ISO 31022:2020
(Main)Risk management — Guidelines for the management of legal risk
Risk management — Guidelines for the management of legal risk
This document gives guidelines for managing the specific challenges of legal risk faced by organizations, as a complementary document to ISO 31000. The application of these guidelines can be customized to any organization and its context. This document provides a common approach to the management of legal risk and is not industry or sector specific.
Management du risque — Lignes directrices relatives au management du risque juridique
Le présent document fournit des lignes directrices pour la gestion des défis spécifiques liés au risque juridique auxquels sont confrontés les organismes, à titre de document complémentaire à l'ISO 31000. L'application de ces lignes directrices peut être adaptée à n'importe quel organisme et à son contexte. Le présent document fournit une approche générique du management du risque juridique et n'est pas propre à une industrie ou à un secteur.
General Information
Buy Standard
Standards Content (Sample)
INTERNATIONAL ISO
STANDARD 31022
First edition
2020-05
Risk management — Guidelines for
the management of legal risk
Management du risque — Lignes directrices relatives au management
du risque juridique
Reference number
ISO 31022:2020(E)
©
ISO 2020
---------------------- Page: 1 ----------------------
ISO 31022:2020(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO 2020
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO 2020 – All rights reserved
---------------------- Page: 2 ----------------------
ISO 31022:2020(E)
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Principles . 2
5 Legal risk management process . 4
5.1 General . 4
5.2 Establishing the relevant context and criteria . 5
5.2.1 General. 5
5.2.2 External context of legal risk . 5
5.2.3 Internal context of legal risk . 5
5.2.4 Defining the legal risk criteria . 6
5.3 Assessment of legal risk . 7
5.3.1 General. 7
5.3.2 Identification of legal risk . 7
5.3.3 Analysis of legal risk .10
5.3.4 Evaluation of legal risk .11
5.4 Treatment of legal risk .11
5.4.1 General.11
5.4.2 Choosing options for the treatment of legal risk .11
5.4.3 Evaluation of the current practices for the treatment of legal risk .12
5.4.4 Development and implementation of the risk treatment plan .12
5.5 Communication (internal and external), consultation and reporting mechanisms
for the management of legal risk .13
5.5.1 General.13
5.5.2 Communication, consultation and learning .13
5.5.3 Monitoring and review .14
5.5.4 Recording and reporting .14
6 Implementation of the management of legal risk.15
6.1 General .15
6.2 Policy for the management of legal risk .15
6.3 Roles and functions for the management of legal risk .15
6.4 Integrating the management of legal risk .16
6.5 Resource allocation for the management of legal risk .16
6.6 Awareness of legal risk .16
Annex A (informative) An example of a legal risk identification method — Legal risk
identification matrix (LRIM) .17
Annex B (informative) An example of a legal risk register .19
Annex C (informative) An example for estimating the likelihood of events related to legal risk .21
Annex D (informative) An example for estimating the consequences of events related to
legal risk .23
Annex E (informative) Key clauses to consider when reviewing contracts .25
Bibliography .31
© ISO 2020 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO 31022:2020(E)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www .iso .org/ patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO’s adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www .iso .org/
iso/ foreword .html.
This document was prepared by Technical Committee ISO/TC 262, Risk management.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/ members .html.
iv © ISO 2020 – All rights reserved
---------------------- Page: 4 ----------------------
ISO 31022:2020(E)
Introduction
Organizations operate in a complex environment with a variety of legal risks. Not only are organizations
required to comply with the laws of all the countries within which they operate, legal and regulatory
requirements can vary between different countries, strengthening the need for organizations to
understand and have confidence in their processes. Organizations need to keep pace with legal
and regulatory environment changes and review their needs as new activities and operations are
developed. Organizations face considerable uncertainty when making decisions and taking actions that
can have significant legal consequences. The management of legal risk helps organizations to protect
and increase value.
This document provides guidance on activities that support organizations to manage legal risk
efficiently and cost effectively to meet the expectations of a wide range of stakeholders. By developing an
improved understanding of the external and internal legal context, organizations may be able to develop
new opportunities or improve operational performance. However, failure to meet the requirements and
expectations of stakeholders can have considerable and immediate negative consequences that could
affect an organization’s performance and reputation and might lead to criminal prosecution of top
management.
