Non-conformité et action corrective (ISO 27001)

Définition

La non-conformité et l'action corrective, exigées par la clause 10.1 de la norme ISO 27001, définissent le processus que doit suivre une organisation lorsqu'une non-conformité est identifiée, c'est-à-dire un écart constaté entre les exigences du système de management et la réalité observée, qu'il s'agisse d'un contrôle défini mais non appliqué, d'une exigence légale non respectée ou d'un incident révélant une faiblesse structurelle du dispositif. La norme impose de réagir à la non-conformité en prenant des mesures pour la maîtriser et la corriger et pour faire face aux conséquences, puis d'évaluer s'il est nécessaire d'entreprendre une action pour éliminer la ou les causes de la non-conformité, afin qu'elle ne se reproduise pas ou ne se produise pas ailleurs, en examinant si des non-conformités similaires existent ou pourraient potentiellement se produire. Cette distinction entre correction, qui traite le symptôme immédiat, et action corrective, qui traite la cause racine, constitue un point d'attention fréquent lors des audits, de nombreuses organisations se contentant de corriger l'écart constaté sans engager l'analyse de cause profonde nécessaire pour éviter sa récurrence. L'efficacité de toute action corrective mise en œuvre doit ensuite être revue, et le système de management modifié si nécessaire, avant que l'information documentée relative à la non-conformité et aux actions engagées ne soit conservée comme preuve pour les audits ultérieurs.