Dossier
Une affirmation n'est pas une preuve.
La plus grande partie du travail consiste à transformer ce que vous faites réellement en quelque chose qu'un tiers peut vérifier. C'est moins spectaculaire que de la sécurité, et c'est ce qui décide du résultat.
Les trois niveaux, sur un exemple
| Niveau | Ce que ça donne | Ce qu'en fait un auditeur |
|---|---|---|
| Affirmation | « Les accès sont revus régulièrement » | Non recevable : ni fréquence, ni périmètre, ni trace |
| Procédure | Un document décrivant une revue trimestrielle des accès, avec un responsable nommé | Recevable comme intention, insuffisant comme preuve d'exécution |
| Preuve datée | Le compte rendu de la revue du 12 juin, la liste examinée, les comptes retirés et la validation du responsable | Recevable : la mesure est décrite et son exécution démontrée |
Comment se déclare un écart
- 01
Nommer précisément ce qui manque
Pas « en cours de mise en place », mais quelle mesure, sur quel périmètre, et depuis quand elle est absente. Un écart vague est lu comme une tentative de dissimulation.
- 02
Indiquer la mesure compensatoire
Ce qui limite le risque en attendant. Une revue manuelle qui remplace un contrôle automatique est une mesure compensatoire légitime, à condition d'être décrite et tracée comme telle.
- 03
Donner une échéance tenable
Avec un responsable nommé. Une échéance dépassée au questionnaire suivant coûte davantage que l'écart initial : elle démontre que le plan n'est pas suivi.
Le piège de la preuve périmée
Une bibliothèque de réponses constituée une fois vieillit vite. La procédure décrite a été modifiée, le responsable nommé a changé de poste, le prestataire cité n'est plus le bon, et la trace la plus récente date de dix-huit mois.
Un client qui renouvelle son évaluation compare avec la version précédente. Une réponse identique mot pour mot, avec une preuve de l'an dernier, signale un dossier qui n'est pas tenu, et déclenche davantage de questions que la première fois.
C'est la raison d'être de la revue périodique. Elle ne produit rien de visible, et c'est pourtant ce qui distingue un dossier utilisable d'un classeur.
Demander un diagnostic
Parlons du prochain questionnaire
Dites-nous qui vous le demande, sous quel délai, et ce que vous avez déjà comme preuves utilisables. Réponse sous deux jours ouvrés, en français, en anglais ou en allemand.
- Ingénierie suisse
- Réponse sous deux jours ouvrés
Écrire à Certenor
Un questionnaire sur le bureau et un délai court ? C’est le bon moment pour nous écrire.
Écrire à Certenor