ISO/TR 31004:2013

TECHNICAL ISO/TR
REPORT 31004
First edition
2013-10-15
Risk management — Guidance for the
implementation of ISO 31000
Management du risque — Lignes directrices pour l’implementation
de l’ISO 31000
Reference number
ISO/TR 31004:2013(E)
©
ISO 2013

---------------------- Page: 1 ----------------------
ISO/TR 31004:2013(E)

COPYRIGHT PROTECTED DOCUMENT
© ISO 2013
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Published in Switzerland
ii © ISO 2013 – All rights reserved

---------------------- Page: 2 ----------------------
ISO/TR 31004:2013(E)

Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Implementing ISO 31000 . 1
3.1 General . 1
3.2 How to implement ISO 31000. 2
3.3 Integration of ISO 31000 into the organization’s management processes . 3
3.4 Continual improvement . 6
Annex A (informative) Underlying concepts and principles . 7
Annex B (informative) Application of ISO 31000 principles .10
Annex C (informative) How to express mandate and commitment .21
Annex D (informative) Monitoring and review .25
Annex E (informative) Integrating risk management within a management system .34
Bibliography .37
© ISO 2013 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/TR 31004:2013(E)

Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of any
patent rights identified during the development of the document will be in the Introduction and/or on
the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the meaning of ISO specific terms and expressions related to conformity
assessment, as well as information about ISO’s adherence to the WTO principles in the Technical Barriers
to Trade (TBT) see the following URL: Foreword - Supplementary information
The committee responsible for this document is Technical Committee ISO/TC 262, Risk management.
iv © ISO 2013 – All rights reserved

---------------------- Page: 4 ----------------------
ISO/TR 31004:2013(E)

Introduction
0.1 General
Organizations use various methods to manage the effect of uncertainty on their objectives, i.e. to manage
risk, by detecting and understanding risk, and modifying it where necessary.
This Technical Report is intended to assist organizations to enhance the effectiveness of their risk
management efforts by aligning them with ISO 31000:2009. ISO 31000 provides a generic risk
management approach that can be applied to all organizations to help achieve their objectives.
This Technical Report is intended to be used by those within organizations who make decisions that impact
on achieving its objectives, including those responsible for governance and those who provide organizations
with risk management advice and support services. This Technical Report is also intended to be used by
anyone interested in risk and its management, including teachers, students, legislators and regulators.
This Technical Report is intended to be read in conjunction with ISO 31000 and is applicable to all types
and sizes of organization. The core concepts and definitions that are central to understanding ISO 31000
are explained in Annex A.
Clause 3 provides a generic methodology to help organizations transition existing risk management
arrangements to align with ISO 31000, in a planned and structured way. It also provides for dynamic
adjustment as changes occur in the internal and external environment of the organization.
Additional annexes provide advice, examples and explanation regarding the implementation of selected
aspects of ISO 31000, in order to assist readers according to their individual expertise and needs.
Examples provided in this Technical Report might or might not be directly applicable to particular
situations or organizations, and are for illustrative purposes only.
0.2 Underlying concepts and principles
Certain words and concepts are fundamental to understanding both ISO 31000 and this Technical
Report, and they are explained in ISO 31000:2009, Clause 2, and in Annex A.
ISO 31000 lists eleven principles for effective risk management. The role of the principles is to inform
and guide all aspects of the organization’s approach to risk management. Principles describe the
characteristics of effective risk management. Rather than simply implementing the principles, it is
important that the organization reflects them in all aspects of management. They serve as indicators of
risk management performance and reinforce the value to the organization of managing risk effectively.
They also influence all elements of the transition process described in this Technical Report, and the
technical issues that are the subject of its annexes. Further advice is given in Annex B.
In this Technical Report, the expressions “top management” and “oversight body” are both used: “top
management” refers to the person or group of people that directs and controls an organization at
the highest level, whereas “oversight body” refers to the person or group of people that governs an
organization, sets directions, and holds top management to account.
NOTE In many organizations, the oversight body could be called a board of directors, a board of trustees, a
supervisory board, etc.
© ISO 2013 – All rights reserved v

---------------------- Page: 5 ----------------------
TECHNICAL REPORT ISO/TR 31004:2013(E)
Risk management — Guidance for the implementation of
ISO 31000
1 Scope
This Technical Report provides guidance for organizations on managing risk effectively by implementing
ISO 31000:2009. It provides:
— a structured approach for organizations to transition their risk management arrangements in order
to be consistent with ISO 31000, in a manner tailored to the characteristics of the organization;
— an explanation of the underlying concepts of ISO 31000;
— guidance on aspects of the principles and risk management framework that are described in ISO 31000.
This Technical Report can be used by any public, private or community enterprise, association, group
or individual.
NOTE For convenience, all the different users of this Technical Report are referred to by the general term
“organization”.
This Technical Report is not specific to any industry or sector, or to any particular type of risk, and can
be applied to all activities and to all parts of organizations.
2 Normative references
The following documents, in whole or in part, are normatively referenced in this document and are
indispensable for its application. For dated references, only the edition cited applies. For undated
references, the latest edition of the referenced document (including any amendments) applies.
ISO 31000:2009, Risk management — Principles and guidelines
3 Implementing ISO 31000
3.1 General
This clause provides guidance to organizations seeking to align their risk management approach and
practices with ISO 31000 and to maintain those practices in alignment on an ongoing basis.
It provides a general methodology that is suitable for application, in a planned manner, by any
organization irrespective of the nature of its current risk management arrangements. This methodology
involves the following:
— comparing current practice with that described in ISO 31000;
— identifying what needs to change and preparing and implementing a plan for doing so;
— maintaining ongoing monitoring and review to ensure currency and continuous improvement.
This will enable the organization to obtain a current and comprehensive understanding of its risks, and
to ensure that those risks are consistent with its attitude to risk and its risk criteria.
Regardless of the motive for implementing ISO 31000, doing so is expected to enable an organization to
better manage its risks, in support of its objectives. All organizations manage risk to some extent. The
strategy for implementing ISO 31000 should recognize how an organization is already managing risk.
© ISO 2013 – All rights reserved 1

