Un responsable qualité d’un équipementier ferroviaire reçoit la notification d’un audit IRIS02. Le périmètre ne couvre plus seulement la conformité produit : l’auditeur demande des preuves de gestion de la cybersécurité embarquée et de la sûreté sur l’ensemble du cycle de vie.
Le directeur industriel découvre qu’il est aussi concerné. Le DSI également. Personne ne sait exactement qui porte la responsabilité de quoi. Ce scénario, de plus en plus fréquent depuis l’élargissement du référentiel IRIS02, pose un problème concret de gouvernance.
A lire en complément : Tout savoir sur la gravure au laser dans la garantie de la traçabilité des produits industriels
IRIS02 et périmètre élargi : ce qui change pour la direction
Le référentiel IRIS02 a dépassé le cadre strict de la qualité ferroviaire. Il intègre désormais des exigences liées à la sûreté, la cybersécurité et la performance sur tout le cycle de vie des produits. Pour un dirigeant, cela signifie que la conformité IRIS02 ne se règle plus dans le seul bureau du responsable qualité.
On touche ici à un changement de nature, pas simplement d’échelle. Le standard demande des preuves documentées sur des sujets qui relèvent traditionnellement de directions différentes : exploitation, systèmes d’information, sécurité industrielle. La coordination entre ces fonctions devient un livrable auditable.
A lire en complément : Quels sont les risques du portage salarial ?
Répartir la responsabilité d’IRIS02 entre directions : l’arbitrage clé
La question que les dirigeants ferroviaires doivent trancher rapidement : qui pilote IRIS02 en interne ? La direction qualité, parce qu’elle a l’historique du référentiel ? La direction des risques, parce que le périmètre couvre désormais la sûreté ? La DSI, parce que la cybersécurité embarquée fait partie du scope ?
En pratique, aucune de ces trois options ne fonctionne seule. IRIS02 impose un pilotage transversal avec un sponsor au niveau de la direction générale. Sans arbitrage clair, chaque direction traite sa partie du référentiel en silo, et l’audit révèle des zones grises que personne n’a couvertes.
Ce que le sponsor doit arbitrer concrètement
- La cartographie des exigences IRIS02 par direction responsable, avec identification des zones de recouvrement entre qualité, cybersécurité et sûreté.
- Le calendrier de revue croisée, pour que les preuves de conformité d’une direction soient accessibles et compréhensibles par les autres.
- La décision sur les outils documentaires communs, parce qu’un auditeur ne va pas chercher des preuves dans trois systèmes d’information différents.
- Le mécanisme d’escalade quand une non-conformité identifiée lors d’un audit touche plusieurs périmètres simultanément.
Les retours varient sur ce point selon la taille de l’entreprise et la maturité de son système de management. Une ETI équipementière n’a pas les mêmes ressources qu’un grand constructeur de matériel roulant pour mettre en place cette gouvernance.
Supply chain ferroviaire et audits IRIS02 : la responsabilité en cascade
L’élargissement du périmètre d’IRIS02 ne s’arrête pas aux murs de l’entreprise. La supply chain ferroviaire est directement concernée par les exigences de sûreté et de cybersécurité. Un composant embarqué fourni par un sous-traitant de rang deux peut devenir un point de défaillance si sa conformité n’a pas été vérifiée selon le référentiel.
Pour un dirigeant, cela implique de revoir les clauses contractuelles avec les fournisseurs. On ne parle plus seulement de spécifications techniques et de délais de livraison. Il faut intégrer des exigences IRIS02 dans les contrats d’approvisionnement, y compris sur des sujets que le fournisseur n’a peut-être jamais documentés.
Trois points de vigilance dans la relation fournisseur
Le premier concerne la capacité du fournisseur à produire les preuves demandées par IRIS02 sur la cybersécurité de ses composants. Beaucoup de sous-traitants de rang deux ou trois n’ont pas de processus formalisé sur ce sujet.
Le deuxième porte sur la traçabilité tout au long du cycle de vie. IRIS02 ne se limite pas à la livraison initiale : la maintenance, les mises à jour logicielles et le retrait de service font partie du périmètre. Le dirigeant doit s’assurer que cette traçabilité est contractuellement garantie.
Le troisième touche à la cohérence des audits. Si un donneur d’ordre audite un fournisseur sur IRIS02 avec des critères différents de ceux d’un autre client, le fournisseur se retrouve à gérer des exigences contradictoires. La coordination au niveau sectoriel reste un chantier ouvert.
IRIS02 et cybersécurité ferroviaire : un sujet de direction générale
La cybersécurité embarquée dans le matériel roulant n’est plus un sujet technique réservé aux ingénieurs. Avec IRIS02, elle devient un critère de conformité auditable au même titre que la résistance mécanique ou la fiabilité des freins. Ce changement de statut a des conséquences directes sur la responsabilité du dirigeant.
Un incident de cybersécurité sur un système embarqué peut entraîner des conséquences sur la sûreté des passagers. Le référentiel demande que le risque soit identifié, évalué et traité selon un processus documenté. La direction générale doit pouvoir démontrer qu’elle a alloué les ressources nécessaires et qu’elle supervise le dispositif.
Concrètement, cela passe par l’intégration de la cybersécurité dans le comité des risques (s’il existe) ou dans les revues de direction déjà en place. Un dirigeant qui délègue entièrement la cybersécurité IRIS02 à la DSI sans supervision prend un risque d’audit majeur.
Préparer un audit IRIS02 : ce qui se joue avant l’arrivée de l’auditeur
La préparation d’un audit IRIS02 dans sa version élargie ne ressemble plus à la préparation d’un audit qualité classique. L’auditeur va croiser les disciplines : il peut commencer par la documentation qualité produit, enchaîner sur les analyses de risques cybersécurité, puis vérifier la cohérence avec les processus de sûreté.
- Organiser une revue croisée entre directions au moins trois mois avant l’audit, pour identifier les incohérences documentaires.
- Vérifier que les preuves de conformité fournisseur sont accessibles et à jour, pas archivées dans un dossier que personne n’a ouvert depuis la livraison.
- Simuler un scénario d’incident (panne cyber sur un composant embarqué) pour tester la chaîne de responsabilité documentée.
L’enjeu pour le dirigeant n’est pas de tout savoir sur IRIS02, mais de s’assurer que l’organisation est capable de répondre de manière cohérente quand l’auditeur pose des questions transversales. Un référentiel qui couvre la qualité, la sûreté et la cybersécurité sur tout le cycle de vie exige une gouvernance qui fonctionne de la même manière : sans cloisonnement, avec des responsabilités nommées et un sponsor qui tranche quand les zones grises apparaissent.
