Ce qui compte comme preuve de conformité, et ce qui n'en est pas une

Trois questions, sinon ce n'est pas une preuve

Une preuve de conformité répond à trois questions simples : qu'est-ce qui a été fait, quand, et par qui. Une pièce qui laisse l'une des trois sans réponse ne démontre rien, même si elle décrit parfaitement la bonne pratique.

C'est la raison pour laquelle un document sans date, sans version et sans trace d'approbation est systématiquement écarté en audit. Non parce qu'il serait faux, mais parce que rien ne permet de savoir ce qu'il vaut aujourd'hui.

Ce qui n'est pas une preuve

La liste est courte et elle est presque toujours la même d'une organisation à l'autre.

• Une capture d'écran non datée, dont on ne sait ni de quand elle date ni de quel environnement elle vient.
• Une politique rédigée mais jamais approuvée, qui prouve qu'on y a pensé, pas qu'on l'a décidée.
• Un fil de discussion où quelqu'un confirme que « c'est fait ».
• Un fichier dont personne ne peut affirmer qu'il est la dernière version.
• Une affirmation orale en réunion, aussi sincère soit-elle.

La politique prouve l'intention, pas l'application

C'est l'écart le plus fréquent et le plus mal compris. Une politique de gestion des accès, approuvée et diffusée, démontre que l'organisation a défini une règle. Elle ne démontre pas que la règle est appliquée.

La preuve d'application est d'une autre nature : la revue des accès effectivement réalisée, avec sa date, son périmètre et ses conclusions. Une organisation qui ne présente que des politiques présente un dispositif sur le papier, et cela se voit immédiatement.

Une preuve couvre plusieurs exigences

Un même document sert presque toujours à plusieurs endroits. Une politique de sécurité couvre des exigences dans un référentiel de sécurité, dans un cadre réglementaire sectoriel et dans le questionnaire d'un client. Un rapport de test couvre l'exigence qui demande le test, celle qui demande la traçabilité, et parfois celle qui porte sur la continuité.

Quand la relation entre preuve et exigence n'est pas explicite, l'organisation compense de la seule façon possible : elle duplique. Le même PDF finit dans douze dossiers, et le jour où il est mis à jour, onze copies deviennent fausses en silence.

Une preuve a une durée de vie

Une revue d'accès de l'an dernier ne prouve rien sur l'année en cours. Un test de restauration de sauvegarde vieux de trois ans ne prouve pas que la restauration fonctionne aujourd'hui. Une attestation de sous-traitant expirée ne couvre plus la relation.

C'est ce qui rend la date de dernière évaluation aussi importante que le statut lui-même. Un état de couverture qui affiche cent pour cent sans dire de quand il date ne dit rien du tout.

L'ordre qui fait gagner du temps

L'erreur classique consiste à rassembler d'abord les documents, puis à chercher ce qu'ils couvrent. On obtient un dossier volumineux, difficile à parcourir, dont personne ne sait s'il est complet.

L'ordre inverse coûte moins cher : partir de l'exigence, demander ce qui la démontre, aller chercher cette pièce précise. Ce qui manque devient visible immédiatement, et le dossier final ne contient que ce qui sert.