ISO 31000 provides a generic framework for the management of all types of risks, including legal
risk. This document is aligned with ISO 31000 and provides more specific guidelines applicable to the
management of legal risk. The purpose of this document is to develop an improved understanding of
the management of legal risk faced by an organization applying the principles of ISO 31000. These
guidelines are intended to help organizations and their top management to:
— achieve the strategic outcomes and objectives of the organization;
— encourage a more systematic and consistent approach to the management of legal risk, and to
identify and analyse a comprehensive range of issues so that legal risks are proactively treated with
the appropriate resources and supported by top management and by the right level of expertise;
— better understand and assess the extent and consequence of legal issues and risk, and to exercise
proper due diligence;
— identify, analyse and evaluate legal risks, and to provide a systematic way to make informed
decisions;
— enhance and encourage the identification of opportunities for continual improvement.
It should be noted that legal risk within this document is broadly defined and is not limited to,
for example, risk related to compliance or contractual matters. It includes these, but legal risk is
deliberately defined to also include risks from or to third parties where there is not necessarily a
contractual relationship with such third parties but where there is a possibility of litigation or other
action depending on the third parties’ contractual obligations with their stakeholders.
This document:
— provides guidance for the management of legal risk so it aligns with compliance activities and
provides the assurance needed to meet the obligations and objectives of the organization;
— can be used by organizations of all types and sizes to deliver a more structured and consistent
approach to the management of legal risk for the benefit of the organization and its stakeholders
across all processes;
— offers an integrated management approach to the identification, anticipation and management of
legal risk;
— supports and complements existing approaches, enhancing them by providing better information
and insight on potential issues that the organization could face;
© ISO 2020 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO 31022:2020(E)
— supports any process of compliance that organizations could have in place, such as a compliance or
other management system;
— supports the compliance function by more broadly identifying the organization’s legal and contract
rights and obligations.
It is intended that organizations using this document will benefit from improved commercial and
operational results, such as an enhanced reputation, better staff retention, improved stakeholder
relationships and greater synergies between resources and capabilities.
While this document is intended for use as part of the ISO 31000 framework, it should be noted that the
ISO 31000 framework may be used either on a standalone basis or with other management systems.
This document is not intended to:
— be a substitute for risk owners seeking expert legal advice (external or internal);
— apply to the process of law making or lobbying for new laws or changes to existing laws.
All references to the word “include” and “including” in this document should be interpreted as meaning
the wording “including, without limitation”.
vi © ISO 2020 – All rights reserved
---------------------- Page: 6 ----------------------
INTERNATIONAL STANDARD ISO 31022:2020(E)
Risk management — Guidelines for the management of
legal risk
1 Scope
This document gives guidelines for managing the specific challenges of legal risk faced by organizations,
as a complementary document to ISO 31000. The application of these guidelines can be customized to
any organization and its context.
This document provides a common approach to the management of legal risk and is not industry or
sector specific.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO 31000, Risk management — Guidelines
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO 31000 and the following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at http:// www .electropedia .org/
3.1
risk
effect of uncertainty on objectives
Note 1 to entry: An effect is a deviation from the expected. It can be positive, negative or both, and can address,
create or result in opportunities and threats.
Note 2 to entry: Objectives can have different aspects and categories, and can be applied at different levels.
[SOURCE: ISO 31000:2018, 3.1, modified — Note 3 to entry has been deleted.]
3.2
legal risk
risk (3.1) related to legal, regulatory and contractual matters, and from non-contractual rights and
obligations
Note 1 to entry: Legal matters can have their origin in political decisions, national or international law (3.3),
including statute law, case law or common law, administrative acts, regulatory orders, codified law, judgments
and awards, procedural rules, memoranda of understanding or contracts.
Note 2 to entry: Contractual matters relate to situations where an organization (3.4) fails to meet its contractual
obligations or to enforce its contractual rights, or enters into contracts with terms and conditions that are
onerous, inadequate, unfair and/or unenforceable.
© ISO 2020 – All rights reserved 1
---------------------- Page: 7 ----------------------
ISO 31022:2020(E)
Note 3 to entry: Risk from non-contractual rights is the risk that an organization fails to assert its non-contractual
rights. For example, the failure of an organization to enforce its intellectual property rights, such as its rights
related to copyright, trademarks, patents, trade secrets and confidential information against a third party.
Note 4 to entry: Risk from non-contractual obligations is the risk that an organization’s behaviour and decision-
making can result in illegal behaviour or a failure in non-legislative duty-of-care (or civil duty) to third parties.
For example, an organization’s infringement of third-party intellectual property rights, failure to meet the
requisite standards of care due to customers (such as mis-selling), or inappropriate use or management of social
media resulting in a third-party claim of defamation or libel and tortious duty generally.
