Retour d’expérience d’une responsable conformité.
Il y a quatre ans, en arrivant chez Clever Cloud, je me suis retrouvée face à une culture très technique : pas de suite collaborative, pas d’outil de gestion de projet classique. Tout vit dans GitLab, GitHub et les terminaux.
Or, piloter un SMI (ISO 9001, ISO 27001, HDS, conformité réglementaire), c’est de la formalisation : politiques, procédures, règles de sécurité.
Nous avions donc commencé, classiquement, sur une suite collaborative.
Et très vite, certaines pratiques sont devenues un gouffre chronophage : versionnage à la main dans un tableur, PDF à faire valider en COPIL, signatures, dossiers « validés » et « en cours », liens cassés à chaque changement de format.
Des contrôles humains partout, donc des erreurs probables. Et surtout : les développeurs ne vont jamais dans ces outils. Leur documentation, elle, est dans GitLab.
Alors nous avons fait un choix simple : tout le socle documentaire en Markdown, versionné dans GitLab, au même endroit que la documentation technique.
Ce que ça change concrètement :
- historique complet et natif : commits, diffs, auteurs ;
- chaque modification passe par une Merge Request, avec au moins une approbation d’une personne tierce : la séparation des tâches ne repose plus sur un processus déclaratif, elle est portée par l’outil ;
- la population tech consulte les politiques toute l’année, pas seulement à la sensibilisation annuelle (le nouveau défi, ce sont les profils non tech, qui se forment à GitLab dès l’onboarding, comme moi il y a quatre ans).
Puis nous avons automatisé : un script mensuel lit les changelogs de la plateforme, rédige les mises à jour aux bons endroits des politiques et ouvre les MRs. Il me reste la relecture, puis la validation par la personne experte du sujet. C’est là que le mois devient 30 minutes.
Et le vrai changement est ailleurs : on ne met plus à jour les documents pour l’audit, une fois par an. On met à jour à chaque changement réel du SI. Face à l’auditeur, les sources, les versions et les validations sont sous ses yeux. La conformité devient un état mesuré, pas déclaré.
C’est comme ça que je visualise le compliance as code d’un point de vue gouvernance SMI. Ce que ce fonctionnement change en profondeur, c’est le rythme : la conformité suit celui du système d’information, plus celui du calendrier d’audit.