CERT-C14-E · Expert en gouvernance de la cybersécurité d'un parc de sites

Référentiel de certification · version 2026.1

1. Domaine d'application

Cette certification atteste que son titulaire sait définir une politique de cybersécurité applicable à un ensemble d'installations de sûreté réparties sur plusieurs sites, arbitrer entre ce qui est souhaitable et ce qui est finançable, la faire appliquer par des intervenants qu'il ne commande pas, en piloter l'exécution dans la durée, et la défendre devant une direction.

Par parc, on entend un ensemble d'au moins cinq sites relevant d'un même donneur d'ordre, dont les installations de vidéoprotection, de contrôle d'accès et de détection d'intrusion ont été posées à des dates différentes, par des entreprises différentes, et sont maintenues par des contrats différents. C'est cette hétérogénéité qui fait le métier. Sur un site unique et homogène, la question ne se pose pas dans les mêmes termes.

Elle se distingue de la certification d'auditeur sur un point qui commande tout le reste. L'auditeur constate un état et le rapporte. L'expert en gouvernance décide, engage l'organisation qui l'emploie ou le mandate, et répond de ses arbitrages. Un candidat qui produit un constat excellent mais ne tranche pas ne satisfait pas à ce référentiel.

Elle ne couvre pas la conduite technique d'un audit d'installation, qui relève du référentiel CERT-C12-A, ni la réponse à un incident en cours, qui relève d'un autre sujet du catalogue. Elle ne confère aucune habilitation réglementaire et ne vaut pas désignation comme responsable de la sécurité des systèmes d'information de l'organisation.

Le public visé est le responsable technique multi-sites, le responsable sûreté d'un groupe, le directeur d'exploitation d'un parc immobilier, et le consultant qui accompagne une direction dans la reprise en main d'installations disparates.

2. Analyse du métier

2.1 Sur quoi cette analyse repose

Trois sources, qu'il faut distinguer parce qu'elles n'ont pas le même poids.

Des programmes de mise à niveau conduits sur des parcs réels. C'est la source première : elle donne les tâches, leur ordre et le temps qu'elles prennent.

Les raisons pour lesquelles ces programmes s'arrêtent avant leur terme. Ce sont les plus instructives, et elles sont presque toujours les mêmes : un inventaire qui ne tient pas, un budget arbitré en cours de route, un mainteneur qui n'était engagé sur rien, ou un pilote qui a changé de poste sans que le programme survive à son départ.

Les écarts constatés entre la politique écrite et la pratique des sites. Ils disent ce qu'une règle devient quand elle arrive sur un site qui n'a ni le temps ni les moyens de l'appliquer.

L'analyse est datée et sera revue tous les deux ans. Ce qui change vite ici n'est pas la technique mais la manière dont les parcs sont tenus : externalisation de l'exploitation, raccourcissement des durées de support des équipements, arrivée d'exigences contractuelles imposées par les assureurs et par les donneurs d'ordre.

2.2 Les huit tâches du métier

La criticité exprime les conséquences d'une exécution défaillante, jamais la difficulté. Les fréquences ne sont pas celles d'un métier de mission : la gouvernance d'un parc est une activité continue, et c'est ce qui la sépare de l'audit.

2.3 La fréquence déclarée et la fréquence réelle

Trois tâches sont annoncées comme périodiques et ne le sont presque jamais.

La mise à jour annuelle de l'inventaire n'a pas lieu : l'inventaire est fait une fois, au lancement, et vieillit de tout ce que le parc gagne et perd ensuite. La révision annuelle du socle n'a pas lieu non plus, alors que c'est elle qui permettrait de relever une exigence devenue facile ou d'abaisser une exigence qu'aucun site n'atteint. Le pilotage trimestriel se réduit à un tableau que personne ne lit, parce qu'il mesure l'activité du programme et non l'état du parc.

Elles ont un point commun : chacune n'a de sens que dans la durée, et rien ne se voit le trimestre où elle est abandonnée. C'est la raison pour laquelle ce référentiel les vérifie, alors qu'une épreuve de six heures ne peut pas observer la durée.

Deux tâches, à l'inverse, sont plus fréquentes que ne le dit le tableau. La relation avec un mainteneur défaillant occupe en pratique une part importante du temps du titulaire, et le maintien du financement se rejoue à chaque exercice budgétaire, pas seulement aux deux revues annoncées.

