L’audit de certification ISO 27001 se déroule bien. La politique de sécurité est complète, les procédures sont validées par la direction, la déclaration d’applicabilité est à jour. L’auditeur ouvre alors la procédure de gestion des accès, qui prévoit une revue trimestrielle des habilitations, et demande les comptes rendus des quatre dernières revues. La dernière date de dix-huit mois. Le document était irréprochable ; la non-conformité porte sur sa mise en œuvre.
Cette scène se répète dans de nombreuses organisations, quel que soit leur niveau d’investissement dans la conformité. Les documents ont été rédigés avec soin, souvent au moment d’un projet structurant, puis l’activité a repris son cours. Les équipes ont adapté leurs pratiques aux contraintes du quotidien, tandis que les procédures sont restées figées dans la version validée. Avec le temps, deux organisations coexistent : celle qui est décrite et celle qui fonctionne.
Un écart que les autorités examinent en priorité
Le RGPD repose sur le principe de responsabilité, inscrit à son article 5. Le responsable de traitement doit respecter les règles et être en mesure de le démontrer. Cette exigence de démonstration change la nature de la documentation : elle devient une déclaration d’engagement, que l’organisation doit pouvoir confronter à la réalité de ses traitements.
Les contrôles de la CNIL suivent précisément cette logique. Les agents lisent les politiques et les registres, puis vérifient sur place ce qu’il en est dans les systèmes. Les durées de conservation en offrent l’illustration la plus fréquente. Une politique annonce la suppression des candidatures non retenues au bout de deux ans, et le répertoire partagé du service recrutement contient des CV reçus depuis 2015. Les manquements à la limitation de la conservation figurent d’ailleurs parmi les motifs les plus réguliers des sanctions prononcées par l’autorité.
La situation devient plus délicate encore lorsque l’engagement est public. Une politique de confidentialité publiée sur le site internet informe les personnes de ce que l’entreprise fait de leurs données. Lorsque la pratique diverge de ce texte, l’organisation manque à son obligation de transparence envers les personnes, au-delà d’une simple imprécision documentaire.
Pourquoi les documents s’éloignent du terrain
L’origine de l’écart est rarement un manque de sérieux. Elle tient le plus souvent à la manière dont les documents ont été produits. Une procédure rédigée à partir d’un modèle générique décrit une organisation théorique, avec des rôles et des circuits qui correspondent imparfaitement à ceux de l’entreprise. Une procédure rédigée dans l’urgence d’une certification ou d’un appel d’offres vise d’abord à satisfaire un lecteur extérieur, et les équipes qui devraient l’appliquer découvrent parfois son existence au moment de l’audit.
L’organisation évolue ensuite plus vite que sa documentation. Prenons la procédure de gestion des incidents d’une ETI industrielle. Elle désigne nommément le responsable informatique comme point de contact, avec son numéro de téléphone portable. Ce responsable a quitté l’entreprise il y a un an, la fonction a été reprise par un infogérant, et le jour où un incident survient, personne ne sait précisément qui doit décider de la notification à la CNIL dans le délai de soixante-douze heures.
Concevoir une règle, la faire fonctionner : la grille du contrôle interne
Les fonctions de contrôle interne disposent d’une grille de lecture particulièrement utile pour aborder cet écart. Elles distinguent la conception d’un contrôle, c’est-à-dire sa capacité théorique à maîtriser un risque, de son efficacité opérationnelle, c’est-à-dire son application effective et constante sur une période donnée. Une procédure bien conçue et appliquée de manière irrégulière offre, en pratique, une maîtrise limitée du risque.
Les référentiels de conformité adoptent la même approche. ISO 27001 exige des informations documentées qui servent de preuves de la mise en œuvre, et prévoit un audit interne et une revue de direction pour vérifier que le système fonctionne réellement. DORA impose aux entités financières de réexaminer leur cadre de gestion du risque informatique au moins une fois par an et après tout incident majeur, ce qui oblige à confronter régulièrement les politiques à leur application. Pour un RSSI ou une direction des risques, l’enjeu consiste donc à piloter des preuves de fonctionnement plutôt qu’un stock de documents.
