Comment travailler avec un projet
Un modèle est un point de départ, pas un résultat. Lisez d’abord le projet en entier avant de modifier des phrases isolées. Vous verrez ainsi si sa structure et son étendue conviennent à votre entreprise. Une structure de quarante salariés n’a pas besoin d’une politique qui décrit trois comités et cinq niveaux d’approbation.
Procédez ensuite section par section. Supprimez ce qui n’existe pas chez vous et complétez ce qui manque. Là où vous n’avez que des notes, par exemple issues d’un échange avec l’informatique, faites-vous aider par l’IA pour la rédaction. Vérifiez que chaque proposition est exacte. Une formulation qui sonne bien mais n’est pas appliquée constitue un risque en audit.
Traitez les emplacements signalés en dernier et de manière réfléchie. Vous y trouvez des questions guides qui aident à la décision. Impliquez les personnes qui décident réellement, le plus souvent la direction. Consignez quand et par qui la décision a été prise.
Pour finir, vous approuvez le document et l’associez comme preuve aux contrôles correspondants. Il fait alors référence, et la date de validité rappelle la prochaine révision.
Ce qui rend un document auditable
Les auditeurs ne lisent pas les politiques pour leur style, mais pour leur substance. Ils vérifient que le document correspond à votre organisation, qu’il est approuvé et qu’il est appliqué. Quelques caractéristiques y contribuent.
Chaque document a besoin d’un objectif et d’un périmètre clairs, d’une entité responsable, d’une date d’approbation et d’un numéro de version. Les termes doivent être employés comme dans le reste de votre documentation. Si la politique parle du responsable de la sécurité de l’information et la description de poste du responsable de la sécurité informatique, l’auditeur posera la question.
Les exigences doivent être vérifiables. « Les mots de passe doivent être sûrs » ne se vérifie pas. Une exigence sur la longueur minimale, l’authentification multifacteur et le traitement des mots de passe compromis, si. En même temps, un document ne doit rien promettre que vous ne respectez pas. Qui inscrit une revue trimestrielle doit pouvoir présenter quatre procès-verbaux par an.
Enfin, le lien avec la pratique compte. En audit, une politique est presque toujours examinée avec un justificatif : attestation de formation, procès-verbal, capture d’écran. Associez donc la politique et les preuves au même contrôle.
Pourquoi certains emplacements restent ouverts
Les normes de systèmes de management exigent des décisions que seule l’organisation peut prendre. Il s’agit notamment des objectifs, des critères d’acceptation des risques, de l’attribution des responsabilités et du périmètre. Ces décisions sont le cœur du système. Si elles sont reprises d’un modèle, la base de tout le reste fait défaut.
En audit, cela se voit vite. L’auditeur demande à la direction pourquoi un objectif a été choisi ainsi ou à partir de quel seuil un risque est accepté. Si le document contient une formulation que personne en interne ne peut expliquer, c’est un constat. C’est pourquoi l’IA ne remplit volontairement pas ces emplacements.
Ils sont au contraire signalés et accompagnés de questions guides. Ces questions aident à préparer la décision : quels actifs sont décisifs pour l’activité ? Quelle durée d’interruption est supportable ? Qui peut accepter un risque résiduel ? Si la réponse est difficile, ce n’est pas un défaut du modèle, mais précisément le point où un vrai conseil aide. Dans Sightadel, des consultants peuvent être ajoutés sous forme de forfait, et vous invitez vos propres consultants externes dans le compte avec un rôle dédié.
Erreurs fréquentes avec les modèles
L’erreur la plus fréquente consiste à approuver un modèle sans le modifier. Il est peut-être bien rédigé, mais décrit le cas échéant des processus qui n’existent pas chez vous. L’auditeur trouve l’écart au plus tard lors de la deuxième étape, lorsqu’il interroge sur le processus réellement appliqué.
Une deuxième erreur est la surréglementation. Les modèles contiennent souvent plus que ce dont une petite entreprise a besoin. Chaque exigence supplémentaire est une obligation de plus que vous devez justifier. Peu de règles, mais respectées, valent mieux qu’un ouvrage volumineux que personne ne lit.
Troisièmement, des documents sont rédigés puis oubliés. Une politique devrait être revue au moins une fois par an, et chaque fois que l’organisation, les systèmes ou les exigences changent. Fixez une date de validité sur la preuve, et Sightadel vous le rappellera à temps.
Quatrièmement, le texte des normes n’a pas sa place dans vos documents. Les normes ISO sont protégées par le droit d’auteur. Décrivez ce que vous faites au lieu de recopier la norme. C’est précisément ce que l’auditeur veut voir.
