Conformité · Contrôles · Brouillon
Un enregistrement de conformité est une machine à états
Un risque, un fournisseur, un contrôle ou une exception n’est pas un document. C’est une petite chose qui est toujours dans exactement un état et ne peut passer que par des chemins autorisés. Si vous la construisez ainsi dans un outil que les gens utilisent déjà, la piste d’audit cesse d’être une reconstitution.
Demandez à une équipe où vit son registre des risques et vous entendrez souvent « dans un tableur, et quelqu’un le met à jour avant l’audit ». Le tableur n’est pas le problème. Le problème, c’est que rien n’empêche une ligne d’afficher « accepté » sans que personne n’ait rien accepté.
Il existe une idée plus ancienne qui règle cela : la machine à états. Une chose a un ensemble fixe d’états et un ensemble fixe de transitions entre eux. Elle est dans un état à la fois. Une transition peut avoir des conditions.
Les obligations de conformité se comportent déjà ainsi. Un risque est identifié, évalué, traité, accepté ou clos. Un fournisseur est demandé, examiné, approuvé, surveillé puis quitté. Un contrôle est planifié, mis en œuvre, opérationnel puis réexaminé. Une exception est demandée, approuvée jusqu’à une date, puis expirée. Nous écrivons simplement rarement les règles comme des règles.
Ce que vous gagnez en le faisant
- Le reporting devient du comptage. Chaque enregistrement est dans un état, donc « combien de risques ne sont pas traités » est une requête, pas une réunion.
- Une transition peut porter une condition : seul le responsable peut accepter un risque. Elle peut porter une exigence : une justification doit exister avant qu’un contrôle soit marqué non applicable.
- Chaque transition est conservée avec qui et quand. C’est la piste d’audit, produite en sous-produit au lieu d’être reconstituée sous pression.
Où cela peut vivre
La plupart des équipes travaillent déjà dans un outil de suivi dont les flux de travail sont exactement cela : états, transitions, conditions. Les enregistrements vont dans un projet, l’explication et les vues en direct dans un wiki. Le traitement d’un risque devient une tâche dans le backlog de l’équipe, liée au risque, si bien que le travail de conformité se trouve dans la même file que le reste. Un document comme la Déclaration d’applicabilité devient alors une vue des enregistrements, ce qui explique qu’il reste exact.
Trois habitudes qui le gardent honnête
- Le flux de travail est un contrôle, donc le modifier est un acte contrôlé : peu de personnes peuvent l’éditer et tout le monde peut voir l’historique.
- Les décisions temporaires expirent. Une exception avec une date de fin qui se rouvre d’elle-même ne peut pas devenir permanente en silence.
- Commencez petit. Quelques flux de travail que les gens utilisent valent mieux que beaucoup que personne n’ouvre, et chacun doit remplacer un tableur plutôt que de s’y ajouter.
Ce que cela ne fait pas
Un outil de suivi ne collecte pas de preuves automatiques dans vos systèmes ; une plateforme dédiée peut fonctionner à côté. Et une machine à états rend le contournement visible et plus difficile, pas impossible : les droits qui l’entourent font toujours partie du contrôle.
C’est la même idée que « les contrôles durs d’abord » : ne demandez pas aux gens de se souvenir de la règle, construisez l’endroit où la règle est appliquée.