Établir un diagnostic
Un registre copié d’un modèle peut omettre les pratiques réelles et donner une fausse impression de conformité.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Partir d’un processus réel et vérifier que ses données, échanges et prestataires correspondent à la fiche de traitement.
Suivre fiches non actualisées, finalités imprécises et traitements sans responsable.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Recenser les activités avec les métiers
- Décrire les traitements et responsabilités
- Maintenir les fiches lors des changements