L'analyse d'écart : ce qu'elle mesure vraiment, et ce qu'elle ne dit pas

Comparer un état réel à un état attendu

Une analyse d'écart met face à face deux choses : ce qu'un référentiel attend, et ce que votre organisation peut démontrer aujourd'hui. La différence entre les deux s'appelle un écart. Le mot fait peur à tort : un écart n'est pas une faute, c'est une information, et une information qu'il vaut mieux détenir avant qu'un tiers ne la produise à votre place.

L'état attendu est la partie facile : il est écrit, découpé en exigences. L'état réel est la partie que personne n'a. Il se reconstitue à partir de documents, de configurations et de pratiques dont une bonne moitié vit dans la tête de trois personnes.

Le piège du « on le fait déjà »

C'est la phrase qui revient le plus souvent en séance, et elle est presque toujours vraie. Le contrôle est fait. La sauvegarde tourne. Les accès sont revus. Le problème n'est pas là.

Un référentiel ne demande pas seulement de faire, il demande de pouvoir démontrer. Un contrôle exécuté sans trace produit un écart de preuve, pas un écart de pratique. La distinction n'est pas cosmétique : le premier se referme en organisant une trace, le second suppose de changer une façon de travailler. Les confondre revient à traiter un problème de classement comme un chantier de sécurité, ou l'inverse.

Trois statuts, jamais deux

Un état de couverture binaire, conforme ou non conforme, pousse mécaniquement à surestimer. Devant une exigence à moitié couverte, personne ne coche « non ». Trois statuts changent la conversation :

• Couvert : l'exigence est traitée et une preuve datée le montre.
• Partiel : quelque chose existe, mais incomplet, non approuvé, ou sans trace exploitable.
• Non couvert : rien, ou rien qui puisse être présenté.

Les quatre questions à poser par exigence

L'exercice tient en quatre questions, posées dans cet ordre. Elles paraissent triviales et ce sont pourtant elles qui font apparaître les vrais trous.

• Cette exigence nous concerne-t-elle, et si non, pourquoi ?
• Que faisons-nous aujourd'hui qui y répond ?
• Quel document, quelle configuration ou quel enregistrement le montre ?
• De quand date-t-il, et qui l'a approuvé ?

Ce qu'une analyse d'écart ne dit pas

Elle ne dit pas que vous êtes conforme. La conformité au sens juridique ou au sens d'une certification se prononce ailleurs, par un auditeur, un organisme accrédité ou un juge, sur un périmètre défini et à une date donnée. Une analyse d'écart est un état des lieux interne, rien de plus, et c'est déjà beaucoup.

Elle ne hiérarchise pas non plus toute seule. Un écart sur une exigence documentaire et un écart sur un contrôle d'accès critique apparaissent au même niveau dans une liste. La priorisation reste un arbitrage humain, éclairé par vos risques.

Ce qui la rend réutilisable l'année suivante

La plupart des analyses d'écart sont refaites de zéro. Elles ont été produites comme un document, souvent un tableur, remis puis archivé. Six mois plus tard, personne ne sait quelles conclusions restent valables.

Trois propriétés changent cela. Chaque constat porte une date, faute de quoi on ne sait pas ce qu'il vaut encore. Chaque constat est rattaché à l'exigence qu'il concerne et à la pièce qui le fonde, faute de quoi il faut rechercher. Chaque écart devient une action assignée avec une échéance, faute de quoi il reparaîtra identique.

Une analyse d'écart tenue de cette façon n'est plus un exercice annuel, c'est un état qui se met à jour au fil de l'eau.

Par où commencer

Un seul référentiel, celui qu'on vous demande réellement. Commencer par trois référentiels en parallèle produit trois analyses incomplètes.

Dans ce référentiel, les exigences qui portent sur des documents d'abord : elles se tranchent vite et donnent une base honnête. Les exigences qui portent sur des pratiques viennent ensuite, parce qu'elles demandent d'aller voir, pas seulement de chercher un fichier.