Un service d'audit interne pose une question en apparence simple : pourquoi l'accès d'un fournisseur a-t-il été prolongé, huit mois plus tôt ? Personne ne conteste que la décision a été prise. Ce qui manque, c'est de savoir sur quelle base elle l'a été.
Le dossier existe, le contexte a disparu
Le contrat est toujours dans l'ERP. La note de décision dort dans la gestion documentaire. Les journaux d'accès existent quelque part dans le système d'habilitation. Chacun de ces éléments a survécu, séparément, avec sa propre version et sa propre date. Ce qui a disparu, c'est le lien entre eux : quelle évaluation du risque était en vigueur ce jour-là, quelle politique autorisait encore ce type de prolongation, qui avait la délégation pour la signer.
Regarder l'état d'aujourd'hui, une fausse bonne idée
Huit mois plus tard, presque tout a changé : une nouvelle évaluation du risque, une politique plus stricte, parfois même le retrait pur et simple de l'habilitation en question. Un auditeur qui ne dispose que de l'état actuel peut légitimement trouver la décision passée injustifiée - alors qu'elle respectait, au moment où elle a été prise, toutes les règles alors en vigueur.
La question qui compte n'est pas de savoir si la décision serait encore valable aujourd'hui. C'est de savoir si l'on peut encore démontrer sur quelle base elle a été prise, même si cette base n'existe plus sous sa forme d'origine.
Une mémoire qui garde le contexte, pas seulement les fichiers
Répondre correctement suppose de conserver, pour chaque objet de donnée, davantage que son contenu : son identité stable dans le temps, la suite de ses états successifs, et le contexte qui allait avec chacun d'eux - la politique en vigueur, les droits accordés, la personne qui a validé, l'origine de l'information. C'est cette mémoire-là, structurée et vérifiable, que KARL Core ajoute au-dessus des systèmes existants : ni l'ERP, ni la gestion documentaire, ni la sauvegarde ne sont remplacés, mais leurs états successifs restent reliés et consultables des années plus tard.
Les changements sont consignés dans un journal qui s'enchaîne et se signe au fil du temps, ce qui permet de vérifier après coup qu'aucune étape n'a été modifiée ou retirée discrètement. La question posée par l'audit ne devient plus un exercice de mémoire collective, mais une simple consultation.
Ce sujet fait aussi l'objet d'un article de fond dans la presse spécialisée allemande.
