Modèle 13 : registre des non-conformités et actions correctives
Couvre : clause 10.2 (non-conformité et action corrective), alimente 9.3 (revue de direction). La norme n'impose ni un registre séparé ni cet intitulé : le registre 27001 peut servir s'il porte une colonne « AIMS » et les rubriques ci-dessous.
Ce que 10.2 demande, dans l'ordre :
1 réagir maîtriser et corriger ; faire face aux conséquences
2 évaluer faut-il éliminer la cause pour que ça ne se reproduise pas, ici ou ailleurs :
examiner la non-conformité, en trouver les causes, chercher des cas
similaires existants ou possibles
3 mettre en œuvre les actions nécessaires
4 examiner l'efficacité de chaque action corrective
5 modifier l'AIMS si nécessaire (politique, procédure, risques, DdA)
proportion actions adaptées aux effets de la non-conformité
Informations documentées à conserver :
nature des non-conformités et actions entreprises ensuite
résultats de toute action corrective
Classement (pratique des organismes de certification, ISO/IEC 17021-1 ; la norme 42001 ne classe pas) :
majeure met en cause la capacité de l'AIMS à atteindre ses résultats : exigence absente,
non appliquée, ou défaillance qui laisse un risque élevé sans maîtrise ; plusieurs
mineures sur la même exigence peuvent en faire une. En certification : décision
suspendue jusqu'à vérification de la correction et de l'action corrective
mineure écart ponctuel qui ne met pas en cause cette capacité ; plan d'action accepté
par l'organisme, vérifié à l'audit suivant
observation pas d'écart à une exigence ; fragilité ou piste d'amélioration ; pas
d'action obligatoire, mais une observation ignorée devient souvent une non-conformité
Sources : audit interne (9.2), audit de certification, incident (modèle 11), revue de direction, signalement (A.3.3, A.8.3), surveillance (A.6.2.6), contrôle d'une autorité.
stateDiagram-v2
[*] --> Ouverte : constat
Ouverte --> Corrigée : correction immédiate
Corrigée --> Analysée : cause racine, cas similaires
Analysée --> EnCours : action corrective décidée
Analysée --> Close : aucune action sur la cause, justifiée
EnCours --> Vérification : action réalisée
Vérification --> Close : efficace
Vérification --> Analysée : inefficace
Close --> [*]
Modèle vide
ID NC-AAAA-nn ou OBS-AAAA-nn
Date, source date du constat ; audit, incident, revue, signalement, surveillance
Exigence clause ou mesure de l'annexe A, document interne visé
Constat fait observé, preuve (référence de l'échantillon, du journal, du document)
Classement majeure, mineure, observation ; justification en une ligne
Système concerné, ou « AIMS » si transverse
Correction ce qui a été fait tout de suite, par qui, quand
Cause racine méthode (5 pourquoi, arbre des causes), cause retenue
Cas similaires recherchés où, trouvés oui / non
Action corrective action sur la cause, responsable, échéance
Modification AIMS document, risque ou DdA modifié, version
Efficacité critère, date de vérification, résultat
Statut ouverte, en cours, vérification, close ; clos par, date
Exemple rempli : mutuelle fictive
NC-2026-01 18 novembre 2026 ; surveillance (journaux du proxy, déploiement R5)
Exigence A.9.2, politique IA v1.0 section 5 (un outil absent de la liste est interdit)
Constat service recouvrement : 3 gestionnaires utilisent un outil de réécriture
gratuit pour les courriers de relance ; noms, adresses et montants dus
collés dans l'outil, 46 courriers en 3 semaines ; IA fantôme
Classement mineure : usage isolé à un service, aucune donnée de santé, règle existante
Système AIMS (usage par le personnel)
Correction accès bloqué au proxy le 18 novembre ; incident INC-IA-2026-003 (G2) ;
violation de confidentialité : évaluation du risque par le responsable
de traitement avec le conseil du DPO. L’absence de risque élevé ne suffit
pas à écarter la notification CNIL : celle-ci est requise sauf risque
improbable. Dans cet exemple, notification CNIL à effectuer sans délai
injustifié, si possible sous 72 h ; documenter toute la violation et
examiner séparément l’information des personnes (art. 34).
