Une cartographie des preuves relie chaque exigence à des preuves actuelles, un responsable et une méthode de vérification de la mise en œuvre. Ce n’est pas une liste de fichiers de politique.
Champs minimaux
Consigner code de l’exigence, responsable, identifiant, version ou date, emplacement, période, population, restrictions d’accès et question d’audit à laquelle la preuve répond.
Séparer preuves de conception, mise en œuvre et résultat
Une procédure montre la conception ; un dossier échantillonné montre qu’une action a eu lieu ; observation ou entretien vérifient pratique et compréhension ; les données indiquent si le contrôle peut être efficace. Une bonne cartographie explicite ces fonctions.
Faire apparaître les écarts avant soumission
Classer les preuves comme actuelles, partielles, manquantes, inaccessibles ou non testées. Ne pas créer de dossiers rétroactifs ; identifier la faiblesse, corriger le processus et laisser s’accumuler des preuves suffisantes.