Organiser la mise en œuvre
Séparer le critère attendu, le fait observé, la preuve, la conséquence et la recommandation, ne pas confondre déclaration et efficacité démontrée.
Ne pas collecter inutilement des secrets ou données personnelles. La preuve doit être proportionnée et protégée.
Associer chaque preuve à un critère, un périmètre et une période, limiter la collecte aux informations nécessaires.
L’auditeur apprécie la suffisance, le propriétaire de la source explique le contexte, et l’organisation protège les informations collectées.
Un dossier de preuves indexé, protégé et relié aux constats.
Application à votre contexte
Les trois actions proposées ci-dessous constituent un point de départ. Validez les résultats avec leurs utilisateurs et ajustez le niveau de détail avant d'étendre la démarche.
Formulez chaque constat en distinguant le critère attendu, la situation observée, la preuve disponible et la conséquence possible. Cette séparation évite de transformer une opinion en non-conformité et facilite une discussion contradictoire avec l'équipe auditée.
Trois actions de départ
- Définir la preuve attendue pour chaque contrôle
- Conserver origine, date et contexte
- Croiser les éléments quand une seule source est insuffisante