Quelle Clause Régit Cela, Et Qui A Vérifié

Où Cela Dérape

La question arrive en milieu d'après-midi et elle n'a jamais rien d'exotique. Peut-on envoyer ces données à ce partenaire. Le contrat lui permet-il de sous-traiter le traitement. La durée de conservation que nous appliquons est-elle celle à laquelle nous nous sommes engagés. Quelque part dans soixante pages, il y a une clause qui y répond sans détour.

La trouver suppose de savoir quel accord est en vigueur, quel avenant remplace lequel, et si la règle appliquée figure bien dans le contrat — ou dans un tableur que quelqu'un a monté pour mettre le contrat en œuvre et a ensuite laissé tourner quatre ans.

La réponse existe. La localiser est tout le coût.

Alors on y répond de mémoire, ou on envoie dehors une recherche de routine qui n'a jamais eu besoin d'aide extérieure. Et quand un auditeur demande l'année suivante si le contrôle a été fait, la réponse honnête est le plus souvent « probablement » — ce n'est pas une réponse que l'on veut donner deux fois.

À Qui Cela S'adresse

Trois personnes à qui l'on demande d'être sûres, et à qui l'on donne un jour et demi pour l'être.

• Le juriste ou l'analyste contrats. Ce qui arrive aujourd'hui, c'est la question du milieu d'après-midi — peut-on envoyer ces données à ce partenaire, peuvent-ils sous-traiter le traitement — et une pile d'accords dans lesquels un paragraphe tranche. Ce qui change, c'est où passe la journée. Le passage et l'enregistrement auquel il a été confronté arrivent ensemble, cités, et ce qui reste à faire est de les lire et de dire ce qu'ils veulent dire.
• Conformité et risques, et le responsable du référentiel. Ce qui arrive aujourd'hui, c'est une règle que vous croyez dans un contrat et qui se trouve en fait dans un tableur monté il y a quatre ans et laissé en service. Ce qui change, c'est que la règle telle qu'écrite et la règle telle qu'appliquée sont posées côte à côte, document et enregistrement nommés, si bien que la conversation commence à l'écart et non à la recherche.
• Audit interne. Ce qui arrive aujourd'hui, c'est la question de savoir si le contrôle a eu lieu, et une réponse honnête en « probablement ». Ce qui change, c'est qu'un contrôle qui a tourné sans rien trouver et un contrôle qui n'a pas pu tourner sont écrits comme deux entrées distinctes, chacune portant qui l'a lue et ce qui a été décidé. La seconde est celle qu'un audit cherche vraiment.

Ce Qui Se Passe À La Place

Les documents sont lus là où ils se trouvent déjà : PDF, fichiers Word, présentations sur un disque partagé ou un dépôt SFTP. Les tableurs sont lus avec leurs formules, cellule par cellule, parce que dans un très grand nombre d'organisations la règle qui s'applique n'est pas du tout dans le document de politique. Elle est dans une cellule.

Les macros sont une autre affaire, et la façon dont cela est traité est le meilleur argument de cette page. Lire le VBA d'un classeur n'est pas implémenté. Alors, plutôt que de signaler qu'un fichier ne contient aucune macro — ce qui serait une affirmation, faite par du code qui n'a jamais ouvert l'archive — le résultat porte un indicateur disant que les macros n'ont pas été inspectées. « Macros : 0 » et « personne n'a regardé » sont deux faits différents, et le second est celui qui devrait envoyer quelqu'un ouvrir le fichier à la main. Un outil incapable de vous les distinguer a répondu à la question pour vous, en silence.

Les règles tirées de ces documents sont ensuite confrontées à vos enregistrements et à votre configuration. La question a toujours la même forme : voici ce qui a été écrit, voici ce qui se passe réellement, et voici le point où les deux se séparent. Le constat cite les deux côtés, si bien que la première chose que fait un relecteur est de juger le cas au lieu d'aller chercher la source.

Ce qui revient est une prochaine étape en langage métier, jamais une modification de vos systèmes. C'est une contrainte dure dans la façon dont l'agent est écrit, pas un manque que nous présentons comme une vertu : il a pour instruction de ne produire ni SQL ni correctif de code, et de rendre à la place une remédiation fonctionnelle — rédigez la lettre de réclamation, ouvrez le ticket auprès de l'équipe données, remontez ceci au responsable qui en a la charge.

Vous le pointez sur le référentiel avec lequel vos équipes travaillent déjà — protection des données, cartes de paiement, sécurité de l'information, déclarations liées aux contrats d'assurance, vos propres normes internes. Ce qu'il rend est une citation et une comparaison. Savoir si vous remplissez l'obligation n'est pas une chose qu'un logiciel peut vous dire, et nous n'allons pas faire passer sa sortie pour un verdict.

Il lit et il cite. Il ne conseille pas. Rien de ce qu'il produit n'est un conseil juridique, et il ne remplace ni votre assistant juridique, ni votre responsable conformité, ni votre avocat — la chose étroite qu'il supprime, c'est le détour vers l'extérieur pour une recherche à laquelle on pouvait toujours répondre dans la maison. La personne qui lit la citation reste celle qui décide ce qu'elle veut dire, et c'est sa décision qui va au dossier, sous son nom.

Deux petites honnêtetés au dossier. Les données personnelles à motif régulier — adresses de courriel, numéros de téléphone, numéros de carte, numéros de sécurité sociale, adresses IP — sont retirées des journaux et des sorties de diagnostic avant leur écriture, de sorte que le fait d'enquêter ne crée pas en silence une nouvelle exposition. Les noms et les adresses postales ne sont pas dans cette liste, parce qu'ils n'ont aucun motif sur lequel s'accrocher, et l'étape de masquage ne porte aucun test qui lui soit propre ; prenez-la pour ce qu'elle est faite pour faire, pas pour une garantie. Et quand un jeu de données n'a pas pu être lu du tout, le dossier dit que la conformité n'a pas été évaluée, ce qui n'est volontairement pas la même entrée qu'une évaluation qui a tourné et a échoué. Confondre les deux rendrait « le contrôle est revenu propre » et « le contrôle n'a jamais eu lieu » identiques, alors qu'ils appellent des réponses différentes de personnes différentes.