Contrôle et suivi : que surveiller ?
Si elle formule une exigence quant à l’obligation de mettre en place des éléments de surveillance et de suivi, la norme laisse à l’organisation le choix de déterminer ce qu’il convient de mesurer et de surveiller, ainsi que les méthodes pour ce faire. Elle indique cependant deux axes de contrôle, la gouvernance d’une part, les performances de sécurité d’autre part.
Il convient d’user de cette latitude de manière intelligente : définir des indicateurs à bon escient, en faire assez, ne pas en faire trop, et ce de manière progressive.
1. Définir des indicateurs à bon escient
Il est des organisations qui mettent en place des indicateurs non pour identifier des possibilités d’amélioration, mais dans le but de souscrire à la norme. Sont alors définis quelques indicateurs souvent fantaisistes, qui prennent certes peu de temps à renseigner, mais n’apporte à peu près aucune information supplémentaire quant à la gouvernance ou la sécurité. À titre d’exemple, il nous a été donné de voir un indicateur sur le nombre d’audits internes effectué par l’organisation, sachant que le plan d’action n’en prévoyait qu’un. Quel intérêt offre ce mesurage binaire ? Le plan d’action nous informe déjà...
Conditions générales d'utilisationCopyright - © Editions ENI ||Politique de protection des données du groupe ENI