Governance, Compliance and Risk Standards

1 Les normes de Governance, Risk & Compliance

+ IRM - AIRMIC - PRMA Risk Management Standards Cette norme de gestion des risques (Risk Management Standard)
a été publiée par l’Institute of Risk Management (IRM), The Association of Insurance and Risk Managers (AIRMIC) et Alarm (The Public Risk Management Association) en 2002. La norme présente des bonnes pratiques auxquelles des organisations peuvent se confronter elles-mêmes. La norme a utilisé – autant que possible - la terminologie des risques constituée par l’Organisation internationale de normalisation (ISO) dans son document récent ISO/IEC Guide 73 Risk Management - Vocabulary - Guidelines for Use in standards.
Source: www.theirm.org. Cliquez sur ce lien pour plus d’informationsURL.

+ AS/NZS 4360:2004
La norme de gestion des risques d’Australie et Nouvelle-Zélande « offre un guide générique pour la gestion des risques. Cette norme peut être appliquée pour une large gamme d’activités, décisions ou opérations de quelque particulier, groupe, entreprise publique, privée ou associative que ce soit. … [Elle] spécifie les éléments du processus de la gestion des risques, mais cette norme ne vise pas à promouvoir l’uniformité des systèmes de gestion des risques. Elle est générale et indépendante de quelque secteur spécifique économique ou industriel que ce soit. » Source: www.riskmanagement.com.au. Plus d’informations iciURL.

+ ITGI Risk IT Framework 2009 (COBIT)
Risk IT Framework « complète COBIT de ITGI qui offre un cadre global pour la prestation des services d’information de haute qualité basés sur la technologie informatique. Cependant que COBIT offre des bonnes pratiques en vue de la gestion des risques, Risk IT offre de surcroît de bonnes pratiques complémentaires en fournissant un cadre pour des entreprises afin d’identifier, diriger et gérer les risques informatiques . » Source: www.isaca.org. Il y a plus d’information disponible sur ce lien URL.

+ COBIT 4.1 2009
COBIT est un « cadre de référence pour maîtriser la gouvernance des systemes d’information et un outil d’assistance qui permet aux gestionnaires de faire le pont entre des besoins de contrôle, des problèmes techniques et des risques d’entreprise. COBIT rend possible des développements des stratégies claires et des bonnes pratiques pour la contrôle de l’infomatique au travers des organisations. COBIT accentue la conformité réglementaire, aide des organisations à augmenter la valeur atteinte par l’informatique, facilite l’ajustement et simplifie l’adaptation du cadre de COBIT . » Source: www.isaca.org. Plus d’informations ici URL.

+ COSO 2009 Guidance on Monitoring Internal Control Systems
Guidance on Monitoring Internal Control Systems (2009) est basé sur une ébauche d’exposition en trois volumes publiée en 2008 qui expose l’importance de contrôle interne comme une partie des 5 piliers du cadre de la gestion des risques de COSO. Il y a plus d’information disponible sur ce lien.

+ COSO 2009 Guidance on Monitoring Internal Control Systems
The Enterprise Risk Management – Integrated Framework « entre dans le détail du contrôle interne, offrant un point de mire plus robuste et extensif sur le sujet plus ample de la gestion des risques d’entreprise. Il ne vise pas à remplacer le cadre du contrôle interne et il ne le fait pas, mais il incorpore plutôt ce cadre au contrôle interne. C’est pourquoi des entreprises décident de consulter ce cadre de la gestion des risques d’entreprise, afin soit de satisfaire leurs besoins de contrôle interne, soit d’acceder à un processus plus complet de la gestion des risques. » Source: www.coso.org. Il y a plus d’information disponible sur ce lien.

+ COSO 1992 Internal Control — Integrated Framework
The Committee of Sponsoring Organizations of the Treadway Commission (COSO) a publié Internal Control – Integrated Framework. C’est un cadre « pour aider des entreprises et d’autres entités à évaluer et développer leurs systêmes de contrôle interne. » Ceux-ci ont été développés et perfectionnés ultérieurement avec des normes additionelles. Le contrôle interne consiste en cinq composants interdépendants:

• Environnement du contrôle (Control Environment) — Ce composant se concentre sur la culture de la gestion des risques au sein des organisations. Des questions importantes sont: Est-ce que tous les membres de l’organisation se rendent compte de l’importance de la gestion des risques et est-ce qu’ils comprennent le profil de risque de l’organisation? Est-ce que la direction donne le la en haut? Est-ce que la conscience et le désamorçage des risques est bien implanté dans les valeurs de l’organisation, l’intégrité et la compétence du personnel? Est-ce que la gestion des risques fait partie de la philosophie de gestion et du style des opérations et de la façon dont la direction délegue de l’autorité et de la responsabilité?
• Évaluation des risques (Risk Assessment) — Chaque organisation est touchée par des risques externes ou internes qui peuvent affecter les buts de l’organisation. L’évaluation des risques identifie des risques importants concernant les objectifs et détermine comment l’organisation peut gérer les risques.
• Activités de contrôle (Control Activities) — Celles-ci se réfèrent au système du contrôle interne de l’organisation, y compris des stratégies et des procédures qui définissent les processus d’approbation, les niveaux d’autorisation, la sécurité des actifs et la repartition des tâches, etc..
• Information et Communication — Ce composant se réfère aux systèmes d’information et de communication d’une organisation, y compris la production des rapports opérationnels et financiers.
• Surveillance (Monitoring) — Ce composant est souvent confondu avec le composant des « activités de contrôle ». Pendant que des activités de contrôle définissent le système de contrôle interne d’une organisation, le composant de la surveillance se concentre sur la surveillance de ces systèmes, ainsi que la supervision et l’évaluation directe.

