Du rapport d'écarts au plan de projet : responsables, preuves et calendrier

Mener une analyse d'écarts est la partie facile. Notre guide pas à pas vous mène à un tableau de suivi listant chaque exigence non satisfaite. Ce qui se passe ensuite détermine si le programme aboutit : trop de tableaux de suivi restent de longues feuilles de calcul de lignes marquées « non atteint » que personne ne prend en charge.

Étape 1 : regrouper les lignes en chantiers

Les exigences sont numérotées selon la logique du référentiel, et non la vôtre. Regroupez les lignes non satisfaites selon ce qui permettra de les corriger :

• Gouvernance et politique (périmètre, rôles, politiques, approbation par la direction)
• Identité et accès
• Gestion des vulnérabilités et des correctifs
• Journalisation et supervision
• Réponse aux incidents et notification
• Gestion des fournisseurs
• Continuité d'activité et sauvegarde
• Développement sécurisé
• Sécurité physique

Un chantier permet souvent de clore dix à vingt lignes. Intégrer des clauses de sécurité des fournisseurs dans les contrats, par exemple, peut couvrir simultanément des exigences d'ISO 27001, de PCI DSS, du RGPD (GDPR) et de NIS2.

Étape 2 : séquencer selon les dépendances et les risques

1. D'abord les débloqueurs : périmètre, gouvernance, politique et appréciation des risques. Les travaux techniques réalisés sans eux devront être refaits.
2. Ensuite les écarts à haut risque : systèmes exposés sans MFA, services accessibles depuis Internet non corrigés, sauvegardes non testées.
3. Puis le reste, avec la documentation et la collecte des preuves menées en parallèle, et non en fin de parcours.

Étape 3 : estimer avec réalisme

Pour chaque chantier : le travail, qui le réalise, la durée et le coût (personnes, outils, appui externe). Les coûts cachés se situent généralement dans l'exploitation du contrôle une fois en place (une revue trimestrielle représente quatre réunions par an, indéfiniment), et non dans sa mise en place.

Étape 4 : attribuer les responsabilités à ceux qui feront fonctionner le contrôle

Le responsable d'une tâche de remédiation doit être la personne qui exploitera le contrôle ensuite : le responsable informatique pour les correctifs, la fonction achats pour les contrats fournisseurs, les RH pour les vérifications des antécédents. Le responsable conformité coordonne, contrôle les preuves et suit l'avancement, mais ne peut pas tout porter.

Étape 5 : définir « terminé » par des preuves

Une tâche est terminée lorsque le contrôle fonctionne et produit des preuves : la première revue des accès signée, le premier test de restauration consigné, la politique approuvée et communiquée. Renseignez la référence de la preuve dans le tableau de suivi au fil de l'eau ; le jour de l'audit, ce tableau constitue votre index des preuves.

Un exemple concret

Supposons qu'une entreprise certifiée ISO 27001 ait besoin de NIS2. Le rapport d'écarts ISO 27001 → NIS2 associe chaque point de NIS2 à un élément d'ISO, mais la validation par rapport à la réalité révèle une douzaine de points partiellement satisfaits. Regroupés par correction, ils se ramènent à quatre chantiers :

• Gouvernance : approbation par la direction des mesures et formation de la direction (une session du conseil, un cours de formation, consigné).
• Notification : une procédure de notification des incidents significatifs avec des délais de 24 et 72 heures, des modèles et un exercice.
• Fournisseurs : critères de sélection, clauses contractuelles et revue des vingt principaux fournisseurs.
• Profondeur technique : divulgation des vulnérabilités, politique de cryptographie et indicateurs d'efficacité.

Quatre responsables, quatre plans, chacun avec une date et une liste de preuves, au lieu d'une douzaine de lignes sans lien entre elles. La gouvernance et la notification passent en premier, car les autorités de contrôle les évoqueront en premier ; la profondeur technique suit au cours du trimestre suivant.

Points clés

• Regroupez les exigences non satisfaites selon ce qui permettra de les corriger, et non selon leur numéro.
• Traitez en premier la gouvernance, le périmètre et la politique : ils débloquent tout le reste.
• Confiez chaque chantier à un responsable qui fera fonctionner le contrôle par la suite.
• Définissez « terminé » comme un contrôle opérationnel qui produit des preuves.

Étape 6 : suivre l'avancement simplement

La direction attend trois chiffres : exigences satisfaites, en cours et non démarrées, par chantier, ainsi que les risques en retard. Relancez l'analyse d'écarts périodiquement ; lorsqu'elle est calculée à partir de données en temps réel, comme la nôtre, les taux de couverture évoluent à mesure que vous comblez les écarts et que les référentiels changent.

Pour point de départ, lancez l'analyse d'écarts entre le référentiel que vous avez et celui dont vous avez besoin, puis exportez-la. Les comparaisons présentent les couples les plus courants dans les deux sens.

Questions

Comment hiérarchiser les écarts de conformité ?

Selon le risque et les dépendances : d'abord les écarts qui en bloquent d'autres (gouvernance, périmètre, politique), puis les écarts techniques à haut risque, puis la documentation et les preuves. La numérotation des exigences est un mauvais guide pour l'ordre de traitement.

Qui doit être responsable des tâches de remédiation de conformité ?

Les personnes qui feront fonctionner le contrôle par la suite, et non l'équipe conformité. La conformité coordonne et contrôle les preuves ; les responsables des contrôles réalisent les travaux.

Quel niveau de détail doit avoir un plan de projet de conformité ?

Suffisamment de détail pour que chaque chantier ait un responsable, un livrable, une date et une liste de preuves. Le détail au niveau des exigences relève du tableau de suivi ; le plan doit tenir sur une ou deux pages.