Vérification des antécédents judiciaires dans le cadre du KSC : définir le périmètre et mettre en place un processus conforme

Dans le cadre du KSC, la vérification des antécédents judiciaires du personnel ne constitue ni un contrôle RH généralisé ni une simple formalité préalable à un audit. Son périmètre doit découler d’un fondement précis, du statut de l’organisation ainsi que des missions et habilitations réelles de chaque personne. Un processus qui commence par la collecte de justificatifs, au lieu de qualifier les rôles, risque à la fois d’omettre des personnes soumises à l’exigence et d’entraîner un traitement sans fondement de données relatives aux condamnations. Il faut donc déterminer en premier lieu qui peut être contrôlé et sur quelle base, puis dissocier les responsabilités liées à l’obtention des informations, à l’évaluation du résultat et à la décision d’accès. Enfin, les enregistrements doivent être limités aux données nécessaires pour démontrer la conformité.

Commencer par le périmètre, pas par le justificatif

La décision de vérifier les antécédents judiciaires ne doit pas débuter par une demande de documents adressée au personnel. La direction doit d’abord confirmer le statut de l’organisation au regard du système KSC et identifier la disposition précise dont découle l’obligation applicable aux personnes concernées. La seule référence à NIS2, la préparation d’un audit ou la mise en place d’un système de management de la sécurité de l’information ne justifie pas un contrôle généralisé de tous les salariés, collaborateurs et fournisseurs.

Les limites du processus doivent être définies séparément pour chaque source d’exigence. La directive NIS2, la loi polonaise sur le KSC dans sa version en vigueur, ses textes d’application, les réglementations sectorielles, les clauses contractuelles et les règles internes d’attribution des accès ne sont pas des sources équivalentes. Pour chacune, il convient de déterminer le champ organisationnel, personnel et temporel : quelles personnes sont concernées, pour quelle raison, à compter de quelle date, avec quelles exceptions éventuelles et dans quelles circonstances une nouvelle évaluation est requise. Concevoir la procédure avant d’avoir achevé cette analyse peut conduire aussi bien à omettre des personnes soumises à l’obligation qu’à traiter sans fondement des données relatives aux condamnations.

La qualification doit aboutir à une note synthétique approuvée par le responsable de la conformité. Ce document doit préciser le statut de l’entité, le fondement juridique, la date et l’état du droit retenus pour l’analyse, les rôles concernés ainsi que les exceptions dûment justifiées. La catégorie « personnel informatique » est trop générale. Il faut déterminer si l’exigence couvre les administrateurs disposant de privilèges élevés, les personnes chargées du traitement des incidents, le personnel des fournisseurs et les remplaçants assumant ponctuellement ces fonctions. Il convient également de désigner le responsable de l’analyse juridique et de fixer sa date de réexamen, notamment après une évolution de la réglementation, du périmètre d’activité ou du modèle d’accès.

La définition du périmètre de vérification doit s’inscrire dans le projet « SMSI conforme à la loi sur le KSC : comment définir le périmètre, les responsables et le calendrier de mise en œuvre ». Le périmètre du système, les responsabilités de processus et les rôles privilégiés doivent provenir d’une même cartographie organisationnelle. Ce n’est qu’à cette condition qu’il est possible de déterminer de manière responsable si l’obligation s’applique à l’organisation au regard du droit en vigueur, quelle disposition autorise l’obtention d’informations relatives aux antécédents judiciaires et quelles catégories de personnel peuvent légalement être concernées.

Quelles personnes doivent être concernées ?

Le périmètre personnel ne dépend ni de l’intitulé du poste ni du type de relation contractuelle. Il résulte du rapprochement entre l’exigence applicable et les missions, habilitations et incidences réelles de la personne sur la sécurité du service. La qualification doit prendre en compte les accès logiques et physiques, la capacité à modifier des configurations, la participation au traitement des incidents, l’influence sur la continuité d’activité ainsi que les droits temporaires ou d’urgence. Les rôles sans lien avec le service, le système, le site ou le périmètre protégé visé par la disposition ne doivent pas être contrôlés par simple précaution.

La matrice des rôles constitue l’outil de décision central. Elle doit être tenue conjointement par le pilote du processus, le responsable de la sécurité de l’information et les ressources humaines, avec la participation du responsable de la conformité. Cette matrice doit être reliée à la gestion des identités et des habilitations ainsi qu’à la séparation des tâches. Une simple liste du personnel ne suffit pas. Il faut également disposer de registres des comptes à privilèges, des accès administratifs, physiques et d’urgence, ainsi que des personnes externes bénéficiant d’un accès réel aux systèmes ou processus inclus dans le périmètre.

