Déclaration d'applicabilité

À quoi sert l'écran#

Cet écran la tient et la fait approuver. L'annexe A est rangée en quatre familles : « Organisationnel », « Personnes », « Physique » et « Technologique ».

Chaque version est soit un « Brouillon », soit « Approuvée ». Une version approuvée est verrouillée.

Qui peut faire quoi#

Sans le droit de modifier, l'écran affiche « Lecture seule ».

Pas à pas#

Justifier un contrôle#

1. Trouvez le contrôle. Utilisez « Rechercher » (code ou intitulé, par exemple A.8.32), « Famille », « État », « Contrôles exclus » ou « À compléter seulement ». « Réinitialiser » efface les filtres.
2. Cliquez sur la ligne pour ouvrir le panneau de détail. Il explique « Ce que demande ce contrôle », donne des « Exemples de preuves » et indique « Ce que Jira / JSM / Confluence / Assets peuvent prouver ».
3. Sous « Votre réponse », laissez cochée « Ce contrôle s'applique à notre organisation », ou décochez-la pour exclure le contrôle. Un contrôle exclu doit être justifié, comme un contrôle retenu.
4. Écrivez la « Justification ». Elle est enregistrée quand vous quittez le champ (2 000 caractères au plus).
5. Lisez l'« État de mise en œuvre » : il n'est plus saisi. Il est calculé à partir des contrôles communs qui couvrent cette exigence (« Non mis en œuvre », « Partiellement mis en œuvre » ou « Mis en œuvre »), et le panneau liste ces contrôles avec leur état. Pour le faire avancer, travaillez sur les contrôles : réponses de l'évaluation, tâches vérifiées, preuves, tests. Un brouillon montre l'état en direct ; une version approuvée garde l'état scellé à l'approbation. Une exigence exclue sort du score.
6. Choisissez un « Responsable » (au moins deux caractères pour chercher).
7. Dans « Références », ajoutez un ticket, une page ou un document qui montre la mise en œuvre (200 caractères au plus, dix références par contrôle). Le panneau affiche « Enregistrement… » puis « Enregistré ».

Approuver la version#

1. Regardez « Étapes vers l'approbation ». Les étapes « Justifications complètes » et « Références pour les contrôles mis en œuvre » bloquent l'approbation. L'étape « États de mise en œuvre renseignés » est un conseil (« Conseillé »).
2. La rubrique « Autres points à corriger » signale par exemple un contrôle exclu alors que le traitement d'un risque ouvert s'appuie dessus. Réintégrez le contrôle ou revoyez le traitement du risque.
3. Cliquez sur « Revérifier » pour relancer la vérification.
4. Quand l'étape « Approbation » dit « Prête », cliquez sur « Approuver ». Une fenêtre résume les chiffres et rappelle que vous attestez l'exactitude de la déclaration. Confirmez avec « Approuver la version ».
5. La version est verrouillée. L'en-tête indique qui l'a approuvée et quand.

Modifier une version approuvée#

1. Cliquez sur « Nouvelle révision ».
2. Un nouveau brouillon est créé à partir de la version approuvée, qui reste conservée telle quelle.
3. Modifiez, puis approuvez la nouvelle version.

Attribuer les rôles#

Les rôles ne se gèrent pas sur cet écran : ils sont dans l'onglet « Accès » de la page « Réglages ». Les administrateurs Jira voient, sous le tableau de pilotage, une ligne avec le lien « Ouvrir les réglages ». Voyez Les rôles.

L'état vient des contrôles communs#

L'état de mise en œuvre d'une exigence est celui des contrôles communs qui la couvrent, voir la bibliothèque de contrôles. Une preuve plus ancienne que sa fréquence ne compte pas : le contrôle repasse à « Preuve à apporter » et l'exigence perd son crédit. Une version approuvée garde l'état scellé à l'approbation.

Proposer une justification Édition : Advanced#

Dans le panneau d'une ligne, « Proposer une justification » demande à l'assistant deux ou trois phrases pour appliquer ou exclure l'exigence, d'après l'exigence, le référentiel et les contrôles qui la couvrent avec leur état. S'il n'y a pas de contrôle, il le dit au lieu d'en inventer. Le texte est repris dans le champ de justification ; il n'est enregistré qu'avec le bouton de l'écran. Qui peut le demander : qui modifie la déclaration, ou la personne à qui le contrôle est assigné. Ce qui part au modèle : Assistant IA.

Importer les applicabilités et les justifications#

Tant que la déclaration est un brouillon, « Importer » et « Télécharger le modèle » (pour qui la modifie) renseignent « applicable », la justification et le responsable des exigences depuis un classeur Excel. Voir Importer et exporter par modèles Excel.

Ce que l'auditeur en tirera#

Un document unique, versionné et signé par un nom et une date, qui couvre les 93 exigences de l'annexe A avec leur justification, et dont l'état de mise en œuvre vient des contrôles communs. L'auditeur le retrouve dans le dossier d'audit (fichier declaration-applicabilite.csv), avec controles.csv (les contrôles : état, preuves, exigences couvertes) et correspondance-controles.csv (quel contrôle répond à quelle exigence). Chaque modification et chaque approbation sont dans le journal.

Limites connues#

• Les références libres sont des textes : l'app ne vérifie pas qu'un ticket ou un document existe.
• Une exigence « Mise en œuvre » est calculée : les contrôles qui la couvrent fournissent la preuve, les références libres ne servent plus à satisfaire cette règle.
• Les clauses 4 à 10 de la norme ne font pas partie de la déclaration : elles sont couvertes par l'onglet « Audits ».
• Si quelqu'un d'autre modifie le même contrôle en même temps, l'écran recharge et vous demande de recommencer.