La déclaration d'applicabilité (SoA)

Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 12 minutes

À quoi sert la SoA

La Déclaration d’applicabilité (Statement of Applicability, SoA — exigence 6.1.3 d) liste les 93 contrôles de l’annexe A et indique, pour chacun :

s’il est applicable ou non ;
pourquoi (risque, exigence légale ou contractuelle, bonne pratique) ;
s’il est mis en œuvre (entièrement, partiellement, pas encore) ;
et, si un contrôle est exclu, la justification de l’exclusion.

C’est le document que l’auditeur de certification aura en permanence sous les yeux. Chaque ligne « applicable et mis en œuvre » doit pouvoir être démontrée par une preuve.

💡 La SoA est le pont entre la gestion des risques (pourquoi) et les contrôles (comment). Un contrôle sans justification est suspect ; un risque élevé sans contrôle associé l’est aussi.

Structure recommandée

Colonne	Contenu
Réf.	Numéro du contrôle de l’annexe A (ex. A.8.5)
Intitulé	Nom du contrôle
Applicable	Oui / Non
Justification	Risques (R-xx), exigences (REG-xx, GRP-xx, CTR-xx), bonne pratique
Statut	Mis en œuvre / Partiel / Planifié
Description de la mise en œuvre	Ce qui est fait chez nous, en une ou deux phrases
Documents / preuves	Politique, procédure, enregistrements
Propriétaire	Qui répond du contrôle

Extrait de la SoA de KamaPay

Contrôles organisationnels (thème 5)

Réf.	Intitulé	App.	Justification	Statut	Mise en œuvre chez KamaPay	Preuves
A.5.1	Politiques de sécurité de l’information	✅	Base du SMSI, GRP	✅	Politique v1.0 signée, 12 politiques thématiques déclinées du groupe	Politiques signées, accusés de lecture
A.5.2	Rôles et responsabilités	✅	Base du SMSI	✅	RACI SMSI, fiches de poste	RACI, fiches de poste
A.5.3	Séparation des tâches	✅	R-03, GRP-01 (SOX)	🟡	Quatre yeux sur opérations manuelles > seuil ; matrice des incompatibilités en cours	Matrice SoD, journaux de validation
A.5.7	Renseignement sur les menaces	✅	R-01, R-02, R-05	🟡	Veille hebdomadaire (CERT national, alertes secteur), partage avec l’anti-fraude	Bulletins de veille, fiches d’analyse
A.5.9	Inventaire des informations et des actifs	✅	Toutes les analyses de risques	✅	CMDB couvrant serveurs, applications, flux, fournisseurs	Extraction CMDB, revue trimestrielle
A.5.12	Classification des informations	✅	R-07	🟡	4 niveaux (Public, Interne, Confidentiel, Secret) ; KYC = Confidentiel	Politique de classification
A.5.14	Transfert des informations	✅	R-01, R-05	🟡	Accords d’échange avec l’opérateur et les banques	Conventions signées
A.5.15	Contrôle d’accès	✅	R-03, R-07, GRP-01	✅	Politique d’accès fondée sur les rôles	Politique, matrice des rôles
A.5.18	Droits d’accès	✅	R-03, GRP-01	✅	Revue trimestrielle des accès aux applications financières	Comptes rendus de revue signés
A.5.19	Sécurité de l’information dans les relations avec les fournisseurs	✅	R-08, R-04	🟡	Classement des fournisseurs par criticité, questionnaire sécurité	Registre fournisseurs, questionnaires
A.5.20	La sécurité dans les accords avec les fournisseurs	✅	R-05, R-08, CTR-01	🔴	Avenant sécurité type en cours de négociation avec l’éditeur	Modèle d’avenant
A.5.23	Sécurité des services en nuage	✅	Migration cloud partielle	🟡	Exigences cloud dans la politique fournisseurs	Politique, évaluation du fournisseur
A.5.24 – 5.28	Gestion des incidents (planification, évaluation, réponse, enseignements, preuves)	✅	R-10, REG-02, CTR-01	🟡	Processus du module 16, registre des incidents	Politique, registre, RETEX
A.5.29	Sécurité de l’information durant une perturbation	✅	R-06, REG-01	🟡	Mesures de sécurité maintenues en mode secours	PCA
A.5.30	Préparation des TIC pour la continuité d’activité	✅	R-06, REG-01	🔴	Bascule complète jamais testée → planifiée	Plan de tests
A.5.31	Exigences légales, réglementaires et contractuelles	✅	Toutes REG / CTR	✅	Registre de conformité (chapitre 2)	Registre, revues
A.5.34	Vie privée et protection des données personnelles	✅	REG-04, R-07	🟡	Registre des traitements, DPO nommé	Registre des traitements
A.5.35	Revue indépendante de la sécurité de l’information	✅	Base du SMSI, GRP	✅	Audit interne groupe annuel	Rapports d’audit