L’administrateur technique d’un fournisseur peut disposer de droits plus étendus qu’un responsable interne, bien qu’il ne soit pas salarié de l’organisation. Une qualification fondée uniquement sur la nature du contrat pourrait donc exclure une personne ayant une incidence significative sur la sécurité. Cela ne signifie toutefois pas qu’un administrateur externe relève automatiquement du même dispositif qu’un salarié. L’étendue des données, la méthode de confirmation du respect de l’exigence et la responsabilité de l’évaluation doivent découler d’un fondement juridique admissible ou d’un contrat correctement structuré. Les accès temporaires et d’urgence doivent être évalués en fonction de l’étendue potentielle des actions, et non de leur fréquence d’utilisation prévue.

La matrice doit couvrir les salariés, les membres des organes de gouvernance, les personnes intervenant sous d’autres formes contractuelles, les administrateurs externes ainsi que le personnel des fournisseurs et sous-traitants, mais exclusivement dans les limites de l’exigence applicable. Elle doit être réexaminée après toute évolution de l’architecture des habilitations, du périmètre du service, du fournisseur ou de la réglementation. Le nombre de rôles privilégiés et de personnes externes disposant d’un accès effectif détermine la taille du processus et constitue une donnée d’entrée pour la planification des ressources présentée dans l’article « Combien coûte la mise en œuvre de NIS2 et de l’uKSC : construire le budget des audits, de la documentation, des formations et des mesures de sécurité sans erreurs coûteuses ».

Où se situent les coûts et les risques ?

Le risque principal ne réside pas dans l’obtention technique d’informations relatives aux antécédents judiciaires, mais dans le lancement d’un contrôle sans fondement univoque, sans finalité définie et sans périmètre limité. Les données relatives aux condamnations pénales et aux infractions relèvent d’un régime de traitement particulier. Le consentement ordinaire de la personne ou une clause générale de la politique RH ne doivent pas être considérés comme une justification automatique de leur collecte. Avant de choisir le mode de vérification, il faut déterminer quelles informations sont réellement requises par la disposition applicable, quelles personnes sont concernées et qui est responsable de l’évaluation du résultat.

Les coûts augmentent lorsque l’organisation exige des documents complets de l’ensemble du personnel, conserve des copies sans durée de conservation définie, les transmet par messagerie électronique ordinaire ou les rend accessibles aux ressources humaines, aux responsables hiérarchiques, à la fonction sécurité et aux auditeurs sans séparation des habilitations. Chaque copie supplémentaire accroît la charge liée à la protection des données, au contrôle des accès, au traitement des demandes et à l’effacement sécurisé. La direction doit donc suivre non seulement le nombre de contrôles réalisés, mais également le nombre de personnes ayant accès aux documents et les durées réelles de conservation.

L’absence de critères d’évaluation du résultat constitue une deuxième source de risque. Une information révélée lors du contrôle ne doit conduire ni à une décision improvisée du responsable hiérarchique ni à une appréciation dissociée de l’exigence applicable au rôle. Les ressources humaines peuvent obtenir correctement le document, mais le processus restera défaillant si personne n’a été désigné pour en apprécier la portée, si le fondement de la décision d’autorisation n’est pas défini ou si la nécessité de conserver une copie n’a pas été évaluée. La procédure doit préciser le circuit d’escalade ainsi qu’un plan de réaction intégré au plan de contrôle : comment définir les actions lorsque le processus sort de ses limites.

La preuve de la réalisation du contrôle doit être distinguée de la conservation du contenu du document. Selon le fondement applicable et l’obligation de preuve, il peut suffire d’enregistrer la date du contrôle, son périmètre, l’identité de la personne habilitée à procéder à l’évaluation, le résultat de la qualification et la décision d’autorisation, sans conserver l’intégralité du justificatif. Lorsqu’une copie est nécessaire, ses destinataires, ses mesures de protection et sa date de suppression doivent être définis. Cet enregistrement permet d’articuler minimisation des données et démonstration de la conformité, plutôt que de remplacer l’analyse juridique par une collecte documentaire « au cas où ».

