Registre de preuves

Un registre de preuves est l'endroit où sont réunies les pièces qui démontrent qu'une exigence est effectivement tenue : une capture de configuration, un compte rendu d'exercice, un rapport de test de restauration, une attestation de formation, un contrat signé, une extraction de journal. Une exigence sans pièce n'est pas une exigence tenue : c'est une déclaration.

Ce qui distingue un registre d'un simple dossier partagé, c'est le rattachement et la date. Une preuve vaut pour une exigence précise, à une date précise, et cesse de valoir au bout d'un certain temps : un test de restauration de 2023 ne prouve rien en 2026, et une revue des accès de l'an dernier ne dit rien des comptes créés depuis. Un auditeur ne demande pas la ligne « conforme » d'un tableau : il demande la pièce, puis il demande de quand elle date.

Aucun référentiel n'emploie exactement ce mot — c'est un terme de métier. Ce qu'ils demandent, en revanche, revient au même. ISO 27001 parle d'informations documentées et exige qu'elles soient maîtrisées, datées et à jour. Le ReCyF attend des pièces justificatives par objectif. DORA impose des registres et des rapports, dont certains à format imposé. Dans les trois cas, c'est la capacité à produire la pièce le jour du contrôle qui est jugée.