Qui fait quoi — matrice RACI
R responsable de l’exécution · A approbateur, comptable du résultat · C consulté · I informé.
| Activité | Dév | DevSecOps | PSIRT | RSSI | Juridique | Produit | Achats | Direction |
|---|---|---|---|---|---|---|---|---|
| Qualification PDE | C | A/R | C | I | ||||
| Classification de criticité | R | A | C | I | ||||
| Choix de la voie d’évaluation | C | A/R | C | I | ||||
| Contractualisation d’un organisme notifié | C | R | I | C | A | |||
| Analyse de risques | C | C | C | A/R | C | C | I | |
| Génération du SBOM | R | A/R | I | C | I | |||
| Validation qualité du SBOM | R | R | A | I | ||||
| Politique de licences | I | C | C | A/R | C | C | I | |
| Traitement des exceptions de licence | R | C | C | A | C | |||
| Triage des vulnérabilités | C | R | A/R | C | I | I | ||
| Production des VEX | R | C | A | C | C | |||
| Décision de signaler | R | C | A | I | I | |||
| Rédaction et envoi du signalement | A/R | C | C | I | I | |||
| Relation avec les autorités | C | C | A/R | I | I | |||
| Constitution du dossier technique | C | C | C | R | A | C | I | |
| Signature de la déclaration UE | C | R | I | A | ||||
| Apposition du marquage CE | I | A/R | R | I | ||||
| Détermination de la période de support | C | C | R | R | C | A | ||
| Publication des avis de sécurité | C | A/R | C | C | I | |||
| Gestion de la politique CVD | A/R | C | C | I | I | |||
| Clauses fournisseurs | C | A/R | C | R | I | |||
| Archivage des preuves | R | C | A/R | I |
Lecture de la matrice
Trois principes en découlent.
Le juridique approuve, la cyber exécute — sauf sur le triage. La qualification technique d’une vulnérabilité relève du PSIRT, qui en est comptable. La décision de signaler relève du juridique. La frontière est nette et doit le rester.
La direction générale approuve trois choses seulement : l’engagement d’un organisme notifié, la période de support, et la signature de la déclaration. Ce sont les trois décisions qui engagent financièrement l’entreprise sur plusieurs années.
Personne n’est seul. Chaque ligne comporte au moins un consulté. Une activité sans consultation croisée est une activité qui produira un livrable inutilisable par l’aval.
Les trois arbitrages à trancher explicitement
Ils ne se déduisent pas de la matrice : ils doivent faire l’objet d’une décision écrite du comité.
1. Qui décide de signaler sous 24 heures, et qui décide en son absence ?
La réponse doit nommer une personne, un suppléant, et prévoir une délégation écrite. Un délai de 24 heures ne s’accommode pas d’une remontée hiérarchique le dimanche. Voir Obligations de signalement.
2. Qui a le droit de veto sur la mise sur le marché ?
Si personne ne peut bloquer une mise sur le marché, le dossier technique sera constitué après coup. La position recommandée : la direction juridique, sur la base de la liste de contrôle, avec possibilité de passer outre uniquement par une décision écrite de la direction générale — décision qui devient alors une pièce du registre des risques.
3. Qui arbitre entre corriger et documenter en VEX ?
Les deux sont défendables ; le coût et le risque diffèrent. La position recommandée : le PSIRT approuve le statut VEX, avec escalade au RSSI en cas de désaccord avec l’équipe produit, et information du juridique dès lors que la vulnérabilité est publique.
Ce qu’il faut écrire
La matrice ci-dessus, complétée avec des noms — fonction et personne, avec suppléant pour chaque rôle critique. Une matrice en fonctions génériques ne survit pas au premier départ ; une matrice nominative se met à jour, ce qui oblige à constater les vacances de poste.