Oram applique la démarche classique d'évaluation du risque, sans en inventer une nouvelle.

Les quatre étapes

1. Identification — quoi peut arriver, et sur quel périmètre du projet.
2. Analyse — cotation selon deux axes (probabilité et impact), puis score et niveau.
3. Évaluation — comparaison au seuil d'acceptation de l'organisation.
4. Traitement — mesure de mitigation, responsable, échéance, risque résiduel.

La cotation

Deux cotes coexistent sur chaque risque :

• inhérente : sans tenir compte des contrôles existants ;
• résiduelle : après application des mesures.

Les échelles (nombre de niveaux, libellés, seuils d'acceptation) sont configurables par organisation : aucune grille imposée.

Les mesures de mitigation

Une mesure n'est pas une ligne de commentaire : c'est un objet lié au risque, avec un responsable, une échéance, un statut, et un effet mesurable sur la cote résiduelle. C'est ce lien qui rend une analyse défendable devant un auditeur.

Projet, programme, grand programme

Une analyse de projet se consolide vers le niveau supérieur — programme, puis grand programme. Oram ne remplace pas cette consolidation par une addition de cotes : deux risques moyens ne font pas un risque double. À chaque niveau, trois vues sont publiées :

• le pire cas (risque le plus élevé du périmètre) ;
• le nombre de risques au-dessus du seuil d'acceptation ;
• le profil par catégorie : répartition des risques sur la matrice, par type de niveau 1.

La somme des cotes n'apparaît que si l'organisation travaille sur des échelles cardinales.

Les risques transverses — fournisseur commun, plateforme commune, dépendance d'ordonnancement, ressource rare — sont portés une seule fois, au niveau où ils naissent, et rattachés aux projets concernés : c'est ce qui évite le double comptage dans la consolidation.

Après coup : événements et pertes

Quand un risque se matérialise, l'événement et son montant de perte sont saisis dans l'outil de collecte de l'organisation — c'est lui qui alimente le provisionnement, le retour d'expérience et, selon le régime, l'exigence de fonds propres. Oram ne tient pas ce registre : il rattache ses risques aux événements enregistrés là-bas et affiche la fréquence observée, pour que la cote suivante s'appuie sur des faits. Aucun montant n'est saisi dans Oram.

L'export

L'analyse sort sous forme de document (Word, PowerPoint, gabarit maison) comprenant : la synthèse par catégorie, la matrice, le détail des risques et de leurs mesures, la date et l'auteur de chaque cotation.

La partie TI

Pour les risques liés aux systèmes d'information, la méthode de référence est celle des normes de sécurité (ISO/IEC 27005, NIST SP 800-30) : sources de menace, vulnérabilités, scénarios. Oram s'y rattache pour proposer des formulations de risques, tout en conservant la classification de niveau 1 commune à toute l'organisation.