9.3.2 — Éléments d’entrée de la revue de direction

Une liste de vérification, pas une impression : voici la liste précise des éléments que la direction doit examiner avant de pouvoir affirmer que la revue a réellement eu lieu.

Exigence obligatoire · Information documentée requise : non

En langage clair

La 9.3.2 précise exactement ce que la direction doit examiner lors de la revue de direction, pour que la réunion ne puisse pas être une mise à jour vague — elle doit couvrir une liste de vérification définie d’éléments provenant de l’ensemble du SGSI.

Pourquoi cette exigence existe

Sans une liste d’éléments d’entrée définie, une revue de direction tend à dériver vers ce que la voix la plus forte dans la salle veut discuter, tandis que des signaux plus discrets mais importants — une action corrective qui avance lentement, un changement dans ce que les clients exigent maintenant contractuellement — sont entièrement escamotés.

Scénario : une revue de direction passe toute son heure sur le lancement d’un nouveau produit et n’aborde jamais le fait que trois actions correctives du dernier audit interne sont toujours ouvertes malgré leur échéance dépassée. Une revue structurée autour des éléments d’entrée requis aurait fait remonter ce point par conception, pas par chance.

Ce que la norme attend

La norme attend que la revue de direction considère : le statut des actions des revues de direction précédentes ; les changements dans les enjeux externes et internes pertinents pour le SGSI ; les changements dans les besoins et attentes des parties intéressées pertinentes pour le SGSI ; la rétroaction sur la performance de sécurité de l’information, incluant les tendances des non-conformités et actions correctives, des résultats de surveillance et de mesure, des résultats d’audit et de l’atteinte des objectifs de sécurité ; la rétroaction des parties intéressées ; les résultats de l’appréciation des risques et le statut du plan de traitement des risques ; et les possibilités d’amélioration continue.

En pratique

• Bâtir un modèle d’ordre du jour permanent avec chaque élément d’entrée requis comme section distincte, pour que rien ne soit escamoté d’une revue à l’autre.
• Ouvrir chaque revue en vérifiant le statut des actions de la revue précédente — un point ouvert qui disparaît silencieusement est le moyen le plus rapide d’échouer à cette sous-clause.
• Tirer les métriques directement de la surveillance de la 9.1 et les constats directement de l’audit interne de la 9.2, plutôt que de les résumer de mémoire.

Preuves que l’auditeur demandera

• Des procès-verbaux ou un dossier de revue montrant que chaque élément d’entrée requis a réellement été présenté et discuté, pas seulement inscrit à l’ordre du jour.
• Une traçabilité entre les actions des revues précédentes et leur statut actuel.

Pièges courants

• Une revue qui couvre des mises à jour d’affaires mais escamote entièrement plusieurs des éléments d’entrée requis.
• Une rétroaction des parties intéressées jamais réellement collectée, si bien que cet élément est présenté sans rien derrière.

Exigences liées

• 9.1 Surveillance et mesure — une des sources directes de rétroaction sur la performance exigée par cette liste d’éléments.
• 9.2.2 Programme d’audit interne — les résultats d’audit sont l’un des éléments d’entrée nommés.
• 9.3.3 Éléments de sortie — ce vers quoi ces éléments d’entrée doivent mener.
• Clause parente : 9.3 Revue de direction.