Non-conformité (NC).

Une non-conformité est le constat de l'auditeur qu'une exigence n'est pas satisfaite. Les NC majeures menacent le certificat ; les NC mineures requièrent un plan d'action corrective assorti d'une échéance. Des NC mineures répétées dans un même domaine peuvent être requalifiées en majeures lors du prochain audit de surveillance. L'objectif n'est pas zéro NC : c'est une action corrective honnête et traçable.

By Christophe Mazzola, Practicing CISO · Founder of Cyber AcademyAudit & complianceAll entries

La vision de Cyber Academy

Une non-conformité est le constat de l'auditeur qu'une exigence n'est pas satisfaite. Les NC majeures menacent le certificat ; les NC mineures requièrent un plan d'action corrective assorti d'une échéance. Des NC mineures répétées dans un même domaine peuvent être requalifiées en majeures lors du prochain audit de surveillance. L'objectif n'est pas zéro NC : c'est une action corrective honnête et traçable.

Ce qu'est réellement une non-conformité

Une non-conformité enregistre un écart entre ce qu'une exigence demande et ce qu'un auditeur peut constater dans la pratique. L'exigence peut provenir de la norme elle-même (par exemple un article de l'ISO/IEC 27001), d'une mesure de sécurité que vous avez déclarée applicable dans votre Déclaration d'applicabilité, ou de votre propre politique documentée. Si vous l'avez écrit et que vous vous y êtes engagé, un auditeur peut vous en tenir responsable. Ce dernier point prend les équipes au dépourvu : sur-promettre dans une politique crée des non-conformités que la norme seule n'aurait jamais générées.

Une non-conformité n'est pas la même chose qu'une observation ou une opportunité d'amélioration. Une observation signale quelque chose que l'auditeur veut consigner sans affirmer qu'une exigence est enfreinte. Une non-conformité est une affirmation ferme qu'une exigence n'est pas satisfaite, étayée par des preuves objectives telles qu'un enregistrement, un entretien ou un artefact manquant. La distinction est importante car seules les non-conformités imposent une réponse formelle.

Majeure ou mineure, et comment les mineures s'aggravent

Les auditeurs classent les constats selon leur impact sur le système de management, et non selon leur degré d'agacement. Une non-conformité majeure signifie qu'une exigence est fondamentalement absente, ou qu'une défaillance est suffisamment répandue pour saper la confiance dans le fonctionnement du système. Les majeures mettent en péril la décision de certification et doivent généralement être clôturées avant que la certification ou la recertification puisse aboutir. Une non-conformité mineure est un manquement isolé dans un processus par ailleurs fonctionnel : une seule revue manquante, un enregistrement qui n'a pas été signé.

Le piège consiste à considérer les mineures comme inoffensives. Le même constat mineur dans le même domaine, audit après audit, indique à l'auditeur que votre action corrective n'a jamais traité la cause profonde. Lors de l'audit de surveillance suivant, ce schéma peut être reclassé en majeure, car une mesure de sécurité qui échoue toujours de la même façon ne fonctionne pas réellement.

Comment les auditeurs pondèrent généralement les non-conformités
AspectNC mineureNC majeure
PortéeManquement isolé et circonscritAbsence systémique ou totale d'une exigence
Effet sur le certificatLe certificat suit normalement son coursPeut bloquer ou suspendre la certification
Réponse requisePlan d'action corrective assorti d'une échéanceSouvent correction et nouvelle vérification sur site ou par preuves
En cas de répétitionPeut s'aggraver en majeure la prochaine foisDéjà au sommet de l'échelle

Ce que les praticiens en font réellement

Bien clôturer une non-conformité est un processus, pas une excuse. Le schéma reconnu est : correction, puis action corrective, puis vérification de l'efficacité. La correction est le remède immédiat à l'instance précise que l'auditeur a relevée. L'action corrective est le mouvement plus profond : une analyse des causes profondes qui explique pourquoi l'écart existait et un changement qui empêche sa réapparition. La vérification confirme, preuves à l'appui et après un délai suffisant, que le changement a réellement tenu.

Chacun de ces éléments a sa place dans un plan d'action corrective doté d'un responsable et d'une échéance réaliste acceptée par l'auditeur. Les preuves que vous soumettez doivent permettre à quelqu'un qui n'était pas présent de reconstituer ce qui s'est passé et de confirmer que c'est clôturé. C'est là que l'honnêteté paie : un auditeur préfère voir un petit nombre d'actions correctives bien tracées qu'un rapport d'apparence impeccable qui ne résiste pas à l'examen.

Frequently asked questions

01Quelle est la différence entre une non-conformité et une observation ?

Une observation note quelque chose qui mérite d'être consigné sans affirmer qu'une exigence est enfreinte. Une non-conformité est un constat ferme, étayé par des preuves objectives, qu'une exigence n'est pas satisfaite et qui exige donc une action corrective formelle.

02Une non-conformité mineure va-t-elle nous empêcher d'être certifiés ?

Généralement pas à elle seule. La certification suit généralement son cours dès que vous soumettez un plan d'action corrective accepté assorti d'une échéance. C'est la non-conformité majeure qui peut bloquer ou suspendre le certificat.

03Une non-conformité mineure peut-elle devenir majeure ?

Oui. Le même constat mineur qui réapparaît dans le même domaine d'un audit à l'autre signale que votre action corrective n'a jamais atteint la cause profonde, de sorte que l'auditeur peut le reclasser en majeure lors de l'audit de surveillance suivant.

04Que faut-il pour clôturer une non-conformité ?

La correction de l'instance précise, une action corrective qui traite la cause profonde afin qu'elle ne se reproduise pas, et une vérification avec preuves que le remède a réellement tenu. Les trois entrent dans un plan d'action corrective doté d'un responsable et d'une échéance.

05Devons-nous viser zéro non-conformité ?

Non. Un petit nombre de constats identifiés honnêtement, chacun avec une action corrective traçable, est un signal plus sain qu'un rapport sans tache. Zéro constat signifie souvent que le système n'est pas véritablement mis à l'épreuve.

Besoin de plus qu'une définition ?

Réservez un appel découverte gratuit de 20 minutes. Nous identifions la cohorte qui transforme ce terme en pratique prête pour l'audit.