---------------------- Page: 6 ----------------------
ISO/TR 31004:2013(E)

The implementation process, as described in 3.2, will evaluate existing arrangements and, if necessary,
adapt and modify to align with ISO 31000.
ISO 31000 identifies various elements of a risk management framework. There are several advantages that
can arise when elements of that framework are integrated into an organization’s governance, functions
and processes. These relate to organizational effectiveness, sound decision making and efficiency.
a) The framework for managing risk should be realized by integrating its components into the
organization’s overall system of management and decision making, irrespective of whether the system
is formal or informal; existing management processes may be improved by reference to ISO 31000.
b) The understanding and management of uncertainty becomes an integral component in the
management system(s), establishing a common approach for the organization.
c) Implementation of the risk management process can be proportionately tailored to the size and
requirements of the organization.
d) The governance (i.e. direction and oversight) of the risk management policy, framework and
process(s) can be integrated into existing organizational governance arrangements.
e) Risk management reporting is integrated with other management reporting.
f) Risk management performance becomes an integral part of the overall performance approach.
g) Interaction and connection between the often separate risk management fields of an organization
(e.g. enterprise risk management, financial risk management, project risk management, safety and
security management, business continuity management, insurance management) can be ensured
or improved, as the attention will now be primarily be focused on setting and achieving the
organization’s objectives, taking risk into account.
h) The communication on uncertainty and risk between management teams and management
levels is improved.
i) Silos of risk management activity within an organization centre on the achievement of organizational
objectives as a common focus. There may be indirect societal benefits as the organization’s external
stakeholders may be motivated to improve their respective risk management activity.
j) The risk treatment and controls can become an integral part of daily operations.
3.2 How to implement ISO 31000
Although ISO 31000 explains how to manage risk effectively, it does not explain how to integrate risk
management into the organization’s management processes. Even though organizations are different and
their starting points may differ, a generic and systematic implementation approach is applicable in all cases.
The organization should determine whether changes are needed to its existing framework for the
management of risk, before planning and implementing those changes, and then monitoring the ongoing
effectiveness of the amended framework. This will allow the organization:
— to align its risk management activities with the principles for effective risk management described
in ISO 31000:2009, Clause 3;
— to apply the risk management process described in ISO 31000:2009, Clause 5;
— to satisfy the attributes of enhanced risk management in ISO 31000:2009, Clause A.3;
— thereby to achieve the key outcomes in ISO 31000:2009, Clause A.2.
This approach is also applicable to organizations that are already consistent with ISO 31000, but that
wish to continually improve their framework and the process for managing risk as recommended in
ISO 31000:2009, 4.6 and 5.6.
2 © ISO 2013 – All rights reserved

---------------------- Page: 7 ----------------------
ISO/TR 31004:2013(E)

All aspects of transition may be helped by drawing on the experience of other organizations which
manage similar types of risks or have gone through a similar process.
3.3 Integration of ISO 31000 into the organization’s management processes
3.3.1 General
ISO 31000 provides a framework and a generic process to manage risk in all or part of any type of
organization. This subclause provides guidance for integrating the elements of ISO 31000 into an
organization’s management approach, including its activities, processes and functions. Organizations
may choose to integrate ISO 31000 concepts with their existing processes, or they may choose to design
and establish a new approach based on ISO 31000. This subclause describes the core elements of the
framework and process, and the actions necessary for successful integration of these elements to meet
its organizational objectives. There are many ways to integrate ISO 31000 into an organization. The
choice and order of elements should be tailored to the needs of the organization and its stakeholders.
Care should be taken when applying this guidance to ensure that integration supports the overall
business management strategy. This drives the effort to meet the organization’s objectives of protection
and creation of value. The approach also needs to consider the organization’s culture, as well as project
and change management methodologies.
This subclause describes the core elements of the framework and process, and the actions necessary for
successful integration of these elements to meet its organizational objectives.
Implementing ISO 31000 is a dynamic and iterative ongoing process. Furthermore, implementation
of the framework is interconnected with the risk management process described in ISO 31000:2009,
Clause 5. Success is measured both in terms of the integration of the framework and in terms of the
continual improvement of risk management throughout the organization.
Integration takes place within a dynamic context. The organization should monitor both changes that
are brought about by the implementation process and changes to its internal and external context. This
may include the need for change to its risk criteria.
3.3.2 Mandate and commitment
Any business management activity begins with an analysis of the rationale and steps of the processes
and a cost-benefit analysis. This is followed by a decision by top management and the oversight body to
implement and to provide the necessary commitment and resources.
Typically, the implementation process includes the following:
a) acquiring mandate and commitment, if required;
b) a gap analysis;
c) tailoring and scale based on organizational needs, culture and creating and protecting value;
d) evaluating risks associated with transition;
e) developing a business plan:
— setting objectives, priorities and metrics;
— establishing the business case, including alignment with organizational objectives;
— determining scope, accountabilities, timeframe and resources;
f) identifying the context of implementation, including communication with stakeholders.
© ISO 2013 – All rights reserved 3