3.3
law
system of rules, principles and practices, which a region, country or community recognizes as regulating
the actions of organizations (3.4)
Note 1 to entry: Laws may include any:
— statute, regulation, codified law, by-law, ordinance or subordinate legislation;
— common or case law;
— binding court order, judgment or decree;
— applicable industry code or policy enforceable by law.
3.4
organization
person or group of people that has its own functions with responsibilities, authorities and relationships
to achieve its objectives
Note 1 to entry: The concept of organization includes sole-trader, company, corporation, firm, enterprise,
authority, partnership, charity or institution, or part or combination thereof, whether incorporated or not, public
or private.
[SOURCE: ISO 19600:2014, 3.2.1, modified — Note 1 to entry has been modified.]
4 Principles
The effective management of legal risk requires the values and principles introduced in ISO 31000, as
shown in Figure 1.
Figure 1 — Principles
2 © ISO 2020 – All rights reserved
---------------------- Page: 8 ----------------------
ISO 31022:2020(E)
These eight elements are described below in a) to h) in the context of the management of legal risk. In
addition, for the management of legal risk, the principle of “equity”, see i), should also be considered.
a) Integrated: The management of legal risk is integral to the overall governance and management of
the organization. The activities of the legal risk management process should be embedded into the
strategic planning, business decision-making and management processes of the organization. For
the integration of the management of legal risk into organizational processes and activities, proper
roles and responsibilities should be established within the organization. The management of legal
risk should be integrated with other management systems, such as compliance, safety, quality and
with internal controls. While assessing legal risks and considering treatment options, legal subject
matter experts should be consulted together with other experts or specialists.
b) Structured and comprehensive: While following the generic risk management process, it is
important to assess the organization’s legal risks within an appropriate context so that a
comprehensive and consistent approach to the management of legal risk can be adopted.
c) Customized: The management of legal risk in an organization should be customized to reflect
the differences of its external context, including the legal and regulatory environment and sector
characteristics, as well as its internal context, including the nature of the legal entity, organizational
objectives and values.
The organization should have a detailed understanding of the applicability, impact and
consequences of failure to comply with relevant laws, and processes to ensure that applicable new
or updated laws are adequately identified, assessed for impact and interpreted.
The organization should minimize the complexity and cost of legal proceedings. It should attempt
to minimize and manage the negative consequences of legal risk. The organization can actively
seek opportunities to avoid disputes or litigation by taking action to treat legal risks before an
adverse event occurs, or is likely to occur, or attempt to reach settlement in a way that balances
costs, commercial objectives, reputation and time invested by the organization.
d) Inclusive: By involving all stakeholders in the management of legal risk, an organization can mitigate
adverse events, including regulatory enforcement. The organization should take care to ensure
legal privilege (or its equivalent form of protection in the relevant jurisdiction) is maintained as far
as practicable and confidentiality is maintained, but in both instances such protections need to be
assessed against the benefits of inclusiveness.
e) Dynamic: An organization should monitor and adapt to changes in laws, public policy and the
context within which it operates, and establish appropriate early warning indicators.
f) Best available information: For the effective management of legal risk, in addition to the experience
of in-house legal counsel, if it exists, business intelligence, business analytics, legal databases and
systems (including case management), electronic file management tools and services should be used.
If necessary, know-how provided by external law firms, service providers or advisors can be used.
g) Human and cultural factors: Given that stakeholders can have different knowledge, expectations
and views regarding legal risk and, given that such views could be emotionally, socially, culturally
and politically constructed and perceived, the organization should develop formal and informal
mechanisms to help ensure that human and cultural factors do not adversely result in legal risks.
The organization should also seek to encourage the realization, benefits and opportunities of the
management of such risks. Every member in the organization should be aware of how each action
or non-action affects legal risk.
h) Continual improvement: An organization should take into consideration, and act on lessons learned,
post transaction reviews, best practices, professional advice from internal and external counsel,
and internal audit, and consider applicable changes in law.
i) Equity: For decision-makers, establishing the principles of equity guides the management of legal
risk and includes managing conflicts of interest and provides an unbiased, independent voice in
decisions and support due diligence and fairness for the best interests of an organization.
© ISO 2020 – All rights reserved 3
---------------------- Page: 9 ----------------------
ISO 31022:2020(E)
NOTE There is no one common agreed definition of equity, rather, “equity” incorporates different ideas
and concepts, including justice, fairness and equality.
5 Legal risk management process
5.1 General
The management of legal risk is iterative and should be integrated in all activities and operations of the
organization. The risk management process as applied to the management of legal risk is described in
5.2 to 5.5 and is illustrated in Figure 2. This diagram complements ISO 31000:2018, Figure 4.
