ISO 31022:2020

INTERNATIONAL ISO
STANDARD 31022
First edition
2020-05
Risk management — Guidelines for
the management of legal risk
Management du risque — Lignes directrices relatives au management
du risque juridique
Reference number
©
ISO 2020
© ISO 2020
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO 2020 – All rights reserved

Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Principles . 2
5 Legal risk management process . 4
5.1 General . 4
5.2 Establishing the relevant context and criteria . 5
5.2.1 General. 5
5.2.2 External context of legal risk . 5
5.2.3 Internal context of legal risk . 5
5.2.4 Defining the legal risk criteria . 6
5.3 Assessment of legal risk . 7
5.3.1 General. 7
5.3.2 Identification of legal risk . 7
5.3.3 Analysis of legal risk .10
5.3.4 Evaluation of legal risk .11
5.4 Treatment of legal risk .11
5.4.1 General.11
5.4.2 Choosing options for the treatment of legal risk .11
5.4.3 Evaluation of the current practices for the treatment of legal risk .12
5.4.4 Development and implementation of the risk treatment plan .12
5.5 Communication (internal and external), consultation and reporting mechanisms
for the management of legal risk .13
5.5.1 General.13
5.5.2 Communication, consultation and learning .13
5.5.3 Monitoring and review .14
5.5.4 Recording and reporting .14
6 Implementation of the management of legal risk.15
6.1 General .15
6.2 Policy for the management of legal risk .15
6.3 Roles and functions for the management of legal risk .15
6.4 Integrating the management of legal risk .16
6.5 Resource allocation for the management of legal risk .16
6.6 Awareness of legal risk .16
Annex A (informative) An example of a legal risk identification method — Legal risk
identification matrix (LRIM) .17
Annex B (informative) An example of a legal risk register .19
Annex C (informative) An example for estimating the likelihood of events related to legal risk .21
Annex D (informative) An example for estimating the consequences of events related to
legal risk .23
Annex E (informative) Key clauses to consider when reviewing contracts .25
Bibliography .31
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www .iso .org/ patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO’s adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www .iso .org/
iso/ foreword .html.
This document was prepared by Technical Committee ISO/TC 262, Risk management.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/ members .html.
iv © ISO 2020 – All rights reserved

Introduction
Organizations operate in a complex environment with a variety of legal risks. Not only are organizations
required to comply with the laws of all the countries within which they operate, legal and regulatory
requirements can vary between different countries, strengthening the need for organizations to
understand and have confidence in their processes. Organizations need to keep pace with legal
and regulatory environment changes and review their needs as new activities and operations are
developed. Organizations face considerable uncertainty when making decisions and taking actions that
can have significant legal consequences. The management of legal risk helps organizations to protect
and increase value.
This document provides guidance on activities that support organizations to manage legal risk
efficiently and cost effectively to meet the expectations of a wide range of stakeholders. By developing an
improved understanding of the external and internal legal context, organizations may be able to develop
new opportunities or improve operational performance. However, failure to meet the requirements and
expectations of stakeholders can have considerable and immediate negative consequences that could
affect an organization’s performance and reputation and might lead to criminal prosecution of top
management.
ISO 31000 provides a generic framework for the management of all types of risks, including legal
risk. This document is aligned with ISO 31000 and provides more specific guidelines applicable to the
management of legal risk. The purpose of this document is to develop an improved understanding of
the management of legal risk faced by an organization applying the principles of ISO 31000. These
guidelines are intended to help organizations and their top management to:
— achieve the strategic outcomes and objectives of the organization;
— encourage a more systematic and consistent approach to the management of legal risk, and to
identify and analyse a comprehensive range of issues so that legal risks are proactively treated with
the appropriate resources and supported by top management and by the right level of expertise;
— better understand and assess the extent and consequence of legal issues and risk, and to exercise
proper due diligence;
— identify, analyse and evaluate legal risks, and to provide a systematic way to make informed
decisions;
— enhance and encourage the identification of opportunities for continual improvement.
It should be noted that legal risk within this document is broadly defined and is not limited to,
for example, risk related to compliance or contractual matters. It includes these, but legal risk is
deliberately defined to also include risks from or to third parties where there is not necessarily a
contractual relationship with such third parties but where there is a possibility of litigation or other
action depending on the third parties’ contractual obligations with their stakeholders.
This document:
— provides guidance for the management of legal risk so it aligns with compliance activities and
provides the assurance needed to meet the obligations and objectives of the organization;
— can be used by organizations of all types and sizes to deliver a more structured and consistent
approach to the management of legal risk for the benefit of the organization and its stakeholders
across all processes;
— offers an integrated management approach to the identification, anticipation and management of
legal risk;
— supports and complements existing approaches, enhancing them by providing better information
and insight on potential issues that the organization could face;
— supports any
...

