Clause 8 — Fonctionnement

Exigence 8 · Phase « Déployer » du cycle PDCA

En langage clair

La plus courte des sept clauses certifiables, et celle qui transforme tout le reste en pratique. La clause 8 est là où les plans de la clause 6 cessent d’être des documents et commencent à être exécutés : les processus fonctionnent selon des critères définis, les changements sont maîtrisés plutôt qu’improvisés, les fournisseurs externes pertinents pour le SGSI sont tenus sous contrôle, et — essentiel — l’appréciation et le traitement des risques ont lieu à nouveau, de façon récurrente, pas seulement une fois à la certification. Un auditeur qui examine les preuves de la clause 8 pose en réalité une seule question : le plan de la clause 6 est-il toujours le plan que vous exécutez réellement ?

Ce que couvre la clause 8

La clause 8 est la plus courte des sept clauses certifiables — seulement trois exigences plates, sans sous-clauses. La 8.1 couvre l’exploitation quotidienne du SGSI : exécuter les processus selon des critères définis, maîtriser à la fois les changements planifiés et les conséquences de ceux qui ne le sont pas, et garder sous contrôle les processus externalisés pertinents pour le SGSI. La 8.2 et la 8.3 sont les jumelles opérationnelles des clauses 6.1.2 et 6.1.3 — la même discipline d’appréciation et de traitement des risques, mais répétée à intervalles planifiés ou chaque fois que quelque chose de significatif change, plutôt que réalisée une fois puis classée.

Pourquoi elle est centrale

Les certifications échouent souvent ici non pas parce que l’appréciation initiale des risques de la clause 6 était erronée, mais parce qu’elle n’a jamais été répétée. Un registre des risques périmé d’un an et demi à l’audit de surveillance — sans preuve qu’il a été revu à intervalles planifiés ou après un changement significatif — est un constat de clause 8, même si l’appréciation initiale était excellente.

Les documents issus de la clause 8

• Une preuve que les processus opérationnels fonctionnent selon leurs critères définis (8.1)
• Des registres de changements maîtrisés et de conséquences revues des changements non intentionnels (8.1)
• Les résultats de chaque appréciation récurrente des risques (8.2)
• Les résultats de chaque cycle récurrent de traitement des risques (8.3)

Aller plus loin

Besoin d’un accompagnement pratique pour exécuter votre cycle opérationnel de gestion des risques ? Voir notre service d’accompagnement à la certification ISO 27001 ou nous contacter. Le référentiel ISO 27001 résume la norme dans son ensemble.