Du classement du rôle à l’autorisation d’accès

Le processus doit commencer avant toute collecte d’informations relatives aux antécédents judiciaires. Le pilote du processus qualifie d’abord le rôle, indique le fondement juridique en vigueur et détermine l’étendue du contrôle requis. L’organisation informe ensuite la personne de la finalité, des modalités et des règles de traitement des données, sélectionne une source d’information admissible et vérifie son identité. Les étapes de validation suivantes portent sur l’évaluation du résultat, la décision d’autorisation, l’attribution des habilitations et la création de l’enregistrement de contrôle.

Pour chaque opération, il convient de désigner un responsable, de préciser les données d’entrée, le délai et la conduite à tenir en cas d’absence de document, de dépassement du délai ou de résultat nécessitant des explications. En effet, le contrôle formel ne vaut pas décision opérationnelle. Les ressources humaines peuvent informer le salarié, recevoir le document et vérifier que les données sont complètes, mais elles ne doivent pas décider seules de l’accès à un système ou à une infrastructure.

La décision finale doit appartenir au rôle métier désigné, le plus souvent au propriétaire du système ou au responsable du domaine opérationnel concerné, avec la participation de la fonction sécurité. Si le résultat est ambigu ou si l’étendue du traitement autorisé suscite des doutes, le dossier doit être transmis à la fonction juridique ou à la fonction chargée de la protection des données. Cette répartition des responsabilités évite aussi bien l’attribution automatique d’un accès sur simple présentation d’un document qu’une interprétation discrétionnaire par le supérieur hiérarchique.

Les critères de décision doivent être approuvés avant le premier cas problématique. La procédure doit préciser qui statue sur une situation ambiguë, quelles informations peuvent être prises en compte, si une limitation de l’accès est envisageable et comment consigner la justification sans révéler le contenu à un cercle élargi de destinataires. Une personne nouvellement recrutée peut, par exemple, suivre les formations et accomplir les formalités organisationnelles, mais elle ne doit pas recevoir de compte à privilèges ni d’accès à l’environnement protégé avant la décision. Si un accès temporaire est admis, il requiert une autorisation distincte, un périmètre limité, une date d’expiration et une supervision. Il ne peut servir à contourner le contrôle.

Une issue négative exige un plan de réaction défini à l’avance : suspension des habilitations, escalade vers les décideurs désignés, nomination d’un remplaçant, évaluation des effets sur la continuité d’activité et clôture maîtrisée du dossier. La logique doit être identique à celle d’un plan de réaction : un événement défini déclenche une réponse, une responsabilité et un enregistrement préattribués. Pour le recrutement et les changements de fonction, l’article Comment préparer le parcours d’intégration d’un nouvel ingénieur qualité ou représentant ISO constitue un point de référence utile, notamment pour les points de décision et la confirmation des responsabilités.

L’enregistrement de contrôle doit permettre de reconstituer la qualification du rôle, le fondement et le périmètre du contrôle, la date de confirmation de l’identité, la source de l’information, la personne ayant procédé à l’évaluation, la décision, la date d’attribution des habilitations et toute escalade éventuelle. Il faut également définir les événements déclenchant une nouvelle évaluation, en particulier une modification du rôle ou du périmètre d’accès, ainsi que les modalités de retrait des habilitations lors du départ d’un salarié. L’efficacité du processus se mesure principalement par le délai entre la qualification et la décision, le nombre d’accès accordés avant la fin du contrôle requis et le nombre d’escalades dues à l’absence d’un document ou à un résultat ambigu.

Documentation et renouvellement de la vérification

La documentation du processus doit permettre de reconstituer les motifs et les effets de la décision, et non de constituer une archive des antécédents judiciaires. L’enregistrement doit expliquer pourquoi un rôle était soumis au contrôle, quand celui-ci a été réalisé, qui a statué et quelle en a été la conséquence opérationnelle : attribution, restriction ou refus d’accès. Cela n’implique pas automatiquement de conserver une copie du document source. La décision de conserver une copie doit être distincte de la conservation des métadonnées et reposer sur le fondement juridique en vigueur, la finalité du traitement et le principe de limitation de la conservation.

Un ensemble cohérent d’enregistrements doit comprendre :

• la matrice des rôles accompagnée de la justification du périmètre ;
• le registre des contrôles réalisés ;
• les autorisations de traitement et les règles d’accès ;
• les durées de conservation approuvées ;
• le protocole d’escalade ;
• les preuves de l’exécution des obligations par les fournisseurs.

