La revue de direction est la réunion où la direction examine le système de management de la sécurité de l’information, à intervalles planifiés, pour s’assurer qu’il reste adapté à l’entreprise et qu’il atteint ses objectifs. La clause 9.3 de l’ISO 27001 en fait une exigence : l’organisme certificateur ne délivre pas le certificat sans revue tenue et documentée.
Ce guide détaille ce que la revue doit examiner, propose un exemple d’ordre du jour et de décision rédigée, et indique ce que l’auditeur vérifie.
Sommaire
Ce que la clause 9.3 demande
La norme pose quatre exigences, que nous reformulons ici.
- La direction conduit la revue. Ce n’est pas une réunion de l’équipe sécurité : il faut au moins un membre de la direction qui a autorité pour décider des moyens et des priorités.
- La revue se tient à intervalles planifiés. La norme ne fixe pas de fréquence, mais la date se prévoit à l’avance.
- La direction y examine une liste de sujets définie, détaillée dans la section suivante.
- La direction y prend des décisions, conservées dans un compte rendu : les améliorations à mener et les changements à apporter au système de management.
Le même principe se retrouve en 9.3 dans l’ISO 9001, l’ISO 14001 ou l’ISO 45001, qui partagent une structure commune. Ce qui change, ce sont les sujets examinés : en ISO 27001, la revue porte notamment sur les risques de sécurité de l’information.
Les sujets à examiner
Pendant la revue, la direction fait le point sur l’ensemble du système. Les sujets attendus se regroupent en cinq blocs.
- Le suivi de la revue précédente. Où en sont les actions décidées la dernière fois ?
- Ce qui a changé. Les évolutions internes et externes qui touchent la sécurité de l’information : nouveaux produits, nouveaux sous-traitants, croissance des effectifs, nouvelle réglementation. Et les évolutions des besoins et attentes de vos parties intéressées.
- La performance du système. Les non-conformités et les actions correctives, les résultats de la surveillance et de la mesure, les résultats de l’audit interne, et l’atteinte des objectifs de sécurité.
- Les retours des parties intéressées et les risques. Les remarques des clients, des partenaires ou des autorités, puis les résultats de l’appréciation des risques et l’état du plan de traitement.
- Les pistes d’amélioration. Ce qui pourrait être fait mieux, plus simplement ou à moindre coût.
Un exemple d’ordre du jour
L’ordre du jour reprend ces cinq blocs, dans un ordre qui part du passé pour aller vers les décisions. Pour chaque point, le pilote du système de management prépare un support court, envoyé aux participants quelques jours avant la réunion.
- Suivi des actions de la revue précédente, avec le tableau de suivi des actions.
- Changements internes et externes, avec une liste courte des évolutions de l’année.
- Résultats de l’audit interne, avec le rapport d’audit et l’état de traitement de chaque constat.
- Indicateurs et objectifs de sécurité, avec le tableau des indicateurs et l’écart à chaque objectif.
- Incidents, non-conformités et actions correctives, avec le registre des incidents et celui des actions.
- Retours des clients et des parties intéressées, par exemple les questionnaires de sécurité reçus, les réclamations ou les demandes d’audit.
- Risques et plan de traitement, avec l’appréciation des risques mise à jour et l’avancement du plan.
- Pistes d’amélioration et décisions, point par point, avec un responsable et une échéance pour chaque action.
Le dernier point est celui qui compte le plus. Une revue où la direction parcourt les chiffres sans rien décider ne remplit pas l’exigence.
Le compte rendu, et une décision rédigée en exemple
Le compte rendu est la preuve que la revue a eu lieu et qu’elle a produit des décisions. C’est le document que l’auditeur demandera. Il contient :
- la date et la liste des participants, avec leur fonction ;
- les sujets examinés, avec les éléments présentés pour chacun ;
- les décisions prises : améliorations à mener, changements du système de management, moyens accordés ;
- pour chaque action, un responsable et une échéance.
Une décision bien rédigée se comprend sans avoir assisté à la réunion.
Décision n° 3 Action décidée Point 4 de l'ordre du jour
Le taux de collaborateurs ayant suivi la sensibilisation annuelle atteint 68 %, pour un objectif de 90 %. L'écart concerne surtout les recrutements du second semestre, qui n'ont pas été intégrés au parcours d'arrivée. La direction décide d'ajouter la sensibilisation à la liste des étapes d'intégration de chaque nouvel arrivant. Responsable : la responsable des ressources humaines. Échéance : 31 janvier. L'indicateur sera présenté de nouveau à la prochaine revue.
Dans cette décision, la direction part d’un fait mesuré, en identifie la cause, fixe une action précise avec un responsable et une échéance, et prévoit comment en vérifier l’effet.
À quelle fréquence, et à quel moment de l’année
La norme ne fixe aucune fréquence. En pratique, la revue de direction se tient en général une fois par an, parfois plus souvent la première année ou après un changement important dans l’entreprise.
Le moment compte autant que la fréquence. La direction y examine les résultats de l’audit interne : la revue vient donc après lui. Et l’auditeur de l’organisme certificateur vérifiera qu’elle a eu lieu : elle se tient donc avant l’audit de certification ou de surveillance. L’ordre de l’année est ainsi tout tracé : l’audit interne, puis la revue de direction, puis l’audit de l’organisme certificateur.
Pour une première certification, cela signifie qu’au moins une revue de direction complète doit avoir été tenue avant l’audit de certification.
Ce que l’auditeur vérifie
Lors de l’audit de certification ou de surveillance, l’auditeur demande le compte rendu de la dernière revue et vérifie notamment :
- que la direction y a bien participé ;
- que tous les sujets attendus ont été examinés, y compris les parties intéressées et les risques ;
- que la direction a examiné les résultats de l’audit interne, donc que la revue s’est tenue après lui ;
- que des décisions ont été prises, avec un responsable et une échéance ;
- que les actions décidées lors de la revue précédente ont été suivies.
La revue de direction et l’audit interne
Les résultats de l’audit interne font partie de ce que la revue de direction doit examiner. C’est là que la direction transforme les constats en décisions, avec des moyens et des échéances.
C’est pourquoi notre audit interne ISO 27001 se termine par une réunion de restitution, où chaque constat est expliqué : vous arrivez à la revue de direction en sachant ce qu’il faut décider. Notre offre de maintien du système de management inscrit la revue de direction au calendrier annuel, et nous la préparons et l’animons avec vous.