Une preuve morte ne change pas, et le contrôle qui la cite peut rester au vert

Quand un contrôle déclaré efficace s’appuie sur un document, une politique, une procédure ou une note d’organisation, la gouvernance continue le réévalue dès que ce document change. Une procédure devenue fausse, elle, peut rester identique : c’est l’organisation qu’elle décrit, l’outil qu’elle cite ou le texte qu’elle applique qui ont bougé. Une preuve de conformité obsolète de ce genre ne lève pas le déclencheur, et un contrôle réévalué en continu, toujours au vert, inspire plus de confiance qu’une revue annuelle alors qu’il repose sur la même preuve figée.

Cet article s’adresse au CDO, au CTO ou au responsable de la gestion des connaissances d’un grand groupe qui outille sa gouvernance de l’IA, ou qui voit ses assistants internes lire les mêmes politiques et procédures que ses auditeurs. Si vos contrôles reposent encore sur une revue annuelle sans outil, l’argument vaut déjà pour cette revue ; il prendra toute sa force le jour où l’évaluation deviendra automatique.

La personne pour qui ce texte est inconfortable est la responsable du contrôle interne. À l’audit de fin d’exercice, l’auditeur teste le contrôle de double validation des nouveaux fournisseurs. Elle présente la procédure de référencement, approuvée, à jour de sa revue, et le contrôle au vert dans l’outil. L’auditeur lit la procédure, puis demande : « Le comité de référencement qu’elle cite, il se réunit encore ? » Il a été fondu dans la direction des achats à la dernière réorganisation, et le circuit de validation a été reconstruit dans le nouvel outil achats. L’auditeur pose alors la question qui compte : « Depuis quand cette procédure décrit-elle une organisation qui n’existe plus ? » Personne dans la salle ne sait répondre.

Le geste que propose cet article ne coûte rien. Prenez trois contrôles déclarés efficaces dans votre matrice des risques et contrôles, et mettez côte à côte deux dates : la dernière modification du document de preuve, et le dernier changement de ce qu’il décrit (le service, l’outil ou le texte qu’il cite). Une seconde date plus récente que la première désigne une preuve à relire.

Deux réponses viennent spontanément. La première est la procédure maison : la revue annuelle des politiques, qui fait relire chaque texte par son rédacteur et le réapprouve. La seconde est l’outil déjà acheté ou en cours d’achat : la plateforme de gouvernance, de risque et de conformité qui réévalue un contrôle quand sa preuve change. La revue relit le texte ; l’outil surveille le fichier. Aucune des deux, par construction, ne vérifie que ce que le document décrit existe encore. La sécurité de l’information a déjà écrit le déclencheur manquant : la version 2013 de la norme ISO/IEC 27001 demandait, à sa mesure A.5.1.2, que les politiques de sécurité soient revues « à intervalles planifiés ou en cas de changements significatifs », et la révision de 2022 a regroupé cette exigence dans sa mesure 5.1. Le second déclencheur porte sur ce qui change autour du document. Nous en reprenons la méthode, pas l’objet : cet article ne traite pas de certification. Il se distingue aussi de nos textes du 17 juillet (un corpus qui dérive quand les documents changent) et du 7 octobre (le document retiré que l’IA cite encore) : ici, la preuve est là, intacte, et elle ne décrit plus rien.

Ce que la gouvernance continue réévalue, dans sa meilleure forme

L’outillage mérite d’être décrit tel que ses éditeurs le documentent. Le 5 octobre 2026, Collibra a annoncé le rachat de trail ML, une société munichoise dont les agents analysent les preuves, déterminent les exigences applicables (AI Act, ISO 42001, cadre de gestion des risques du NIST), évaluent si les contrôles sont en place et efficaces, et repèrent les écarts. Le communiqué l’écrit ainsi : « As supporting evidence changes, assessments can be triggered again. » L’objectif affiché est de passer d’évaluations ponctuelles et manuelles à une vue continuellement mise à jour de la posture de conformité. C’est un progrès réel sur la revue annuelle, et nous ne savons pas comment cet outil traite une preuve qui ne bouge pas : le mécanisme décrit ici est générique, il vaut pour toute automatisation qui se déclenche sur la modification de la preuve.