Ces éléments doivent relever d’un responsable commun, être soumis à une gestion des versions et être intégrés à la maîtrise documentaire du SMSI. Leur dispersion entre les ressources humaines, la sécurité et les achats complique la démonstration de l’exhaustivité du processus. Le référentiel documentaire doit contenir les modèles, les décisions à portée générale et l’historique des modifications des règles, tandis que les données individuelles doivent être accessibles uniquement aux personnes autorisées. L’article Comment construire un référentiel interne des connaissances qualité pour préserver l’expérience de l’équipe fournit un cadre organisationnel utile.

Un enregistrement peut contenir les dates de qualification du rôle, de vérification et de décision, la référence du fondement appliqué, ainsi que la date d’attribution de l’accès et celle du prochain réexamen. Lorsqu’une confirmation de la réalisation du contrôle et de son résultat opérationnel suffit, la copie du justificatif ne doit pas être conservée « au cas où ». Le mécanisme de suppression doit également couvrir les pièces jointes aux courriels, les répertoires de travail et les ressources des fournisseurs. L’efficacité de la maîtrise peut être évaluée au moyen du pourcentage de rôles disposant d’une justification à jour de leur inclusion dans le processus et du nombre d’enregistrements conservés au-delà de la durée approuvée.

Les échéances de renouvellement ne doivent pas être fixées selon un calendrier arbitraire. La fréquence peut découler de la disposition applicable, de la nature du rôle, des conditions contractuelles ou d’une appréciation documentée des risques. Indépendamment des revues périodiques, la procédure doit préciser les événements déclencheurs, notamment un changement de poste, une extension des habilitations, un retour dans la fonction après une interruption ou une évolution importante des exigences juridiques ou contractuelles. L’actualisation des informations n’impose pas nécessairement d’obtenir périodiquement un document complet. Le processus doit prévoir un moyen légal et proportionné de confirmer la situation, toujours conforme au fondement juridique en vigueur et au périmètre des données que l’organisation est autorisée à traiter.

Test de préparation avant l’audit

L’évaluation de la préparation ne doit pas commencer par la vérification de l’existence d’une procédure, mais par la reconstitution de cas réels. L’échantillon doit comprendre au minimum un salarié occupant un rôle soumis au contrôle, une personne ayant changé de rôle, un administrateur externe et un cas d’accès d’urgence. Pour chaque dossier, l’auditeur doit suivre la chaîne complète, depuis le fondement juridique en vigueur et la qualification du rôle jusqu’aux habilitations effectivement actives, en passant par l’obtention des informations et la décision d’autorisation.

Le test minimal comprend le rapprochement entre la liste des rôles et le registre des accès, la vérification de l’exhaustivité des décisions, du respect des délais, de la limitation de l’accès aux enregistrements et de leur conservation appropriée. Il convient également de simuler l’absence d’un document, un résultat ambigu ou un retard de vérification. L’organisation doit pouvoir démontrer sa capacité à suspendre l’accès, à déclencher une escalade et à identifier la personne habilitée à statuer. La fréquence des audits internes du SMSI et le seuil d’escalade doivent correspondre aux risques et aux exigences découlant du fondement actuellement applicable, et non au seul calendrier des audits.

Les non-conformités systémiques typiques apparaissent à l’interface entre les processus. Il peut s’agir de l’absence de fondement démontré, d’un écart entre la liste des postes et les habilitations réelles, de l’omission des sous-traitants, de l’attribution d’un accès avant la fin du contrôle, d’une durée de conservation indéterminée ou de l’absence d’un circuit d’escalade documenté. Un enregistrement RH correct ne suffit pas si l’administrateur externe conserve un compte actif après la modification du périmètre contractuel ou obtient des droits étendus sans nouvelle qualification.

La direction doit recevoir des informations agrégées, et non le contenu des données relatives aux condamnations. Parmi les indicateurs utiles figurent le pourcentage d’accès actifs nécessitant un contrôle et couverts par une décision à jour, le nombre d’accès accordés avant la fin de la vérification, le respect des échéances de réexamen et le nombre de non-conformités ventilées par cause systémique. Les indicateurs doivent soutenir les décisions relatives aux ressources, aux corrections et aux escalades, conformément à l’approche présentée dans l’article Comment définir des KPI de processus utiles à la direction pour que le système qualité ne se réduise pas à des tableaux.

Être prêt pour l’audit signifie pouvoir démontrer non seulement l’existence de la procédure, mais également la proportionnalité de son périmètre, la cohérence des décisions et l’efficacité opérationnelle du dispositif. Les résultats du test doivent alimenter l’audit interne du SMSI et la revue de direction, avec l’identification du responsable de l’action, l’échéance de traitement de l’écart et l’évaluation de son incidence sur les accès actifs.