Un évaluateur qui ne sait pas dire « nous nous sommes trompés sur celui-ci » n’a aucune légitimité pour dire « vous vous trompez sur celui-là ». Nous nous sommes trompés. Voici à quoi cela ressemblait, et ce que nous en avons fait.
Sept déterminations, renversées par nous-mêmes
Sur un premier Report on Compliance pour une société de paiement, avant émission, nous avons passé le rapport par notre propre revue qualité. La revue a transformé sept de nos déterminations antérieures en « non en place ». Pour trois d’entre elles, la note au client disait sans détour que notre détermination initiale avait été faite trop vite, et que la corriger était notre responsabilité, pas la sienne.
Ce n’était pas un courriel confortable à envoyer à un client qui avait travaillé dur pendant des mois et qui était déjà mécontent du rythme. C’était le bon. La revue qualité existe pour que le rapport signé soit juste. Elle n’existe pas pour donner raison aux courriels précédents. Un cabinet qui sauterait la revue, ou en adoucirait le résultat pour éviter la conversation, signerait un rapport qu’il sait faux, et tout l’intérêt de la signature est qu’il ne l’est pas.
La revue qualité existe pour que le rapport signé soit juste. Elle n’existe pas pour donner raison aux courriels précédents.
« Deux corrections de notre part »
Un échange de périmètre avec une jeune société cloud s’est ouvert sur deux corrections à nos propres notes. Nous avions mal lu l’une de leurs classifications de sous-réseaux et surestimé l’un de leurs flux. L’échange a ensuite porté sur ce qui comptait : une instance de cache dont le groupe de sécurité acceptait le trafic de tout le réseau de production devait être classée dans l’environnement des données de cartes tant que ce groupe n’était pas resserré, et la tentative du client d’abaisser certains sous-réseaux en « connectés » juste pour faire disparaître des avertissements n’allait pas fonctionner.
Ouvrir par nos propres corrections ne nous a rien coûté et a rendu le reste de la lettre plus facile à recevoir. Un client qui vient de vous voir vous corriger a moins de raisons de soupçonner que vous gonflez les constats.
Le fournisseur avait raison sur la contrainte
Sous le standard de sécurité des PIN, nous avions recommandé à un fournisseur d’infrastructure de paiement de rendre temporaire l’autorisation des commandes hôte de son module de sécurité matériel. Le fournisseur l’a rejeté : son système de gestion des terminaux doit générer et exporter des clés à la demande, donc l’autorisation ne peut pas être coupée entre deux usages. Nos propres notes de préparation pour la réunion suivante le disent en toutes lettres : ils ont raison sur ce point, il faut le concéder sans réserve, et c’est ce qui donnera du poids au reste. Les notes consignent aussi deux autres points sur lesquels nous avions tort, et un constat de notre part mal rédigé.
Nous avons tout concédé en début de réunion. Puis nous en sommes venus au point qui tenait toujours : une autorisation permanente combinée à des clés exportables est la combinaison dangereuse, et un contrôle que l’on ne peut pas retirer peut encore être borné, avec une liste de commandes minimale, des attributs de clés verrouillés et des exports journalisés. Le fournisseur l’a accepté, et nous pensons qu’il l’a accepté parce que les concessions étaient venues en premier.
Ce que l’on fait de travers
On croit que l’autorité d’un évaluateur vient de ne jamais reculer. Elle vient de l’inverse : de ce qu’un client peut voir que chaque détermination a été éprouvée, y compris contre l’avis antérieur de l’évaluateur lui-même.
On ne conteste pas. Les clients acceptent souvent un constat qu’ils croient faux parce que discuter avec l’évaluateur semble risqué. Un bon évaluateur veut la contestation. Un constat qui y survit est plus solide ; un constat qui n’y survit pas n’a rien à faire dans le rapport.
On conteste mal. « Le dernier auditeur l’a accepté » n’est pas un argument. « Voici la contrainte, voici pourquoi votre recommandation ne peut pas fonctionner dans notre architecture, et voici ce que nous pouvons faire à la place » en est un, et il gagne généralement.