Maturitate ISO 31000 · Gestionarea riscurilor întreprinderii
Gestionarea riscurilor dumneavoastră situată pe ISO 31000, tradusă într-un plan de acțiune cuantificat.
10 domenii tematice, 159 întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO 31000 · Gestionarea riscurilor întreprinderii
10 domenii tematice, 159 întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO 31000:2018 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care leagă cele două) este cel care transformă o constatare într-o traiectorie.
Apetitul pentru risc este definit și utilizat în deciziile organizației?
- N1
Niciun apetit pentru risc formalizat. Deciziile se iau după judecată, fără referință comună.
- N2
Un apetit figurează în politica de gestionare a riscurilor, dar rămâne general și nu este legat de praguri exploatabile.
- N3
Apetitul este declinat în praguri pe categorie de risc, difuzat responsabililor și citat în deciziile de investiție.
- N4
Depășirile de prag declanșează o escaladare trasabilă către nivelul ierarhic competent, cu decizie consemnată.
- N5
Apetitul este revizuit periodic în raport cu incidentele, evoluțiile contextului și strategia, cu un istoric documentat al revizuirilor.
Acțiune pentru trecerea de la N2 la N3
Traducerea enunțului de apetit în praguri cuantificate pe categorie de risc, validarea lor în comitetul de riscuri din trimestrul următor, apoi integrarea lor în modelul de fișă de risc și în dosarul de decizie de investiție.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 31000.
Despre ce vorbește acest cadru de referință
ISO 31000 este standardul de referință al managementului riscului. Se organizează în trei ansambluri: principii (riscul se gestionează în mod integrat, structurat, adaptat contextului, incluziv și dinamic), un cadru organizațional (leadership și angajament, integrare, concepere, implementare, evaluare, îmbunătățire) și un proces (stabilirea contextului, apreciere în trei etape cu identificare, analiză și evaluare, apoi tratare, înregistrare, comunicare și revizuire). Versiunea din 2018 a condensat textul și a plasat leadershipul conducerii în centrul cadrului. ISO 31000 furnizează linii directoare, nu stabilește cerințe certificabile.
Dificultatea sa de pilotaj provine de aici. Aproape toate organizațiile declară că se inspiră din aceasta, puține știu să spună la ce nivel de stăpânire se situează. Harta riscurilor servește cu adevărat deciziilor de investiție, sau trăiește separat de planul strategic? Cine decide apetitul pentru risc, și această decizie este scrisă undeva? Riscurile purtate de filiale și unitățile de afaceri sunt raportate conform unei scale comparabile, sau fiecare aplică propria cotare? Fără răspuns, comitetul de riscuri discută o listă, nu o traiectorie.
O confuzie revine adesea: ISO 31000 nu este ISO 31010 și nici un sistem de management. ISO 31010 este catalogul tehnicilor de apreciere, ISO 31000 cadrul care spune cum să le mobilizeze. Și spre deosebire de ISO 9001 sau ISO 27001, niciun organism nu certifică ISO 31000. Alt punct de context: multiplicarea obligațiilor sectoriale, DORA pentru finanțe, NIS 2 pentru securitatea cibernetică, datoria de vigilență și CSRD pentru riscurile extra-financiare, împinge spre unificarea dispozitivelor până acum separate. ISO 31000 furnizează tocmai gramatica comună, cu condiția să fie aplicată dincolo de vocabular.
Diagnosticul de maturitate pune o întrebare diferită de cea a auditului de conformitate. Auditul întreabă dacă cerința este satisfăcută, da sau nu. Diagnosticul situează fiecare practică pe o scală progresivă, de la gestul informal la dispozitivul revizuit pe baza retururilor de experiență, și numește acțiunea care face trecerea la nivelul următor. Pe un standard cu linii directoare precum ISO 31000, aceasta este singura lectură care produce o traiectorie exploatabilă în comitet.
În Datamensio, cadrul de referință este gata de utilizare și dumneavoastră păstrați controlul asupra lui. IA ajustează domeniile tematice, întrebările și formularea nivelurilor în funcție de sectorul și dimensiunea dumneavoastră, sau construiește o declinare pornind de la politica dumneavoastră de gestionare a riscurilor și de la hărțile existente. Modelele mobilizate pot fi selectate, inclusiv dintre ofertele europene.
