Référentiels et méthode
Le score de préparation
Comment l'app calcule la préparation d'un référentiel, à partir de l'état des contrôles.
Le score de préparation répond à une question : quelle part des exigences applicables est déjà tenue par des contrôles en place ? C'est une mesure de travail, pas une note de conformité.
En trois étapes
- Chaque contrôle a un état calculé, jamais saisi (voir ci-dessous).
- Chaque exigence a un état, déduit des contrôles qui la couvrent.
- La préparation est une moyenne pondérée des états des exigences applicables.
L'état d'un contrôle
| État | Sens |
|---|---|
| Non applicable | Le contrôle est écarté de la déclaration. |
| Non mis en œuvre | Il n'est pas encore mis en œuvre. |
| Test en échec | Un test mesuré échoue. Cet état prime sur la preuve manquante. |
| Preuve à apporter | Une preuve attendue manque, ou est plus ancienne que sa fréquence. |
| En place | Mis en œuvre, preuves à jour, aucun test en échec. |
Une preuve périmée ne compte ni pour l'état, ni pour le score, ni pour la règle « pas de clôture sans preuve » : la règle est la même partout.
L'état d'une exigence
Seuls comptent les contrôles qui couvrent l'exigence ; ceux qui y contribuent ou y sont liés n'entrent pas dans le calcul, et les contrôles non applicables sont ignorés.
| État | Quand |
|---|---|
| Satisfaite (1) | Au moins un contrôle couvre l'exigence, et tous sont en place. |
| À moitié (0,5) | Au moins un contrôle est en place ; ou tous les contrôles sont mis en œuvre mais attendent des preuves (c'est le demi-crédit : « preuves à apporter »). Un contrôle dont un test échoue ne donne jamais le demi-crédit. |
| Non satisfaite (0) | Des contrôles couvrent l'exigence, mais aucun des cas ci-dessus ne s'applique. |
| Sans contrôle (0) | Aucun contrôle du catalogue ne la couvre : un trou du catalogue, compté comme non satisfaite. |
| Non applicable | Tous les contrôles qui la couvrent sont non applicables, ou l'exigence est exclue de votre périmètre. |
Le calcul
La préparation d'un référentiel est :
arrondi( 100 × (satisfaites + 0,5 × à moitié) ÷ applicables )
Elle vaut 0 quand rien ne s'applique. La préparation globale se calcule sur toutes les exigences applicables des référentiels actifs réunies : ce n'est pas la moyenne des scores par référentiel. Une exigence couverte par deux référentiels compte une fois dans chacun.
Bon à savoir
Cette règle est la version 2 du score, celle qui s'appuie sur les contrôles communs. La page Référentiels rappelle la version en vigueur.
Ce que le score ne dit pas
- Il ne dit pas qu'une exigence est « conforme » : un contrôle « en place » signifie mis en œuvre, avec des preuves à jour, pas jugé suffisant.
- Il ne remplace ni l'audit interne ni l'audit de certification.
Cette page vous a-t-elle aidé ?