Oram classe chaque risque sur quatre niveaux. Ce découpage est celui de la pratique du secteur : il vient de la classification des événements de risque opérationnel utilisée par les régulateurs et les associations professionnelles. Les pages Niveau 2 — les 19 catégories et Niveau 3 — les activités détaillent les deux niveaux intermédiaires.

Les quatre niveaux

Niveau	Contenu	Volume par défaut	Exemple
N1	Type d'événement	7	Fraude interne
N2	Catégorie	19	Activité non autorisée
N3	Activité	62	Usage abusif d'information confidentielle
N4	Exemple d'incident concret	libre	Un employé exfiltre des données clients vers un disque personnel

Chaque risque saisi dans Oram est rattaché à un chemin N1 → N4. C'est ce chemin qui rend l'analyse comparable d'un projet à l'autre, et qui permet à un auditeur de vérifier la couverture.

N1 à N3 sont normés : ce sont des niveaux de classification, avec des codes stables (FI, FI-1, FI-1.3) que le client peut adapter ou importer. Le N4 ne l'est pas : dans les référentiels, il n'est qu'illustratif — une phrase d'exemple, propre à l'organisation et au projet. Oram l'assiste par génération, mais ne le normalise jamais : sa valeur vient justement du contexte.

Un chemin complet, avec ses codes

FE (fraude externe) → FE-2 (sécurité des systèmes) → FE-2.4 (exfiltration de données par un tiers) → « Un prestataire de télésurveillance compromis permet l'accès aux sauvegardes du projet. »

Le N1 et le N2 peuvent être importés tels quels ; le N3 est proposé par défaut ; le N4 est généré à partir du contexte du projet, puis validé par le responsable de l'analyse.

Les sept types de niveau 1

Ces sept catégories constituent le socle public. Elles couvrent l'ensemble des événements de risque opérationnel et servent de dénominateur commun entre organisations.

1. Fraude interne — vol, détournement, usage illicite d'information par un employé.
2. Fraude externe — vol, fraude, intrusion par un tiers, y compris la cybercriminalité.
3. Pratiques d'emploi et sécurité au travail — litiges salariaux, discrimination, accidents.
4. Clients, produits et pratiques commerciales — défaut de conseil, divulgation insuffisante, manquement fiduciaire.
5. Dommages aux actifs physiques — sinistre, catastrophe naturelle, vandalisme.
6. Interruption d'activité et défaillances système — panne, indisponibilité, perte de service.
7. Exécution, livraison et gestion des processus — erreur de traitement, retard, défaillance d'un fournisseur.

Au-delà du socle

Les organisations subdivisent souvent ces sept catégories — la cyber, les tiers, la conduite et la conformité réglementaire devenant des branches distinctes — pour aboutir à dix à quinze catégories internes.

Oram ne leur impose pas ce découpage : la taxonomie est importable (CSV/Excel) et modifiable. Le socle n'est qu'un point de départ.

Attribution et formulation

La logique de classement est un standard du secteur, librement réutilisable en substance. Les libellés, définitions et exemples publiés ici sont rédigés par Oram : aucune prose d'un organisme tiers n'est reproduite.