NORME ISO
INTERNATIONALE 31022
Première édition
2020-05
Management du risque — Lignes
directrices relatives au management
du risque juridique
Risk management — Guidelines for the management of legal risk
Numéro de référence
©
ISO 2020
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2020
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO 2020 – Tous droits réservés

Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Principes . 2
5 Processus de management du risque juridique . 4
5.1 Généralités . 4
5.2 Établissement du contexte à considérer et des critères . 5
5.2.1 Généralités . 5
5.2.2 Contexte externe du risque juridique . 5
5.2.3 Contexte interne du risque juridique . 6
5.2.4 Définition des critères du risque juridique . 7
5.3 Appréciation du risque juridique . 8
5.3.1 Généralités . 8
5.3.2 Identification du risque juridique . 8
5.3.3 Analyse du risque juridique .11
5.3.4 Évaluation du risque juridique .12
5.4 Traitement du risque juridique .12
5.4.1 Généralités .12
5.4.2 Choix des options pour le traitement du risque juridique .12
5.4.3 Évaluation des pratiques actuelles pour le traitement du risque juridique .13
5.4.4 Élaboration et mise en œuvre du plan de traitement du risque .14
5.5 Mécanismes de communication (interne et externe), de consultation et
d’élaboration de rapports pour le management du risque juridique .15
5.5.1 Généralités .15
5.5.2 Communication, consultation et apprentissage .15
5.5.3 Suivi et revue .16
5.5.4 Enregistrement et élaboration de rapports .16
6 Mise en œuvre du management du risque juridique .16
6.1 Généralités .16
6.2 Politique de management du risque juridique .17
6.3 Rôles et fonctions pour le management du risque juridique .17
6.4 Intégration du management du risque juridique .18
6.5 Affectation des ressources pour le management du risque juridique .18
6.6 Sensibilisation au risque juridique .18
Annexe A (informative) Exemple de méthode d’identification du risque juridique —
Matrice d’identification du risque juridique (MIRJ) .19
Annexe B (informative) Exemple de registre des risques juridiques .21
Annexe C (informative) Exemple pour l’estimation de la vraisemblance des événements liés
au risque juridique .23
Annexe D (informative) Exemple d’estimation des conséquences des événements liés au
risque juridique.25
Annexe E (informative) Principales clauses à prendre en considération lors de l’examen
des contrats .27
Bibliographie .34
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www
.iso .org/ directives).
L’attention est attirée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l’élaboration du document sont indiqués dans l’Introduction et/ou dans la liste des déclarations de
brevets reçues par l’ISO (voir www .iso .org/ brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l’ISO liés à l’évaluation de la conformité, ou pour toute information au sujet de l’adhésion
de l’ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www .iso .org/ avant -propos.
Le présent document a été élaboré par le comité technique ISO/TC 262, Management du risque.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www .iso .org/ fr/ members .html.
iv © ISO 2020 – Tous droits réservés

