêt à l’emploi et vous en gardez la maîtrise. L’IA ajuste les thématiques, les questions et la formulation des niveaux selon votre secteur et votre taille, ou construit une déclinaison à partir de votre politique de gestion des risques et de vos cartographies existantes. Les modèles mobilisés sont sélectionnables, y compris parmi des offres européennes.
Norme de référence : ISO 31000:2018
Les thématiques évaluées
Principes et politique de gestion des risques
Existence d’une politique validée, cohérence avec les principes de la norme, périmètre couvert, définition de l’appétence et de la tolérance au risque, actualisation.
Leadership et engagement de la direction
Portage par la direction générale, mandat donné à la fonction risques, ressources allouées, arbitrages tranchés au bon niveau, rôle du conseil et du comité des risques.
Intégration à la gouvernance et à la stratégie
Articulation avec le plan stratégique, prise en compte du risque dans les décisions d’investissement et les projets, insertion dans le cycle budgétaire et les revues de performance.
Conception du cadre organisationnel
Compréhension du contexte interne et externe, rôles et responsabilités attribués, lignes de maîtrise, articulation avec l’audit interne, la conformité et la sécurité.
Identification des risques
Sources et méthodes d’identification, couverture des risques stratégiques, opérationnels, financiers, extra-financiers et émergents, fréquence des revues, contribution des métiers.
Analyse et évaluation
Échelle de cotation commune, évaluation de la vraisemblance et de l’impact, distinction risque brut et risque net, hiérarchisation, critères de dépassement de seuil.
Traitement des risques
Choix des options de traitement, désignation des porteurs, plans d’action datés, suivi jusqu’à clôture, acceptation formelle des risques résiduels.
Communication et concertation
Restitution au comité des risques et au conseil, format et périodicité du reporting, dialogue avec les parties prenantes internes et externes, sensibilisation des métiers.
Surveillance et revue du dispositif
Indicateurs de suivi, seuils d’alerte, déclenchement des réévaluations, intégration des incidents survenus et des retours d’audit.
Amélioration continue
Retours d’expérience formalisés, révision de la méthode et des échelles, comparaison des évaluations dans le temps et entre entités, maturité du dispositif lui-même.
Une version courte du référentiel, en 34 questions, est disponible pour l’auto-évaluation en ligne. La version complète compte 10 thématiques et 159 questions.
Questions fréquentes
ISO 31000 est-elle certifiable ?
Non. La norme fournit des lignes directrices, pas des exigences auditables par un organisme. Le diagnostic mesure votre niveau de maturité et prépare les audits de systèmes de management qui examinent l’approche par les risques, comme ISO 9001, ISO 22301 ou ISO 27001.
Quelle différence entre un diagnostic de maturité et un audit de conformité ?
L’audit conclut par un écart ou une conformité sur une exigence donnée. Le diagnostic situe chaque pratique sur une échelle progressive et nomme l’action qui fait monter d’un niveau. Sur une norme de lignes directrices, cette seconde lecture est la seule qui produise une feuille de route.
Combien de temps prend l’évaluation ?
La version courte se remplit en une session de travail. La version complète, en mode collaboratif avec plusieurs contributeurs, s’étale généralement sur une à deux semaines, l’essentiel du temps servant à collecter les éléments auprès des directions concernées.
Peut-on adapter le référentiel à notre organisation ?
Oui. Vous modifiez les questions, la formulation des niveaux, ajoutez vos thématiques ou partez d’une base vierge. L’IA peut aussi générer une déclinaison à partir de votre politique de gestion des risques et de vos cartographies. Le référentiel vous appartient.
Comment comparer plusieurs filiales ou business units ?
Le même référentiel est diffusé à chaque entité, ce qui rend les scores comparables par thématique. Le benchmark situe chaque entité par rapport aux autres et par rapport à ses propres évaluations passées. Une feuille de route transverse consolide les plans d’action sans les dupliquer.
Comment ce diagnostic s’articule-t-il avec DORA, NIS 2 ou ISO 22301 ?
Ces textes imposent des dispositifs de gestion des risques qui reposent sur les mêmes principes. Un diagnostic ISO 31000 solide constitue le socle commun, les référentiels sectoriels venant ensuite couvrir leurs exigences propres. Les plans d’action se croisent dans une feuille de route unique.
Faut-il une expertise technique pour répondre ?
Les questions portent sur les pratiques de gouvernance et de gestion, pas sur des méthodes quantitatives. Un risk manager, un auditeur interne ou un contrôleur interne y répond. Le mode collaboratif permet d’affecter les questions spécifiques au bon interlocuteur.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés sont sélectionnables, y compris parmi des offres européennes.