10.2 — Non-conformité et action corrective

Chaque constat de chaque autre clause finit par atterrir ici. C’est ici que vous prouvez qu’un problème, une fois trouvé, est réellement corrigé — pas seulement documenté.

Exigence obligatoire · Information documentée requise : oui

En langage clair

La 10.2 exige que chaque fois qu’une non-conformité survient — un contrôle échoue, un audit relève un écart, un incident révèle une faiblesse — vous réagissiez pour la contenir, déterminiez la véritable cause profonde plutôt que le seul symptôme, corrigiez cette cause profonde, vérifiiez que la correction a fonctionné, et changiez le SGSI lui-même si le problème révèle que c’est nécessaire.

Pourquoi cette exigence existe

Sans cette discipline, les organisations ont tendance à corriger le symptôme immédiat et à passer à autre chose — corriger le seul serveur signalé, sans se demander pourquoi le processus de correctifs l’a laissé prendre du retard en premier lieu. Cette exigence force la question plus difficile et plus utile : pas seulement « qu’est-ce qui a échoué », mais « pourquoi notre système a-t-il permis que cela échoue, et est-ce que cela se reproduira ailleurs ? »

Scénario : un audit interne constate que l’accès d’un employé n’a jamais été révoqué après un changement de rôle. La correction immédiate — retirer l’accès périmé — prend cinq minutes. L’investigation de la cause profonde révèle que la liste de vérification de départ n’a aucune étape pour les changements de rôle, seulement les départs complets, ce qui signifie que le même écart existe probablement pour d’autres employés ayant changé de rôle. Corriger seulement ce compte, sans mettre à jour la liste de vérification, signifie que le même constat réapparaîtra au prochain audit.

Ce que la norme attend

Lorsqu’une non-conformité survient, la norme attend que l’organisation y réagisse et, le cas échéant, prenne des mesures pour la maîtriser et la corriger, et gère les conséquences ; évalue le besoin d’une action pour éliminer les causes de la non-conformité afin qu’elle ne se reproduise pas ou ne survienne pas ailleurs, en examinant la non-conformité, en déterminant ses causes, et en déterminant si des non-conformités similaires existent ou pourraient survenir ; mette en œuvre toute action nécessaire ; examine l’efficacité de toute action corrective prise ; et apporte des changements au SGSI si nécessaire. Les actions correctives doivent être appropriées aux effets des non-conformités rencontrées, et l’organisation doit conserver l’information documentée comme preuve de la nature des non-conformités, de toute action prise, et des résultats des actions correctives.

En pratique

• Tenir un seul registre de non-conformités et d’actions correctives regroupant chaque constat — issu des audits internes, de la surveillance, des incidents ou de la revue de direction — au même endroit.
• Aller au-delà de la correction immédiate vers une véritable question de cause profonde : demander « pourquoi » au moins quelques fois avant d’accepter une explication.
• Vérifier explicitement si la même cause profonde pourrait affecter d’autres systèmes, équipes ou processus, pas seulement celui où le problème est apparu.
• Fermer la boucle en vérifiant que la correction a réellement fonctionné — retester, réauditer ou remesurer plutôt que de supposer.

Preuves que l’auditeur demandera

• Un registre de non-conformités et d’actions correctives montrant la nature de chaque constat, l’analyse de la cause profonde et l’action prise.
• Une preuve que l’action corrective a été vérifiée comme efficace, pas seulement marquée comme fermée.
• Pour les constats récurrents ou systémiques, une preuve que le SGSI lui-même a été mis à jour en réponse.

Pièges courants

• Corriger le symptôme (un contrôle brisé) sans investiguer si le même écart existe ailleurs.
• Marquer une action corrective comme fermée sans jamais vérifier qu’elle a réellement fonctionné.
• Le même constat qui revient audit après audit parce que la cause profonde n’a jamais été réellement traitée.

Exigences liées

• 10.1 Amélioration continue — le pendant proactif de cette discipline réactive.
• 9.2 Audit interne — la source la plus fréquente de non-conformités qui alimentent cette clause.
• 9.3.2 Éléments d’entrée de la revue — les tendances des non-conformités et actions correctives sont un élément d’entrée obligatoire de la revue.
• Clause parente : Clause 10 Amélioration.

Correspondance 2013 → 2022