Déclaration d’applicabilité (SoA)

La déclaration d'applicabilité — Statement of Applicability, souvent abrégée SoA — est le document qui, mesure par mesure, dit laquelle des 93 mesures de l'annexe A d'ISO 27001:2022 est retenue, laquelle est écartée, et pourquoi. Elle indique aussi, pour les mesures retenues, où en est leur mise en œuvre.

Elle est exigée par la clause 6.1.3 de la norme, à la suite de l'appréciation et du traitement des risques. Sa fonction est d'articuler les deux moitiés du dossier : d'un côté les risques que l'organisme a identifiés, de l'autre le catalogue de mesures dans lequel il a puisé. C'est la pièce que l'auditeur ouvre en premier, parce qu'elle sert de table des matières à tout le reste.

Une déclaration d'applicabilité honnête contient des exclusions justifiées. À l'inverse, une SoA qui retient les 93 mesures « par sécurité » est un mauvais signal : elle promet un dossier de preuves que personne ne tiendra, et elle transforme chaque audit de surveillance en inventaire d'écarts. Écarter une mesure en expliquant pourquoi elle ne s'applique pas à votre périmètre est un acte de management, pas un aveu de faiblesse.