9.3.3 — Éléments de sortie de la revue de direction

Une revue qui ne produit aucune décision n’est pas une revue — c’est une réunion de statut. Cette sous-clause exige un véritable résultat.

Exigence obligatoire · Information documentée requise : oui

En langage clair

La 9.3.3 exige que la revue de direction se termine par quelque chose de concret : des décisions documentées sur les possibilités d’amélioration continue et sur les changements dont le SGSI a besoin, conservées comme preuve que la revue était plus qu’une conversation.

Pourquoi cette exigence existe

Une discussion qui ne produit aucune décision ne change rien. Cette sous-clause existe pour transformer la revue de direction d’une mise à jour passive en un acte de gouvernance actif — la direction n’entend pas seulement parler des problèmes, elle décide de la suite, et cette décision est écrite pour pouvoir être suivie et, à la revue suivante, vérifiée par rapport à l’élément « statut des actions précédentes » de la 9.3.2.

Scénario : une revue de direction discute du fait que le taux de clics aux tests d’hameçonnage a augmenté deux trimestres consécutifs, tout le monde convient que c’est préoccupant, et la réunion passe au sujet suivant sans qu’aucune décision ne soit consignée. Six mois plus tard, rien n’a changé, parce qu’il n’y a jamais eu de résultat réel — seulement un accord sur le fait que c’était un problème.

Ce que la norme attend

La norme attend que les résultats de la revue de direction incluent des décisions relatives aux possibilités d’amélioration continue et à tout besoin de changement au SGSI. L’information documentée doit être disponible comme preuve des résultats des revues de direction — pas seulement qu’une réunion a eu lieu, mais ce qui a été décidé.

En pratique

• Terminer chaque revue par un registre de décisions écrit : ce qui a été décidé, qui en est responsable, et pour quand — pas un résumé de ce qui a été discuté.
• Acheminer chaque décision impliquant un changement vers le processus de planification des changements exigé par la clause 6.3.
• Reporter explicitement les décisions ouvertes vers l’élément d’entrée 9.3.2 de la prochaine revue plutôt que de les laisser silencieusement disparaître de l’ordre du jour.

Preuves que l’auditeur demandera

• Un registre de décisions documenté pour chaque revue de direction, avec responsables et échéances.
• Une preuve que les décisions précédentes ont été suivies et fermées, ou explicitement reportées avec une raison.

Pièges courants

• Des procès-verbaux qui résument la discussion mais ne consignent aucune décision réelle.
• Des décisions sans responsable ni échéance, qui ne se concrétisent jamais.

Exigences liées

• 9.3.2 Éléments d’entrée — ce qui alimente les décisions exigées par cette sous-clause.
• 6.3 Planification des modifications — l’endroit où les décisions de changement au SGSI sont exécutées de façon planifiée.
• Clause 10 Amélioration — les décisions d’amélioration continue de la revue de direction se rattachent directement à la clause 10.
• Clause parente : 9.3 Revue de direction.