Plateforme
Modules
Par secteur
By sector
Les normes que nous couvrons
Blog
Actualités
Événements
Normes · Gestion des risques
L'ISO 31000 et les techniques de l'IEC 31010, et ce que chaque secteur appelle le même processus : ISO/IEC 27005, ISO 14971, ICH Q9, NIST, COSO, FMEA et HAZOP. Expliqués en mots simples, dans un seul catalogue, chaque entrée renvoyant à sa source.
Vue d'ensemble
Quatre points à connaître avant le détail. Les normes sectorielles diffèrent par le vocabulaire et par l'enregistrement qu'elles exigent, pas par le processus.
Contexte, identification, analyse, évaluation, traitement, surveillance et revue. Des lignes directrices, pas un certificat : un auditeur cherche le processus en marche et ses enregistrements.
FMEA, HAZOP, nœud papillon, arbres de défaillances et d'événements, Monte-Carlo et FAIR, avec un tableau indiquant quelle technique convient à quelle étape. Les plus utilisées ont leur propre norme de méthode.
ISO/IEC 27005 pour la sécurité, ISO 14971 pour les dispositifs médicaux, ICH Q9 pour la pharmacie, NIST RMF et COSO pour les systèmes et l'entreprise, l'approche par les risques pour l'ISO 9001 et l'AQAP 2110.
Chacun d'eux aboutit à un enregistrement : le risque, son propriétaire, l'analyse, le traitement, le risque résiduel et la date de revue. Cherchez les vôtres dans le catalogue ci-dessous.
Toutes les normes de système de management présentes sur ce site vous demandent de gérer les risques, et chaque secteur a sa propre norme pour dire comment. L'ISO 9001 et l'AQAP 2110 parlent d'approche par les risques. La sécurité de l'information a l'ISO/IEC 27005 et le NIST Risk Management Framework. Les dispositifs médicaux ont l'ISO 14971, la pharmacie l'ICH Q9, la gouvernance d'entreprise le COSO, et les disciplines de sécurité ont la sécurité fonctionnelle et l'analyse des dangers des procédés. C'est un seul processus sous des noms différents, et la norme qui décrit le processus lui-même est l'ISO 31000. Cette page explique ce processus, les techniques auxquelles il fait appel, ce que chaque secteur y ajoute et d'où viennent les documents. L'explorateur plus bas trouve ensuite celles qui s'appliquent à vous.
L'ISO 31000, dans son édition de 2018, donne des lignes directrices pour gérer les risques de toute nature. Elle énonce des principes, un cadre pour inscrire la gestion des risques dans la gouvernance d'une organisation, et le processus lui-même : établir le domaine d'application, le contexte et les critères ; identifier ce qui peut arriver et comment ; analyser la vraisemblance et les conséquences ; évaluer au regard des critères ; traiter le risque en l'évitant, en le réduisant, en le partageant ou en l'acceptant ; et surveiller, revoir, enregistrer et rendre compte. Elle n'est délibérément pas certifiable. Ce qu'un auditeur ou un inspecteur cherche, c'est le processus en marche et ses enregistrements, et chaque norme sectorielle ci-dessous est ce processus avec son vocabulaire et ses livrables propres. Voir ISO 31000.
L'IEC 31010 est le catalogue de techniques qui l'accompagne, une quarantaine, avec un tableau indiquant lesquelles conviennent à quelle étape. Certaines recueillent des avis : remue-méninges, entretiens structurés, méthode Delphi. Certaines identifient : listes de contrôle, études de dangers et d'exploitabilité, analyses structurées par scénarios, analyses de scénarios. Certaines analysent : analyse des modes de défaillance et de leurs effets, avec ou sans criticité, analyse par arbre de défaillances et par arbre d'événements, analyse en nœud papillon, réseaux bayésiens, analyse de Markov, simulation de Monte-Carlo. Certaines évaluent : aussi bas que raisonnablement praticable, analyse coûts-bénéfices, matrices de risque. Les plus utilisées ont leur propre norme de méthode. L'IEC 60812 est la norme de la FMEA et de la FMECA, la technique qui sous-tend le travail de fiabilité en conception et en procédé. L'IEC 61882 est la norme de l'HAZOP, l'étude structurée en équipe des déviations dans la conception d'un procédé que mènent les industries chimique et pharmaceutique. L'IEC 61508 est la sécurité fonctionnelle, le cycle de vie de sécurité et les niveaux d'intégrité de sécurité dont dérivent les normes sectorielles pour les machines, le ferroviaire, l'automobile et les installations de procédés.