---------------------- Page: 8 ----------------------
ISO/TR 31004:2013(E)

3.3.3 Designing the framework
3.3.3.1 Existing approaches to risk management in the current organization should be evaluated,
including context and culture.
a) It is important to consider any legal, regulatory or customer obligations and certification
requirements that arise from any management systems and standards that the organization has
chosen to adopt. The purpose of this step is to permit careful tailoring of the design of the risk
management framework and the implementation plan itself, and to permit alignment with the
structure, culture and general system of management of the organization.
b) It is important to consider both the process used to manage risks and the aspects of the existing risk
management framework that enable this process to be applied.
c) Appropriate risk criteria should be established. Risk criteria need to be consistent with the objectives
of the organization and aligned with its risk attitude. If the objectives change, the risk criteria need
to be adjusted accordingly. It is important for effective risk management that the risk criteria are
developed to reflect the organization’s risk attitude and objectives.
For designing the new framework, specifically, the following should be evaluated:
— principles and attributes, as described in ISO 31000;
— the previous framework, the evaluation of which should compare in particular the current practices
with the requirements of the following subclauses of ISO 31000:2009:
— 4.3.2 (risk management policy);
— 4.3.3 (accountability);
— 4.3.4 (integration into organizational processes);
— 4.3.5 (resources);
— 4.3.6 and 4.3.7 (internal and external communication and reporting mechanisms);
— the process, the evaluation of which should compare the elements of the existing processes against
those in ISO 31000:2009, Clause 5, as well as the underlying principles that drive and provide the
rationale for the process with the principles set out in ISO 31000:2009, Clause 3 (e.g. whether this
process is actually applied to decision making at all levels):
— evaluate whether the current process provides decision makers with the risk information they
need to make quality decisions and meet or exceed objectives;
— evaluate whether the existing approaches for managing risk sufficiently address interrelated
risks and risks that occur in multiple locations.
3.3.3.2 Framework design requirements should be identified.
On the basis of the evaluations described in 3.3.3.1, the organization should decide which aspects of the
current risk management approach:
a) could continue to be used in future (possibly extended to other types of decision making);
b) need amendment or enhancement;
c) no longer add value and should be discontinued.
The organization should develop, document and communicate how it will be managing risk. The scale
and content of the organization’s internal standards, guidelines and models related to risk management
should reflect organizational culture and context.
4 © ISO 2013 – All rights reserved

---------------------- Page: 9 ----------------------
ISO/TR 31004:2013(E)

The documents can specify that:
— risks are managed throughout the organization using consistent approaches;
— there are different levels of accountability for managing risk;
— the competencies and duties of all persons with risk management accountabilities are clearly defined;
— both internal and external stakeholders are involved, as appropriate, through comprehensive
communication and consultation;
— information about risks and the output from all applications of the risk management process are
recorded in a consistent and secure manner, with appropriate access.
There should also be provision for periodic review of organizational requirements, tools, training
and resources for the management of risk, if there are subsequent changes in the organization and its
context, or if ongoing monitoring and review identifies weaknesses or inefficiencies.
3.3.3.3 The scope, objectives, targets, resources, measures for success and monitoring and review
criteria for the implementation phase should be defined.
3.3.3.4 Internal and external communication and reporting mechanisms should be established.
3.3.4 Implementing risk management
A detailed implementation plan is needed to ensure that the necessary changes occur in a coherent
order and that the necessary resources can be provided and applied. The plan should be supported by
the resources required for its implementation, and this may require specific budget allocations, the
development of which should be part of the planning process.
The plan itself should be subject to risk assessment in accordance with ISO 31000:2009, 5.4, and any
necessary risk treatment actions implemented.
The plan should both require and allow progress to be tracked and reported to top management and the
oversight body, and there should be provision for periodic reviews of the plan.
The plan should therefore:
— detail the specific actions to be taken, their sequence, by whom, and the timeframe for completion:
these will include amending the internal standards and guidelines, explaining and training to build
capability, and making adjustments in accountabilities;
— identify any actions that will be implemented as part of some wider actions associated with
organizational development, or which are otherwise linked (e.g. development of training material
and engagement of trainers);
— define responsibilities for implementation;
— incorporate a mechanism for reporting completion, progress and problems;
— identify and record any criteria that will trigger a review of the plan.
The implementation may take some time to complete and can be done in stages. The usual practice of
giving priority wherever possible to those changes that have the biggest impact on achieving the end-
purpose should be adopted. This implementation can occur at various stages of organizational maturity
and structure. It may also be more effective to integrate implementation with other change programmes.
3.3.5 Monitor and review
Progress against the plan should be tracked, analysed and reported to top management on a timely
basis (monthly, quarterly, etc.).
© ISO 2013 – All rights reserved 5

---------------------- Page: 10 ----------------------
ISO/TR 31004:2013(E)

