Une non-conformité n’a rien d’exceptionnel. Dans toute entreprise certifiée ISO 27001, une procédure finit un jour par ne pas être appliquée, une revue prévue n’a pas lieu, ou un audit relève un écart. La norme ne vous demande pas d’éviter toutes ces situations. Elle vous demande de les repérer, d’en comprendre la cause, de faire en sorte qu’elles ne se reproduisent pas, et de pouvoir le prouver.
C’est précisément sur ce dernier point que se joue une bonne partie de l’audit de certification. L’auditeur de votre organisme certificateur choisit une non-conformité passée et en suit le traitement de bout en bout : il veut voir la cause identifiée, l’action décidée, et la preuve qu’elle a fonctionné. Vous trouverez ici ce que la norme exige, la différence entre une correction et une action corrective, des exemples de non-conformités tirés de PME du numérique, et une méthode pour traiter chacune d’elles jusqu’à sa clôture.
Le texte de l’ISO/IEC 27001 est protégé par le droit d’auteur et s’achète auprès de l’ISO ou de l’AFNOR. Vous ne trouverez donc ici aucun extrait de la norme : ses exigences sont décrites avec nos mots.
Sommaire
Ce que la norme vous demande face à un écart
La clause 10.2 de l’ISO 27001 traite des non-conformités et des actions correctives. Lorsqu’une non-conformité survient, elle attend de vous une suite d’étapes, toujours dans le même ordre.
- Réagir. Vous maîtrisez la situation et la corrigez, puis vous traitez ses conséquences.
- Chercher la cause. Vous examinez ce qui s’est passé, vous déterminez pourquoi c’est arrivé, et vous vérifiez si le même écart existe ailleurs ou pourrait s’y produire.
- Décider d’une action. Vous évaluez s’il faut agir sur la cause pour que l’écart ne se reproduise pas, et vous menez l’action retenue.
- Vérifier son efficacité. Une fois l’action menée, vous contrôlez qu’elle a bien produit l’effet attendu.
- Ajuster votre système de management, si le traitement le rend nécessaire, par exemple en modifiant une procédure ou en mettant à jour votre appréciation des risques.
La norme ajoute deux principes. L’action doit être proportionnée aux effets de l’écart : une erreur sans conséquence n’appelle pas le même traitement qu’une faille qui expose les données de vos clients. Et vous devez conserver une trace de chaque non-conformité, de ce que vous avez fait pour la traiter et du résultat obtenu.
Non-conformité, correction, action corrective : trois notions à distinguer
Ces trois mots reviennent dans chaque audit, et la différence entre les deux derniers pèse lourd dans l’appréciation de l’auditeur.
Une non-conformité est une exigence qui n’est pas satisfaite. Cette exigence peut venir de la norme elle-même, des règles que vous vous êtes fixées dans votre système de management, ou d’un engagement que vous avez pris envers un client, un partenaire ou la loi. Si votre politique prévoit une revue des droits d’accès chaque trimestre et que celle de juin n’a pas eu lieu, c’est une non-conformité, même si la norme ne fixe elle-même aucune fréquence.
Une correction traite l’écart constaté. Elle répare la situation, ici et maintenant.
Une action corrective traite la cause de l’écart. Elle fait en sorte qu’il ne se reproduise pas.
Prenons un exemple. Lors d’un audit, on découvre que le compte d’un salarié parti il y a deux mois est toujours actif. Désactiver ce compte est une correction : elle est indispensable, et elle doit être faite immédiatement. Mais elle ne dit rien de la raison pour laquelle le compte est resté ouvert, et rien n’empêche le prochain départ de produire le même résultat. L’action corrective consiste à trouver pourquoi l’équipe technique n’a pas été prévenue, puis à changer ce qui doit l’être pour que chaque départ entraîne la désactivation des accès.
Une entreprise qui ne pratique que la correction traite les mêmes écarts d’une année sur l’autre. Ses tableaux de suivi sont remplis d’actions closes, et les mêmes constats reviennent pourtant à chaque audit.