La frontière tient en une phrase : l’outil de gouvernance consomme une preuve, il ne dit pas si elle est encore vivante. Un agent qui lit une procédure approuvée et à jour de sa revue n’a, dans le document lui-même, aucune raison d’en douter. Un agent d’évaluation peut la lire comme un fait, et l’assistant interne qui répond aux acheteurs sur le référencement d’un fournisseur lit le même document.

C’est à cette frontière que la responsable du contrôle interne réapparaît. Son outil a fait exactement ce qu’on lui demandait : la procédure n’a pas changé, le contrôle n’a pas été réévalué, et le tableau de bord est resté vert pendant toute la réorganisation. Le défaut ne vient ni d’elle ni de l’outil. Il vient de ce qu’aucune des deux dates qui comptent n’était tenue au même endroit.

Comment une procédure devient fausse sans que personne la touche

Une preuve morte, au sens de cet article, est un document de preuve resté identique alors que ce qu’il décrit a changé, et qui continue de justifier un contrôle. Elle se repère en comparant deux dates : la relecture du texte seul ne la fait pas apparaître.

Trois mouvements produisent ce décalage. Une réorganisation fusionne un comité, renomme une direction, déplace une responsabilité : les procédures qui citent l’ancienne structure restent valides en apparence. Un outil est remplacé : la procédure décrit encore les écrans, les étapes et les validations de l’ancien. Un texte de référence est modifié ou abrogé : la politique continue de citer l’article qu’elle appliquait.

La revue annuelle ne rattrape pas ces cas aussi bien qu’on le croit. Son rédacteur relit un texte qu’il connaît, le trouve cohérent, et le réapprouve. La cohérence interne d’un document ne dit rien de sa correspondance avec l’organisation du jour. C’est l’écart que couvre le second déclencheur de la norme, et c’est le plus difficile à tenir : il demande de savoir ce qui a changé ailleurs.

L’IA rend la question plus pressante. Une procédure périmée lue par un humain peut être corrigée par l’expérience de son lecteur : l’acheteur sait que le comité n’existe plus. Un agent qui n’a que ce document pour source peut l’appliquer telle qu’elle est écrite.

La matrice des contrôles à deux dates

Le geste de l’introduction produit un artefact : la matrice des contrôles à deux dates. Elle tient en une colonne ajoutée à un document que vous tenez déjà.

Ce qu’elle contient. Pour chaque contrôle déclaré efficace : l’identifiant du contrôle, le document de preuve et sa date de dernière modification, ce que ce document décrit (le service, l’outil ou le texte cités), la date du dernier changement de ce référent et la source de cette date (note d’organisation, journal de mise en production de l’outil, texte consolidé), puis l’état : cohérent, à relire, ou date du référent inconnue.

Son domicile. La matrice des risques et contrôles tenue par le contrôle interne, ou le registre des contrôles de l’outil de gouvernance s’il en existe un. La colonne s’y ajoute ; elle ne vit pas dans un fichier à part.

Le moment où ses premières lignes s’écrivent. À la prochaine campagne d’auto-évaluation des contrôles, quand les responsables de contrôle reconfirment déjà leur preuve. Jamais pendant les travaux de l’auditeur : c’est précisément la scène où l’on découvre la question sans avoir le temps d’y répondre.

Une ligne remplie. Contrôle : double validation des nouveaux fournisseurs. Document de preuve : procédure de référencement, version en vigueur, dernière modification avant la réorganisation. Référent : comité de référencement et circuit de validation de l’ancien outil achats. Dernier changement du référent : fusion du comité dans la direction des achats, source la note d’organisation ; bascule vers le nouvel outil, source le journal de mise en production. État : à relire.

Sa règle de lecture. Si la date du référent est antérieure à la dernière modification de la preuve, le contrôle reste dans son cycle normal. Si elle est postérieure, la preuve est relue avant la prochaine attestation du contrôle, et le contrôle passe en « efficacité à confirmer » jusque-là. Si la date du référent est inconnue, c’est elle qu’on cherche d’abord : c’est notre lecture qu’un contrôle dont personne ne sait dater le référent est attesté sans cette information.

Son mode d’échec. Si l’exercice réussit, il fait apparaître des contrôles au vert dont la preuve est à relire, y compris après une réorganisation déjà close, et la responsable du contrôle interne doit le dire avant l’audit plutôt que pendant. C’est son coût : une colonne par campagne et quelques dates à chercher. Si aucune source ne permet de dater le référent, la colonne reste vide, et ce vide est un résultat : votre organisation ne trace pas ses propres changements au niveau où ses preuves les citent.