Introduction
Les organismes évoluent dans un environnement complexe comportant divers risques juridiques. Non
seulement les organismes sont tenus de respecter le droit en vigueur dans tous les pays où ils exercent
leurs activités, mais les exigences juridiques et réglementaires peuvent varier d’un pays à l’autre, ce
qui renforce la nécessité, pour ces organismes, de comprendre et de faire confiance à leurs processus.
Les organismes doivent suivre le rythme de l’évolution de l’environnement juridique et réglementaire,
et revoir leurs besoins au fur et à mesure que de nouvelles activités et opérations se développent. Les
organismes font face à une incertitude considérable lorsqu’ils prennent des décisions et des mesures
qui peuvent avoir des conséquences juridiques importantes. Le management du risque juridique aide
les organismes à protéger et à accroître la valeur.
Le présent document fournit des recommandations relatives aux activités qui aident les organismes
à gérer le risque juridique de façon efficace et rentable afin de répondre aux attentes d’un large
éventail de parties prenantes. En encourageant une meilleure compréhension du contexte juridique
interne et externe, les organismes peuvent être en mesure de développer de nouvelles opportunités
ou d’améliorer leur performance opérationnelle. Cependant, le fait de ne pas répondre aux exigences et
aux attentes des parties prenantes peut avoir des conséquences négatives considérables et immédiates
qui pourraient affecter la performance et la réputation d’un organisme, et entraîner des poursuites
judiciaires à l’encontre de la direction.
L’ISO 31000 fournit un cadre générique pour le management de tous les types de risques, y compris
le risque juridique. Le présent document est aligné sur l’ISO 31000 et fournit des lignes directrices
plus spécifiques applicables au management du risque juridique. Le présent document a pour but de
permettre une meilleure compréhension du management du risque juridique auquel est confronté un
organisme qui applique les principes de l’ISO 31000. Ces lignes directrices visent à aider les organismes
et la direction à:
— atteindre les résultats et les objectifs stratégiques de l’organisme;
— encourager une approche plus systématique et cohérente du management du risque juridique, et
identifier et analyser un large éventail de questions, de sorte que les risques juridiques soient traités
de façon proactive avec les ressources appropriées et pris en charge par la direction et par le bon
niveau d’expertise;
— mieux comprendre et évaluer l’étendue et les conséquences des problèmes et risques juridiques et
exercer le devoir de vigilance approprié;
— identifier, analyser et évaluer les risques juridiques, et fournir un moyen systématique de prendre
des décisions éclairées;
— améliorer et encourager l’identification d’opportunités d’amélioration continue.
Il convient de noter que le risque juridique dans le présent document est défini de façon générale et ne
se limite pas, par exemple, au risque lié aux questions de conformité ou aux questions contractuelles.
Il inclut ces questions, mais le risque juridique est délibérément défini de manière à inclure également
les risques provenant de tiers ou à leur encontre alors qu’il n’existe pas nécessairement de relation
contractuelle avec ces tiers, mais lorsqu’il peut y avoir une possibilité de litige ou d’autre action relevant
des o
...

NORME ISO
INTERNATIONALE 31022
Première édition
2020-05
Management du risque — Lignes
directrices relatives au management
du risque juridique
Risk management — Guidelines for the management of legal risk
Numéro de référence
©
ISO 2020
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2020
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO 2020 – Tous droits réservés

Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Principes . 2
5 Processus de management du risque juridique . 4
5.1 Généralités . 4
5.2 Établissement du contexte à considérer et des critères . 5
5.2.1 Généralités . 5
5.2.2 Contexte externe du risque juridique . 5
5.2.3 Contexte interne du risque juridique . 6
5.2.4 Définition des critères du risque juridique . 7
5.3 Appréciation du risque juridique . 8
5.3.1 Généralités . 8
5.3.2 Identification du risque juridique . 8
5.3.3 Analyse du risque juridique .11
5.3.4 Évaluation du risque juridique .12
5.4 Traitement du risque juridique .12
5.4.1 Généralités .12
5.4.2 Choix des options pour le traitement du risque juridique .12
5.4.3 Évaluation des pratiques actuelles pour le traitement du risque juridique .13
5.4.4 Élaboration et mise en œuvre du plan de traitement du risque .14
5.5 Mécanismes de communication (interne et externe), de consultation et
d’élaboration de rapports pour le management du risque juridique .15
5.5.1 Généralités .15
5.5.2 Communication, consultation et apprentissage .15
5.5.3 Suivi et revue .16
5.5.4 Enregistrement et élaboration de rapports .16
6 Mise en œuvre du management du risque juridique .16
6.1 Généralités .16
6.2 Politique de management du risque juridique .17
6.3 Rôles et fonctions pour le management du risque juridique .17
6.4 Intégration du management du risque juridique .18
6.5 Affectation des ressources pour le management du risque juridique .18
6.6 Sensibilisation au risque juridique .18
Annexe A (informative) Exemple de méthode d’identification du risque juridique —
Matrice d’identification du risque juridique (MIRJ) .19
Annexe B (informative) Exemple de registre des risques juridiques .21
Annexe C (informative) Exemple pour l’estimation de la vraisemblance des événements liés
au risque juridique .23
Annexe D (informative) Exemple d’estimation des conséquences des événements liés au
risque juridique.25
Annexe E (informative) Principales clauses à prendre en considération lors de l’examen
des contrats .27
Bibliographie .34
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www
.iso .org/ directives).
L’attention est attirée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l’élaboration du document sont indiqués dans l’Introduction et/ou dans la liste des déclarations de
brevets reçues par l’ISO (voir www .iso .org/ brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l’ISO liés à l’évaluation de la conformité, ou pour toute information au sujet de l’adhésion
de l’ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www .iso .org/ avant -propos.
Le présent document a été élaboré par le comité technique ISO/TC 262, Management du risque.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www .iso .org/ fr/ members .html.
iv © ISO 2020 – Tous droits réservés

