Points clés
- La documentation trace les décisions organisationnelles — qui a décidé quoi, quand, avec quelles informations — créant l'accountability qui définit la responsabilité.
- Les procès-verbaux de décision, les analyses de risque signées et les registres d'incidents sont des preuves de gouvernance qui déterminent le partage des responsabilités en cas de litige.
- La documentation protège également les individus : un RSSI ou un dirigeant peut prouver qu'il a alerté sur un risque si cette alerte est documentée.
- L'absence de documentation sur les risques identifiés peut être interprétée comme dissimulation dans les procédures judiciaires ou réglementaires.
La documentation comme trace des décisions
Chaque décision significative en matière de sécurité — accepter un risque résiduel, reporter une remédiation, allouer un budget, choisir une architecture — devrait être documentée : qui a pris la décision, avec quelles informations disponibles, avec quel niveau d'autorité, et avec quelle appréciation des conséquences. Cette documentation crée la trace qui permettra, en cas de questionnement ultérieur, de comprendre le contexte et la rationalité de la décision.
Cette pratique de documentation décisionnelle est au cœur du principe d'accountability. Elle ne vise pas à créer des preuves pour des procédures futures — elle vise à créer une gouvernance transparente où les décisions sont explicites et tracées, ce qui améliore leur qualité (une décision que l'on doit documenter et signer est généralement mieux réfléchie qu'une décision informelle) et permet un retour d'expérience structuré.
Les documents de gouvernance comme preuves de responsabilité
Les procès-verbaux des comités de sécurité, les comptes-rendus des revues de risques, les rapports d'audit internes signés, les analyses d'impact formalisées : ces documents constituent des preuves de la gouvernance exercée. Ils permettent de démontrer que les instances compétentes ont examiné les risques, ont été informées des vulnérabilités, et ont pris des décisions documentées sur leur traitement. En cas de litige, cette documentation est la principale ligne de défense contre la responsabilité personnelle des dirigeants.
La traçabilité des décisions de non-traitement est particulièrement importante. Si une vulnérabilité identifiée lors d'un audit interne a été documentée comme risque résiduel accepté — avec un responsable signataire, une justification, et une date de révision prévue — cette documentation démontre que la vulnérabilité n'a pas été ignorée mais que son traitement a été délibérément dépriorisé avec une conscience des conséquences potentielles.
La protection des individus par la documentation
La documentation de sécurité protège non seulement l'organisation mais aussi les individus qui y travaillent. Un RSSI qui a documenté une alerte sur un risque grave présentée à la direction, une recommendation de remédiation refusée pour des raisons budgétaires, et une acceptation formelle du risque résiduel signé par le comité de direction, peut démontrer qu'il a exercé sa responsabilité professionnelle correctement — même si l'incident que le risque annonçait s'est produit. Sans cette documentation, le RSSI est dans une position beaucoup plus vulnérable face à des accusations de négligence.
Cette dimension de protection individuelle est souvent sous-estimée. Dans un contexte de responsabilisation croissante des dirigeants pour les défaillances de cybersécurité (SEC vs. SolarWinds CISO, NIS2 responsabilité personnelle), la documentation des alertes formulées, des recommandations faites, et des décisions prises — ou refusées — à chaque niveau hiérarchique est une protection professionnelle réelle.
La documentation incohérente comme risque aggravant
Des documents internes qui décrivent les risques de sécurité dans des termes précis, combinés à des communications publiques ou réglementaires qui minimisent ou omettent ces risques, créent une contradiction documentaire qui peut être interprétée comme dissimulation. L'affaire SolarWinds illustre ce risque : des emails et rapports internes documentant des préoccupations de sécurité sérieuses existaient, en contradiction avec les déclarations publiques de l'entreprise sur sa posture de sécurité. Ces documents internes sont devenus des preuves à charge dans la procédure judiciaire.
La cohérence entre la documentation interne et les communications externes est donc une exigence de gouvernance documentaire, pas seulement une question de communication. Les organisations doivent s'assurer que ce qu'elles documentent en interne est cohérent avec ce qu'elles déclarent aux régulateurs, aux actionnaires et au public.