Contrôles liés aux personnes (thème 6)

Réf.	Intitulé	App.	Justification	Statut	Mise en œuvre	Preuves
A.6.1	Sélection des candidats	✅	R-03	✅	Vérification des antécédents pour les postes sensibles	Dossiers RH (attestation)
A.6.3	Sensibilisation, enseignement et formation	✅	R-02, R-03	🟡	Programme annuel salariés + agents + clients (chapitre 6)	Taux de complétion, résultats des simulations
A.6.7	Travail à distance	✅	Télétravail partiel	✅	VPN avec MFA, postes gérés	Politique, configuration

Contrôles physiques (thème 7)

Réf.	Intitulé	App.	Justification	Statut	Mise en œuvre	Preuves
A.7.1	Périmètres de sécurité physique	✅	R-06	✅	Centres de données avec zones et badges	Plans, journaux de badges
A.7.11	Services généraux (alimentation, climatisation)	✅	R-06, coupures électriques	✅	Onduleurs, groupes électrogènes testés mensuellement	Rapports de test

Contrôles technologiques (thème 8)

Réf.	Intitulé	App.	Justification	Statut	Mise en œuvre	Preuves
A.8.2	Droits d’accès privilégiés	✅	R-03, R-08, GRP-01	🟡	Bastion d’administration, MFA ; enregistrement des sessions planifié	Liste des comptes privilégiés, revues
A.8.5	Authentification sécurisée	✅	R-01, R-05	🟡	MFA interne ; authentification forte marchands en cours	Configuration, tests
A.8.8	Gestion des vulnérabilités techniques	✅	R-06, R-07	✅	Scans hebdomadaires, délai de correction selon criticité	Rapports de scan, indicateurs
A.8.12	Prévention de la fuite de données	✅	R-07	🔴	Outil de prévention des fuites prévu au budget	Cahier des charges
A.8.13	Sauvegarde des informations	✅	R-06, REG-03	✅	Sauvegardes quotidiennes, copie hors ligne, tests de restauration trimestriels	Rapports de restauration
A.8.15	Journalisation	✅	R-03, R-05, REG-02	✅	Journaux centralisés dans le SIEM, conservation conforme	Configuration, politique de conservation
A.8.16	Activités de surveillance	✅	R-01, R-03, R-04, R-05	🟡	SOC 24/7 ; règles métier anti-fraude à enrichir	Cas d’usage SIEM, rapports SOC
A.8.24	Utilisation de la cryptographie	✅	R-07, R-05	✅	Chiffrement des flux et des bases sensibles, modules matériels (HSM) pour les clés	Politique crypto, inventaire des clés
A.8.25	Cycle de développement sécurisé	✅	R-05, nouveaux services	🟡	Portes de validation sécurité (chapitre 4) ; analyse de code dans la CI	Rapports d’analyse, fiches projet
A.8.32	Gestion des changements	✅	GRP-01 (SOX), R-06	✅	CAB hebdomadaire avec avis sécurité	Tickets de changement

Légende statut : ✅ mis en œuvre · 🟡 partiel · 🔴 planifié

Exemple d’exclusion justifiée

KamaPay n’exclut que très peu de contrôles. Un exemple :

Réf.	Intitulé	App.	Justification de l’exclusion
A.8.30	Développement externalisé	❌	Aucun développement n’est sous-traité : l’éditeur de la plateforme livre un progiciel, encadré par A.5.19 à A.5.22 (fournisseurs). Exclusion à revoir si un développement spécifique est un jour confié à un tiers.

⚠️ Piège fréquent : exclure un contrôle parce qu’il est « difficile » ou « pas encore fait ». Une exclusion se justifie uniquement par l’absence de risque ou d’exigence. Un contrôle non encore mis en œuvre est applicable avec le statut « planifié » et apparaît dans le plan de traitement.

Les preuves : ce que l’auditeur demandera

Pour un contrôle comme A.5.18 — Droits d’accès, l’auditeur demande typiquement :

la procédure de revue des accès ;
un échantillon de comptes rendus de revue (par exemple les deux derniers trimestres) ;
la preuve que les écarts ont été corrigés (tickets de suppression de droits) ;
un test : il choisit un salarié parti récemment et vérifie que ses comptes sont désactivés.

C’est pourquoi la colonne « Preuves » de la SoA doit être remplie dès le départ.

Prochaine étape : Mise en œuvre opérationnelle →