Une mesure sans responsable ni date de test n'est qu'une intention

Entre savoir ce qui doit être fait et pouvoir le démontrer, un fossé silencieux se creuse dans de nombreuses organisations. Le plan de traitement est adopté, les bonnes intentions sont là, et un an plus tard la moitié est restée en souffrance. La phase Résoudre comble ce fossé avec une règle simple : chaque solution reçoit un responsable, une forme et une date.

Une mesure sans responsable ni date de test n'est qu'une intention

Une mesure de sécurité ne devient une mesure que lorsque quelqu'un en est responsable et qu'il existe un moment où son fonctionnement est testé. Consignez donc pour chaque mesure ce qu'elle fait, qui en est le responsable et quand aura lieu le prochain test d'efficacité. La fréquence des tests peut être pragmatique ; l'essentiel est que « nous avons une sauvegarde » se transforme en « le dernier test de restauration a eu lieu à cette date et voici le résultat ».

Une politique a besoin d'un cycle de vie

Une politique rédigée une fois puis jamais reconsultée perd insensiblement à la fois son autorité et sa valeur de preuve. Donnez donc à chaque document un cycle de vie : un responsable le rédige, une deuxième personne l'approuve selon le principe des quatre yeux, et un cycle de revue détermine quand il sera réévalué. Si la date de revue est dépassée, le document n'est plus considéré comme à jour, et cela doit être visible.

Ce qui n'existe pas encore devient un projet

Pour les lacunes sans solution en fonctionnement, le projet est la bonne forme. Un projet a un responsable, une date de fin et un lien avec les risques ou les exigences normatives qu'il doit couvrir. On voit ainsi quelle couverture est déjà active et laquelle est en cours, et à la livraison le projet devient une mesure active en un clic, avec tous ses liens.

Accepter est permis, mais de manière formelle

Tout risque ne doit pas nécessairement être éliminé ; certains, vous les acceptez sciemment. Faites-le alors de manière formelle, avec une exception, c'est-à-dire une dérogation consignée assortie d'une justification, d'un approbateur et d'une date de fin. La date de fin est la différence essentielle avec la tolérance tacite, car bien avant l'échéance le demandeur et l'approbateur reçoivent un rappel pour prolonger, remplacer ou laisser expirer de manière contrôlée.

La surveillance fait ensuite le travail

Dès que les mesures, les politiques, les projets et les exceptions ont leurs dates, la surveillance automatique prend le relais. Les cycles de revue, les tests d'efficacité et les alertes d'expiration génèrent d'eux-mêmes des tâches et des e-mails destinés à la bonne personne. La maintenance cesse alors d'être une question de discipline pour devenir une question de rythme.