La pièce qu’elle crée. Une matrice qui porte « à relire » établit qu’à une date donnée, l’entreprise savait qu’une preuve pouvait ne plus décrire son organisation. C’est notre lecture, sans décision publiée à l’appui, qu’un écart daté et traité reste préférable à un contrôle attesté sans cette vérification. Sa portée dépend de votre contexte : l’avis de votre direction juridique et de vos auditeurs s’impose avant d’en faire une règle de groupe.

La matrice ne crée aucun poste. Elle s’adosse à la campagne d’auto-évaluation que finance déjà le contrôle interne et, si vous déployez cette année un outil de gouvernance de l’IA, au projet qui l’installe.

Ce qu’un terrain réel a montré, et ce qu’il n’établit pas

Chez TotalEnergies Retail Power & Gas, le chatbot client s’appuie sur environ 500 pages de documentation web officielle. Ce cas porte sur des documents publiés, relus et en production, comme le sont les preuves d’un contrôle. Lors du diagnostic mené avec K-AI, 19 % de ces pages se sont révélées à corriger, y compris des cas difficiles à repérer à l’œil à cette échelle. En trois semaines, 53 % des cas ont été résolus en traitant d’abord les plus critiques, avec un à deux experts mobilisés une demi-journée à une journée par semaine. Les experts métier ont tranché chaque cas ; K-AI a préparé le diagnostic et indiqué vers quel expert orienter chacun. C’est le geste que demande la colonne « à relire » de la matrice : savoir qui doit relire chaque preuve.

La frontière de cette preuve doit être dite. Elle établit qu’un corpus en production, relu et publié, peut porter une part significative de contenus à corriger, et qu’un traitement priorisé reste soutenable avec des ressources limitées. Elle ne porte pas sur des contrôles internes et ne mesure pas la part des documents devenus faux par un changement extérieur. La matrice à deux dates sert à instruire cette question chez vous.

Ce que la DKP ajoute, et où elle s’arrête

Une Document Knowledge Platform (DKP) est la couche de qualité et de gouvernance documentaire qui s’exécute en amont des systèmes d’IA : elle gouverne le patrimoine (Govern), détecte et traite anomalies, doublons, obsolescences et contradictions (Clean), puis n’active le corpus auprès des agents qu’une fois ces deux étapes tenues (Activate). Elle ne remplace ni la plateforme de gouvernance, de risque et de conformité, ni le plan de contrôle des agents, ni la GED. Elle ne se vend pas comme un outil GRC et n’a pas vocation à figurer dans un appel d’offres de cette catégorie. Cette position ne dépend ni du calendrier des éditeurs ni de celui des régulateurs : la couche documentaire précède le moteur.

Son unité de travail est ce que le document cite : un service, un outil, un texte. La date du référent vient d’abord de sources que vous tenez déjà, notes d’organisation, journaux de mise en production, textes consolidés. Ce qu’une DKP ajoute est le relevé inverse : pour une entité qui a changé, la liste des documents du patrimoine qui la citent encore sous son ancienne forme, pour qu’une réorganisation n’oublie pas les procédures qui décrivaient l’organisation précédente.

K-AI répond de ce repérage, de sa reproductibilité et du routage de chaque document vers l’expert qui peut le relire. L’attestation d’efficacité d’un contrôle reste au contrôle interne et aux auditeurs ; la décision de réécrire une procédure reste au métier. Sur le plan technique, l’analyse porte uniquement sur les contenus documentaires désignés, dans un périmètre d’ingestion contractuel ; les journaux d’usage et la télémétrie restent dans vos outils. Aucune donnée n’est réutilisée pour entraîner des modèles.

Et si vous ne faites rien

Le statu quo a un résultat prévisible. Les contrôles resteront au vert tant que leurs preuves ne bougent pas, et l’automatisation renforcera cette confiance en la réévaluant plus souvent. La question de l’auditeur arrivera quand même, à un moment que vous n’aurez pas choisi.

Conclusion : auditer, nettoyer, surveiller

Auditer : pour trois contrôles déclarés efficaces, mettre côte à côte la date de la preuve et la date de ce qu’elle décrit. Nettoyer : relire les preuves dont le référent a changé depuis, et les faire réécrire par le métier. Surveiller : faire de la seconde date une colonne permanente de la matrice des contrôles, mise à jour à chaque campagne.

