Si vous pilotez la conformité de votre organisation, il est fréquent d'attendre une dégradation du score de conformité après avoir fait approuver une dérogation. Ce n'est pourtant pas ce qui se passe dans Tenacy : une dérogation n'impacte pas le score. Cet article explique pourquoi, et ce qu'elle change réellement.
Qu'est-ce qu'une dérogation ?
Une dérogation est une demande de non-conformité temporaire et volontaire à une exigence de sécurité : vous savez qu'une règle n'est pas respectée et vous le déclarez formellement, avec une justification, une échéance de mise en conformité et, si besoin, des mesures compensatoires.
C'est différent d'un écart, qui est une anomalie constatée depuis l'extérieur (audit, incident, contrôle) plutôt que déclarée volontairement.
🔎 Pour le détail de la création et des statuts d'une dérogation, consultez : Créer une dérogation.
Pourquoi le score ne change pas quand une dérogation est accordée
Le score de conformité d'une politique reflète l'état réel de vos mesures et de vos évaluations pour chaque exigence, quel que soit le type de score retenu (déclaratif, couverture ou mesuré). La dérogation est un objet distinct, qui documente et encadre une non-conformité déjà présente : elle ne fait pas partie du calcul du score.
Dérogation demandée ou accordée : l'exigence reste non conforme dans le score, mais la non-conformité est reconnue et documentée (justification, mesures compensatoires, échéance).
Dérogation refusée : rien ne change dans le score. Le demandeur est notifié et doit agir pour rétablir la conformité.
Ce qu'une dérogation change réellement
Même si elle ne modifie pas le score, une dérogation accordée a un effet concret sur le suivi de votre conformité :
Elle évite un écart supplémentaire : tant qu'elle est valide, elle empêche qu'un écart soit ouvert dans le registre d'écarts pour la même exigence.
Elle trace une décision : qui a demandé la dérogation, qui l'a approuvée, pourquoi, jusqu'à quand, et avec quelles mesures compensatoires.
Elle rend la non-conformité visible et assumée dans le suivi de la politique concernée, plutôt que silencieuse.
💡 Pour faire réellement progresser votre score, il faut agir sur l'exigence elle-même : implémenter ou améliorer la mesure associée, par exemple via une action d'amélioration dans votre plan d'action.
Dérogation ou écart : bien distinguer
| Dérogation | Écart |
Origine | Déclarée volontairement par un contributeur ou un pilote | Constatée, souvent de source externe (audit, contrôle, vulnérabilité) |
Cycle de vie | Demandé → Accordé ou Rejeté, puis Fermé | Ouvert dès la constatation, suivi jusqu'à son traitement |
Effet sur le score de conformité | Aucun effet direct : l'exigence reste non conforme dans le score | Aucun effet direct sur le score de conformité ; suivi séparément via son propre score de traitement |
Que se passe-t-il à la clôture ou à l'expiration ?
À la clôture : quand vous fermez la dérogation (conformité rétablie ou dérogation devenue inutile), elle ne génère plus d'écart, et le score de conformité de la politique est recalculé en fonction de l'état réel des mesures à ce moment.
À l'expiration : si la date de fin est dépassée sans que la dérogation ait été clôturée, elle apparaît comme une anomalie à traiter dans votre suivi, pour vous inviter à statuer : la clôturer, la prolonger, ou traiter la non-conformité sous-jacente.
Questions fréquentes
Si ma dérogation est accordée, pourquoi mon score de conformité ne remonte pas ?
Parce que le score reflète l'état réel de vos mesures et évaluations pour l'exigence concernée. La dérogation documente et encadre la non-conformité, mais elle n'entre pas dans le calcul du score : l'exigence reste non conforme jusqu'à ce que la mesure sous-jacente soit réellement mise en œuvre.
Comment faire progresser mon score si une exigence est couverte par une dérogation ?
Il faut agir sur l'exigence elle-même : implémenter ou améliorer la mesure associée, par exemple via une action d'implémentation dans votre plan d'action. Une fois la mesure effectivement en place, le score reflète la nouvelle situation, indépendamment du statut de la dérogation.
Que se passe-t-il si j'oublie de clôturer une dérogation arrivée à échéance ?
Elle apparaît comme une anomalie dans votre suivi (dérogation accordée dont la date de fin est dépassée), pour vous inviter à statuer : la clôturer, la prolonger, ou traiter la non-conformité sous-jacente.
🔎 Pour aller plus loin, consultez : Créer une dérogation, Manager vos dérogations et Implémenter une mesure.