Oram classe chaque risque sur quatre niveaux. Ce découpage est celui de la pratique du secteur : il vient de la classification des événements de risque opérationnel utilisée par les régulateurs et les associations professionnelles.

Les quatre niveaux

Chaque risque saisi dans Oram est rattaché à un chemin N1 → N4. C'est ce chemin qui rend l'analyse comparable d'un projet à l'autre, et qui permet à un auditeur de vérifier la couverture.

Les sept types de niveau 1

Ces sept catégories constituent le socle public. Elles couvrent l'ensemble des événements de risque opérationnel et servent de dénominateur commun entre organisations.

1. Fraude interne — vol, détournement, usage illicite d'information par un employé.
2. Fraude externe — vol, fraude, intrusion par un tiers, y compris la cybercriminalité.
3. Pratiques d'emploi et sécurité au travail — litiges salariaux, discrimination, accidents.
4. Clients, produits et pratiques commerciales — défaut de conseil, divulgation insuffisante, manquement fiduciaire.
5. Dommages aux actifs physiques — sinistre, catastrophe naturelle, vandalisme.
6. Interruption d'activité et défaillances système — panne, indisponibilité, perte de service.
7. Exécution, livraison et gestion des processus — erreur de traitement, retard, défaillance d'un fournisseur.

Au-delà du socle

Les organisations subdivisent souvent ces sept catégories — la cyber, les tiers, la conduite et la conformité réglementaire devenant des branches distinctes — pour aboutir à dix à quinze catégories internes.

Oram ne leur impose pas ce découpage : la taxonomie est importable (CSV/Excel) et modifiable. Le socle n'est qu'un point de départ.

Attribution et formulation

La logique de classement est un standard du secteur, librement réutilisable en substance. Les libellés, définitions et exemples publiés ici sont rédigés par Oram : aucune prose d'un organisme tiers n'est reproduite.