En management de la qualité, l'ISO 9001 demande une approche par les risques dans la planification du système et de ses processus, et l'AQAP 2110 en fait une exigence : un fournisseur de défense identifie et gère les risques sur toute la durée du contrat, et le client peut demander à voir l'analyse. En sécurité de l'information, l'ISO/IEC 27005 décrit l'appréciation et le traitement qu'exige l'ISO/IEC 27001, le NIST SP 800-30 décrit une appréciation et le SP 800-37 le cadre en sept étapes qui relie catégorisation, sélection des mesures, évaluation et autorisation, et FAIR quantifie le risque cyber en fréquence et en ampleur de perte plutôt qu'en couleurs. Pour les dispositifs médicaux, l'ISO 14971 déroule le processus sur les phénomènes dangereux, les situations dangereuses et le dommage, exige la maîtrise du risque et un jugement bénéfice-risque, et se poursuit en production et après production ; chaque décision de conception du dossier technique y renvoie. En pharmacie, l'ICH Q9 est la gestion du risque qualité, révisée en 2023 pour préciser le degré de formalisme attendu et comment en écarter la subjectivité, et son annexe énumère les mêmes techniques que l'IEC 31010. En gouvernance d'entreprise, le cadre COSO intègre le risque à l'échelle de l'entreprise avec la stratégie et la performance, et c'est lui qu'un conseil d'administration et un auditeur externe reconnaissent. La continuité d'activité, l'ISO 22301, est le même processus tourné vers les perturbations, avec un bilan d'impact sur l'activité à la place de la liste des dangers. Et le nom le plus récent est l'IA : l'ISO/IEC 23894 et le NIST AI Risk Management Framework appliquent le processus aux systèmes d'intelligence artificielle, et le règlement européen sur l'IA rend obligatoire un système de gestion des risques pour ceux à haut risque. Voir ISO/IEC 27005, et les pages défense, cybersécurité et pharmaceutique et dispositifs médicaux pour les normes sectorielles elles-mêmes.
Quel que soit le nom que lui donne le secteur, le processus aboutit à un enregistrement, et c'est cet enregistrement que lisent un auditeur, un inspecteur, un organisme notifié ou un client. Un registre des risques contient chaque risque, son propriétaire, l'analyse dans l'échelle que prescrit la norme, le traitement retenu, le risque résiduel après traitement, et la date de la dernière revue. Le dossier de gestion des risques d'un dispositif médical, un plan de traitement du risque en sécurité de l'information, l'analyse de risque d'un contrat de défense et une appréciation du risque qualité pharmaceutique sont le même registre avec des colonnes différentes. L'historique des revues compte autant que les entrées : un registre écrit une fois et jamais rouvert montre un processus qui n'a tourné qu'une fois.
L'ISO 31000, l'IEC 31010, l'ISO 14971 et l'ISO/IEC 27005 s'achètent auprès de l'ISO, de l'IEC ou de votre organisme national de normalisation, et les normes de méthode de l'IEC également. Toutes les publications du NIST, dont le SP 800-30, le SP 800-37 et l'AI Risk Management Framework, sont gratuites auprès du NIST. L'ICH Q9 est gratuite auprès de l'ICH, la norme Open FAIR auprès de The Open Group après inscription, et le cadre COSO s'achète auprès du COSO. Chaque entrée de l'explorateur ci-dessous renvoie à sa source.
Ni cette page, ni nous. La norme de système de management que vous détenez nomme le processus de risque qu'elle attend, le contrat nomme la norme, et la réglementation nomme le dossier. Ce que l'explorateur peut faire, c'est vous montrer la carte entière : cherchez par nom, parcourez par famille, ou répondez à quatre questions sur l'origine de votre exigence et voyez les normes et les techniques sur lesquelles les entreprises comme la vôtre sont couramment interrogées. Chaque entrée renvoie à sa source, à sa page ComplyTrain lorsqu'elle existe, et sinon à une demande. ComplyTrain tient une norme sous forme d'arbre d'exigences avec les preuves associées à chaque exigence, et un registre des risques est l'un des enregistrements qu'il conserve.
Explorateur de normes
Cherchez ensemble dans l'ISO 31000 et l'IEC 31010, les normes de méthode, les normes de risque sectorielles et les cadres, parcourez-les par famille, ou répondez à quatre questions sur l'origine de votre exigence.
Rien ne correspond. Essayez un numéro, un code, ou parcourez par famille.
La norme de risque qui s'applique à vous est fixée par la norme de système de management que vous détenez, le contrat qui la nomme et la réglementation qui exige le dossier. Considérez ceci comme une carte, pas comme un verdict.
Quatre questions, cochez tout ce qui s'applique. Rien n'est enregistré.
Les normes et les techniques sur lesquelles les entreprises comme la vôtre sont couramment interrogées. À confirmer avec votre système de management et votre contrat.
La norme de risque qui s'applique à vous est fixée par la norme de système de management que vous détenez, le contrat qui la nomme et la réglementation qui exige le dossier. Considérez ceci comme une carte, pas comme un verdict.