Reports of progress against the plan, and performance against measures, should be validated periodically
in an unbiased, objective review process. Reviews should include examination of framework, processes,
the risks themselves and change to the environment.
There should be a periodical review of the strategy for implementation, and measurement of the
progress, consistency with and deviation from the risk management plan. Reviews may also occur if the
review criteria set out in the plan are triggered.
Performance should be evaluated with regard to the effectiveness of change and managing risk, as well
as to identify lessons learned and opportunities for improvement.
The significant issues from the monitoring should be reported to those who are accountable.
The results of this step will be fed back into the context and other functions, so that new risks can be
identified, changes to existing risks can be discovered, and the execution status of the framework can
be recorded for improvement (see ISO 31000:2009, 4.6 and 5.7).
3.4 Continual improvement
Both the risk management framework and the risk management process should be reviewed to assess
whether their design is appropriate and whether their implementation is adding value to the organization
as intended. If the results of monitoring and review show that improvement can be made, these should
be implemented as soon as possible.
For organizations that have transitioned to ISO 31000, there should be a constant awareness and uptake
of the opportunity for improvement. The same steps as used in the transition process are also useful for
making periodic checks of whether there has been deviation from the process.
There are various triggers for continual improvement, including the following:
— routine monitoring and review of the risk management framework and the risk management
process, which identify opportunities to improve;
— new knowledge becoming available;
— a substantive change to the organization’s internal and external context.
6 © ISO 2013 – All rights reserved

---------------------- Page: 11 ----------------------
ISO/TR 31004:2013(E)

Annex A
(informative)

Underlying concepts and principles
A.1 General
This annex explains certain words and concepts (e.g. “risk”) that are in everyday use and can have
several meanings, but that have a particular meaning in both ISO 31000 and this Technical Report.
ISO 31000 defines risk as the “effect of uncertainty on objectives”.
NOTE It is advisable that readers familiarize themselves with the terms and definitions in this annex.
A.2 Risk and objectives
Organizations of all kinds face internal and external factors and influences that make it uncertain
whether, when and the extent to which, they will achieve or exceed their objectives. The effect that this
uncertainty has on the organization’s objectives is risk.
The objectives referred to in ISO 31000 and this Technical Report are the outcomes that the organization
is seeking. Typically, these are its highest expression of intent and purpose, and they typically reflect its
explicit and implicit goals, values and imperatives, including consideration of social obligations and legal
and regulatory requirements. In general, risk management is facilitated if objectives are expressed in
measurable terms. There are often multiple objectives, however, and inconsistency between objectives
can be a source of risk.
Likelihood is not just that of an event occurring, but the overall likelihood of experiencing the
consequences that flow from the event, and the magnitude of the consequence in either positive or
negative terms. Typically, there can be a range of possible consequences that can flow from an event,
and each will have its own likelihood. The level of risk can be expressed as the likelihood that particular
consequences will be experienced (including the magnitude). Consequences relate directly to objectives
and they arise when something does or does not happen.
Risk is the effect of uncertainty on objectives, regardless of the domain or circumstances, therefore an
event or a hazard (or any other risk source) should not be described as a risk. Risk should be described
as the combination of the likelihood of an event (or hazard or source of risk) and its consequence.
The understanding that risk can have positive or negative consequences is a central and vital concept to be
understood by management. Risk can expose the organization to either an opportunity, a threat or both.
Risk is created or altered when decisions are made. Because there is almost always some uncertainty
associated with decisions and decision making
...

RAPPORT ISO/TR
TECHNIQUE 31004
Première édition
2013-10-15
Management du risque — Lignes
directrices pour l’implementation de
l’ISO 31000
Risk management — Guidance for the implementation of ISO 31000
Numéro de référence
ISO/TR 31004:2013(F)
©
ISO 2013

---------------------- Page: 1 ----------------------
ISO/TR 31004:2013(F)

DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2013
Droits de reproduction réservés. Sauf indication contraire, aucune partie de cette publication ne peut être reproduite ni utilisée
sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l’affichage sur
l’internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d’autorisation peuvent être adressées à l’ISO à
l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Version française parue en 2014
Publié en Suisse
ii © ISO 2013 – Tous droits réservés

---------------------- Page: 2 ----------------------
ISO/TR 31004:2013(F)

Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Mise en œuvre de l’ISO 31000 . 1
3.1 Généralités . 1
3.2 Comment mettre en œuvre l’ISO 31000 . 2
3.3 Intégration de l’ISO 31000 aux processus de management de l’organisme . 3
3.4 Amélioration continue . 6
Annexe A (informative) Concepts et principes sous-jacents . 8
Annexe B (informative) Application des principes de l’ISO 31000 .11
Annexe C (informative) Comment exprimer mandat et engagement.22
Annexe D (informative) Surveillance et revue .26
Annexe E (informative) Intégration du management du risque à un système de management .36
Bibliographie .39
© ISO 2013 – Tous droits réservés iii

---------------------- Page: 3 ----------------------
ISO/TR 31004:2013(F)

Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (CEI) en ce qui concerne
la normalisation électrotechnique.
Les procédures utilisées pour l’élaboration du présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/CEI, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/CEI, Partie 2 (voir www.
iso.org/directives).
L’attention est appelée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant les
références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de l’élaboration
du document sont indiqués dans l’Introduction et/ou sur la liste ISO des déclarations de brevets reçues
(voir www.iso.org/patents).
Les éventuelles appellations commerciales utilisées dans le présent document sont données pour
information à l’attention des utilisateurs et ne constituent pas une approbation ou une recommandation.
Pour une explication de la signification des termes et expressions spécifiques de l’ISO liés à l’évaluation de
la conformité et pour toute information au sujet de l’adhésion de l’ISO aux principes de l’OMC concernant
les obstacles techniques au commerce (OTC), voir le lien suivant: Avant-propos — Informations
supplémentaires Foreword - Supplementary information
Le Comité responsable du présent document est le Comité technique ISO/TC 262, Management du risque.
iv © ISO 2013 – Tous droits réservés

