Non, les 38 contrôles de l'Annexe A ne sont pas obligatoires
L'Annexe A est normative. Cette phrase, vraie, est à l'origine de la confusion la plus répandue sur la norme — et de beaucoup de travail inutile.
Non. Les 38 contrôles de l’Annexe A ne sont pas obligatoires. Ce qui est obligatoire, c’est de les examiner un par un et de justifier ceux que vous retenez comme ceux que vous écartez.
La nuance paraît mince. Elle change tout : dans un cas vous mettez en œuvre 38 mesures dont certaines ne correspondent à aucun risque chez vous, dans l’autre vous en mettez en œuvre douze et vous savez dire pourquoi les vingt-six autres ne s’appliquent pas.
D’où vient la confusion
De deux faits vrais qu’on combine mal.
Le premier : l’Annexe A d’ISO/IEC 42001 est normative. Beaucoup de documentation, y compris chez des organismes certificateurs et des éditeurs de logiciels de conformité, la présente comme informative — c’est faux, et l’Annexe B l’est également.
Le second : normatif ne veut pas dire « chaque élément est une obligation ». L’Annexe A est un catalogue de contrôles de référence. Son statut normatif signifie qu’on ne peut pas l’ignorer, pas que tout son contenu s’impose.
Le sens de lecture est donc du risque vers le contrôle, et non l’inverse. C’est le point que la plupart des organisations inversent.
Ce qui rend une exclusion défendable
Une exclusion se justifie par l’absence de source de risque dans votre périmètre. Elle ne se justifie pas par la difficulté, le coût ou le calendrier.
Deux exemples pour situer la frontière.
Une organisation qui n’entraîne aucun modèle et n’utilise que des services sur abonnement peut écarter une partie des contrôles de développement : il n’y a pas d’activité de conception à maîtriser. C’est défendable, et l’auditeur le vérifiera en regardant si l’organisation développe réellement quelque chose.
La même organisation ne peut pas écarter le contrôle relatif aux évaluations d’impact au motif qu’elle n’a pas les compétences pour les conduire. Le risque existe, l’absence de moyen ne le fait pas disparaître.
La numérotation, parce qu’elle induit en erreur
Chaque domaine de l’Annexe A commence par un énoncé d’objectif de contrôle, numéroté A.x.1. Le premier contrôle véritable porte le numéro .2.
Autrement dit : A.2.1 n’est pas un contrôle, A.2.2 en est un. Compter les A.x.1 comme des contrôles conduit à un total de 48 au lieu de 38, et à chercher des preuves pour des lignes qui n’en demandent pas.
Les 38 contrôles se répartissent en neuf domaines, de A.2 à A.10, pour dix objectifs de contrôle — le domaine A.6 se subdivisant en A.6.1 et A.6.2.
Ce que l’auditeur regarde
Il ne compte pas les contrôles retenus. Il vérifie la cohérence de la chaîne : un risque identifié, une mesure qui le traite, un contrôle de l’Annexe A qui correspond, une justification qui tient.
Ce qu’il faut retenir
L’Annexe A est normative, ses 38 contrôles ne sont pas tous obligatoires, et c’est la clause 6.1.3 f) — pas la clause 6.3 — qui porte la déclaration d’applicabilité.
Un dossier de douze contrôles justifiés vaut mieux qu’un dossier de 38 contrôles déclarés applicables sans raison. Le second demande cinq fois plus de travail et se défend moins bien.