« Conforme » : quelles preuves demander ?

Vous consultez des agences pour un assistant qui cherche dans les dossiers du personnel. L’une promet une « solution sécurisée ». Une autre décrit les droits d’accès. Une troisième propose un rapport sous confidentialité. Comment comparer ces réponses ? Commencez par noter la question à laquelle chaque pièce répond. Sinon, un dossier bien rempli peut donner une impression de certitude sans résoudre le point qui vous inquiète.

Ouvrez un tableau avec ces colonnes : exigence, déclaration exacte, service concerné, pièce disponible, date ou version, personne chargée de la lire et décision. Gardez des états distincts : réponse attendue, document reçu, examen en cours, exigence acceptée ou écart à résoudre. Recevoir le document ne termine pas son examen. À l’inverse, une réponse sans preuve n’est pas forcément fausse : elle reste à vérifier.

Nexus nous confirme l’existence d’un rapport SOC 2 Type 2. Nous ne l’avons pas inspecté. Cette information ne constitue donc pas un constat d’audit de notre part.¹

Euro Tech Conseil annonce un hébergement en France ou dans l’Union européenne. Les mentions légales de Tenderbolt situent son site web sur Google Cloud Platform en Europe.^2,3

Ces phrases ne décrivent pas le même objet. Savoir où réside un site web ne dit pas où fonctionne le service vendu aux clients. Une annonce d’hébergement laisse aussi à préciser le traitement par les modèles et le rôle des autres intervenants. Demandez un schéma avec des lignes séparées pour les documents d’origine, les requêtes aux modèles, les réponses, les journaux et les sauvegardes.

Dans notre exemple RH, qui autorise l’accès à un dossier ? Qui peut lire les traces ? Que deviennent les copies après une suppression ou un retrait d’accès ? Faites examiner les lieux de traitement, les destinataires et les durées de conservation par les équipes compétentes. Leur décision doit porter sur la configuration proposée, plutôt que sur la réputation générale du fournisseur.

WiserBrand décrit des droits de lecture et d’écriture par flux et des approbations humaines pour les actions sensibles. Campfire propose une preuve de concept en environnement de test avec des données fictives.^4,5,6

Pour les approbations, demandez à voir le parcours et les permissions. Pour un pilote sur données fictives, demandez ce qui changera avant d’utiliser de vraies données. Selon le point à éclaircir, la pièce utile sera une liste des accès, une procédure de changement, un exemple de journal ou un cahier de recette. Un long document ne remplace pas une démonstration lorsque la question est de savoir si l’action attend vraiment un accord.

Nexus propose qu’un ingénieur construise la première procédure avec votre équipe, puis la montre dans vos outils. Dans son blog, l’entreprise indique aussi que le lancement attend la validation par la DSI du parcours des données, des accès et des traces.^7,8

Pour notre assistant RH, cet accompagnement peut aider à relier les documents demandés à ce qui est réellement construit. Demandez à l’ingénieur de préparer avec votre DSI un exemple de parcours : dossier consulté, accès autorisé, réponse produite et trace conservée. Votre responsable dispose alors d’un cas précis à examiner, et l’équipe qui construit sait quelles pièces manquent avant son accord. Convenez de ce travail dans l’offre.^7,8

Si l’agence fournit un rapport d’assurance ou une certification, confiez son examen à la personne compétente chez vous. Quelle entité et quelle période couvre-t-il ? Quelles parties du service sont concernées ? Quelles exclusions et réserves mentionne-t-il ? Notez ce qu’il permet de comprendre et ce qu’il laisse ouvert. Une mention du RGPD ou de l’AI Act appelle une discussion avec vos conseils sur l’usage et les responsabilités ; nous n’en déduisons ici aucune conformité.

Voici une ligne possible : « Dossiers RH réservés à l’équipe habilitée ; liste des accès reçue ; retrait d’accès à essayer ; responsable DSI ; accord suspendu sur ce point ». C’est un exemple fictif, pas le résultat d’un examen de fournisseur. Il montre l’intérêt du tableau : chacun voit ce qui est connu, ce qui manque et qui doit répondre avant de passer à la suite.

Avant la réunion de décision, séparez les points bloquants, ceux déjà acceptés et les actions confiées à quelqu’un. Si une pièce manque, écrivez ce que cela change : rester sur des données fictives, limiter le pilote ou attendre l’examen. Les personnes responsables dans votre organisation doivent décider. La place d’un fournisseur dans notre sélection ne tient pas lieu d’accord de leur part.

Gardez la version du tableau qui accompagne l’offre et le compte rendu de recette. Convenez des changements qui feront rouvrir certaines lignes : nouveau modèle, autre région, connexion ajoutée ou nouvel intervenant. La personne qui reprend le dossier doit pouvoir comprendre pourquoi vous avez accepté le service, et dans quelles conditions, sans devoir deviner le sens d’un dossier marqué « approuvé ».