Le niveau 1 répond à « quelle famille d'événement ». Le niveau 2 précise où, dans cette famille, le risque se situe réellement. C'est ce niveau qui rend deux analyses comparables : un « problème de processus » n'a pas le même traitement selon qu'il vient d'une contrepartie externe ou d'un fournisseur.

Au total, 19 catégories réparties sous les sept types de niveau 1. Les libellés, définitions et exemples ci-dessous sont ceux d'Oram. Les activités de niveau 3 sont détaillées sur la page Niveau 3 — les activités.

FI — Fraude interne

Code	Catégorie	Ce qu'elle couvre	Exemple
FI-1	Activité non autorisée	Un employé agit hors de son mandat ou contourne un contrôle.	Modification d'une limite de crédit sans approbation.
FI-2	Vol et fraude	Un employé s'approprie un bien, un fonds ou un avantage.	Détournement de remboursements de frais.

FE — Fraude externe

Code	Catégorie	Ce qu'elle couvre	Exemple
FE-1	Vol et fraude	Un tiers obtient un bien ou un avantage par tromperie.	Facture falsifiée d'un faux fournisseur.
FE-2	Sécurité des systèmes	Intrusion ou attaque informatique d'origine externe.	Rançongiciel déclenché par un hameçonnage ciblé.

EP — Pratiques d'emploi et sécurité au travail

Code	Catégorie	Ce qu'elle couvre	Exemple
EP-1	Relations de travail	Litige entre l'organisation et un employé.	Congédiement contesté, allégation de discrimination.
EP-2	Milieu de travail sécuritaire	Atteinte à la santé ou à la sécurité au travail.	Accident lors d'une intervention technique.

CP — Clients, produits et pratiques commerciales

Code	Catégorie	Ce qu'elle couvre	Exemple
CP-1	Connaissance du client et divulgation	Information insuffisante ou inadéquate au client.	Produit vendu sans adéquation au profil.
CP-2	Pratiques de marché inappropriées	Manipulation, entente, conflit d'intérêts non géré.	Communication d'une information privilégiée.
CP-3	Défaut de produit	Le produit ne remplit pas la fonction annoncée.	Erreur de modélisation dans un outil de tarification.
CP-4	Sélection et parrainage	Défaut d'évaluation d'une contrepartie ou d'un partenaire.	Crédit octroyé sans évaluation suffisante.
CP-5	Activités de conseil	Conseil inadéquat ou non documenté.	Recommandation sans justification au dossier.

AP — Dommages aux actifs physiques

Code	Catégorie	Ce qu'elle couvre	Exemple
AP-1	Sinistres et événements	Dommage matériel causé par un incident ou une catastrophe.	Dégât d'eau dans une salle serveur.

IS — Interruption d'activité et défaillances système

Code	Catégorie	Ce qu'elle couvre	Exemple
IS-1	Systèmes	Indisponibilité ou défaillance d'un système.	Panne d'un service transactionnel pendant six heures.

EX — Exécution, livraison et gestion des processus

Code	Catégorie	Ce qu'elle couvre	Exemple
EX-1	Saisie, exécution et maintien de l'opération	Erreur dans le traitement d'une transaction ou d'un dossier.	Double débit sur un même paiement.
EX-2	Surveillance et production de rapports	Carence dans le suivi, le contrôle ou le reporting.	Rapport réglementaire déposé en retard.
EX-3	Prise en charge et documentation du client	Dossier client incomplet ou mal constitué.	Pièce justificative manquante à l'ouverture.
EX-4	Gestion du compte client	Erreur dans la tenue ou la mise à jour du compte.	Garantie enregistrée sur le mauvais dossier.
EX-5	Contreparties	Défaillance d'une contrepartie qui n'est pas un client.	Défaut d'un intermédiaire de règlement.
EX-6	Fournisseurs et prestataires	Défaillance d'un fournisseur ou d'un sous-traitant.	Indisponibilité d'un service infonuagique critique.

Comment Oram s'en sert

Chaque risque saisi est rattaché à un chemin N1 → N2, puis précisé en N3 (activité) et N4 (exemple d'incident). Cette structure sert trois choses :

• la couverture : voir quelles catégories ne sont jamais utilisées, souvent le signe d'un angle mort ;
• la comparaison : agréger plusieurs projets sans mélanger des familles différentes ;
• la restitution : produire un rapport lisible par catégorie, et pas une liste plate.

Les organisations qui utilisent leur propre découpage peuvent importer leur taxonomie : ces 19 catégories sont un point de départ, pas une obligation.