Quelle est la différence entre une preuve de conformité et une certification de conformité ?

Une certification ou une attestation est délivrée par une partie indépendante de l'organisation et qualifiée pour l'évaluer. L'évaluateur définit un périmètre, teste les contrôles par rapport à une norme sur une période, puis délivre un rapport ou un certificat. Seul cet évaluateur peut affirmer que l'organisation respecte la norme, et uniquement pour ce périmètre et cette période.

Un éditeur d'outils n'est pas dans cette position. Un produit de surveillance peut produire d'excellents enregistrements, mais il ne peut pas certifier ses clients, et un fournisseur qui prétend rendre ses clients conformes exagère ce qu'il vend.

Une preuve est utile pour un auditeur lorsqu'elle est complète, datée, attribuable et inviolable. Complète signifie que les échecs sont enregistrés aussi clairement que les réussites. Datée signifie que chaque enregistrement porte un horodatage fiable. Attribuable signifie qu'il est clair quel système l'a produit. Inviolable signifie que tout changement ultérieur peut être détecté.

Une signature numérique sur une forme canonique de chaque enregistrement est un moyen pratique de répondre à cette dernière exigence. Quiconque possède la clé publique peut vérifier que l'enregistrement correspond exactement à ce que le système a signé, sans avoir à faire confiance au tableau de bord du fournisseur.

Les preuves doivent aussi exister au moment où l'on en a besoin. Un évaluateur examine généralement une période, pas une seule journée, donc les enregistrements doivent être conservés au moins pendant cette période et récupérables sans interruption. Pour Compliance Evidence Pro, la durée de conservation du dossier de preuves est fixée par contrat plutôt que par une valeur par défaut.

Un résumé assisté par l'IA peut faire gagner du temps aux relecteurs en regroupant les incidents, en décrivant les tendances et en suggérant des actions de suivi. Il devient un risque lorsqu'il produit des chiffres ou présente des conclusions comme des faits. La règle sûre est que chaque chiffre provient de données déterministes, et que chaque affirmation est étiquetée comme un fait ou comme une inférence.

Compliance Evidence Pro est un module complémentaire de Monitor OTP/SMS et ne peut pas être utilisé seul. Il regroupe les exécutions du produit de base dans un manifeste de preuves signé (Ed25519 sur JSON canonique, avec un identifiant de clé), des hachages vérifiables, un rapport mensuel, un résumé des incidents, des tendances et des exceptions. Le rapport porte sa signature et son identifiant de clé et peut être vérifié avec le vérificateur public.

Un résumé exécutif assisté par l'IA classe les incidents et propose des recommandations, en marquant chaque affirmation comme FAIT ou INFÉRENCE. L'IA n'invente jamais de métriques : chaque chiffre provient des données déterministes du produit de base, et un résumé sans cette distinction n'est pas publié.

Compliance Evidence Pro ne remplace pas un conseil juridique ni une évaluation indépendante, et Witnio ne prétend rendre aucun client conforme à un quelconque référentiel. Il produit des preuves qui peuvent appuyer vos propres contrôles et le travail de votre auditeur.