Figure 2 — Process for the management of legal risk
Monitoring and reviewing, reporting, communication and consultation should be ongoing throughout the
entire process of the management of legal risk across the organization. Further details are given in 5.5.
4 © ISO 2020 – All rights reserved
---------------------- Page: 10 ----------------------
ISO 31022:2020(E)
5.2 Establishing the relevant context and criteria
5.2.1 General
In addition to ISO 31000:2018, 6.3, the organization should consider the external and internal context
given in 5.2.2 and 5.2.3, respectively.
5.2.2 External context of legal risk
The external context of legal risk refers to factors that are outside the organization but related to the
management of legal risk. It includes:
— relevant local and international laws and changes in relevant local and international laws;
— trade unions and employer organizations;
— external service providers and advisors supporting the management of legal risk, such as law firms,
external auditors, and service providers of information management and analytics;
— external stakeholders, such as businesses, civil society organizations, regulatory bodies, local
governments, the public, communities of interest, press and media, and special interest groups, and
their expectations regarding the management of legal risk;
— any acts or omissions of third parties, such as fraudulent and deceitful conduct by such third parties;
— applicable international agreements and memoranda of understanding;
— applicable market conditions related to the organization;
— third-party actions or claims;
— laws of the countries where the products/services provided are delivered or supplied.
When examining and understanding the external context of legal risk for organizations operating in
multiple jurisdictions, the environmental and cultural differences among different jurisdictions should
be considered. The extraterritorial application of national laws, which jurisdiction’s law applies in a
certain situation (i.e. conflict of laws and the mutual recognition of laws) and the identification of the
applicable jurisdiction may also require consideration.
5.2.3 Internal context of legal risk
The internal context of legal risk is substantially in the control of, or subject to the authority of, an
organization through its governing and management systems. It includes:
— the nature of the legal entity;
— the financial health of the organization and its business model;
— the internal legal structure of the organization and its governing processes and functions;
— the governance of the organization and its value structures for promoting integrity, such as a code
of conduct and other compliance guidelines;
— the current state of the organization’s legal matters and its approach to the management of legal risk;
— awareness campaigns on the orientation and continual improvement of performance in matters
of legal risk for stakeholders, and systems and arrangements to improve stakeholder behaviour
concerning laws and to deter fraudulent and deceitful conduct, such as compliance management
systems;
— past experiences and the history of legal disputes or events triggered by legal risk in the organization;
© ISO 2020 – All rights reserved 5
---------------------- Page: 11 ----------------------
ISO 31022:2020(E)
— assets that the organization owns, such as intellectual property and other legal rights for tangible
and intangible assets used for processes and activities;
— the effect of rights and obligations under contracts;
— the obligations arising from a duty of care;
— the cross-triggering effects of indemnities, warranties and non-reliance clauses in contracts;
— liabilities arising from labour, environmental, tax and other issues from mergers, acquisitions and
disposals;
— the internal policy regarding the management of legal risk;
— other information and resources related to legal risk and its management.
5.2.4 Defining the legal risk criteria
In addition to ISO 31000:2018, 6.3.4, the organization should consider the following.
Legal risk criteria:
— as a term, is a subset of organizational risk criteria;
— are measures that are identified and def
...
NORME ISO
INTERNATIONALE 31022
Première édition
2020-05
Management du risque — Lignes
directrices relatives au management
du risque juridique
Risk management — Guidelines for the management of legal risk
Numéro de référence
ISO 31022:2020(F)
©
ISO 2020
---------------------- Page: 1 ----------------------
ISO 31022:2020(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2020
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO 2020 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO 31022:2020(F)
Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Principes . 2
5 Processus de management du risque juridique . 4
5.1 Généralités . 4
5.2 Établissement du contexte à considérer et des critères . 5
5.2.1 Généralités . 5
5.2.2 Contexte externe du risque juridique . 5
5.2.3 Contexte interne du risque juridique . 6
5.2.4 Définition des critères du risque juridique . 7
5.3 Appréciation du risque juridique . 8
5.3.1 Généralités . 8
5.3.2 Identification du risque juridique . 8
5.3.3 Analyse du risque juridique .11
5.3.4 Évaluation du risque juridique .12
5.4 Traitement du risque juridique .12
5.4.1 Généralités .12
5.4.2 Choix des options pour le traitement du risque juridique .12
5.4.3 Évaluation des pratiques actuelles pour le traitement du risque juridique .13
5.4.4 Élaboration et mise en œuvre du plan de traitement du risque .14
5.5 Mécanismes de communication (interne et externe), de consultation et
d’élaboration de rapports pour le management du risque juridique .15
5.5.1 Généralités .15
5.5.2 Communication, consultation et apprentissage .15
5.5.3 Suivi et revue .16
5.5.4 Enregistrement et élaboration de rapports .16
6 Mise en œuvre du management du risque juridique .16
6.1 Généralités .16
6.2 Politique de management du risque juridique .17
6.3 Rôles et fonctions pour le management du risque juridique .17
6.4 Intégration du management du risque juridique .18
6.5 Affectation des ressources pour le management du risque juridique .18
6.6 Sensibilisation au risque juridique .18
Annexe A (informative) Exemple de méthode d’identification du risque juridique —
Matrice d’identification du risque juridique (MIRJ) .19
Annexe B (informative) Exemple de registre des risques juridiques .21
Annexe C (informative) Exemple pour l’estimation de la vraisemblance des événements liés
au risque juridique .23
Annexe D (informative) Exemple d’estimation des conséquences des événements liés au
risque juridique.25
Annexe E (informative) Principales clauses à prendre en considération lors de l’examen
des contrats .27
Bibliographie .34
© ISO 2020 – Tous droits réservés iii
---------------------- Page: 3 ----------------------
ISO 31022:2020(F)
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www
.iso .org/ directives).
