La revue de direction ISO 27001 : ce qu’elle doit contenir pour servir à quelque chose

La revue de direction est l’une des rares exigences d’ISO 27001 qui ne peut pas être déléguée. Elle est aussi celle qui se transforme le plus vite en formalité : une réunion annuelle, une présentation d’indicateurs, un compte rendu classé.

La norme est pourtant précise sur ce qu’elle doit contenir, et cette précision est ce qui la rend utile.

Ce que la clause 9.3 exige en entrée

ISO/IEC 27001:2022 énumère les éléments qui doivent être examinés :

• L’état des actions décidées lors des revues précédentes. C’est le premier point, et il conditionne la crédibilité de tout le reste.
• Les changements des enjeux externes et internes pertinents pour le système de management.
• Les retours des parties intéressées : clients, autorités, partenaires, salariés.
• Les résultats de l’appréciation des risques et l’état du plan de traitement.
• La performance : non-conformités et actions correctives, résultats de surveillance et de mesure, résultats d’audit, atteinte des objectifs de sécurité.
• Les opportunités d’amélioration continue.

Un ordre du jour qui ne couvre pas ces points ne satisfait pas l’exigence, et un auditeur le vérifie ligne à ligne.

Ce que la clause exige en sortie

C’est ce qui distingue une revue d’une réunion d’information. La norme demande des décisions relatives aux opportunités d’amélioration et aux changements à apporter au système de management.

Autrement dit : une revue de direction qui ne produit aucune décision est une non-conformité, quel que soit le soin apporté à la présentation.

Les erreurs qui la vident de sens

On y présente une activité, pas des arbitrages. Nombre d’incidents, avancement des chantiers, taux de couverture. C’est intéressant et cela n’appelle aucune décision — même travers que pour le comité sécurité.

Les participants ne peuvent pas décider. Une revue de direction sans représentant de la direction générale disposant d’un pouvoir d’arbitrage budgétaire est un contresens sur le terme.

Les sujets sont techniques. Un directeur financier ne se prononce pas sur une politique de durcissement. Il se prononce sur l’acceptation d’un risque exprimé en conséquences métier.

Le suivi des décisions antérieures est escamoté. C’est pourtant le point le plus révélateur : si aucune décision de l’an dernier n’a été appliquée, le problème n’est pas l’ordre du jour.

Elle est annuelle par principe. La norme dit « à intervalles planifiés », pas « une fois par an ». Une organisation en cours de certification ou sous échéance réglementaire gagne à une fréquence semestrielle.

Un déroulé qui produit des décisions

1. Suivi des décisions précédentes — dix minutes. Fait, pas fait, pourquoi.
2. Évolution du contexte — nouveaux clients exigeants, entrée dans le périmètre de NIS 2, changement d’organisation, nouveau prestataire critique.
3. Risques : ce qui a changé. Pas la relecture de l’analyse complète, mais les risques nouveaux, ceux qui ont évolué, et ceux dont le traitement a pris du retard.
4. Performance — résultats d’audit interne, non-conformités, incidents significatifs, atteinte des objectifs. Envoyés avant, commentés brièvement.
5. Décisions à prendre — le cœur. Chacune formulée comme une question fermée avec ses options et leurs conséquences.
6. Risques à accepter formellement, tracés nominativement.
7. Ressources — ce qui manque pour tenir les engagements.

Les points 5 et 6 doivent occuper la moitié du temps. S’ils sont expédiés en fin de séance, la revue a échoué.

Le lien avec l’acceptation des risques

C’est la fonction la plus précieuse de l’exercice, au-delà de la conformité.

Un risque que l’on ne traite pas doit être accepté par quelqu’un qui en a l’autorité, et cela doit être écrit. La revue de direction est le lieu naturel de cet acte.

Cela rejoint directement l’article 20 de NIS 2, qui impose aux organes de direction d’approuver les mesures et prévoit leur responsabilité — voir aussi l’homologation de sécurité, qui repose sur la même logique de décision assumée.

Un risque accepté, daté et signé protège l’organisation. Un risque connu, jamais formalisé, l’expose.

Le compte rendu

C’est une information documentée exigée par la norme, et c’est la preuve que l’auditeur examinera.

Ce qu’il doit contenir : les participants, les éléments examinés, les décisions prises avec responsable et échéance, les risques acceptés avec leur justification, et les ressources allouées ou refusées.

Ce dernier point est souvent omis. Un refus de moyens tracé est une information utile : il documente que la direction a arbitré en connaissance de cause.

Faire remonter les mauvaises nouvelles

La tentation de présenter un bilan flatteur est forte, surtout devant une direction qui finance.

C’est une erreur, pour deux raisons. D’abord, une revue qui ne signale aucune difficulté n’appelle aucune décision, donc aucun moyen. Ensuite, un auditeur qui constate un écart absent de la revue de direction en conclut que le système de management ne remonte pas l’information — ce qui est une non-conformité plus grave que l’écart initial.

La posture qui fonctionne est celle de l’aide à la décision : voici où nous en sommes, voici ce qui ne tiendra pas, voici les options.

Le test

Reprenez le compte rendu de la revue précédente et comptez les décisions qui ont été appliquées.

Si le nombre est nul, l’instance n’a pas de pouvoir réel — et il vaut mieux le dire que continuer un exercice qui coûte du temps à tout le monde sans produire d’effet.

Sources

• ISO/IEC 27001:2022, clauses 5.1, 9.1, 9.2 et 9.3
• Directive (UE) 2022/2555 (NIS 2), article 20
• ISO/IEC 27002:2022 — mesures associées au pilotage

Aller plus loin

Nous préparons et animons ces instances dans le cadre de missions de gouvernance, risques et conformité. Voir aussi comment mener un audit interne, dont les résultats alimentent la revue.