Le niveau 3 nomme l'activité : ce qui a concrètement été fait, ou aurait pu l'être. C'est le niveau auquel une équipe projet reconnaît son risque et peut décider d'une mesure.

Les activités ci-dessous sont proposées par défaut. Elles restent modifiables : chaque organisation peut en ajouter, en retirer ou en reformuler selon son vocabulaire.

FI — Fraude interne

FI-1 Activité non autorisée

• Accès non autorisé à un système ou à un dossier
• Opération exécutée hors mandat
• Modification de données sans autorisation

FI-2 Vol et fraude

• Détournement de fonds ou de biens
• Production de faux documents internes
• Usage personnel de ressources de l'organisation

FE — Fraude externe

FE-1 Vol et fraude

• Faux fournisseur ou fausse facture
• Usurpation d'identité d'un client
• Paiement frauduleux

FE-2 Sécurité des systèmes

• Hameçonnage et ingénierie sociale
• Intrusion par exploitation d'une faille
• Rançongiciel ou déni de service
• Exfiltration de données par un tiers

EP — Pratiques d'emploi et sécurité au travail

EP-1 Relations de travail

• Congédiement ou sanction contesté
• Discrimination ou harcèlement
• Litige sur la rémunération

EP-2 Milieu de travail sécuritaire

• Accident de travail
• Exposition à un danger physique ou chimique
• Manquement aux règles de santé et sécurité

CP — Clients, produits et pratiques commerciales

CP-1 Connaissance du client et divulgation

• Information incomplète ou trompeuse au client
• Absence d'évaluation d'adéquation
• Consentement non documenté

CP-2 Pratiques de marché inappropriées

• Manipulation de marché
• Conflit d'intérêts non divulgué
• Information privilégiée mal protégée

CP-3 Défaut de produit

• Erreur de conception ou de paramétrage
• Défaut de performance du produit
• Documentation produit erronée

CP-4 Sélection et parrainage

• Évaluation insuffisante d'une contrepartie
• Sélection de partenaire sans vérification
• Absence de suivi du risque de contrepartie

CP-5 Activités de conseil

• Recommandation non justifiée
• Conseil donné hors du mandat
• Absence de trace du conseil donné

AP — Dommages aux actifs physiques

AP-1 Sinistres et événements

• Incendie ou dégât d'eau
• Catastrophe naturelle
• Vandalisme ou sabotage
• Défaillance d'une infrastructure physique

IS — Interruption d'activité et défaillances système

IS-1 Systèmes

• Indisponibilité d'un service
• Dégradation de la performance
• Perte ou corruption de données
• Défaillance d'un service infonuagique

EX — Exécution, livraison et gestion des processus

EX-1 Saisie, exécution et maintien de l'opération

• Erreur de saisie
• Erreur de calcul ou de traitement
• Double traitement d'une opération
• Retard de traitement

EX-2 Surveillance et production de rapports

• Contrôle non exécuté
• Reporting incomplet ou tardif
• Alerte non traitée

EX-3 Prise en charge et documentation du client

• Dossier client incomplet
• Vérification d'identité insuffisante
• Document non conservé

EX-4 Gestion du compte client

• Mauvaise imputation sur un compte
• Mise à jour non appliquée
• Clôture ou transfert mal effectué

EX-5 Contreparties

• Défaut d'un intermédiaire
• Échec de règlement
• Défaillance d'un client institutionnel

EX-6 Fournisseurs et prestataires

• Retard ou non-livraison
• Prestation non conforme
• Défaillance d'un sous-traitant critique
• Fin de vie ou rupture de service d'un fournisseur

Et le niveau 4

Le niveau 4 est l'exemple d'incident : une phrase concrète qui permet à un lecteur extérieur — comité, auditeur — de comprendre le scénario sans connaître le projet. Oram le propose à partir de l'activité choisie et du contexte du projet, et le responsable de l'analyse le valide.

La version structurée de cette taxonomie (N1, N2 et N3 avec leurs codes) est publiée dans taxonomie.json, utilisée directement par l'application.