L’attention est attirée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l’élaboration du document sont indiqués dans l’Introduction et/ou dans la liste des déclarations de
brevets reçues par l’ISO (voir www .iso .org/ brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l’ISO liés à l’évaluation de la conformité, ou pour toute information au sujet de l’adhésion
de l’ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www .iso .org/ avant -propos.
Le présent document a été élaboré par le comité technique ISO/TC 262, Management du risque.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www .iso .org/ fr/ members .html.
iv © ISO 2020 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO 31022:2020(F)
Introduction
Les organismes évoluent dans un environnement complexe comportant divers risques juridiques. Non
seulement les organismes sont tenus de respecter le droit en vigueur dans tous les pays où ils exercent
leurs activités, mais les exigences juridiques et réglementaires peuvent varier d’un pays à l’autre, ce
qui renforce la nécessité, pour ces organismes, de comprendre et de faire confiance à leurs processus.
Les organismes doivent suivre le rythme de l’évolution de l’environnement juridique et réglementaire,
et revoir leurs besoins au fur et à mesure que de nouvelles activités et opérations se développent. Les
organismes font face à une incertitude considérable lorsqu’ils prennent des décisions et des mesures
qui peuvent avoir des conséquences juridiques importantes. Le management du risque juridique aide
les organismes à protéger et à accroître la valeur.
Le présent document fournit des recommandations relatives aux activités qui aident les organismes
à gérer le risque juridique de façon efficace et rentable afin de répondre aux attentes d’un large
éventail de parties prenantes. En encourageant une meilleure compréhension du contexte juridique
interne et externe, les organismes peuvent être en mesure de développer de nouvelles opportunités
ou d’améliorer leur performance opérationnelle. Cependant, le fait de ne pas répondre aux exigences et
aux attentes des parties prenantes peut avoir des conséquences négatives considérables et immédiates
qui pourraient affecter la performance et la réputation d’un organisme, et entraîner des poursuites
judiciaires à l’encontre de la direction.
L’ISO 31000 fournit un cadre générique pour le management de tous les types de risques, y compris
le risque juridique. Le présent document est aligné sur l’ISO 31000 et fournit des lignes directrices
plus spécifiques applicables au management du risque juridique. Le présent document a pour but de
permettre une meilleure compréhension du management du risque juridique auquel est confronté un
organisme qui applique les principes de l’ISO 31000. Ces lignes directrices visent à aider les organismes
et la direction à:
— atteindre les résultats et les objectifs stratégiques de l’organisme;
— encourager une approche plus systématique et cohérente du management du risque juridique, et
identifier et analyser un large éventail de questions, de sorte que les risques juridiques soient traités
de façon proactive avec les ressources appropriées et pris en charge par la direction et par le bon
niveau d’expertise;
— mieux comprendre et évaluer l’étendue et les conséquences des problèmes et risques juridiques et
exercer le devoir de vigilance approprié;
— identifier, analyser et évaluer les risques juridiques, et fournir un moyen systématique de prendre
des décisions éclairées;
— améliorer et encourager l’identification d’opportunités d’amélioration continue.
Il convient de noter que le risque juridique dans le présent document est défini de façon générale et ne
se limite pas, par exemple, au risque lié aux questions de conformité ou aux questions contractuelles.