---------------------- Page: 4 ----------------------
ISO/TR 31004:2013(F)

Introduction
0.1 Généralités
Les organismes utilisent différentes méthodes pour gérer les effets de l’incertitude sur leurs objectifs,
c’est-à-dire pour gérer le risque, en détectant et comprenant le risque et en le modifiant au besoin.
Le présent Rapport technique est destiné à aider les organismes à améliorer l’efficacité de leurs actions
de management du risque en les alignant sur l’ISO 31000:2009. L’ISO 31000 présente une approche
générique de management du risque qui peut être appliquée à tous les organismes pour leur permettre
d’atteindre leurs objectifs.
Le présent Rapport technique est destiné à être utilisé par ceux qui, au sein des organismes, prennent les
décisions qui influent sur la réalisation de leurs objectifs, notamment les responsables de la gouvernance
et ceux qui fournissent aux organismes conseils et accompagnement en matière de management du risque.
Le présent Rapport technique est également destiné à être utilisé par toute personne intéressée par le
risque et son management, y compris les enseignants, les étudiants, les législateurs et les régulateurs.
Le présent Rapport technique est destiné à être lu conjointement avec l’ISO 31000 et s’applique à tous
les types et à toutes les tailles d’organismes. Les concepts fondamentaux et les définitions qui sont
essentiels à la compréhension de l’ISO 31000 sont expliqués à l’Annexe A.
L’Article 3 propose une méthodologie générique pour permettre aux organismes d’aligner leurs
propres dispositions de management du risque sur l’ISO 31000, de manière planifiée et structurée. Elle
propose également un mécanisme d’ajustement dynamique lorsque des modifications surviennent dans
l’environnement intérieur et extérieur de l’organisme.
D’autres annexes fournissent des conseils, des exemples et une explication concernant la mise en œuvre
d’aspects choisis de l’ISO 31000, afin d’assister les utilisateurs du présent Rapport technique en fonction
de leur expertise et de leurs besoins particuliers.
Les exemples figurant dans le présent Rapport technique peuvent ou non être directement applicables à
des situations ou à des organismes donnés. Ils sont fournis à titre d’exemple uniquement.
0.2 Concepts et principes sous-jacents
Certains mots et concepts sont fondamentaux pour comprendre tant l’ISO 31000 que le présent Rapport
technique: ils sont expliqués dans l’ISO 31000:2009, Article 2, ainsi qu’à l’Annexe A du présent Rapport
technique.
L’ISO 31000 énumère onze principes sous-tendant un management du risque efficace. Ces principes
servent à définir et à éclairer tous les aspects de l’approche du management du risque de l’organisme.
Les principes décrivent les caractéristiques d’un management du risque efficace. Plutôt que de se limiter
à mettre en œuvre ces principes, il est important que l’organisme les incorpore à tous les aspects du
management. Ils servent d’indicateurs de performance du management du risque et renforcent la valeur
pour l’organisme d’un management efficace du risque. Ils influencent également tous les éléments du
processus de transition décrit dans le présent Rapport technique et les points techniques qui font l’objet
de ses annexes. D’autres conseils sont donnés dans l’Annexe B.
Dans le présent Rapport technique, les termes «direction générale» et «organe de surveillance» sont
tous deux utilisés: «direction générale» se réfère à la personne ou au groupe de personnes qui dirige et
pilote un organisme au plus haut niveau, alors que «organe de surveillance» se rapporte à la personne
ou au groupe de personnes qui gouverne un organisme, définit des orientations et à qui la direction rend
des comptes.
NOTE Dans de nombreux organismes, l’organe de surveillance peut être dénommé conseil d’administration,
conseil des administrateurs, conseil de surveillance, etc.
© ISO 2013 – Tous droits réservés v

---------------------- Page: 5 ----------------------
RAPPORT TECHNIQUE ISO/TR 31004:2013(F)
Management du risque — Lignes directrices pour
l’implementation de l’ISO 31000
1 Domaine d’application
Le présent Rapport technique propose aux organismes des lignes directrices de management efficace du
risque par la mise en œuvre de l’ISO 31000:2009. Il présente:
— une approche structurée permettant aux organismes d’adapter leurs dispositions en matière
de management du risque pour les rendre conformes à l’ISO 31000, tout en tenant compte des
caractéristiques de l’organisme;
— une explication des concepts sous-jacents de l’ISO 31000;
— des lignes directrices sur les aspects des principes et du cadre organisationnel de management du
risque qui sont décrits dans l’ISO 31000.
Le présent Rapport technique peut être appliqué par tout public, toute entreprise publique ou privée,
toute collectivité, toute association, tout groupe ou individu.
NOTE Pour plus de facilité, les différents utilisateurs de la présente Norme internationale sont désignés par
le terme générique «organisme».
Le présent Rapport technique n’est pas spécifique à une industrie ou à un secteur, ni à un type de risque
en particulier: il peut s’appliquer à toutes les activités et à toutes les composantes de tous les organismes.
2 Références normatives
Les documents ci-après, dans leur intégralité ou non, sont des références normatives indispensables à
l’application du présent document. Pour les références datées, seule l’édition citée s’applique. Pour les
références non datées, la dernière édition du document de référence s’applique (y compris les éventuels
amendements).
ISO 31000:2009, Management du risque — Principes et lignes directrices
3 Mise en œuvre de l’ISO 31000
3.1 Généralités
Le présent article propose des lignes directrices aux organismes souhaitant aligner leur approche
et leurs pratiques de management du risque sur l’ISO 31000 et maintenir cet alignement de manière
constante.
Il propose une méthodologie générale pouvant être appliquée, de manière planifiée, par tout organisme
quelle que soit la nature de ses dispositions du moment en matière de management du risque. Cette
méthodologie implique de:
— comparer les pratiques du moment avec celles décrites dans l’ISO 31000;
— identifier les changements nécessaires, préparer et mettre en œuvre un plan de réalisation de ces
changements;
— maintenir une surveillance et des revues constantes pour veiller à l’actualisation et l’amélioration
continue.
© ISO 2013 – Tous droits réservés 1

