Clause 7 : ressources, compétences, sensibilisation et documentation
La clause 7 réunit ce qui fait tenir le système au quotidien. Elle contient aussi la confusion de numérotation la plus répandue de toute la norme.
La clause 7 rassemble les moyens : ressources, compétences, sensibilisation, communication et documentation. Elle passe souvent pour de l’intendance. En audit, elle produit pourtant des écarts faciles à éviter, parce qu’ils relèvent de la traçabilité plus que du fond.
Un avertissement de numérotation, avant tout le reste. 7.3 est la sensibilisation, 7.4 est la communication. L’inversion est constante dans la littérature secondaire, y compris chez des éditeurs de logiciels de conformité, et elle conduit à préparer les mauvaises preuves.
7.1 — Les ressources
Le domaine A.4 de l’Annexe A propose des contrôles qui déclinent cette exigence par type de ressource : données, outillage, ressources système et de calcul, ressources humaines. Le point de vigilance pratique est le budget récurrent : beaucoup d’organisations financent la mise en place et rien pour la maintenir, ce qui se voit au premier audit de surveillance.
7.2 — La compétence
L’exigence porte sur la preuve de compétence, pas sur la preuve de formation. Une attestation de présence à une session ne démontre pas qu’une compétence est acquise ; une évaluation, une mise en situation ou une revue de travaux la démontrent.
7.3 — La sensibilisation
7.4 — La communication
La communication d’un incident relève du contrôle A.8.4 ; son traitement relève de la clause 10.2. La clause 7.4, elle, définit le dispositif : qui est prévenu, dans quel délai, par quel canal. Une procédure d’incident sans destinataire nommé ne fonctionne jamais le jour où elle sert.
7.5 — Les informations documentées
La distinction utile en audit est celle entre document et enregistrement. Un document dit ce qu’on fait ; un enregistrement prouve qu’on l’a fait. Une procédure d’évaluation d’impact est un document ; une évaluation d’impact remplie est un enregistrement. Les deux sont attendus, et produire le premier sans le second est le scénario d’échec classique au second stade d’audit.
Ce que la clause 7 ne demande pas
Aucun outil documentaire particulier, aucun format, aucune plateforme. Un répertoire partagé avec une convention de nommage tenue vaut mieux qu’un outil de gestion documentaire que personne n’alimente.
La norme ne fixe ni volume de formation, ni périodicité de sensibilisation, ni durée de conservation.