Documenter peu,
prouver bien.

Ce que disent les normes

Les normes de système de management demandent des informations documentées sur deux familles de sujets : celles qu’elles exigent explicitement, et celles que l’organisme juge nécessaires à l’efficacité de son système. Elles précisent que l’étendue de cette documentation dépend de la taille, de la complexité des processus et des compétences des personnes (par exemple ISO 9001 §7.5.1, ISO 22301 §7.5.1). Autrement dit : il n’y a pas de quantité imposée.

Le RGPD ajoute une idée voisine : le responsable de traitement doit être en mesure de démontrer qu’il respecte le règlement (art. 5 §2 et art. 24). Démontrer, pas écrire pour écrire.

Trois questions pour trier

1. 1. Une règle impose-t-elle cette trace ?Une exigence de la norme, un texte, un contrat. Si oui, on la garde, on la tient à jour et on sait où elle est.
2. 2. Sert-elle à décider ou à transmettre ?Une consigne que l’on suit chaque jour, un savoir qui disparaîtrait avec une personne, un critère de choix. Si oui, on la garde, courte.
3. 3. Quelqu’un la lira-t-il ?Si personne ne la consultera, ni pour travailler ni pour prouver, on ne l’écrit pas.

Distinguer deux familles de documents

Un dossier de preuves en pratique

• Un seul endroit. Un espace partagé avec une arborescence de dix dossiers au plus, comme les chapitres du système.
• Un nom de fichier lisible. Sujet, date, version. Rien d’autre.
• Un propriétaire par document. Quelqu’un qui sait qu’il doit le relire.
• Une règle de conservation. Combien de temps, où, qui supprime. Certains documents ont une durée imposée par la loi, par exemple le document unique d’évaluation des risques, conservé quarante ans avec ses versions successives.