Comment fonctionne le marquage d’applicabilité pour les exigences de référentiel ?

ISO/IEC 27001:2022 distingue deux types d’exigences. Les articles 4 à 10 définissent le système de management, et aucun ne peut être exclu. Les 93 mesures de l’annexe A suivent une autre logique : chacune est retenue ou exclue à l’issue du traitement des risques (article 6.1.3).

La Déclaration d’applicabilité consigne cette décision. Elle liste les mesures nécessaires, la justification de leur inclusion, l’état de mise en œuvre de chacune et la justification de toute mesure de l’annexe A exclue. Les auditeurs la lisent avec l’appréciation des risques et le plan de traitement des risques : chaque exclusion doit renvoyer au domaine d’application ou à l’absence de risque, et chaque inclusion à un risque, une exigence légale ou une obligation contractuelle.

Les autres référentiels demandent la même rigueur, même sans parler de Déclaration d’applicabilité : une exigence jugée hors périmètre doit dire pourquoi, et quelqu’un doit pouvoir vérifier ce motif plus tard.

Une exigence peut légitimement être déclarée non applicable lorsque l’un de ces cas est vrai et démontrable :

• L’activité qu’elle encadre sort du domaine d’application défini, par exemple un site, une entité ou un service que le programme ne couvre pas.
• Le risque qu’elle traite n’existe pas pour vous, selon votre appréciation des risques.
• Aucune obligation légale, réglementaire ou contractuelle ne l’impose.

Rédigez la justification en termes simples, indiquez qui a pris la décision, et revoyez-la quand le périmètre, les risques ou les services évoluent. Une exigence qui s’applique mais n’est pas encore en place n’est pas « non applicable » : c’est une lacune, qui a sa place dans le plan.

• Des exclusions sans justification documentée, ou avec une justification reprise d’un modèle.
• Des exigences déclarées non applicables pour améliorer un taux de conformité, alors qu’elles ne sont simplement pas mises en œuvre.
• Des décisions qui ne correspondent plus au périmètre après l’ajout d’un site, d’un produit ou d’une entité.
• Une applicabilité qui contredit l’appréciation des risques : une mesure exclue alors qu’un risque du registre en dépend.
• Aucune trace de qui a décidé, ni quand.

Dans l’espace de travail Comply, un administrateur adopte chaque référentiel et coche les exigences applicables. Chaque référentiel peut être affecté à un ou plusieurs périmètres, par exemple une entité juridique, un site ou une unité d’affaires ; le reste demeure Global, et le filtre de périmètre global limite ensuite chaque tableau et chaque tableau de bord aux périmètres choisis.

Dans Implement, une exigence peut être marquée Non applicable avec une justification. Elle porte un discret badge N/A et sort des KPI de conformité, de sorte que les chiffres ne reflètent que vos engagements. Chaque exigence applicable porte son statut de conformité, sa maturité, ses responsables et ses mesures et contrôles reliés, soit ce dont une Déclaration d’applicabilité a besoin à côté de la décision elle-même.

Désélectionner un référentiel entier est une autre opération. Ses exigences sortent des KPI, des sélecteurs et de la page Mapping, mais les enregistrements et les liens sont conservés : le resélectionner rétablit tout. Lorsque la feuille de route de conformité est activée, les exigences marquées Non applicable sont proposées à l’exclusion au moment de passer en revue ses éléments.