Maturité ISO 28000 · Sécurité de la chaîne d’approvisionnement

ISO 28000 définit les exigences d’un système de management de la sécurité pour la chaîne d’approvisionnement. La version 2022 a aligné la norme sur la structure haut niveau commune aux normes ISO de management : contexte de l’organisation, leadership, planification, support, réalisation des activités, évaluation des performances, amélioration. Elle couvre la sécurité des flux physiques et informationnels, l’appréciation des risques de sécurité, les mesures de protection, la gestion des partenaires et sous-traitants, et la capacité à maintenir les opérations en cas d’événement. Elle est certifiable par un organisme accrédité.

En pratique, la difficulté n’est pas de comprendre les exigences mais de savoir où l’on se situe sur un périmètre qui échappe largement au contrôle direct. Les appréciations de risques de sécurité couvrent-elles l’ensemble des maillons, ou seulement les sites que l’on exploite en propre ? Les exigences de sécurité figurent-elles dans les contrats fournisseurs, et sont-elles vérifiées autrement que par déclaration ? Les incidents de transport, de manutention ou d’accès aux données logistiques remontent-ils dans un dispositif unique, ou restent-ils traités localement ?

Un point de contexte mérite d’être précisé, parce qu’il structure les projets actuels : la sécurité de la chaîne d’approvisionnement s’est déplacée vers le numérique. Les systèmes de gestion des transports, les échanges de données avec les transitaires, les plateformes de traçabilité et les objets connectés embarqués font désormais partie du périmètre de sécurité au même titre que les scellés et les zones d’accès restreint. ISO 28000 est fréquemment confondue avec ISO 28001, qui porte sur les bonnes pratiques et les critères applicables aux opérateurs de la chaîne logistique internationale, ou rabattue sur les programmes douaniers de type OEA. Ce sont des dispositifs distincts, qui se recoupent sans se substituer.

Le diagnostic de maturité répond à une autre question que l’audit de certification. L’audit conclut par une conformité ou un écart sur une exigence donnée. Le diagnostic situe chaque pratique sur une échelle progressive, en cinq niveaux inspirés de la méthode CMMI, et indique l’action qui fait passer au niveau suivant. Datamensio mesure la maturité et prépare l’audit, il ne délivre aucun certificat. C’est ce positionnement qui permet de démarrer avant d’être prêt, et de piloter la progression entre deux cycles d’audit.

Dans Datamensio, le référentiel est prêt à l’emploi et reste le vôtre. L’IA ajuste les thématiques, les questions et la formulation des niveaux à votre secteur et à votre périmètre, ou construit une déclinaison à partir de vos propres documents : politique de sûreté, cartographie des flux, cahier des charges transport. Vous pouvez évaluer plusieurs business units, comparer leurs scores et consolider une feuille de route transversale.