Cause racine politique diffusée par mail sans formation ; aucun outil autorisé ne
couvrait la rédaction pour ce service (assistant bureautique non déployé)
Cas similaires recherche sur 3 mois de journaux proxy : 2 autres services, usages sans
données personnelles
Action corrective assistant bureautique entreprise ouvert au recouvrement ; formation de
30 min par service ; RH, décembre 2026
Modification AIMS registre des risques : R5 probabilité confirmée à 3 jusqu'à fin du blocage
Efficacité aucun accès bloqué en mars 2027 sur les outils grand public : atteint
Statut close, référent IA, 31 mars 2027
NC-2026-02 3 décembre 2026 ; incident INC-IA-2026-004 (modèle 11)
Exigence A.6.2.5 (déploiement), mesure de traitement de R2 prévue au registre
Constat base documentaire du chatbot mise à jour sans comité de mise en production ;
conditions générales périmées indexées ; garantie inventée donnée à
12 adhérents ; tests mensuels R2 prévus mais jamais lancés
Classement majeure : risque élevé (R2) laissé sans la mesure décidée, préjudice
réel pour des adhérents
Système chatbot adhérents v1.4
Correction retour à la base du 27 novembre ; 12 adhérents informés et remboursés
Cause racine une mise à jour de contenu n'était pas reconnue comme un changement ;
mesures R2 sans responsable de mise en œuvre nommé
Cas similaires tri des sinistres et fraude : mises à jour des tables de référence
hors comité également ; incluses dans l'action
Action corrective règle : toute mise à jour de données de référence ou de base documentaire
passe en comité avec contrôle de validité et rejeu des 200 questions ;
un responsable nommé par mesure du registre ; référent IA, janvier 2027
Modification AIMS procédure de mise en production v2 ; registre des risques : ajout R7 ;
politique IA v1.1 (D6 de la revue de juin 2027)
Efficacité 3 mises à jour de mars 2027 passées en comité, 0 écart au test mensuel
de janvier à mars : atteint
Statut close, comité IA, 7 avril 2027
NC-2027-01 9 mars 2027 ; revue préparatoire du comité IA
Exigence clause 6.1.3 (justification des exclusions), DdA v1.0
Constat A.7.3 (acquisition des données) toujours exclue, justification « aucune
donnée acquise auprès d'un tiers » ; or la détection de fraude a été
réentraînée en février 2027 avec une liste de RIB frauduleux fournie par
la fédération ; l'exclusion n'a plus de justification valable
Classement mineure : une seule mesure, aucune donnée de santé, convention obtenue
a posteriori sans difficulté
Système détection de fraude ; AIMS (DdA)
Correction DdA v1.1 : A.7.3 incluse ; convention d'échange signée avec la fédération
Cause racine le déclencheur de revue prévu dans la DdA (achat ou collecte de données
externes) n'était relié à aucun processus : l'équipe data ne le connaissait pas
Cas similaires relecture des 38 lignes et des 2 mesures ajoutées : 2 justifications trop
vagues, réécrites
Action corrective question « données externes ? » ajoutée à la fiche jeu de données (modèle 9)
et au comité de mise en production ; référent IA, avril 2027
Efficacité audit AI-2027-1 : aucune exclusion sans justification valable : atteint
Statut close, référent IA, 2 juin 2027
NC-2027-02 18 mai 2027 ; audit interne AI-2027-1
Exigence A.6.2.8 (journaux), politique IA v1.0 principe traçabilité (12 mois)
Constat tri des sinistres : sorties du modèle conservées 30 jours ; échantillon
de 25 dossiers de janvier 2027 introuvable dans les journaux
Classement mineure : un seul système, journaux applicatifs disponibles en partie
Système tri des sinistres v2.3
Correction durée de conservation passée à 12 mois le 25 mai 2027
Cause racine paramètre par défaut de la plateforme, jamais rapproché de la politique
Cas similaires chatbot conforme (12 mois) ; fraude : 6 mois, corrigé
Action corrective contrôle de la durée de conservation ajouté à la liste du comité de mise
en production ; équipe data, juillet 2027
Efficacité à vérifier en septembre 2027 sur un échantillon de mai
Statut vérification
OBS-2027-01 19 mai 2027 ; audit interne AI-2027-1
Exigence aucune non respectée ; A.9.4 et mesure de R6 (alerte si > 95 %)
Constat détection de fraude : 93 % de signalements validés sans modification
en avril 2027, contre 86 % en janvier ; tendance vers le seuil
Classement observation : seuil non franchi, suivi en place
Système détection de fraude
Suite donnée revue des 50 derniers dossiers validés par un second gestionnaire ;
responsable fraude, juillet 2027 ; présentée en revue de direction
Statut ouverte (suivie ici par choix, 10.2 ne l'exige pas)
Repères juridiques
Voir les corrections sur la discipline et le RGPD, avec les sources officielles. Les valeurs de l’exemple fictif ne constituent pas des durées ou des autorisations légales générales.