Une taxonomie des risques est la liste ordonnée des catégories dans lesquelles une organisation classe tous ses risques, avec une définition pour chacune. Elle sert à ce qu’un même risque porte le même nom dans tous les services et à pouvoir additionner : combien de risques cyber dépassent l’appétit, quel service concentre la fraude, ce qui a changé depuis le dernier comité.
Sans taxonomie, chaque service tient son registre à sa façon. La finance note « fraude aux paiements », les achats « usurpation d’identité d’un fournisseur » et l’informatique « hameçonnage ciblant la comptabilité fournisseurs ». C’est le même risque, évalué trois fois avec trois notes différentes, et le rapport consolidé ne le voit pas.
Trois niveaux suffisent en général
La forme habituelle est une hiérarchie. Le niveau 1 compte peu de catégories, larges, celles que comprend le comité de direction. Le niveau 2 les découpe en sous-catégories avec lesquelles travaille chaque responsable. Le niveau 3 est le risque concret, tel qu’il figure dans le registre, avec son propriétaire et son évaluation.
Aller au-delà de trois niveaux est rarement rentable. Chaque niveau de plus est une décision de plus au moment de créer un risque, et quand la décision est difficile, les gens finissent par choisir « autres ». Pour le niveau 1, entre six et dix catégories suffisent en général : avec moins, tout tombe dans « opérationnel » ; avec plus, le comité ne peut plus lire le rapport d’un coup d’œil.
Ne partez pas de zéro : Bâle et ORX
La classification la plus utilisée vient de la banque. Le dispositif de Bâle définit le risque opérationnel comme le risque de pertes résultant de défaillances ou d’insuffisances des processus, des personnes et des systèmes internes, ou d’événements extérieurs. Il inclut le risque juridique et exclut le risque stratégique et le risque de réputation (OPE10.1). Pour classer les pertes, le même dispositif utilise sept types d’événements de niveau 1 (OPE25.17, tableau 2), applicables à presque toute entreprise, même si elle n’est pas une banque.
| Type d’événement (niveau 1) | Ce qui en relève |
|---|---|
| Fraude interne | Actes visant à frauder, à détourner des biens ou à contourner la loi ou les règles de l’entreprise, impliquant au moins une personne interne. |
| Fraude externe | La même chose, commise par un tiers : vol, falsification, attaques informatiques avec perte financière. |
| Pratiques en matière d’emploi et sécurité au travail | Manquements au droit du travail, aux règles de santé ou de sécurité, indemnisations de dommages corporels et cas de discrimination. |
| Clients, produits et pratiques commerciales | Manquement non intentionnel ou par négligence à une obligation professionnelle envers des clients donnés, ou produit mal conçu. |
| Dommages aux actifs corporels | Perte ou dommage de biens physiques dus à des catastrophes naturelles ou à d’autres événements. |
| Interruption de l’activité et défaillances des systèmes | Pannes de matériel, de logiciels, de télécommunications ou d’approvisionnement en énergie. |
| Exécution, livraison et gestion des processus | Erreurs de traitement des opérations, délais non tenus et défaillances avec les contreparties et les fournisseurs. |
Le problème de cette liste, c’est son époque. Elle ne distingue ni la cybersécurité, ni la conduite, ni la dépendance aux tiers, qui sont aujourd’hui les questions qui remontent le plus au comité. Pour combler ce manque, l’association professionnelle ORX a publié en novembre 2019, avec Oliver Wyman, une taxonomie de référence des types d’événements qui intègre ces risques sans rompre avec les types de Bâle. ORX précise elle-même qu’elle n’est pas conçue pour être adoptée telle quelle, mais comme point de départ pour construire la taxonomie de chaque organisation.
Si votre entreprise n’est pas une banque, voici ce que nous ferions : prendre les sept types de Bâle comme ossature du risque opérationnel et ajouter au niveau 1 ce que Bâle laisse de côté, comme le risque stratégique et le risque financier. La technologie et les tiers méritent leur propre catégorie dès qu’ils pèsent dans l’activité ; sinon, ils restent des sous-catégories de l’opérationnel.
Événement, cause et conséquence : ne les mélangez pas
C’est l’erreur qui abîme le plus une taxonomie. Dans un même registre, on trouve comme risques distincts « manque de formation du personnel », « paiement à un faux fournisseur » et « atteinte à la réputation ». Le premier est une cause, le deuxième un événement et le troisième une conséquence. Quand on les mélange, le même problème est compté plusieurs fois et les contrôles sont rattachés au mauvais niveau.
La taxonomie classe des événements. Les causes servent à choisir les contrôles préventifs et les conséquences, à évaluer l’impact. ORX est arrivée à la même conclusion : en 2020, elle a publié séparément une taxonomie des causes et des impacts, qui complète celle des types d’événements. Le risque de réputation trouve mieux sa place comme conséquence que comme catégorie, ce qui est cohérent avec le fait que Bâle l’exclue de sa définition.
Des règles pour que la taxonomie soit utilisée
- Une définition par catégorie. Une ou deux phrases, avec un exemple de ce qui en relève et un autre de ce qui n’en relève pas. Sans définition, chaque service l’interprète à sa manière.
- Des catégories qui ne se chevauchent pas. Si un risque entre dans deux catégories, le problème vient des définitions, pas de la personne qui le classe.
- Un responsable par catégorie de niveau 1. C’est lui qui tranche en cas de doute et qui présente cette catégorie au comité.
- Surveiller « autres ». Si de plus en plus de risques y atterrissent, il manque une catégorie.
- Les normes ne sont pas des catégories. ISO 27001, DORA ou le RGPD se relient aux risques par des étiquettes ou à travers les contrôles. Si « DORA » est une catégorie, le risque de panne du fournisseur cloud se retrouve en double, dans « DORA » et dans « Tiers ».
- La versionner. La revoir une fois par an et, si elle change, reclasser l’historique. Sinon, la comparaison avec l’année précédente perd son sens.
La taxonomie est la base de l’analyse des risques. Grâce à elle, l’évaluation du risque inhérent et du risque résiduel et la comparaison avec l’appétit pour le risque peuvent aussi se faire par catégorie.
Le module de gestion des risques de GlobalSuite® arrive avec des catalogues de risques et de contrôles déjà chargés pour ISO 31000, COSO ERM et ISO 27005, et accepte aussi la méthodologie propre à chaque organisation. Pour voir à quoi ressemblerait votre taxonomie, demandez une démo.
Sources : dispositif de Bâle du Comité de Bâle sur le contrôle bancaire, chapitres OPE10 et OPE25 (en vigueur depuis le 1er janvier 2023), et ORX Reference Taxonomy. Les noms des types d’événements de Bâle sont traduits par nos soins. Les exemples sont illustratifs et ne correspondent à aucun client. Contenu révisé en octobre 2026.
