43 / 60
MÉTIER RISK MANAGER
ZOOM SUR…
car plusieurs approches s’affrontaient : certains
pays souhaitaient une norme structurante, avec
des process détaillés qui cadrent la démarche.
D’autres, dont la France, plaidaient pour une
norme souple et non-contraignante, fixant des
grands principes à adapter à chaque organisa-
tion en fonction de sa nature, de sa taille, de
ses activités… Et c’est finalement cette vision
qui l’a emporté ! Mais cela a nécessité de lon-
gues et nombreuses discussions, sans compter
le fait que de nouveaux pays d’Amérique latine
et du Moyen-Orient, intéressés par la norme, se
sont greffés à la réflexion en cours de route. Il
leur a fallu du temps pour s’imprégner des dé-
bats et ce n’est finalement que début 2017 que
nous avons pu mettre en ligne l’avant-projet de
révision et lancer l’enquête publique. Après une
dernière réunion en juillet, le projet est désor-
mais en phase de relecture et de mise en page,
et la norme révisée devrait paraître début 2018.
Quelles en sont les principales avancées?
L’ISO 31000:2009 avait été rédigée dans une
vision un peu ancienne du Risk Management,
focalisée sur la sûreté et la sécurité. Lorsque
je suis arrivée dans le groupe de travail avec
d’autres experts internationaux issus de la
jeune génération, nous avons voulu élar-
gir la notion d’incertitude, en la reliant non
plus seulement à des risques négatifs très
connotés sécurité, mais aussi à des aléas
plus diffus voire à des opportunités et à des
conséquences positives, permettant ainsi de
ne pas brider la R&D et l’innovation. Et c’est
cette autre vision du Management des Risques
qui transparait dans la version révisée de la
norme, à travers notamment la notion d’éclai-
rage de la prise de décision.
Globalement, le texte est un peu plus concis
et clarifie plusieurs points : tout d’abord
la notion de critères de risques et de prise
de risques mais aussi la problématique des
systèmes de management, que beaucoup
d’entreprises mettent en place pour se sen-
tir sécurisée. La France, aux côtés d’autres
pays, s’est battue pour ne pas transformer
le Risk Management en « système de Risk
Management », et pour conserver la souplesse
nécessaire pour se greffer et s’adapter aux
systèmes existants. Également, nous avons
re-travaillé et clarifié les notions de contexte
interne et externe, afin d’introduire de la
dynamique et de mettre en avant le fait que
les process sont vivants et itératifs.
Et concernant la place du Risk Management
dans les organisations ?
Lors de la révision de la norme, il y a eu dé-
bat pour savoir si le Management des Risques
était en soi un processus de prise de décision...
Finalement, la formulation qui a été retenue
établit que non. Nous avons voulu montrer que
le Management des Risques est là pour épauler,
informer, éclairer, accompagner le processus
de prise de décision, mais qu’il ne s’y substitue
pas. Tout type d’organisation qui sera guidée
par cette nouvelle version de la norme devra
donc intégrer et diffuser une démarche de Risk
Management globale, depuis la gouvernance
jusqu’aux entités opérationnelles.
En parallèle, nous avons essayé d’améliorer
la prise en compte de l’humain dans la ges-
tion des risques, en le présentant comme une
ressource à protéger de façon incontournable
et en évoquant lors des débats (sans le men-
tionner à l’écrit) les droits de l’Homme inter-
nationaux. Enfin, nous avons intégré dans la
norme la notion de « sustainability ». Au final,
nous produisons un texte un peu plus court,
mais intégrant de nouvelles notions apparues
depuis l’élaboration de la première version.
Avez-vous des frustrations ? Des points qui
restent à approfondir ?
Nous aurions pu être plus précis sur la nature
des différents objectifs qu’une organisation
peut poursuivre. Au-delà des objectifs pure-
ment «business», nous aurions pu évoquer les
ambitions ou les enjeux liés au tissu social et
sociétal, pour se rapprocher de l’ISO 26000,
relative à la responsabilité sociétale des orga-
nisations. Mais nous avons déjà fait un énorme
travail compte tenu de l’hétérogénéité des ap-
proches et des cultures des différents pays du
Globe, ce sera peut-être pour la version 3… !
Qui va déployer la norme révisée auprès des
organisations ?
Le site ISO international va mettre en ligne
les grandes lignes du contenu de la norme dès
qu’elle sera officiellement publiée. En France,
un planning de communication va être mis en
place autour de l’ISO 31000 nouvelle version
à l’AFNOR afin de sensibiliser tous les acteurs
concernés (que ce soient les Risk Managers,
les assureurs et les courtiers ou les cabinets de
conseil, les agences de notation, les actuaires,
les auditeurs, les institutions académiques en
charge de l’enseignement du Management des
Risques...). Je ne doute pas que l’AMRAE s’en
fera également le relais. Les Rencontres de
Marseille seront une occasion supplémentaire
d’en parler puisqu’un atelier est déjà prévu sur
le sujet des normes et référentiels génériques
pour le Management des Risques !
Quelle est la place de l’ISO 31000 au sein du
groupe la Poste ?
Avec plus de 250 000 collaborateurs (dont
88% en France) et 22% de son chiffre d’af-
faires à l’international, notre Groupe a adopté
depuis janvier 2015 une nouvelle charte de
Management des Risques, qui intègre l’ISO
31000:2009 et y fait explicitement réfé-
rence. Dans cette charte, ISO 31000 cohabite
avec le référentiel COSO 2013 («
Committee
of Sponsoring Organizations of the Treadway
Commission
») pour le contrôle interne. La
prise en compte de la révision de la norme se
fera tout en souplesse. Le gros enjeu à venir
pour nous va être de concilier efficacement la
prise en compte du Management des Risques
dans le nouveau système de management par
l’excellence retenu par la Branche Services
Courrier Colis et permettre ainsi de transfor-
mer toutes les nouvelles activités en opportu-
nités et non en risques…
DES MOYENS IMPORTANTS MOBILISÉS / UN GROUPE DE TRAVAIL INTERNATIONAL
❱
2009 :
lancement de ISO 31000:2009 sous une forte impulsion australienne à partir du
standard AS/NZS 4360-2004. 25 pays adoptent la norme.
Révision de la norme
❱
2011 :
Initialisation des travaux de révision au niveau ISO.
❱
2012 :
création d’un comité technique (Technical Committee TC) se substituant à
un comité de projet (Project Committee PC) ; secrétariat du TC assuré par La France
- environ 50 experts internationaux issus d’entreprises, d’associations ou du monde
académique, désignés par leur organisme de normalisation national participent
activement aux travaux de révision.
❱
2011-2017 :
2 réunions du TC par an et des vidéoconférences ou des conférences
téléphoniques si nécessaire pour les groupes de travail.
Des milliers de commentaires à examiner au niveau du TC ou des sous-groupes de travail
(dernière réunion en juillet 2017 : plus de 900 commentaires à balayer pour finaliser le
texte).
Fin 2015 :
55 pays ont adopté la norme et se sont impliqués dans sa révision.
Augmentation du nombre d’organismes acceptés comme observateurs en liaison avec
le TC : FERMA bien entendu en fait partie mais l’IIA également…
ATOUT RISK MANAGER, LA REVUE DES PROFESSIONNELS DU RISQUE ET DE L'ASSURANCE
I N°14 I
AUTOMNE 2017
43