9.3.1 — Généralités

Trois mots qui décident si le SGSI survit une année de plus : adapté, adéquat, efficace.

Exigence obligatoire · Information documentée requise : non

En langage clair

La 9.3.1 exige que la direction — pas un délégué, pas un comité agissant seul — examine formellement le SGSI à intervalles planifiés et juge s’il est toujours adapté à l’organisation, adéquat face à ses risques, et efficace pour livrer des résultats de sécurité.

Pourquoi cette exigence existe

Déléguer entièrement la sécurité à une équipe opérationnelle, sans que la direction ne regarde jamais réellement comment le programme se comporte, est exactement le schéma que cette exigence vise à prévenir. Un SGSI que seule l’équipe sécurité examine tend à s’optimiser pour ce que cette équipe peut influencer, tandis que les problèmes de niveau organisationnel — sous-financement, priorités conflictuelles, dérive du périmètre — restent non résolus parce que personne ayant l’autorité de les corriger ne regarde.

Scénario : l’équipe sécurité d’une entreprise signale, trois trimestres consécutifs, qu’elle manque de budget pour traiter un risque connu. Sans une revue de direction qui force ce statut devant la direction selon un calendrier fixe, ce signalement reste enterré indéfiniment dans un suivi d’équipe.

Ce que la norme attend

La norme attend que la direction examine le SGSI de l’organisation à intervalles planifiés pour assurer sa convenance, son adéquation et son efficacité continues. La « convenance » se demande si le SGSI correspond toujours à l’organisation telle qu’elle existe aujourd’hui ; l’« adéquation » se demande s’il traite les risques que l’organisation affronte réellement ; l’« efficacité » se demande s’il livre les résultats de sécurité escomptés. Les trois doivent être considérés — un système peut être parfaitement documenté et échouer tout de même sur l’un des trois.

En pratique

• Inscrire la revue de direction à un calendrier fixe (annuellement est courant) pour qu’elle ait lieu selon l’horaire plutôt que « quand il y a du temps ».
• S’assurer que les personnes présentes ont réellement l’autorité d’approuver un budget, des ressources ou des changements de périmètre — une revue à laquelle seule l’équipe sécurité participe n’est pas une revue de direction.

Preuves que l’auditeur demandera

• Des invitations de calendrier ou procès-verbaux montrant que la revue a réellement eu lieu à l’intervalle planifié, avec la direction présente.
• Des registres de présence confirmant que les participants avaient un véritable pouvoir de décision.

Exigences liées

• 9.3.2 Éléments d’entrée — ce que cette revue générale doit réellement considérer.
• Clause 5 Leadership — la revue de direction est l’un des tests les plus clairs de l’engagement exigé par la clause 5.
• Clause parente : 9.3 Revue de direction.