Il inclut ces questions, mais le risque juridique est délibérément défini de manière à inclure également
les risques provenant de tiers ou à leur encontre alors qu’il n’existe pas nécessairement de relation
contractuelle avec ces tiers, mais lorsqu’il peut y avoir une possibilité de litige ou d’autre action relevant
des obligations contractuelles des tiers avec leurs parties prenantes.
Le présent document:
— fournit des recommandations relatives au management du risque juridique de manière à s’aligner sur
les activités de mise en conformité et fournit l’assurance nécessaire pour respecter les obligations
et les objectifs de l’organisme;
— peut être utilisé par les organismes de tous types et de toutes tailles afin d’offrir une approche plus
structurée et cohérente du management du risque juridique pour le bénéfice de l’organisme et de
ses parties prenantes dans tous les processus;
© ISO 2020 – Tous droits réservés v
---------------------- Page: 5 ----------------------
ISO 31022:2020(F)
— propose une approche de management intégrée pour l’identification, l’anticipation et le management
du risque juridique;
— appuie et complète les approches existantes en les enrichissant grâce à l’apport de meilleures
informations et perspectives sur les problèmes potentiels auxquels l’organisme pourrait être
confronté;
— appuie tout processus de mise en conformité que les organismes pourraient avoir mis en place, tel
qu’un système de mise en conformité ou autre système de management;
— soutient la fonction de conformité en identifiant de façon plus générale les droits et obligations
juridiques et contractuels de l’organisme.
Il est attendu qu’en utilisant le présent document, les organismes puissent bénéficier de meilleurs
résultats commerciaux et opérationnels tels qu’une meilleure réputation, une fidélisation accrue du
personnel, des relations optimisées avec leurs parties prenantes et de plus grandes synergies entre
leurs ressources et leurs capacités.
Bien que le présent document soit destiné à être utilisé dans le cadre de l’ISO 31000, il convient de
noter que le cadre de l’ISO 31000 peut également être utilisé soit de façon autonome soit avec d’autres
systèmes de management.
Le présent document n’est pas destiné à:
— se substituer aux propriétaires de risques à la recherche de conseils juridiques auprès d’experts
(externes ou internes);
— s’appliquer au processus législatif ni au lobbying en faveur de nouvelles lois ou de la modification du
droit existant.
Il convient que toute référence aux mots «inclure», «comprendre», «incluant» et «comprenant» dans le
présent document soit interprétée au sens de «y compris, sans limitation».
vi © ISO 2020 – Tous droits réservés
---------------------- Page: 6 ----------------------
NORME INTERNATIONALE ISO 31022:2020(F)
Management du risque — Lignes directrices relatives au
management du risque juridique
1 Domaine d’application
Le présent document fournit des lignes directrices pour la gestion des défis spécifiques liés au risque
juridique auxquels sont confrontés les organismes, à titre de document complémentaire à l’ISO 31000.
L’application de ces lignes directrices peut être adaptée à n’importe quel organisme et à son contexte.
Le présent document fournit une approche générique du management du risque juridique et n’est pas
propre à une industrie ou à un secteur.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu’ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l’édition citée s’applique.
Pour les références non datées, la dernière édition du document de référence s’applique (y compris les
éventuels amendements).
ISO 31000, Management du risque — Lignes directrices
3 Termes et définitions
Pour les besoins du présent document, les termes et les définitions de l’ISO 31000 ainsi que les suivants
s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse http:// www .electropedia .org/
3.1
risque
effet de l’incertitude sur les objectifs
Note 1 à l'article: Un effet est un écart par rapport à un attendu. Il peut être positif, négatif ou les deux à la fois, et
traiter, créer ou entraîner des opportunités et des menaces.
Note 2 à l'article: Les objectifs peuvent avoir différents aspects, être de catégories différentes, et peuvent
concerner différents niveaux.
[SOURCE: ISO 31000:2018, 3.1, modifiée — La Note 3 à l’article a été supprimée.]
3.2
risque juridique
risque (3.1) en lien avec des questions juridiques, réglementaires et contractuelles, ou avec des droits et
obligations non contractuels
Note 1 à l'article: Les questions juridiques peuvent avoir leur origine dans des décisions politiques, le droit (3.3)
national ou international, y compris le droit législatif, la jurisprudence, les actes administratifs, les ordonnances
réglementaires, les codes, les jugements et sentences, les règles de procédure, les protocoles d’accord ou les
contrats.
© ISO 2020 – Tous droits réservés 1
---------------------- Page: 7 ----------------------
ISO 31022:2020(F)
Note 2 à l'article: Les questions contractuelles ont trait aux situations dans lesquelles un organisme (3.4) ne
s’acquitte pas de ses obligations contractuelles ou ne fait pas respecter ses droits contractuels, ou conclut des
contrats assortis de conditions onéreuses, inadéquates, injustes et/ou inapplicables.
