Compliance as code : intégrer le socle documentaire SMI dans GitLab, de 1 mois à 30 minutes

2026.08.26 Clever Cloud Bannière Blog Compliance as Code FR
La mise à jour annuelle de notre socle de politiques de sécurité prenait presque un mois. Aujourd'hui, elle prend 30 minutes. Et le résultat est plus fiable qu'avant.

Retour d’expérience d’une responsable conformité.

Il y a quatre ans, en arrivant chez Clever Cloud, je me suis retrouvée face à une culture très technique : pas de suite collaborative, pas d’outil de gestion de projet classique. Tout vit dans GitLab, GitHub et les terminaux.

Or, piloter un SMI (ISO 9001, ISO 27001, HDS, conformité réglementaire), c’est de la formalisation : politiques, procédures, règles de sécurité.

Nous avions donc commencé, classiquement, sur une suite collaborative.

Et très vite, certaines pratiques sont devenues un gouffre chronophage : versionnage à la main dans un tableur, PDF à faire valider en COPIL, signatures, dossiers « validés » et « en cours », liens cassés à chaque changement de format.

Des contrôles humains partout, donc des erreurs probables. Et surtout : les développeurs ne vont jamais dans ces outils. Leur documentation, elle, est dans GitLab.

Alors nous avons fait un choix simple : tout le socle documentaire en Markdown, versionné dans GitLab, au même endroit que la documentation technique.

Ce que ça change concrètement :

  • historique complet et natif : commits, diffs, auteurs ;
  • chaque modification passe par une Merge Request, avec au moins une approbation d’une personne tierce : la séparation des tâches ne repose plus sur un processus déclaratif, elle est portée par l’outil ;
  • la population tech consulte les politiques toute l’année, pas seulement à la sensibilisation annuelle (le nouveau défi, ce sont les profils non tech, qui se forment à GitLab dès l’onboarding, comme moi il y a quatre ans).

Puis nous avons automatisé : un script mensuel lit les changelogs de la plateforme, rédige les mises à jour aux bons endroits des politiques et ouvre les MRs. Il me reste la relecture, puis la validation par la personne experte du sujet. C’est là que le mois devient 30 minutes.

Et le vrai changement est ailleurs : on ne met plus à jour les documents pour l’audit, une fois par an. On met à jour à chaque changement réel du SI. Face à l’auditeur, les sources, les versions et les validations sont sous ses yeux. La conformité devient un état mesuré, pas déclaré.

C’est comme ça que je visualise le compliance as code d’un point de vue gouvernance SMI. Ce que ce fonctionnement change en profondeur, c’est le rythme : la conformité suit celui du système d’information, plus celui du calendrier d’audit.

Blog

À lire également

Compliance as code : intégrer le socle documentaire SMI dans GitLab, de 1 mois à 30 minutes

La mise à jour annuelle de notre socle de politiques de sécurité prenait presque un mois. Aujourd'hui, elle prend 30 minutes. Et le résultat est plus fiable qu'avant.
Engineering

L’audit comme arme : la conformité, un autre champ de bataille de la guerre économique

J’ai récemment lu le Flash ingérence publié par la DGSI en mai 2026 sur les risques liés aux audits étrangers. Il y est question de trois entreprises françaises confrontées, sous couvert de procédures réglementaires, à des pratiques qui finissent par les fragiliser. L’un de ces exemples m’a particulièrement frappée, parce qu’il montre à quel point le réflexe de conformité peut parfois se retourner contre celui qui croit bien faire.
Entreprise

Kubernetes managé : avantages, limites et critères de choix

Un service Kubernetes managé est une offre dans laquelle le fournisseur cloud opère le control plane Kubernetes à la place de l'utilisateur : provisioning, mises à jour, disponibilité et rotation des certificats sont pris en charge par le prestataire. L'utilisateur conserve la maîtrise de ses workloads et de ses node pools, mais n'administre pas l'infrastructure critique du cluster.
Engineering Fonctionnalités