Modèles et enregistrements · ISO 37301 · Chapitre 4.6
Modèle de matrice des risques de conformité ISO 37301
L’évaluation qui croise chaque obligation avec l’activité susceptible d’y manquer et décide des contrôles nécessaires, domaine par domaine.
En une phrase
La matrice des risques de conformité identifie chaque risque en reliant une obligation aux activités qui pourraient y manquer, l’analyse selon sa vraisemblance et ses conséquences, l’évalue au regard des contrôles existants et décide des actions ; l’ISO 37301 impose de conserver cette évaluation et les actions de traitement des risques (4.6), et de la renouveler périodiquement et en cas de changement.
- Où la norme l’exige
- ISO 37301 · Chapitre 4.6 Les chapitres suivent l’ISO 37301:2021, l’édition en vigueur, qui a remplacé le guide ISO 19600.
- Type d’information
- Enregistrement obligatoire Information documentée à conserver (4.6)
- Qui le renseigne
- Fonction compliance avec chaque domaine Les responsables de domaine expliquent comment on travaille réellement ; la compliance apporte la méthode
- Quand
- Au moins une fois par an Et lors de changements réglementaires, de nouvelles activités, de nouveaux marchés ou de manquements significatifs
- Durée de conservation
- Fixée par l’organisme L’ISO 37301 ne fixe aucune durée. En Espagne, il est utile de tenir compte des délais de prescription des infractions pénales que le système veut prévenir, car l’enregistrement constitue la preuve de diligence.
Ce que demande la norme
Ce qu’exige ISO 37301 et ce qui est laissé à votre appréciation
La norme demande d’identifier, d’analyser et d’évaluer les risques de conformité. La méthode d’identification est précise : relier les obligations du 4.5 aux activités, produits, services et aspects du fonctionnement. Une matrice qui ne part pas des obligations ne répond pas à l’exigence.
L’évaluation est renouvelée à intervalles planifiés et lorsque les circonstances ou l’organisme changent. On conserve l’évaluation et les actions décidées, de façon à voir comment les risques évoluent.
Ce n’est pas la matrice des risques et opportunités de l’ISO 9001 : ici, le risque est de manquer à une obligation, et ses conséquences comprennent sanctions, responsabilité pénale et atteinte à la réputation.
Structure
Les champs que doit comporter le modèle
- Obligation dont découle le risque
- Activité, processus ou domaine où le manquement pourrait se produire
- Description du risque et causes
- Vraisemblance et conséquences (sanctions, pénales, réputation)
- Contrôles existants et leur efficacité
- Niveau de risque résiduel
- Actions décidées, responsable et délai
- Date de l’évaluation et prochaine revue
Exemple
Exemple : risque de corruption dans le service commercial
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Obligation | Contrat-cadre avec un hôpital public et code de déontologie sectoriel (fictif) : interdiction des cadeaux au personnel des achats |
| Domaine | Direction commerciale · vente aux établissements publics |
| Risque | Invitations ou cadeaux à du personnel ayant un pouvoir de décision dans des appels d’offres |
| Causes | Objectifs commerciaux liés aux attributions ; absence de limites écrites |
| Évaluation | Vraisemblance moyenne · conséquences très élevées (pénales et exclusion des marchés publics) |
| Contrôles existants | Code de déontologie signé par le personnel |
| Actions | Registre des cadeaux et marques d’hospitalité avec approbation préalable · Formation spécifique de l’équipe commerciale · Compliance · 31 décembre |
| Date | Évaluation annuelle, 15 septembre 2026 |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Des risques génériques (« non-respect de la réglementation ») sans obligation ni activité précises.
- L’évaluation n’est pas renouvelée après un manquement ou une enquête.
- L’évaluation précédente est effacée lors de la mise à jour.
- Des contrôles déclarés efficaces que personne n’a vérifiés.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1La matrice des risques de conformité est enregistrée avec son responsable et l’action associée.
- 2Chaque risque de non-conformité est identifié et hiérarchisé par domaine.
- 3Après chaque manquement significatif, la cartographie des risques est mise à jour depuis l’enquête elle-même.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Est-ce la même chose que la cartographie des risques pénaux ?
La cartographie des risques pénaux se concentre sur les infractions susceptibles d’engager la responsabilité de la personne morale, en Espagne au titre de l’art. 31 bis du Code pénal. La matrice de l’ISO 37301 est plus large : elle couvre toute obligation, même lorsque son non-respect ne constitue pas une infraction pénale.
Et la cartographie des risques fiscaux de l’UNE 19602 ?
C’en est un sous-ensemble spécialisé. Un organisme qui applique les deux systèmes peut tenir une matrice unique, avec les risques fiscaux développés plus en détail et leur propre organe responsable.
Tenez les enregistrements ISO 37301 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Matrice des risques et opportunités ISO 9001 : modèle
Bâtir une matrice des risques et opportunités ISO 9001 (6.1) : origine dans le contexte, cotation, actions…
Planification
En compliance, planifier consiste à repérer les points où la conformité peut être prise en défaut et à fixer…
Modèle de registre des obligations de conformité ISO 37301
Comment documenter les obligations de conformité exigées par l’ISO 37301 : exigences obligatoires et…
Modèle de politique de conformité ISO 37301
Ce que doit contenir la politique de compliance selon l’ISO 37301 : engagements, indépendance de la…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO 37301:2021 — Systèmes de management de la conformité. Exigences et recommandations pour son utilisation ISO · Avril 2021
- Ley Orgánica 10/1995, Código Penal (Code pénal espagnol), art. 31 bis BOE-A-1995-25444 · Texte consolidé