Note 3 à l'article: Le risque lié aux droits non contractuels est le risque qu’un organisme ne fasse pas valoir ses
droits non contractuels. Par exemple, le fait qu’un organisme ne fasse pas respecter ses droits de propriété
intellectuelle, tels que ses droits relatifs au droit d’auteur, aux marques de commerce, aux brevets, aux secrets
commerciaux et aux informations confidentielles, vis-à-vis d’un tiers.
Note 4 à l'article: Le risque lié aux obligations non contractuelles est le risque que le comportement et la prise
de décisions d’un organisme soit en fait un comportement illégal ou un manquement au devoir de diligence
non législatif (ou devoir civil) envers des tiers. Par exemple, un organisme qui enfreint les droits de propriété
intellectuelle d’un tiers, qui ne respecte pas les règles d’attention requises envers les clients (comme la vente
trompeuse), ou qui utilise ou gère de manière inappropriée des réseaux sociaux entraînant une poursuite en
diffamation ou en dénonciation calomnieuse de la part d’un tiers et qui, d’une manière générale, présente des
engagements ambigües.
3.3
droit
système de règles, principes et pratiques qu’une région, un pays ou une communauté reconnaît comme
étant un système qui régit les actions des organismes (3.4)
Note 1 à l'article: Le droit peut inclure n’importe lequel des éléments suivants:
— loi, réglementation, code, décret, ordonnance ou texte d’application;
— jurisprudence;
— décision judiciaire contraignante, jugement ou arrêté;
— code spécifique à l’activité ou politique applicable, prévu par la loi.
3.4
organisme
personne ou groupe de personnes ayant des fonctions définies avec les responsabilités, l’autorité et les
relations lui permettant d’atteindre ses objectifs
Note 1 à l'article: Le concept d’organisme englobe sans s’y limiter, les travailleurs indépendants, les compagnies,
les sociétés, les firmes, les entreprises, les administrations, les partenariats, les organisations caritatives ou
les institutions, ou bien une partie ou une association des entités précédentes, ayant soit un statut de société
commerciale soit un autre statut, de droit public ou privé.
[SOURCE: ISO 19600:2014, 3.2.1, modifiée — La Note 1 à l’article a été modifiée.]
4 Principes
Le management efficace du risque juridique repose sur les valeurs et les principes présentés dans
l’ISO 31000, comme illustré à la Figure 1.
2 © ISO 2020 – Tous droits réservés
---------------------- Page: 8 ----------------------
ISO 31022:2020(F)
Figure 1 — Principes
Ces huit éléments sont décrits ci-dessous, de a) à h), dans le contexte du management du risque
juridique. En outre, pour le management du risque juridique, il convient que le principe d’«équité», voir
i), soit également pris en considération.
a) Intégré: le management du risque juridique fait partie intégrante de la gouvernance et de la
gestion globales de l’organisme. Il convient que les activités du processus de management
du risque juridique soient intégrées aux processus de planification stratégique, de prise de
décisions opérationnelles et de management de l’organisme. Pour l’intégration du management
du risque juridique dans les processus et activités de l’organisme, il convient que des rôles et des
responsabilités appropriés soient définis au sein de l’organisme. Il convient que le management du
risque juridique soit intégré à d’autres systèmes de management, comme la conformité, la sécurité,
la qualité et avec les contrôles internes. Lors de l’évaluation des risques juridiques et de l’examen
des options de traitement, il convient que des experts en matière juridique soient consultés avec
d’autres experts ou spécialistes.
b) Structuré et global: tout en suivant le processus générique de management du risque, il est
important d’évaluer les risques juridiques de l’organisme dans un contexte approprié afin de
pouvoir adopter une approche globale et cohérente du management du risque juridique.
c) Adapté: il convient que le management du risque juridique au sein d’un organisme soit adapté
pour refléter les particularités de son contexte externe, y compris l’environnement juridique et
réglementaire et les caractéristiques du secteur, ainsi que son contexte interne, y compris la nature
de l’entité juridique, les objectifs et les valeurs de l’organisme.
Il convient que l’organisme ait une compréhension approfondie de l’applicabilité des droits,
de l’impact et des conséquences d’une incapacité à se conformer aux droits applicables, et des
processus visant à s’assurer que les droits nouveaux ou actualisés sont identifiés de manière
satisfaisante, leur impact correctement évalué et interprétés.