Deux autres notions sont proches sans se confondre avec la non-conformité. Un incident de sécurité n’est pas en soi une non-conformité : un serveur peut tomber en panne alors que toutes vos règles ont été respectées. Il en révèle une lorsque l’enquête montre qu’une règle n’a pas été appliquée, par exemple une sauvegarde prévue qui n’a jamais été faite. Une piste d’amélioration, enfin, signale ce qui pourrait être mieux fait sans qu’aucune exigence soit manquée. Vous êtes libre de la suivre ou non.
Comment reconnaître une non-conformité
Les non-conformités ne se découvrent pas seulement en audit. Elles remontent par plusieurs canaux, et votre système de management doit tous les recueillir au même endroit :
- les audits internes et les audits de votre organisme certificateur ;
- la revue de direction, au cours de laquelle votre direction examine le fonctionnement du système ;
- les indicateurs que vous suivez, lorsqu’un objectif de sécurité n’est pas atteint ;
- l’analyse des incidents de sécurité ;
- les réclamations et les questionnaires de sécurité de vos clients ;
- les contrôles du quotidien, et les signalements de vos collaborateurs.
Pour que ce dernier canal fonctionne, un développeur qui remarque qu’une procédure de mise en production n’est plus suivie doit savoir où le signaler, et constater que son signalement est pris en compte. Indiquez clairement à vos équipes où déclarer un écart et qui le traite.
Exemples de non-conformités ISO 27001
Voici des écarts typiques dans une PME ou une scale-up du numérique, chacun rattaché à ce qui n’est pas respecté :
- un nouvel arrivant a reçu ses accès avant d’avoir signé son engagement de confidentialité, alors que votre procédure d’arrivée prévoit l’inverse ;
- la procédure de sauvegarde prévoit un test de restauration chaque semestre, et aucun n’a été réalisé depuis un an ;
- un fournisseur qui héberge les données de vos clients n’a jamais été évalué, alors que votre politique impose une évaluation des fournisseurs critiques ;
- votre déclaration d’applicabilité indique qu’une mesure est appliquée, et rien sur le terrain ne le montre ;
- les actions décidées lors de la dernière revue de direction n’ont été ni menées ni suivies.
Majeure ou mineure
Les auditeurs classent les non-conformités en deux niveaux. La question à se poser porte sur l’étendue de l’écart, et non sur sa gravité ressentie. Un cas isolé sur un dispositif qui fonctionne, comme le compte resté actif de notre exemple, reste une non-conformité mineure. L’absence du dispositif lui-même, par exemple aucune procédure de départ ni aucune revue des droits d’accès, constitue une non-conformité majeure. Les deux niveaux et la façon de les rédiger dans un rapport sont détaillés dans notre page sur le rapport d’audit interne.
Comment traiter une non-conformité, étape par étape
Le traitement suit un chemin que vous pouvez appliquer à chaque écart, quelle que soit sa source.
- Enregistrez-la. Décrivez ce qui a été constaté, à quelle date, par qui, et sur quelle preuve. Rattachez l’écart à l’exigence qui n’est pas respectée.
- Corrigez la situation. Faites ce qui est nécessaire pour mettre fin à l’écart et limiter ses conséquences, puis notez ce que vous avez fait.
- Recherchez la cause. C’est l’étape qui fait la différence entre une correction et une action corrective. La méthode est détaillée dans la section suivante.
- Cherchez les cas semblables. Si un compte est resté actif après un départ, vérifiez les autres départs de l’année. Un écart découvert par hasard est rarement unique.
- Décidez de l’action corrective, avec un responsable et une échéance, ou décidez qu’aucune n’est nécessaire et notez pourquoi.
- Vérifiez son efficacité au bout d’un délai suffisant pour que la cause ait pu se manifester à nouveau.