Il y a plus d’information disponible sur ce lien.

+ ISO/IEC Guide 73- Risk Management – Vocabulary
Ce guide offre un vocabulaire de base des définitions des termes généraux de la gestion des risques. La prémière édition d’ISO/IEC Guide 73 a été préparée par ISO Technical Management Board Working Group 2 qui s’occupe de la terminologie de la gestion des risques. La deuxième édition a été développée par ISO TMB WG qui s’occupe de la gestion des risques combinée au développement d’ISO 31000 pour considérer les changements de pratiques de la gestion des risques et les réactions des utilisateurs. Source: www.iso.org. Il y a plus d’information disponible sur ce lien.

+ ISO 31000 Risk Management
La gestion des risques est essentielle pour la réalisation des programmes de développement. Un ensemble utile de lignes directrices et de principes a été développé par l’Organisation internationale de normalisation (ISO). En 2005, ISO a introduit New Work Item Proposal (NWIP) pour développer une norme de conseils pour la gestion des risques. Sur demande des membres d’ISO, un groupe de travail d’ISO a été constitué pour développer un avant-projet de commission nommé ISO CD31000. Cette norme “offre des lignes directrices générales pour les principes et la réalisation adéquate de la gestion des risques. Elle ne vise pas à être utilisée pour la certification.” Source: www.iso.org. Il y a plus d’information disponible sur ce lien.

+ BIP 2121:2006
Une approche de la gestion des risques par rapport à la continuité opérationnelle. Accordant la continuité opérationnelle avec le gouvernement d’entreprise.

+ BS 7799-3:2006
Systèmes de gestion de la sécurité de l’information. Des lignes directrices pour la gestion des risques de la sécurité de l’information.

+ BS 8555:2003
Guide pour la réalisation d’un système de gestion environnementale, y compris l’évaluation de la performance environnementale.

+ BS-6079-3:2000 Project management
Guide de la gestion des risques de projets commerciaux (Grande-Brétagne, 2000). Cette norme britannique, une partie des séries de BS 6079, offre des conseils au sujet de l’identification et du contrôle des risques relatifs aux entreprises rencontrés en entreprenant des projets. Elle est applicable pour une variété ample d’organisations de projets opérants dans le secteur industriel, commercial et publique ou honorifique. Elle est écrite pour les sponsors ou les gestionnaires de projets, les deux étant presque toujours resonsables à un niveau d’autorité élevé pour un ou plusieurs projets de type et de dimension variables.

+ BS8800:1996 Guide to occupational health and safety management systems
Guide pour les systèmes de gestion de la santé et de la sécurité au travail. La norme de la gestion de la santé et de la sécurité au travail.

+ IAS 39 International Accounting Standard 39
L’objectif de cette norme est d’établir les principes de l’identification et l’estimation des actifs financiers, des responsabilités financières et certains contrats pour acheter ou vendre des produits non-financiers. Les conditions de présentation de l’information sur des instruments financiers se trouvent dans IAS 32 Financial Instruments: Presentation. Les conditions de divulgation de l’information sur des instruments finaciers se trouvent dans IFRS 7 Financial Instruments: Disclosures.

+ IEC/DIS 31010 Risk management
Directives de l’évaluation des risques.

+ ISO 14001:2004
ISO 14001:2004 spécifie les conditions d’un système de gestion environnementale pour faciliter les organisations à développer et implanter une stratégie et des objectifs qui tiennent compte des exigences légales et des autres exigences auxquelles organisations sont soumises, et une information sur des aspects environnementaux significatifs.

+ ISO 14121-1 (EN 1050)
ISO 14121-1:2007 offre des ligne directrices sur l’information qui sera nécessaire pour rendre possible l’évaluation des risques. Des procédures y sont décrites pour identifier des dangers et pour estimer et évaluer les risques. Elle offre aussi des lignes directrices pour les prises de décisions en rapport avec la sécurité du matériel et sur le type de documentation nécessaire pour vérifier l’évaluation des risques effectuée.

+ ISO 14971
ISO 14971:2007 spécifie un processus pour un industriel pour identifier les dangers liés aux produits médicaux, y compris des produits médicaux de diagnostic in vitro (IVD), pour estimer et évaluer les risques liés, contrôler ces risques et surveiller l’efficacité de ces contrôles.