Il convient que l’organisme réduise au minimum la complexité et le coût des procédures judiciaires.
Il convient que l’organisme tente de réduire le plus possible et de maîtriser les conséquences
négatives d’un risque juridique. L’organisme peut chercher activement des moyens d’éviter les
différends ou les litiges en prenant des mesures pour traiter les risques juridiques avant qu’un
événement indésirable ne se produise, ou ne soit susceptible de se produire, ou tenter de parvenir
à un règlement d’une manière qui permet de peser avantages et inconvénients sur les coûts, les
objectifs commerciaux, la réputation et le temps consacré par l’organisme.
© ISO 2020 – Tous droits réservés 3
---------------------- Page: 9 ----------------------
ISO 31022:2020(F)
d) Inclusif: en impliquant toutes les parties prenantes dans le management du risque juridique,
un organisme peut atténuer les événements indésirables, y compris le durcissement de la
réglementation. Il convient que l’organisme veille à ce que le secret professionnel (ou la forme
équivalente de protection dans la juridiction concernée) soit maintenu dans la mesure du possible
et que la confidentialité soit préservée, mais dans les deux cas, il est nécessaire que ces protections
soient évaluées par rapport aux avantages de l’inclusivité.
e) Dynamique: il convient qu’un organisme suive et s’adapte à l’évolution des droits, des politiques
publiques et au contexte dans lequel il exerce ses activités, et établisse des indicateurs d’alerte
précoce appropriés.
f) Meilleure information disponible: pour un management efficace du risque juridique, outre
l’expérience des conseillers juridiques internes, si elle existe, il convient de recourir à l’intelligence
économique, au business analytics, à des bases de données et des systèmes juridiques (incluant la
gestion des cas), à des outils et des services de gestion des dossiers électroniques. Si nécessaire, il
est possible d’avoir recours au savoir-faire proposé par des cabinets juridiques, des prestataires de
services ou des conseillers externes.
g) Facteurs humains et culturels: étant donné que les parties prenantes peuvent avoir des
connaissances, des attentes et des points de vue différents en matière de risque juridique et que ces
points de vue peuvent être construits et perçus sur les plans émotif, social, culturel et politique, il
convient que l’organisme élabore des mécanismes formels et informels pour contribuer à faire en
sorte que les facteurs humains et culturels n’entraînent pas de risques juridiques. Il convient que
l’organisme cherche également à encourager la réalisation du management de tels risques ainsi que
les avantages et les opportunités qui en découlent. Il convient que tous les membres de l’organisme
soient conscients de la façon dont chaque action ou inaction influe sur le risque juridique.
h) Amélioration continue: il convient qu’un organisme tienne compte des enseignements du passé,
des analyses postérieures aux transactions, des bonnes pratiques, des conseils professionnels de
conseillers internes et externes, des audits internes et des évolutions juridiques à appliquer, et y
donne suite.
i) Équité: pour les décideurs, l’instauration de principes d’équité guide le management du risque
juridique et comprend la gestion des conflits d’intérêts. Elle permet également de faire entendre une
voix objective et indépendante dans les décisions et favorise le devoir de vigilance et l’impartialité
dans l’intérêt supérieur de l’organisme.
NOTE Il n’y a pas de définition convenue de l’équité, plutôt, «l’équité» incorpore différentes idées et
concepts, y compris la justice, l’équité et l’égalité.
5 Processus de management du risque juridique
5.1 Généralités
Le management du risque juridique est une activité itérative et il convient de l’intégrer à toutes les
activités et opérations de l’organisme. Le processus de management du risque appliqué au management
du risque juridique est décrit de 5.2 à 5.5 et est illustré à la Figure 2. Ce diagramme complète
l’ISO 31000:2018, Figure 4.
4 © ISO 2020 – Tous droits réservés
---------------------- Page: 10 ----------------------
ISO 31022:2020(F)
Figure 2 — Processus de management du risque juridique
Il convient que le suivi et la revue, l’élaboration de rapports, la communication et la consultation
se poursuivent tout au long du processus de management du risque juridique dans l’ensemble de
l’organisme. Plus de détails sont donnés en 5.5.
5.2 Établissement du contexte à considérer et des critères
5.2.1 Généralités
Outre l’ISO 31000:2018, 6.3, il convient que l’organisme prenne en considération les contextes externe
et interne présentés respectivement en 5.2.2 et 5.2.3.
5.2.2 Contexte externe du risque juridique
Le contexte externe du risque juridique renvoie à des facteurs extérieurs à l’organisme, mais qui sont
liés au management du risque juridique. Il comprend:
— le droit local et internatio
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.