Revenir au problème, pas seulement à la tâche
Si le constat portait sur l'absence de procédure, un document approuvé peut apporter une première preuve. S'il portait sur des droits conservés après un départ, l'écriture d'une procédure ne prouve pas la suppression effective des accès. La vérification doit examiner ce qui a changé dans la réalité.
Distinguez la livraison de l'action, l'efficacité de la mesure et l'acceptation du risque résiduel. Une mesure peut être installée sans couvrir tous les actifs, ou corriger un symptôme sans traiter sa cause. Ces situations justifient une conclusion plus nuancée qu'une simple case verte.
Organiser une preuve proportionnée
Définissez à l'avance le critère de clôture, le vérificateur, l'échantillon et la preuve à conserver. Pour une mesure récurrente, vérifiez plusieurs occurrences lorsque cela est pertinent. Un test unique peut montrer que la mesure fonctionne une fois, sans prouver qu'elle est durablement exécutée.
Que faire en cas de vérification impossible ?
Ne fabriquez pas une assurance. Signalez la limite, conservez le risque ouvert ou faites approuver une acceptation explicite par l'autorité compétente. Une date cible de vérification ultérieure peut être nécessaire. La transparence sur les limites est plus utile qu'une clôture administrative qui masque une fragilité persistante.