---------------------- Page: 6 ----------------------
ISO/TR 31004:2013(F)

Ceci permettra à l’organisme de bénéficier d’une compréhension immédiate et exhaustive de ses risques
et de s’assurer que ces risques sont cohérents avec son attitude face au risque et à ses critères de risque.
Indépendamment des raisons motivant la mise en œuvre de l’ISO 31000, celle-ci est supposée permettre
à un organisme de mieux gérer ses risques afin de réaliser ses objectifs. Tous les organismes gèrent des
risques dans une certaine mesure. Il convient que la stratégie de mise en œuvre de l’ISO 31000 identifie
la façon dont l’organisme gère déjà le risque. Le processus de mise en œuvre, tel que décrit en 3.2, évalue
les dispositions existantes et, si nécessaire, les adapte et les modifie pour les aligner sur l’ISO 31000.
L’ISO 31000 définit les divers éléments d’un cadre organisationnel de management du risque. Plusieurs
avantages peuvent découler de l’intégration des éléments de ce cadre organisationnel à la gouvernance,
aux fonctions et aux processus de l’organisme. Ils touchent à l’efficacité organisationnelle, à la prise de
décisions judicieuses et à l’efficience.
a) Il convient de réaliser le cadre organisationnel de management du risque en intégrant ses éléments
au système global de management et de prise de décision de l’organisme, que ce système soit
formel ou informel; les processus de management existants peuvent être améliorés à la lumière de
l’ISO 31000.
b) La compréhension et le management de l’incertitude deviennent un élément à part entière du (des)
système(s) de management, permettant à l’organisme d’adopter une approche commune.
c) La mise en œuvre du processus de management du risque peut être adaptée proportionnellement à
la taille et aux exigences de l’organisme.
d) La gouvernance (c’est-à-dire la direction et la surveillance) de la politique de management du risque,
du cadre organisationnel et du (des) processus peut être intégrée aux dispositions existantes de
l’organisme en matière de gouvernance.
e) Le rapport de management du risque est intégré aux autres rapports de management.
f) La performance du management du risque devient partie intégrante de l’approche globale des
performances.
g) L’interaction et la connexion entre les domaines de management du risque souvent séparés d’un
organisme (par exemple le management du risque d’entreprise, le management du risque financier,
le management du risque projet, le management de la santé et de la sécurité, le management de la
poursuite de l’activité, le management des assurances) peuvent être assurées ou améliorées, car
dorénavant l’attention se cristallisera avant tout sur une définition et une réalisation des objectifs
de l’organisme tenant compte du risque.
h) La communication sur l’incertitude et le risque entre les équipes de management et entre les niveaux
hiérarchiques est améliorée.
i) Les différents silos de l’activité de management du risque d’un organisme se concentrent sur la
réalisation des objectifs organisationnels dans un but commun. Il peut se dégager des avantages
sociétaux indirects, les parties prenantes externes à l’organisme pouvant être encouragées à
améliorer leur propre activité de management du risque.
j) Le traitement du risque et les moyens de maîtrise du risque peuvent devenir partie intégrante des
actions quotidiennes.
3.2 Comment mettre en œuvre l’ISO 31000
Bien que l’ISO 31000 explique comment gérer efficacement le risque, elle n’explique pas comment intégrer
le management du risque aux processus de management de l’organisme. Même si les organismes sont
différents, même si leur situation de départ diffère, il existe une approche générique et systématique de
mise en œuvre applicable à tous les cas.
Il convient que l’organisme détermine s’il est nécessaire d’apporter des changements à son cadre
organisationnel de management du risque existant, avant de planifier et de mettre en œuvre ces
2 © ISO 2013 – Tous droits réservés

---------------------- Page: 7 ----------------------
ISO/TR 31004:2013(F)

