Posez la question à votre équipe : dans quel état de conformité sommes-nous aujourd’hui ?
Pas au dernier audit. Aujourd’hui, ce matin. La plupart des organisations ne peuvent pas répondre. Elles connaissent le résultat de la dernière vérification, et elles savent qu’elles reconstitueront la preuve avant la prochaine.
Entre les deux, il y a douze mois pendant lesquels l’environnement change chaque semaine et personne ne mesure quoi que ce soit.
Le problème : la conformité comme événement plutôt que comme état
Le cycle est familier. Un audit approche. Quelqu’un exporte des configurations, remplit un tableur, rédige des justifications, rassemble des captures d’écran. L’exercice prend des semaines et mobilise des gens compétents à faire de la documentation rétrospective.
L’audit passe. Le tableur est archivé. L’environnement continue d’évoluer.
Ce qui est mesuré dans cet exercice n’est pas votre posture : c’est votre capacité à décrire votre posture à une date donnée. Ce sont deux choses différentes, et seule la première protège quelque chose.
Dans le secteur public québécois et chez les fournisseurs qui le servent, ce cycle est encore renforcé par le fait que la conformité est contractuelle. Elle est attachée à une échéance, à un livrable, à une attestation. Rien dans le processus ne demande où en êtes-vous en ce moment.
Les risques concrets
La dérive entre deux mesures. Chaque nouvel abonnement, chaque environnement créé pour un projet, chaque configuration ajustée un vendredi soir s’éloigne un peu de la ligne de base. Aucun de ces gestes n’est fautif. Cumulés sur douze mois, ils produisent un écart que personne n’a décidé.
L’exception « temporaire ». Une règle est désactivée pour débloquer une livraison. C’est souvent la bonne décision sur le moment. Le problème est qu’il n’existe aucun mécanisme qui la fasse expirer : la conformité n’est mesurée qu’à l’audit suivant, et d’ici là l’exception est devenue la configuration normale.
La preuve comme exercice de rédaction. Quand la preuve est reconstituée après coup, sa qualité dépend de la personne qui la rédige plutôt que de l’état du système. Cela fonctionne jusqu’au jour où un auditeur demande à voir la mesure plutôt que la description.
Le faux confort du référentiel empilé. Beaucoup d’organisations déclarent suivre CIS, NIST SP 800-53 et un profil de type PBMM simultanément. En pratique, personne ne peut dire lequel gouverne en cas de conflit, et maintenir trois grilles en parallèle garantit qu’aucune n’est réellement tenue à jour.
La découverte au pire moment. L’écart ne se manifeste pas graduellement. Il apparaît d’un coup, lors d’un audit, d’un incident ou d’une demande client — c’est-à-dire au moment où vous avez le moins de temps pour y répondre.
Ce qu’il faut faire
1. Choisir un référentiel comme source de vérité
Un seul. Les autres deviennent des correspondances vers celui-là, pas des grilles concurrentes.
Le choix compte moins qu’on ne le croit : prenez celui que vos obligations contractuelles nomment le plus souvent. Ce qui compte, c’est qu’il existe une réponse non ambiguë à « selon quoi mesure-t-on ? ». Une organisation qui maintient trois référentiels en parallèle n’en applique aucun.
2. Mesurer en continu, avec l’outillage que vous avez déjà
Ce n’est plus un chantier d’outillage. Les plateformes infonuagiques évaluent en continu la conformité à des lignes de base intégrées et exposent un score et le détail par contrôle. Dans Azure, la conformité réglementaire de Defender for Cloud et l’état de conformité d’Azure Policy couvrent l’essentiel sans acquisition.
L’erreur fréquente est de vouloir un outil de GRC avant d’avoir la mesure. Prenez la mesure d’abord : elle vous dira ce dont vous avez réellement besoin, et elle est souvent déjà activée dans votre abonnement.
3. Traiter les exceptions comme des objets, pas comme des décisions
C’est le point qui distingue une conformité continue d’un tableau de bord ignoré.
Une exception doit avoir quatre attributs : ce qui est exempté, pourquoi, qui en est responsable, et jusqu’à quand. Le dernier est le seul qui compte vraiment. Une exception sans date d’expiration n’est pas une exception, c’est une modification permanente de votre ligne de base qui n’a jamais été approuvée comme telle.
Faites expirer les exceptions plutôt que de les réviser. Une exception qui doit être reconduite oblige quelqu’un à réfléchir ; une exception qui apparaît dans une revue annuelle est reconduite par défaut.
4. Distinguer « non conforme » de « exception approuvée »
Deux catégories, deux traitements. Le premier est du travail à faire. Le second est un risque accepté, avec un nom et une échéance.
Les mélanger produit le pire résultat possible : un tableau de bord perpétuellement rouge, dont l’équipe apprend que le rouge est normal. À ce moment, la mesure a cessé d’informer quoi que ce soit.
5. Amener la mesure là où quelqu’un la lit
Un tableau de bord que personne n’ouvre ne vaut pas mieux que le tableur annuel qu’il remplace.
Placez le chiffre dans une instance qui existe déjà — comité d’architecture, revue d’exploitation, rencontre de gestion — plutôt que de créer un forum de conformité. Un point récurrent de cinq minutes avec deux chiffres, l’état actuel et le mouvement depuis la dernière fois, suffit. C’est le mouvement qui déclenche les conversations utiles.
6. Mesurer les nouveaux environnements séparément
Séparez la conformité de l’existant de celle de ce qui a été créé au cours des 90 derniers jours.
Le premier chiffre est un chantier de rattrapage : lent, budgété, peu informatif au quotidien. Le second dit si vos garde-fous fonctionnent. Si les nouveaux environnements naissent conformes, votre problème est fini et borné. S’ils naissent non conformes, tout rattrapage est du travail que vous referez.
Ce que ça change
Le résultat visible n’est pas un meilleur résultat d’audit — même si c’est ce qui arrive. C’est que la question « sommes-nous conformes ? » cesse d’exiger un projet pour y répondre.
Et l’audit devient un exercice de vérification plutôt qu’un exercice de reconstitution. Vous ne préparez plus la preuve : vous la montrez.
Si vous ne faites qu’une chose ce trimestre, activez la mesure continue sur un seul référentiel et regardez le chiffre pendant un mois sans rien corriger. La distance entre ce chiffre et ce que vous pensiez être votre posture est, en général, l’argument le plus convaincant que vous puissiez apporter à votre direction.
Besoin d’aide pour mettre cela en œuvre ?
Nous travaillons avec votre équipe pour concevoir, construire et exploiter les contrôles décrits ci-dessus.