À l’audit suivant, la responsable du contrôle interne ne cherchera plus la réponse dans la salle. Elle ouvrira la matrice à la ligne du référencement des fournisseurs, où la réorganisation est datée, la procédure relue et le contrôle reconfirmé.

Foire aux questions

Qu’est-ce qu’une preuve de conformité obsolète ?

C’est un document qui justifie un contrôle et qui ne décrit plus la réalité : il cite un service fusionné, un outil remplacé ou un texte modifié. Le document lui-même est resté identique pendant que ce qu’il décrit bougeait.

Un outil GRC qui réévalue les contrôles en continu suffit-il ?

Il réévalue un contrôle quand sa preuve change, ce qui est un progrès réel sur la revue annuelle. Une preuve devenue fausse sans être modifiée ne déclenche pas ce mécanisme ; il faut une seconde date, celle du dernier changement de ce que le document décrit.

La revue annuelle des politiques ne règle-t-elle pas le problème ?

Elle fait relire le texte par son rédacteur, qui en vérifie la cohérence. Elle ne vérifie pas que le service, l’outil ou le texte cités existent encore sous cette forme, sauf si on lui donne la date de leur dernier changement.

Où trouver la date du dernier changement d’un référent ?

Dans les notes d’organisation pour une réorganisation, dans le journal de mise en production pour un outil, dans la version consolidée d’un texte pour une référence réglementaire. Si aucune source ne la donne, ce manque est le premier écart à traiter.

Pourquoi la question concerne-t-elle l’IA ?

Parce que les agents d’évaluation de la conformité et les assistants internes lisent les mêmes politiques et procédures que les auditeurs. Un humain peut corriger une procédure périmée par son expérience ; un agent l’applique telle qu’elle est écrite.

Quel est le cadre de confidentialité d’un examen du patrimoine documentaire ?

Le périmètre d’ingestion est contractuel et limité aux contenus documentaires désignés, à l’exclusion des journaux d’usage et de la télémétrie. Aucune donnée n’est réutilisée pour entraîner des modèles. Le périmètre est validé conjointement par le Document Owner métier et le RSSI ou le DPO, jamais par la seule DSI.

Sources

• Collibra — Collibra acquires trail ML to automate AI governance from policy to production, communiqué du 5 octobre 2026 — agents qui analysent les preuves et évaluent les contrôles ; « As supporting evidence changes, assessments can be triggered again » ; passage d’évaluations ponctuelles à une vue continue.
• CDO Magazine — Collibra Acquisition Pushes AI Governance Toward Continuous Control, 6 octobre 2026 — lecture du rachat pour les CDO ; seuls les éléments du communiqué primaire sont repris dans le corps.
• Cloudaware Compliance Policies — ISO/IEC 27001:2013, A.5.1.2 Review of the policies for information security — libellé de la mesure : « reviewed at planned intervals or if significant changes occur ». Texte normatif payant, relu via ce référentiel.
• NQA — ISO 27002:2017 to ISO 27002:2022 mapping tool (PDF) — les mesures 5.1.1 et 5.1.2 regroupées dans la mesure 5.1 « Policies for information security ».
• K-AI — page clients et RETEX TotalEnergies Retail Power & Gas — ~500 pages, 19 % à corriger, 53 % des cas résolus en trois semaines.

---

Pour aller plus loin

K-AI Corpus Diagnostic — 10 jours ouvrés, rapport complet des 20 anomalies les plus critiques de votre référentiel documentaire, garantie remboursement si aucune anomalie valable n’est détectée. Un échange d’une heure peut partir de quelques lignes de votre matrice des contrôles : on regarde ensemble quels documents de preuve citent encore un service, un outil ou un texte sous une forme qui a changé, et vers quel expert orienter chacun. Contactez l’équipe K-AI : contact@k-ai.ai. Le périmètre de chaque diagnostic est validé conjointement par le Document Owner métier et le RSSI/DPO, jamais par la seule DSI.

K-AI accompagne déjà CMA CGM, Veolia, PwC, BNP Paribas, TotalEnergies et CEVA Logistics. Partenaires : AWS, Snowflake, Microsoft, Wavestone, Devoteam.