changements, puis de surveiller la constance de l’efficacité du nouveau cadre organisationnel. Cela
permettra à l’organisme:
— d’aligner ses activités de management du risque sur les principes de management efficace du risque
décrits dans l’ISO 31000:2009, Article 3;
— d’appliquer le processus de management du risque décrit dans l’ISO 31000:2009, Article 5;
— de satisfaire aux attributs d’un management de risque élevé de l’ISO 31000:2009, Article A.3;
— et ainsi d’atteindre les points principaux de l’ISO 31000:2009, Article A.2.
Cette approche s’applique également aux organismes qui sont déjà en phase avec l’ISO 31000, mais qui
souhaitent améliorer en permanence leur cadre organisationnel et le processus de management du
risque comme le recommande l’ISO 31000:2009, 4.6 et 5.6.
Tous les aspects de la transition peuvent être facilités en tirant des enseignements de l’expérience d’autres
organismes qui gèrent des types de risques semblables ou qui ont entrepris un processus similaire.
3.3 Intégration de l’ISO 31000 aux processus de management de l’organisme
3.3.1 Généralités
L’ISO 31000 présente un cadre organisationnel et un processus générique de management du risque pour
tout ou partie de n’importe quel type d’organisme. Le présent paragraphe fournit des lignes directrices
pour intégrer les éléments de l’ISO 31000 à une approche de management de l’organisme, incluant ses
activités, ses processus et ses fonctions. Les organismes peuvent choisir d’intégrer les concepts de
l’ISO 31000 à leurs processus existants ou bien décider de concevoir et d’établir une nouvelle approche
fondée sur l’ISO 31000. Le présent paragraphe décrit les éléments clés du cadre organisationnel et
du processus, ainsi que les actions nécessaires à une intégration réussie de ces éléments permettant
d’atteindre les objectifs organisationnels. Il existe de nombreuses façons d’intégrer l’ISO 31000 au sein
d’un organisme. Il convient d’adapter le choix et l’agencement des éléments aux besoins de l’organisme
et de ses parties prenantes. En appliquant ces lignes directrices, il convient de veiller à s’assurer que
l’intégration soutient la stratégie d’ensemble du management de l’entreprise. Elle motive les efforts
permettant d’atteindre les objectifs de l’organisme en matière de préservation et de création de valeur.
Cette approche nécessite également de tenir compte de la culture de l’organisme, ainsi que de ses
méthodologies de management du changement et des projets.
Le présent paragraphe décrit les éléments clés du cadre organisationnel et du processus, ainsi que
les actions nécessaires à une intégration réussie de ces éléments permettant d’atteindre les objectifs
organisationnels.
La mise en œuvre de l’ISO 31000est un processus dynamique, itératif et continu. L’implémentation
du cadre organisationnel est, en outre, interconnectée avec le processus de management du risque
décrit dans l’ISO 31000:2009, Article 5. La réussite se mesure à la fois en termes d’intégration du cadre
organisationnel et en termes d’amélioration continue du management du risque à tous les niveaux de
l’organisme.
L’intégration s’opère dans un contexte dynamique. Il convient que l’organisme surveille les changements
suscités par le processus d’implémentation, mais aussi les changements opérés dans son contexte
interne et externe. Cela peut inclure le besoin d’une modification de ses critères de risque.
3.3.2 Mandat et engagement
Toute activité de management commence par une analyse de la raison d’être des processus et de leurs
étapes, ainsi que par une analyse coût-bénéfice. Il s’ensuit une décision de la direction générale et de
l’organe de surveillance de mettre en œuvre et de fournir l’engagement et les ressources nécessaires.
© ISO 2013 – Tous droits réservés 3

---------------------- Page: 8 ----------------------
ISO/TR 31004:2013(F)

Typiquement, le processus de mise en œuvre comprend ce qui suit:
a) la délivrance d’un mandat et d’un engagement, si nécessaire;
b) une analyse des écarts;
c) une adaptation personnalisée et un barème déterminés à partir des besoins organisationnels, de la
culture, de la création de valeur et de sa préservation;
d) une évaluation des risques associés à la transition;
e) l’élaboration d’un plan d’activité
— fixant des objectifs, des priorités et des mesures,
— établissant l’étude de marché, y compris l’alignement sur les objectifs organisationnels, et
— déterminant la portée, les responsabilités, le calendrier et les ressources;
f) l’identification du contexte de mise en œuvre, y compris la communication avec les parties prenantes.
3.3.3 Conception du cadre organisationnel
3.3.3.1 Il convient d’évaluer les modalités existantes du management du risque de l’organisme, en
incluant le contexte et la culture.
a) Il est important de tenir compte de toutes les obligations légales, réglementaires ou commerciales,
ainsi que des exigences de certification découlant des systèmes de management et des normes
auxquels l’organisme a choisi d’adhérer. L’objectif de cette étape est de permettre une adaptation
personnalisée et minutieuse de la conception du cadre organisationnel de management du risque et
du plan de mise en œuvre, ainsi que de permettre leur alignement sur la structure, la culture et le
système général de management de l’organisme.
b) Il est important d’étudier le processus utilisé pour gérer les risques et les aspects du cadre
organisationnel de management du risque existant permettant la mise en pratique de ce processus.
c) Il convient de définir des critères de risque appropriés. Les critères de risque doivent être cohérents
avec les objectifs de l’organisme et alignés sur son attitude face au risque. Si les objectifs changent, les
critères de risque nécessitent d’être ajustés en conséquence. Il est important pour un management
du risque efficace que les critères de risque soient élaborés de sorte à correspondre à l’attitude de
l’organisme face au risque et à ses objectifs.
Pour la conception du nouveau cadre organisationnel, il convient d’évaluer de manière spécifique:
— les principes et les attributs, comme décrit dans l’ISO 31000;
— l’ancien cadre organisationnel, dont il convient en particulier de comparer les pratiques les plus
récentes avec les exigences des paragraphes suivants de l’ISO 31000:2009:
— 4.3.2 (politique de management du risque);
— 4.3.3 (responsabilité);
— 4.3.4 (intégration aux processus organisationnels);
— 4.3.5 (ressources);
— 4.3.6 et 4.3.7 (mécanismes de communication et de rapports internes et externes);
— le processus, pour lequel il convient de comparer les éléments des processus existants avec ceux
de l’ISO 31000:2009, Article 5, ainsi que les principes sous-jacents qui motivent et déterminent la
4 © ISO 2013 – Tous droits réservés

