ISO/IEC 31000

Ce que la norme couvre

• Principes de création/protection de valeur par le risque.
• Cadre de gouvernance et intégration au management.
• Processus d'identification, analyse, évaluation et traitement.
• Communication, consultation et surveillance continue.

Ce que la norme ne couvre pas seule

• Norme généraliste sans détail technique cyber.
• Doit être déclinée via des normes spécialisées (27005, 22301, etc.).
• N'apporte pas de catalogue de contrôles opérationnels.

Livrables attendus en audit

• Politique de gestion des risques entreprise.
• Taxonomie de risque harmonisée et critères d'acceptation.
• Cycle de revue de risque lié aux décisions stratégiques.

Indicateurs utiles

• % de risques stratégiques avec propriétaire et plan actif.
• % de décisions majeures appuyées par analyse de risque formalisée.
• Fréquence de revue du portefeuille de risques.

Usage dans Varden Auditor

• Socle transversal de cohérence entre modules Varden Auditor.
• Cadre de pondération des priorités de remédiation.
• Lien entre pilotage exécutif et exécution des contrôles.

Normes liées