+ ISO 17666:2003
ISO 17666:2003 complète les exigences d’ISO 14300-1, les principes et exigences pour la gestion des risques intégrée d’un projet aérospatial. Elle explique ce qui est nécessaire pour réaliser une stratégie de gestion des risques intégrée au projet par chaque acteur du projet à tous les niveaux (par exemple le client, le fournisseur direct et les fournisseurs indirects s’il y a lieu).

+ ISO 22000:2005
Cette norme spécifie les exigences pour un système de gestion de sécurité alimentaire pour une organisation dans le secteur agroalimentaire qui a besoin de prouver la capacité de contrôler les risques de sécurité agroalimentaire en vue d’assurer que les aliments sont sûrs au moment de l’ingestion par les êtres humains. Elle est applicable pour toutes les organisations, au mépris de la grandeur, qui font partie du secteur agroalimentaire de quelque façon que ce soit et qui veulent employer des systèmes qui offrent des produits sûrs en permanence.

+ ISO/IEC 16085:2006
La norme ISO/IEC 16085:2006 définit un processus pour la gestion des risques au niveau des cycles de vie. Elle peut être ajoutée à l’ensemble existant des processus des cycles de vie des systèmes et logiciels définis par les normes ISO/IEC 15288 et ISO/IEC 12207, ou elle peut être utilisée indépendamment.

+ ISO/IEC 17799:2005
La norme ISO/IEC 17799:2005 établit des lignes directrices et principes généraux pour initier, constituer, maintenir et améliorer la gestion de la sécurité de l’information dans une organisation. Les objectifs cernés offrent des lignes directrices générales sur les buts généralement acceptés de la gestion de la sécurité de l’information. En 2006 elle a été convertie à la norme ISO 27002.

+ ISO/IEC 24762:2008
Cette norme offre des lignes directrices pour les services de secours en cas de catastrophe dans les technologies de l’information et des communication. Elle fait partie de la gestion continuité opérationnelle, applicable à des prestateurs de ces services mentionnés ci-dessus internes ou externalisés des établissements ou services physiques.

+ ISO/IEC 27002:2005
L’ISO/CEI 17799:2005 établit des lignes directrices et des principes généraux pour préparer, mettre en oeuvre, entretenir et améliorer la gestion de la sécurité de l’information au sein d’une organisation.

+ ISO/IEC 27005:2008
La norme ISO/IEC 27005:2008 offre des lignes directrices pour la gestion des risques de la sécurité de l’information. Elle consolide les concepts généraux spécifiés par la norme ISO/IEC 27001 et elle vise à assister la réalisation satisfaisante de la sécurité de l’information, basée sur une approche de gestion des risques.

+ ISO/PAS 22399:2007
Cette norme offre des lignes directrices générales pour une organisation — des organisations privées, gouvernementales et non-gouvernementales — pour développer ses propres critères spécifiques de performance pour la précaution contre des incidents et la continuité opérationelle, et pour constituer un système de gestion approprié.

+ ISO/TS 22367:2008
La norme ISO/TS 22367:2008 caractérise l’application de la norme ISO 15189 comme un système pour réduire les erreurs de laboratoire et améliorer la sécurité des clients en suivant les principes de la gestion des risques, en rapport avec les aspects de vérification, particulièrement avec les aspects de pré- et postvérification du cycle de médicalisation de laboratoire. La norme ISO/TS 22367:2008 offre une methodologie pour détecter et caractériser les erreurs médicales de laboratoire qui pourraient être évitées en appliquant la norme ISO 15189.

+ JIS Q 2001:2001 Lignes directrices pour le développement et la réalisation d’un système de gestion des risques (Japon, 2001)

+ M_o_R Management of Risks
La norme M_o_R considère les risques sous différents angles au sein d’une organisation: stratégique, opérationel, d’un programme ou d’un projet. Bien qu’elle soit liée à d’autres bonnes pratiques d’OGC, elle respecte les rôles, responsabilités et terminologies utilisés dans les disciplines autres que la gestion de projets ou de programmes. Cliquez sur ce lien pour plus d’informations here.

+ OHSAS 18001/18002
Spécification du système de gestion de la sécurité et la santé au travail

+ ONR 49000:2004 ff.
Gestion des risques pour des organisations et systèmes: Terminologies et éléments de base

+ ONR 49000:2008 ff.
Gestion des risques pour des organisations et systèmes – Terminolgies et éléments de base – Emploi de la norme ISO/DIS 31000 en pratique

+ SGS & ISMOL ISA 2000:1997 R
Exigences pour des systèmes de gestion de la sécurité et la santé

+ Technical Report NPR 5001: 1997
Guide pour un système de gestion de la sécurité et la santé au travail

+ UNE 81900
Séries de normes de la prévention des risques au travail

+ Verordnung (EG) Nr. 761/2001
Très similaire et intégrée aujourd’hui dans la norme ISO 14001.

Si vous avez des questions ou desirez plus d’information, contactez-nous. Si vous cherchez de l’information sur la gestion des risques d’entreprise et des services de risques semblables, visitez notre site.