2.4 Quatre enseignements qui gouvernent le référentiel

Le premier est que l'on ne gouverne que ce que l'on peut atteindre. La question déterminante n'est pas l'état de sécurité d'un équipement, mais l'existence d'un chemin contractuel ou technique permettant d'agir dessus. Un plan qui suppose une action sur un équipement hors de portée n'est pas un plan.

Le deuxième est qu'un socle exigeant et inapplicable protège moins qu'un socle modeste et tenu. La valeur d'une règle se mesure au taux de sites qui l'appliquent réellement, pas à son niveau d'ambition.

Le troisième est que la dérogation n'est pas un échec mais un instrument. Un dispositif qui n'en prévoit pas fabrique des sites clandestins, qui cessent de remonter l'information dès qu'ils savent ne pas pouvoir se conformer.

Le quatrième est que gouverner, c'est renoncer par écrit. Un budget ne couvre jamais l'ensemble des écarts d'un parc hétérogène ; ce qui distingue le titulaire d'un bon analyste est qu'il nomme ce qu'il ne fera pas, fait acter le risque accepté au bon niveau, et n'en laisse pas la découverte au premier incident. C'est ce qui fonde le poids donné à la soutenance et la règle d'ajournement du paragraphe 6.

3. Référentiel de compétences

Domaine G1 · Établir la situation réelle du parc

G1.1 Dresser l'inventaire des installations à l'échelle du parc. Réussi si l'inventaire couvre chaque site, distingue les équipements identifiés de ceux qui restent à identifier, et si le candidat exprime son degré de complétude au lieu de le présenter comme exhaustif.

Ce qu'elle produit : Un inventaire site par site distinguant les équipements identifiés de ceux qui restent à identifier, assorti d'un degré de complétude exprimé et daté.

Ce qui la fait échouer : Présenter l'inventaire comme exhaustif. Un inventaire annoncé complet ne sera plus jamais repris, et tout ce qui a été manqué le restera pour la durée du programme.

G1.2 Établir la chaîne de détention et de responsabilité. Réussi si le candidat désigne, pour chaque site, qui possède l'équipement, qui l'exploite, qui le maintient et qui peut techniquement en modifier la configuration, et s'il distingue ces quatre rôles quand ils sont tenus par des entités différentes.

Ce qu'elle produit : Pour chaque site, la désignation de qui possède, qui exploite, qui maintient et qui peut techniquement modifier la configuration, ces quatre rôles étant distingués quand ils relèvent d'entités différentes.

Ce qui la fait échouer : Confondre le mainteneur et celui qui détient les accès administrateurs. Ce sont rarement les mêmes, et c'est le second qui décide de ce qui peut être fait.

G1.3 Qualifier le degré de maîtrise. Réussi si chaque équipement est classé selon que l'organisation peut agir dessus directement, par un contrat existant, par un contrat à renégocier, ou pas du tout, et si cette classification précède toute proposition d'action.

Ce qu'elle produit : Un classement de chaque équipement selon que l'organisation peut agir dessus directement, par un contrat existant, par un contrat à renégocier, ou pas du tout.

Ce qui la fait échouer : Produire ce classement après le plan d'action. Il le conditionne : établi ensuite, il ne sert qu'à constater que le plan était inapplicable.

G1.4 Caractériser l'hétérogénéité et ses conséquences. Réussi si le candidat identifie les générations d'équipements, les fins de support annoncées et les incompatibilités, et s'il en tire ce qui ne pourra jamais être aligné et devra être remplacé ou isolé.

Ce qu'elle produit : Le relevé des générations d'équipements, des fins de support annoncées et des incompatibilités, avec ce qui ne pourra jamais être aligné et devra être remplacé ou isolé.

Ce qui la fait échouer : Traiter la fin de support comme une échéance lointaine. Un équipement sans support ne se met pas à niveau : il change de statut le jour de l'annonce, pas le jour de l'arrêt.

Domaine G2 · Définir la politique

G2.1 Écrire un socle minimal exigible et applicable. Réussi si le socle tient en un nombre de règles que le candidat peut justifier, si chaque règle est vérifiable sans interprétation, et si le candidat démontre pour chacune qu'une majorité de sites peut l'atteindre dans le délai annoncé.