- Clôturez, puis mettez à jour ce qui doit l’être dans votre système de management : une procédure, une liste de contrôle, votre appréciation des risques.
Le temps qui sépare l’étape 5 de l’étape 6 compte. Une action ne prouve son efficacité qu’après avoir été mise à l’épreuve, c’est-à-dire après de nouveaux départs, une nouvelle revue ou un nouveau cycle de sauvegarde. C’est l’une des raisons pour lesquelles nous conseillons de placer l’audit interne au moins trois mois avant l’audit de certification.
Remonter à la cause : la méthode des cinq pourquoi
Face à un écart, il est tentant de s’arrêter à la première explication venue. La méthode des cinq pourquoi aide à aller plus loin. Elle consiste à poser la question « pourquoi ? » à chaque réponse obtenue, jusqu’à atteindre une cause sur laquelle vous pouvez agir. Le chiffre cinq est un ordre de grandeur : vous pouvez en avoir besoin de trois comme de six.
Reprenons le compte resté actif après un départ.
- Pourquoi le compte est-il resté actif ? Personne n’a demandé sa désactivation.
- Pourquoi ? L’équipe technique n’a pas été informée du départ.
- Pourquoi ? La procédure prévoit que le manager du salarié prévienne l’équipe technique, et ce manager ne l’a pas fait.
- Pourquoi ? Il ignorait cette règle. La procédure a été présentée aux managers lors de sa rédaction, et il a été recruté depuis.
- Pourquoi ? Rien ne prévoit de présenter les procédures de sécurité aux managers qui arrivent.
Chaque niveau appelle une réponse différente. S’arrêter au premier conduit à désactiver le compte, et c’est tout. S’arrêter au troisième conduit à rappeler la règle à ce manager, ce qui ne protège pas du suivant. Le cinquième niveau désigne une cause que vous pouvez supprimer : l’intégration des nouveaux managers. Vous pouvez aussi choisir de supprimer la dépendance à la mémoire de chacun, en faisant déclencher la désactivation des accès par l’outil des ressources humaines.
Deux repères pour juger si l’analyse est allée assez loin. D’abord, « erreur humaine » ou « oubli » décrit ce qui s’est passé, pas pourquoi c’est arrivé : demandez-vous ce qui a rendu l’erreur possible. Ensuite, une bonne cause se reconnaît à ce qu’une action concrète permet de la supprimer. Si la seule réponse possible est « faire plus attention », l’analyse doit continuer.
Décider et mener l’action corrective
Une fois la cause connue, l’action corrective doit répondre à trois questions : que faites-vous, qui en est responsable, et pour quand. Sans responsable nommé ni échéance, une action a peu de chances d’être menée, et personne ne pourra en suivre l’avancement.
Proportionnez l’action à l’écart. La norme ne vous demande pas de bâtir un dispositif lourd pour un écart sans conséquence. Elle vous demande d’évaluer s’il faut agir sur la cause, et c’est cette évaluation que vous devez pouvoir montrer. Un écart isolé dont la cause ne peut pas se reproduire, par exemple lié à une migration ponctuelle aujourd’hui terminée, peut se clore par la seule correction, à condition que le raisonnement soit écrit.
Vérifiez aussi qu’une action ne crée pas de nouveau risque. Automatiser la désactivation des accès depuis l’outil des ressources humaines suppose de donner à cet outil des droits sur vos systèmes : ce nouveau lien mérite d’être examiné dans votre appréciation des risques.
