Oram
Un produit de gestion du risque doit s'appuyer sur des références établies. Voici les alternatives examinées et le choix retenu pour chacune.
Le référentiel de classification
| Option | Ce qu'elle apporte | Pourquoi ce n'est pas le défaut |
|---|---|---|
| Socle Bâle, 7 types | Public, reconnu, comparable entre organisations | Retenu par défaut |
| Taxonomie ORX (niveaux 2/3, causes, impacts) | Profondeur sectorielle, très utilisée en finance | Accès payant : proposé en pack optionnel |
| Taxonomie interne du client | Fidèle à la maison | Retenu : import CSV/Excel |
Le cadre méthodologique
| Option | Usage |
|---|---|
| ISO 31000 | Processus général d'évaluation et de traitement — retenu comme trame |
| COSO ERM | Vision gouvernance d'entreprise — trop large pour une analyse de projet |
| ISO/IEC 27005 · NIST SP 800-30 | Risques TI et scénarios de menace — retenus pour la partie système |
La plateforme
- Jira Cloud / Forge : l'analyse vit là où vit le projet, et l'hébergement reste chez Atlassian.
- Écarté : une application externe avec connecteur — elle recréerait le silo qu'Oram prétend supprimer.
Ce qu'Oram ne fera pas
- Imposer une grille de cotation propriétaire.
- Revendiquer une certification que le client doit obtenir lui-même.
- Recopier la prose d'un organisme tiers : la logique de classement est reprise, la formulation est la nôtre.