Réponse courte
Une matrice de preuves transforme les exigences et décisions en éléments vérifiables. Pour chaque point, elle indique le périmètre, le propriétaire, le contrôle ou l'action, la preuve attendue, son emplacement, sa période de validité, son statut et la personne qui l'a revue.
À retenir
- ✓Définir la preuve attendue en même temps que l'action ou le contrôle.
- ✓Distinguer existence, validité, application et efficacité d'une preuve.
- ✓Conserver le contexte, la version, la date et le responsable de validation.
- ✓Réutiliser une même preuve dans plusieurs référentiels avec un lien explicite.
La démonstration de conformité demande de retrouver rapidement ce qui a été décidé, mis en œuvre et vérifié. Une matrice de preuves organise cette relation sans transformer le système documentaire en dépôt indifférencié.
1. Partir de l'affirmation à démontrer
Chaque ligne commence par une affirmation vérifiable : un registre est revu, un accès est approuvé, un fournisseur est évalué, une formation a été réalisée ou une action de prévention est clôturée.
L'exigence réglementaire, l'objectif interne ou la décision de gouvernance qui fonde cette affirmation reste accessible.
2. Décrire la preuve et son critère d'acceptation
Le type de preuve est précisé : document approuvé, configuration, journal, ticket, rapport, test, export, contrat, compte rendu ou attestation. Le critère d'acceptation explique ce qui doit être présent pour considérer la preuve recevable.
Cette précision évite de clôturer une action avec un fichier qui ne démontre pas le résultat attendu.
- Nature et format
- Périmètre couvert
- Date et version
- Validateur
- Durée de validité ou événement de revue
3. Évaluer quatre dimensions de qualité
L'existence confirme qu'un élément est disponible. La validité vérifie qu'il est approuvé et actuel. L'application montre qu'il est utilisé dans le périmètre. L'efficacité examine s'il atteint l'objectif recherché.
Ces dimensions permettent de distinguer une politique publiée d'une pratique réellement déployée et contrôlée.
4. Relier la preuve plutôt que la dupliquer
Une politique de gestion des accès ou un exercice de continuité peut répondre à plusieurs objectifs. La matrice conserve une source unique et crée plusieurs liens vers les exigences concernées.
Le propriétaire de la preuve sait quelles revues seront affectées par une mise à jour ou une expiration.
5. Préparer la revue et l'audit
Avant une revue, le tableau fait apparaître les preuves manquantes, expirées, non validées ou dont le périmètre est incomplet. Les demandes sont attribuées et suivies comme des actions.
Après la revue, les constats, décisions et nouvelles actions restent liés aux mêmes objets. L'entreprise conserve ainsi la continuité entre contrôle, correction et amélioration.
Questions fréquentes
Les réponses essentielles
Un document suffit-il à constituer une preuve ?
Il constitue une preuve s'il correspond à l'affirmation à démontrer, couvre le bon périmètre, possède le niveau de validation attendu et reste actuel.
Comment gérer l'expiration des preuves ?
Associez une date de prochaine revue ou un événement déclencheur, puis alertez le propriétaire avant que l'élément perde sa validité.
Peut-on utiliser une preuve pour plusieurs réglementations ?
Oui lorsque la preuve démontre réellement plusieurs objectifs. Conservez une source unique et documentez chaque lien de correspondance.
Sources
Textes et ressources officielles
Sources consultées et vérifiées lors de la mise à jour du 10 août 2026.
- CNILLe registre des activités de traitement
La documentation et la démonstration font partie du pilotage RGPD présenté par la CNIL.
- ANSSIDirective NIS 2 et Référentiel Cyber France
Les objectifs de sécurité, audits, constats et plans d'action illustrent la relation entre exigence, contrôle et preuve.
- LégifranceCode du travail - DUERP
La conservation des versions et la traçabilité collective donnent un exemple de preuve dans la durée.