---------------------- Page: 9 ----------------------
ISO/TR 31004:2013(F)

raison d’être du processus avec les principes fixés dans l’ISO 31000:2009, Article 3 (par exemple si
le processus influe réellement ou non sur la prise de décision à tous les niveaux):
— évaluer si le processus actuel fournit aux décisionnaires les informations sur le risque dont ils
ont besoin pour prendre des décisions judicieuses et atteindre ou dépasser les objectifs;
— évaluer si les modalités existantes de management du risque traitent suffisamment des risques
interdépendants et des risques survenant en des endroits multiples.
3.3.3.2 Il convient d’identifier les exigences de conception du cadre organisationnel.
En s’appuyant sur les évaluations décrites en 3.3.3.1, il convient que l’organisme détermine quels aspects
de l’approche existante du management du risque:
a) peuvent être préservés à l’avenir (voire être étendus à d’autres types de prise de décision);
b) nécessitent des modifications ou des améliorations;
c) n’ajoutent plus de valeur et qu’il convient d’abandonner.
Il convient que l’organisme développe, documente et communique ses modalités de gestion du risque.
Il convient que l’importance et le contenu des normes, des principes directeurs et des modèles de
l’organisme liés au management du risque reflètent le contexte et la culture organisationnels.
Ces documents peuvent spécifier que:
— les risques sont gérés à tous les niveaux de l’organisme selon des modalités cohérentes;
— il existe différents niveaux de responsabilité de management du risque;
— les compétences et les devoirs de toutes les personnes assurant des responsabilités de management
du risque sont clairement définis;
— les parties prenantes internes et externes sont impliquées, comme il convient, par le biais d’une
communication et d’une concertation globales;
— les informations sur les risques et les résultats de toutes les applications du processus de management
du risque sont enregistrés de manière cohérente et sûre, avec des droits de consultation appropriés.
Il convient également de prévoir des dispositions concernant la revue périodique des exigences, des
outils, de la formation et des ressources organisationnels liés au management du risque, en cas de
changements ultérieurs apportés à l’organisme et son contexte ou si la surveillance en continu et la
revue identifient des faiblesses ou des inefficacités.
3.3.3.3 Il convient de définir la portée, les objectifs, les cibles, les ressources, les mesures de réussite et
les critères de surveillance et de revue pour la phase de mise en œuvre.
3.3.3.4 Il convient de déterminer des mécanismes de communication et de rapport internes et externes.
3.3.4 Mise en œuvre du management du risque
Un plan de mise en œuvre détaillé est nécessaire pour garantir que les changements indispensables
s’effectuent dans un ordre cohérent et que les ressources associées peuvent être fournies et utilisées.
Il convient que le plan soit accompagné des ressources nécessaires à sa mise en œuvre et ceci peut
requérir l’attribution de budgets spécifiques, dont il convient que la mise à disposition fasse partie du
processus de planification.
Il convient que le plan lui-même soit soumis à une appréciation du risque conformément à l’ISO 31000:2009,
5.4, et que toute action de traitement du risque nécessaire soit mise en œuvre.
© ISO 2013 – Tous droits réservés 5

---------------------- Page: 10 ----------------------
ISO/TR 31004:2013(F)

Il convient que le plan requière et permette que les progrès soient suivis et rapportés à la direction
générale et à l’organe de surveillance; il convient également que soient prévues des dispositions
concernant les revues périodiques du plan.
Il convient, par conséquent, que le plan:
— détaille les actions spécifiques à entreprendre, leur séquencement, les personnes devant les réaliser
et le délai de réalisation; ces actions comprendront également les modifications à apporter aux
normes et aux principes directeurs internes, des explications et des formations en vue de forger des
aptitudes, ainsi que les ajustements à opérer au niveau des responsabilités;
— identifie les actions qui seront mises en œuvre dans le cadre d’actions plus larges associées à un
développement organisationnel ou liées à celui-ci de toute autre manière (par exemple développement
de documents de formation et engagement de formateurs);
— définit les responsabilités liées à l’implémentation;
— comporte un mécanisme de rapport des réalisations, des avancées et des problèmes;
— identifie et enregistre tout critère qui déclenchera une revue du plan.
La mise en œuvre peut prendre un certain temps pour être conclue et peut être réalisée en plusieurs
étapes. Il convient d’adopter la pratique habituelle consistant à donner la priorité chaque fois que cela
est possible aux changements ayant le plus gros impact sur la réalisation de l’objectif final. Cette mise
en œuvre peut se produire à divers stades de la maturité et de la structure organisationnelles. Il peut
également s’avérer plus efficace d’intégrer la mise en œuvre à d’autres programmes entraînant des
changements.
3.3.5 Surveillance et revue
Il convient de suivre, d’analyser et de rapporter à la direction générale les progrès réalisés par rapport
au plan, et ce en temps opportun (mensuellement, trimestriellement, etc.).
Il convient de valider périodiquement les rapports sur les progrès réalisés en fonction du plan et les
performances en fonction des mesures dans un processus de revue objectif et impartial. Il convient que
les revues prévoient un examen du cadre organisationnel, des processus, des risques eux-mêmes et des
changements de l’environnement.
Il convient de procéder à une revue périodique de la stratégie de mise en œuvre, avec un mesurage des
progrès, ainsi que de sa cohérence et des écarts constatés par rapport au plan de management du risque.
Il peut également y avoir des revues lorsque les critères de revue définis dans le plan sont réunis.
Il convient d’évaluer la performance par rapport à l’efficacité du changement et à la gestion du risque,
ainsi qu’en fonction des enseignements tirés et des
...