Standard de referință: ISO 31000:2018
Domeniile tematice evaluate
Principii și politică de gestionare a riscurilor
Existența unei politici validate, coerență cu principiile standardului, perimetrul acoperit, definirea apetitului și a toleranței la risc, actualizare.
Leadership și angajamentul conducerii
Susținere de către conducerea generală, mandat acordat funcției de riscuri, resurse alocate, decizii tranșate la nivelul potrivit, rolul consiliului și al comitetului de riscuri.
Integrarea în guvernanță și strategie
Articularea cu planul strategic, luarea în considerare a riscului în deciziile de investiție și proiecte, inserarea în ciclul bugetar și în revizuirile de performanță.
Conceperea cadrului organizațional
Înțelegerea contextului intern și extern, roluri și responsabilități atribuite, linii de apărare, articularea cu auditul intern, conformitatea și securitatea.
Identificarea riscurilor
Surse și metode de identificare, acoperirea riscurilor strategice, operaționale, financiare, extra-financiare și emergente, frecvența revizuirilor, contribuția departamentelor.
Analiză și evaluare
Scală de cotare comună, evaluarea probabilității și impactului, distincția risc brut și risc net, ierarhizare, criterii de depășire a pragului.
Tratarea riscurilor
Alegerea opțiunilor de tratare, desemnarea responsabililor, planuri de acțiune datate, urmărire până la închidere, acceptarea formală a riscurilor reziduale.
Comunicare și consultare
Prezentarea rezultatelor către comitetul de riscuri și consiliu, format și periodicitate a raportării, dialog cu părțile interesate interne și externe, sensibilizarea departamentelor.
Supraveghere și revizuire a dispozitivului
Indicatori de urmărire, praguri de alertă, declanșarea reevaluărilor, integrarea incidentelor survenite și a concluziilor de audit.
Îmbunătățire continuă
Retururi de experiență formalizate, revizuirea metodei și a scalelor, compararea evaluărilor în timp și între entități, maturitatea dispozitivului însuși.
O versiune scurtă a cadrului de referință, cu 34 întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și 159 întrebări.
Întrebări frecvente
ISO 31000 este certificabilă?
Nu. Standardul furnizează linii directoare, nu cerințe auditabile de către un organism. Diagnosticul măsoară nivelul dumneavoastră de maturitate și pregătește auditurile sistemelor de management care examinează abordarea prin riscuri, precum ISO 9001, ISO 22301 sau ISO 27001.
Ce diferență există între un diagnostic de maturitate și un audit de conformitate?
Auditul concluzionează printr-un decalaj sau o conformitate pe o cerință dată. Diagnosticul situează fiecare practică pe o scală progresivă și numește acțiunea care face trecerea la un nivel superior. Pe un standard cu linii directoare, această a doua lectură este singura care produce o foaie de parcurs.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o sesiune de lucru. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se întinde în general pe una până la două săptămâni, cea mai mare parte a timpului fiind folosită pentru colectarea elementelor de la direcțiile vizate.
Se poate adapta cadrul de referință la organizația noastră?
Da. Modificați întrebările, formularea nivelurilor, adăugați domeniile dumneavoastră tematice sau porniți de la o bază neutră. IA poate de asemenea genera o declinare pornind de la politica dumneavoastră de gestionare a riscurilor și de la hărțile dumneavoastră. Cadrul de referință vă aparține.
Cum se pot compara mai multe filiale sau unități de afaceri?
Același cadru de referință este difuzat fiecărei entități, ceea ce face scorurile comparabile pe domeniu tematic. Benchmarkul situează fiecare entitate în raport cu celelalte și în raport cu propriile evaluări trecute. O foaie de parcurs transversală consolidează planurile de acțiune fără a le duplica.
Cum se articulează acest diagnostic cu DORA, NIS 2 sau ISO 22301?
Aceste texte impun dispozitive de gestionare a riscurilor care se bazează pe aceleași principii. Un diagnostic ISO 31000 solid constituie soclul comun, cadrele de referință sectoriale venind apoi să acopere cerințele proprii. Planurile de acțiune se întretaie într-o foaie de parcurs unică.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de guvernanță și gestionare, nu metode cantitative. Un risk manager, un auditor intern sau un controlor intern poate răspunde. Modul colaborativ permite alocarea întrebărilor specifice interlocutorului potrivit.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA mobilizate pot fi selectate, inclusiv dintre ofertele europene.