Introduction
Les organismes évoluent dans un environnement complexe comportant divers risques juridiques. Non
seulement les organismes sont tenus de respecter le droit en vigueur dans tous les pays où ils exercent
leurs activités, mais les exigences juridiques et réglementaires peuvent varier d’un pays à l’autre, ce
qui renforce la nécessité, pour ces organismes, de comprendre et de faire confiance à leurs processus.
Les organismes doivent suivre le rythme de l’évolution de l’environnement juridique et réglementaire,
et revoir leurs besoins au fur et à mesure que de nouvelles activités et opérations se développent. Les
organismes font face à une incertitude considérable lorsqu’ils prennent des décisions et des mesures
qui peuvent avoir des conséquences juridiques importantes. Le management du risque juridique aide
les organismes à protéger et à accroître la valeur.
Le présent document fournit des recommandations relatives aux activités qui aident les organismes
à gérer le risque juridique de façon efficace et rentable afin de répondre aux attentes d’un large
éventail de parties prenantes. En encourageant une meilleure compréhension du contexte juridique
interne et externe, les organismes peuvent être en mesure de développer de nouvelles opportunités
ou d’améliorer leur performance opérationnelle. Cependant, le fait de ne pas répondre aux exigences et
aux attentes des parties prenantes peut avoir des conséquences négatives considérables et immédiates
qui pourraient affecter la performance et la réputation d’un organisme, et entraîner des poursuites
judiciaires à l’encontre de la direction.
L’ISO 31000 fournit un cadre générique pour le management de tous les types de risques, y compris
le risque juridique. Le présent document est aligné sur l’ISO 31000 et fournit des lignes directrices
plus spécifiques applicables au management du risque juridique. Le présent document a pour but de
permettre une meilleure compréhension du management du risque juridique auquel est confronté un
organisme qui applique les principes de l’ISO 31000. Ces lignes directrices visent à aider les organismes
et la direction à:
— atteindre les résultats et les objectifs stratégiques de l’organisme;
— encourager une approche plus systématique et cohérente du management du risque juridique, et
identifier et analyser un large éventail de questions, de sorte que les risques juridiques soient traités
de façon proactive avec les ressources appropriées et pris en charge par la direction et par le bon
niveau d’expertise;
— mieux comprendre et évaluer l’étendue et les conséquences des problèmes et risques juridiques et
exercer le devoir de vigilance approprié;
— identifier, analyser et évaluer les risques juridiques, et fournir un moyen systématique de prendre
des décisions éclairées;
— améliorer et encourager l’identification d’opportunités d’amélioration continue.
Il convient de noter que le risque juridique dans le présent document est défini de façon générale et ne
se limite pas, par exemple, au risque lié aux questions de conformité ou aux questions contractuelles.
Il inclut ces questions, mais le risque juridique est délibérément défini de manière à inclure également
les risques provenant de tiers ou à leur encontre alors qu’il n’existe pas nécessairement de relation
contractuelle avec ces tiers, mais lorsqu’il peut y avoir une possibilité de litige ou d’autre action relevant
des o
...