Non, les 38 contrôles de l'Annexe A ne sont pas obligatoires
L'Annexe A est normative. Cette phrase, vraie, est à l'origine de la confusion la plus répandue sur la norme — et de beaucoup de travail inutile.
Non. Les 38 contrôles de l’Annexe A ne sont pas obligatoires. Ce qui est obligatoire, c’est de les examiner un par un et de justifier ceux que vous retenez comme ceux que vous écartez.
La nuance paraît mince. Elle change tout : dans un cas vous mettez en œuvre 38 mesures dont certaines ne correspondent à aucun risque chez vous, dans l’autre vous mettez en œuvre celles que vos risques appellent, et vous savez dire pourquoi les autres ne s’appliquent pas.
D’où vient la confusion
De deux faits vrais qu’on combine mal.
Le premier : l’Annexe A d’ISO/IEC 42001 est normative. Beaucoup de documentation, y compris chez des organismes certificateurs et des éditeurs de logiciels de conformité, la présente comme informative. C’est faux : l’Annexe A est normative, l’Annexe B l’est aussi, et seules les annexes C et D sont informatives.
Le second : normatif ne veut pas dire « chaque élément est une obligation ». L’Annexe A est un catalogue de contrôles de référence. Son statut normatif signifie qu’on ne peut pas l’ignorer, pas que tout son contenu s’impose.
Le sens de lecture est donc du risque vers le contrôle, et non l’inverse. C’est le point que la plupart des organisations inversent.
Ce qui rend une exclusion défendable
Deux éléments fondent une exclusion, et la clause 6.1.3 f) les cite l’un et l’autre, sans en faire une liste fermée. Du côté des risques : votre appréciation ne rend pas le contrôle nécessaire — l’activité qui ferait naître le risque est absente, le risque est jugé acceptable au regard de vos critères, ou une autre mesure le traite déjà. Du côté du droit et des contrats : aucune exigence externe applicable n’impose ce contrôle, ou bien elle prévoit une exception. Une justification solide examine les deux.
La difficulté, le coût ou le calendrier ne figurent pas parmi ces appuis. Les lignes directrices de l’Annexe B les évoquent ailleurs, parmi ce qu’on pèse pour développer ou pour employer un système, jamais comme motif d’écarter un contrôle. En pratique, une exclusion qui ne tient qu’à eux se défend mal : renoncer à traiter un risque revient à accepter le risque résiduel, et 6.1.3 fait approuver cette acceptation par la direction désignée, avec le plan de traitement.
Deux exemples pour situer la frontière.
Une organisation qui n’entraîne aucun modèle et n’utilise que des services sur abonnement peut écarter une partie des contrôles de développement : il n’y a pas d’activité de conception à maîtriser. C’est défendable, et l’auditeur le vérifiera en regardant si l’organisation développe réellement quelque chose.
La même organisation qui écarterait les contrôles relatifs aux évaluations d’impact au motif qu’elle n’a pas les compétences pour les conduire se défendrait beaucoup plus mal : le risque existe, et l’absence de moyen ne le fait pas disparaître. L’exclusion ne changerait d’ailleurs pas grand-chose, puisque les clauses 6.1.4 et 8.4 imposent l’évaluation d’impact et sa reprise, que ces contrôles soient retenus ou non.
La numérotation, parce qu’elle induit en erreur
Dans le Tableau A.1, chaque domaine s’ouvre sur un énoncé d’objectif de contrôle, qui ne porte aucun numéro. Les contrôles, eux, sont numérotés à partir de .2.
Le rang .1 ne désigne jamais un contrôle. En Annexe A, il ne sert qu’à l’article introductif A.1 et au sous-domaine A.6.1 ; c’est en Annexe B que l’objectif de chaque domaine devient un sous-article numéroté : B.2.1, B.3.1, et ainsi de suite jusqu’à B.10.1, avec B.6.1.1 et B.6.2.1 pour les deux sous-domaines de A.6. Autrement dit, il n’existe pas de contrôle A.2.1 : le premier contrôle du domaine A.2 est A.2.2. Compter les dix objectifs comme des contrôles conduit à un total de 48 au lieu de 38, et à chercher des preuves pour des lignes qui n’en appellent pas en propre.
Les 38 contrôles se répartissent en neuf domaines, de A.2 à A.10, pour dix objectifs de contrôle — le domaine A.6 se subdivisant en A.6.1 et A.6.2.
Ce que l’auditeur regarde
Il ne compte pas les contrôles retenus. Il vérifie la cohérence de la chaîne : un risque identifié, une mesure qui le traite, un contrôle de l’Annexe A qui correspond, une justification qui tient.
Ce qu’il faut retenir
L’Annexe A est normative, ses 38 contrôles ne sont pas tous obligatoires, et c’est la clause 6.1.3 f) — pas la clause 6.3 — qui porte la déclaration d’applicabilité.
Un dossier où chaque contrôle écarté est justifié vaut mieux qu’un dossier de 38 contrôles déclarés applicables sans raison. Le second demande plus de travail, et se défend moins bien.