Chaque page expose ce que la norme exige de vous et comment un espace de travail ComplyTrain s'organise autour d'elle. Le catalogue ci-dessus en contient bien davantage, et toute entrée peut être demandée. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet.
ISO 31000
ISO 31000 est la norme internationale qui encadre le management du risque. Le module de management du risque de ComplyTrain s'appuie sur son processus. Le risque devient ainsi un cadre vivant, partagé dans toute l'organisation, et non un tableur revu une fois par an.
ISO/IEC 27005
ISO 27005 fournit les lignes directrices pour le management du risque en sécurité de l'information. Elle couvre l'appréciation et le traitement du risque qu'ISO 27001 exige sans les décrire. ComplyTrain en fait un registre vivant, et non un document annuel.
Une norme arrive le plus souvent comme une condition contractuelle ou un courrier d'une autorité, pas comme un projet que quelqu'un avait prévu, et souvent dans une entreprise sans responsable qualité. Le logiciel est la moitié de la réponse. Les consultants de Skylen sont l'autre moitié, et parce qu'ils s'appuient sur ComplyTrain dès le premier jour, il vous reste un système vivant qui appartient à votre équipe plutôt qu'un classeur et un consultant reparti.
Une lecture clause par clause de votre situation au regard de la norme que cite votre contrat ou votre autorité, transformée en un plan priorisé que vous pourrez mener avec nous ou seul.
Ce que couvre une analyseNos consultants construisent le système avec votre équipe - procédures, maîtrise documentaire, les enregistrements à conserver et le rythme des revues - et vous préparent à l'audit ou à l'inspection.
Comment se déroule une missionNous exploitons et maintenons le système pour vous, afin qu'une petite équipe puisse atteindre et tenir une norme sans recruter un responsable qualité.
Ce que signifie le service completNon. L'ISO 31000 donne des lignes directrices, rédigées de façon à ne pas pouvoir servir à une certification, et un certificat qui prétend le contraire ne vaut pas le papier sur lequel il est imprimé. Ce qui est certifié, c'est le système de management qui utilise le processus, l'ISO 9001, l'ISO/IEC 27001 ou l'ISO 13485, et l'auditeur vérifie que le processus de risque exigé par le système fonctionne et est enregistré. Voir ISO 31000.
Un processus, et autant de vues sur ce processus que vos normes l'exigent. Une entreprise qui détient l'ISO 9001 et l'ISO/IEC 27001 et fabrique un dispositif médical a des risques qualité, des risques de sécurité de l'information et un dossier de gestion des risques du dispositif, chacun avec les colonnes que prescrit sa norme, et l'auditeur de l'un ne voudra pas lire les autres. Les tenir dans un seul système, avec une méthode et un rythme de revue, est ce qui rend cela gérable.
Celle qui convient à la question et que votre norme ou votre client attend. La FMEA porte sur les modes de défaillance d'une conception ou d'un procédé et c'est ce qu'un ingénieur fiabilité ou un organisme notifié pour les dispositifs s'attend à voir. L'HAZOP porte sur les déviations dans la conception d'un procédé et est la norme dans les usines chimiques et pharmaceutiques. Le nœud papillon sert à montrer les barrières entre causes et conséquences et se lit bien pour la direction. Les méthodes quantitatives comme FAIR et Monte-Carlo servent lorsqu'un chiffre est attendu, en risque cyber et en finance. L'IEC 31010 contient le tableau complet.
Un phénomène dangereux est une source potentielle de dommage ; un risque est la combinaison de la probabilité du dommage et de sa gravité. L'ISO 14971 ajoute un troisième terme, la situation dangereuse, la circonstance dans laquelle des personnes sont exposées au phénomène dangereux, et demande d'estimer le risque de chacune. La plupart des différences de vocabulaire entre normes sectorielles sont de cet ordre : le même processus, avec des étapes nommées plus ou moins finement.
Non. La certification est délivrée par un organisme de certification accrédité, une autorisation par votre autorité, et l'assurance qualité étatique est exercée par l'autorité d'acquisition. ComplyTrain est le système dans lequel vous construisez, pilotez et prouvez votre conformité, et les consultants de Skylen peuvent vous accompagner dans ce travail. Le certificat, c'est à vous de l'obtenir.
Oui, c'est précisément à cela que sert le bouton « Demander l'accès » présent sur chaque entrée. Indiquez-nous la norme et l'origine de l'exigence, et nous revenons vers vous sur ce qu'implique de la tenir dans votre espace de travail, en général sous un jour ouvré. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet. ComplyTrain tient une norme sous forme d'arbre d'exigences avec vos preuves associées à chaque exigence, et c'est cet arbre que nous construisons.