Écrire à partir de ce qui se fait réellement
La méthode la plus efficace pour réduire l’écart consiste à inverser le point de départ. Plutôt que de demander aux équipes d’appliquer un texte rédigé ailleurs, il s’agit d’observer comment elles travaillent, puis de formaliser ce fonctionnement en l’ajustant là où il présente un risque.
Un service comptable valide les virements fournisseurs selon un circuit qu’il a construit au fil des années, avec une double validation au-delà d’un certain montant et une vérification téléphonique en cas de changement de coordonnées bancaires. Ce circuit protège efficacement l’entreprise contre la fraude au faux fournisseur. Il figure pourtant dans aucun document, et la procédure officielle décrit un fonctionnement plus ancien. Partir du terrain permet ici de documenter une bonne pratique existante, de la sécuriser et de la rendre transmissible. Les équipes se reconnaissent dans le texte, ce qui constitue la meilleure garantie de son application.
Cette démarche suppose des entretiens avec les personnes qui exécutent les processus, et pas uniquement avec leurs responsables. C’est souvent à ce niveau que se trouvent les contournements, les fichiers intermédiaires et les outils adoptés localement, qui sont autant d’informations précieuses pour la conformité.
Confier la règle à l’outil
La procédure la mieux appliquée est celle que le système d’information applique lui-même. Une règle de conservation inscrite dans un document dépend de la vigilance de chacun ; la même règle paramétrée dans le logiciel de recrutement, avec une purge automatique des candidatures à l’échéance prévue, s’applique de manière constante et produit sa propre trace.
Cette logique s’étend à de nombreux domaines. L’authentification forte imposée par la configuration du système remplace avantageusement une consigne invitant les collaborateurs à l’activer. Un circuit de validation des achats intégré à l’outil de gestion garantit le respect des seuils d’engagement. Pour une DSI, chaque procédure mérite cette question : quelle part de cette règle l’outil peut-il porter à la place des personnes ? La réponse réduit l’effort de conformité et renforce sa fiabilité.
Des preuves produites par le fonctionnement lui-même
Une organisation mature conçoit ses processus pour qu’ils génèrent naturellement les preuves de leur application. La revue des habilitations prend la forme d’une campagne dans l’outil de gestion des identités, avec la validation horodatée de chaque responsable. La sensibilisation des nouveaux arrivants est enregistrée dans le système de formation. Le traitement d’une demande d’accès d’une personne est tracé dans un registre dédié, du jour de réception à la date de réponse.
Ces traces répondent directement aux questions d’un auditeur, d’un client ou d’une autorité. Elles évitent surtout la reconstitution a posteriori, cet exercice coûteux qui mobilise les équipes à l’approche de chaque audit et qui reste toujours fragile.
Un propriétaire et un rythme pour chaque document
Un document sans propriétaire vieillit inévitablement. Désigner, pour chaque politique et chaque procédure, une personne responsable de sa mise à jour et de son application change profondément la dynamique. Le propriétaire est celui qui connaît le processus, et pas nécessairement celui qui a rédigé le texte.
Un rythme de revue complète ce dispositif. Il peut être annuel pour les politiques structurantes, et déclenché par les événements qui modifient l’organisation : un changement d’outil, une réorganisation, un départ, un incident. Chaque revue confronte le texte au terrain et ajuste l’un ou l’autre. La documentation devient ainsi le reflet vivant de l’organisation, et l’audit suivant une simple formalité.
| Ce que prévoit le document | La preuve attendue en audit | Comment la produire naturellement |
|---|---|---|
| Revue périodique des habilitations | Comptes rendus datés et validés par les responsables | Campagne de revue dans l’outil de gestion des identités |
| Durées de conservation des données | Absence de données au-delà des durées annoncées | Purge automatique paramétrée dans les applications |
| Sensibilisation des collaborateurs | Liste des personnes sensibilisées et contenus diffusés | Enregistrement dans le système de formation |
| Gestion des demandes d’exercice de droits | Respect du délai d’un mois pour chaque demande | Registre horodaté des demandes et des réponses |
| Gestion des incidents | Registre des violations et décisions de notification | Ticket d’incident documenté de l’alerte à la clôture |
Réduire l’écart entre les documents et les pratiques, c’est passer d’une conformité déclarative à une conformité démontrable. Pour la direction, c’est aussi la certitude que l’organisation décrite aux clients, aux partenaires et aux autorités est bien celle qui fonctionne chaque jour.
