Enregistrer une exception : avec une raison et une date de fin

Exemple

Chez Bakkerij De Testoven, les ingénieurs installent eux-mêmes des logiciels. Une partie d'une mesure ne leur convient donc pas. Le gérant retire le groupe « Engineers » de cette seule partie, jusqu'à l'an prochain. À la place, le chef d'équipe vérifie chaque semaine ce qui a été installé.

Enregistrer une exception, étape par étape

Une exception est une règle sur la mesure, et elle porte toujours sur un groupe. Créez donc d'abord le groupe (voir Créer des groupes). Ouvrez ensuite la mesure, par exemple depuis Audit. Sous Ce qui s'applique par groupe de sécurité, cliquez sur Modifier les règles, puis sur Ajouter une règle.

1. Choisissez en haut la partie : Toute la mesure, ou une Question de preuve. Restez aussi précis que possible : avec une seule partie, le reste de la mesure continue de s'appliquer au groupe.
2. Sous Groupes de sécurité pour cette règle, cochez le groupe, par exemple Engineers.
3. Cochez Ne s'applique pas à ce groupe.
4. Pourquoi la mesure ne s'applique-t-elle pas à ce groupe ? Obligatoire. L'auditeur lit cette raison.
5. Ne s'applique pas jusqu'au (ensuite la mesure s'applique à nouveau) : 12 mois par défaut. Vous choisissez un jour à partir de demain, jusqu'à 3 ans au plus. Ensuite le groupe compte à nouveau.
6. Cliquez sur Enregistrer les règles.

La première règle qui correspond à un groupe s'applique, et Tout le reste figure toujours en bas. Vous pouvez monter ou descendre une règle. Une mesure sans règle s'applique à tous les groupes de sécurité.

Le groupe est-il Hors NIS2, sous Environnement IT, Envergure ? Alors il ne faut pas de règle : rien n'en est évalué ni contrôlé. N'utilisez une règle que si le groupe reste dans le périmètre pour le reste.

Exclu est gris, jamais vert

Si vous retirez un groupe de toute la mesure, la ligne S'applique à montre le groupe comme Exclu, en gris, avec la raison et la date de fin. Exclu ne compte pas, mais n'est pas en ordre non plus.

Si l'exception porte sur une seule partie, comme chez De Testoven, cette partie reçoit une ligne à elle : un nombre, « pour » et le nom de la partie. Pour les autres parties, le groupe compte toujours.

Une exception ne rend donc jamais une mesure verte. Le reste du périmètre doit toujours être en ordre. Si une exception retire tout, la mesure reste grise.

Changer la date de fin, ou supprimer

• Les règles sur la mesure montrent chaque décision, avec qui l'a prise et quand : « ne s'applique pas jusqu'au ... ».
• Prolonger ou raccourcir : cliquez sur Modifier les règles, changez la date et cliquez sur Enregistrer les règles.
• Supprimer : cliquez sur Retirer la règle et enregistrez. Le groupe compte à nouveau aussitôt.

Une exception enregistrée plus tôt, avant les règles, reste jusqu'à sa fin. Elle figure sous Enregistré avant : non applicable. Vous pouvez l'y retirer. Ajoutez les nouvelles comme règle sur la mesure.

Un risque accepté propose une exception

Vous avez accepté un risque dans le registre des risques, pour toute l'entreprise ou pour un groupe ? L'application propose alors une exception sur les mesures liées à ce risque. L'application ne fait que proposer. Rien ne change tant qu'un propriétaire ou un administrateur n'a pas confirmé.

Accepter un risque exige une date de révision : jusqu'à quand l'acceptation vaut. La proposition apparaît sur la mesure sous Proposition : exception parce que le risque est accepté, et dans votre liste de tâches comme exceptions proposées parce qu'un risque est accepté. Le motif est repris de l'acceptation ; vous pouvez l'adapter, car l'auditeur le lira. Jusqu'au ne dépasse jamais la date de révision du risque. Cliquez sur Confirmer l'exception.

Un risque accepté pour toute l'entreprise propose toute la mesure ; un risque accepté pour un groupe propose ce groupe. Rien n'est proposé tant qu'une partie du risque reste ouverte sur cette mesure, ou tant que les parties du risque se chevauchent ou sont illisibles.

Sur une mesure CyFun, la règle est plus stricte, parce que CyFun impose la mesure. Une ligne confirmée affiche S'écarte de suivi du niveau, et ne compte pas comme mise en œuvre. La mesure reste non mise en œuvre, et l'écart figure dans la déclaration d'applicabilité, avec le risque comme motif. Les mesures clés, et au niveau Essential les mesures liées aux aspects de gestion, ne reçoivent jamais de proposition.

L'exception suit le risque. Quand le risque est rouvert, que sa date de révision est passée ou que son périmètre a été réduit, l'exception apparaît sous Ligne « non applicable » à revoir, sur la mesure et dans votre liste de tâches. Personne d'autre que vous ne la supprime, sur la mesure.

Qui peut le faire ?

Les propriétaires, les administrateurs et les membres qui peuvent gérer le registre.