Pour suivre vos non-conformités, l’outil compte moins que ce qu’il contient. Un registre en tableur convient, et l’outil de gestion de tickets que vos équipes utilisent déjà convient souvent mieux, parce qu’il conserve l’historique et que personne n’a à apprendre un nouvel outil. Assurez-vous seulement que chaque fiche contient les éléments suivants.
| Élément | Ce qu’il doit indiquer |
|---|---|
| Constat | Ce qui a été observé, la date, la source et la preuve |
| Exigence | La règle, la clause ou l’engagement qui n’est pas respecté |
| Classement | Non-conformité majeure ou mineure |
| Correction | Ce qui a été fait immédiatement, et quand |
| Cause | Le résultat de l’analyse, pas seulement le symptôme |
| Cas semblables | Ce qui a été vérifié ailleurs, et le résultat |
| Action corrective | L’action décidée, son responsable et son échéance, ou la raison pour laquelle aucune n’est nécessaire |
| Efficacité | Comment elle a été vérifiée, quand, et ce que la vérification a montré |
| Clôture | La date et la personne qui a prononcé la clôture |
Comment démontrer que la non-conformité est traitée
Fermer une action corrective ne suffit pas à traiter une non-conformité. Vous devez aussi montrer que l’action a fonctionné, c’est-à-dire que l’écart ne s’est pas reproduit. C’est cette preuve que la norme vous demande, et c’est elle que l’auditeur cherchera.
Dans notre exemple, la preuve d’efficacité n’est pas le compte rendu de la réunion où la procédure a été présentée aux managers. C’est la revue des droits d’accès suivante, qui ne trouve aucun compte actif appartenant à une personne partie, ou l’examen des trois départs survenus depuis, dont les accès ont tous été fermés le jour même. Définissez cette vérification au moment où vous décidez de l’action : vous saurez ainsi quoi regarder, et quand.
Les actions correctives déclarées faites sans preuve d’efficacité figurent parmi les non-conformités que nous relevons le plus souvent en audit interne. Le tableau de suivi affiche « clôturé », et rien ne montre que l’écart ne se reproduira pas.
Votre organisme certificateur examine ce dispositif à chaque visite. Il choisit quelques non-conformités, souvent celles de votre dernier audit interne, et en suit le chemin complet : le constat, la cause, l’action, la vérification. Il regarde aussi si les mêmes constats reviennent d’un audit à l’autre. Un écart qui réapparaît à l’identique ne signale plus seulement un problème technique, il montre que votre dispositif d’actions correctives ne fonctionne pas, et le constat qui en résulte est plus lourd.
Les non-conformités qu’il relève lui-même suivent le même traitement. Une non-conformité majeure relevée à l’audit initial bloque la délivrance du certificat tant qu’elle n’a pas été traitée. Pour une non-conformité mineure, il vous demande les corrections et un plan d’actions, puis il vérifie à sa visite suivante que ce plan a été mené et qu’il a produit son effet.
Enfin, vos non-conformités et vos actions correctives font partie de ce que votre direction examine en revue de direction. C’est à ce moment que les écarts isolés se lisent ensemble, et que des tendances apparaissent : trois écarts sur trois procédures différentes peuvent avoir la même cause. C’est ainsi que le traitement des non-conformités nourrit l’amélioration continue de votre système.
Ce que l’audit interne apporte à ce dispositif
L’audit interne est la principale source de non-conformités dans une entreprise certifiée, et c’est aussi le moment où le traitement des précédentes est vérifié. Un audit interne utile vous remet des constats que vous pouvez traiter directement : chacun rattaché à une exigence, appuyé sur une preuve, et classé selon les mêmes niveaux que ceux de votre organisme certificateur.
Protectam réalise l’audit interne exigé par la clause 9.2 au forfait. Nous examinons chaque année l’ensemble de votre périmètre, et nous suivons sur échantillon le traitement de vos non-conformités passées, jusqu’à la preuve d’efficacité. Vous recevez le rapport sous dix jours ouvrés après les entretiens, suivi d’une réunion de restitution, au cours de laquelle chaque constat est expliqué pour que vous sachiez comment le traiter.
Le forfait démarre à 3 900 € HT. Les entretiens et la collecte des preuves demandent deux à trois jours pour une entreprise de moins de 200 personnes sur un site unique. Le détail est sur la page de l’audit interne ISO 27001, et le déroulé complet d’un audit interne dans notre article sur la clause 9.2.