Ce qu'elle produit : Un socle tenant en un nombre de règles justifié, chaque règle étant vérifiable sans interprétation, avec la démonstration qu'une majorité de sites peut l'atteindre dans le délai annoncé.

Ce qui la fait échouer : Reprendre un référentiel de bonnes pratiques comme socle. Il compte des centaines de mesures, aucun site ne les tient, et la première année se passe à expliquer qu'on ne les applique pas.

G2.2 Différencier les exigences selon l'enjeu du site. Réussi si les sites sont classés selon un critère explicite et défendable, et si l'exigence supplémentaire portée par les sites les plus sensibles est nommée et bornée.

Ce qu'elle produit : Un classement des sites selon un critère explicite et défendable, avec l'exigence supplémentaire des sites les plus sensibles nommée et bornée.

Ce qui la fait échouer : Classer par chiffre d'affaires ou par taille. Ce qui fait la sensibilité d'un site est ce qu'on y perd et qui y entre, pas ce qu'il produit.

G2.3 Organiser la voie de dérogation. Réussi si la dérogation a un demandeur, un décideur, une durée maximale, une mesure compensatoire exigée et une date de réexamen, et si le candidat prévoit ce qui se passe à l'échéance.

Ce qu'elle produit : Une dérogation portant un demandeur, un décideur, une durée maximale, une mesure compensatoire exigée, une date de réexamen, et ce qui se passe à l'échéance.

Ce qui la fait échouer : Accorder une dérogation sans terme. Une dérogation permanente est une modification du socle qui n'a pas dit son nom, et elle s'étend de site en site.

G2.4 Fixer la règle applicable aux installations nouvelles. Réussi si le candidat distingue ce qu'il exige des installations existantes de ce qu'il exige des installations à venir, et s'il refuse d'aligner les secondes sur les premières.

Ce qu'elle produit : Deux jeux d'exigences distincts, l'un pour les installations existantes, l'autre pour les installations à venir, le second n'étant jamais aligné sur le premier.

Ce qui la fait échouer : N'écrire qu'un socle unique. Le parc se renouvelle pendant le programme, et chaque installation neuve reçue au niveau de l'existant ajoute dix ans de dette.

G2.5 Rendre la politique intelligible par ceux qui l'appliquent. Réussi si le document destiné aux sites se lit sans connaissance préalable, dit ce qu'il faut faire et non ce qu'il faut savoir, et si le candidat sait dire qui, sur un site, en est le destinataire.

Ce qu'elle produit : Un document destiné aux sites qui se lit sans connaissance préalable, dit ce qu'il faut faire et non ce qu'il faut savoir, et nomme son destinataire sur le site.

Ce qui la fait échouer : Diffuser la politique complète à tout le monde. Le responsable d'un site reçoit quarante pages écrites pour une direction et n'y trouve pas les six gestes qui le concernent.

Domaine G3 · Arbitrer et séquencer

G3.1 Hiérarchiser les écarts par leur conséquence. Réussi si la hiérarchie repose sur ce qu'un écart permet à un attaquant ou coûte à l'exploitant, et non sur la facilité de la correction ni sur le nombre d'équipements concernés.

Ce qu'elle produit : Une hiérarchie fondée sur ce que chaque écart permet à un attaquant ou coûte à l'exploitant, motivée écart par écart.

Ce qui la fait échouer : Hiérarchiser par le nombre d'équipements concernés. Un écart présent sur trente sites mineurs pèse moins qu'un écart unique sur le site qui abrite l'essentiel.

G3.2 Construire un plan pluriannuel séquencé. Réussi si le plan tient compte des dépendances techniques, des échéances contractuelles et des fenêtres d'intervention possibles sur des sites en exploitation, et si chaque étape produit un résultat mesurable avant la suivante.

Ce qu'elle produit : Un plan pluriannuel tenant compte des dépendances techniques, des échéances contractuelles et des fenêtres d'intervention sur des sites en exploitation, chaque étape produisant un résultat mesurable avant la suivante.

Ce qui la fait échouer : Séquencer par gravité décroissante sans regarder les échéances des contrats. Une action qui suppose un contrat renégocié dans dix-huit mois ne se fera pas cette année, quelle que soit sa place.

G3.3 Chiffrer et défendre un budget. Réussi si chaque poste porte un ordre de grandeur assorti de son fondement, si l'incertitude est exprimée, et si le candidat sait dire ce qui est perdu à chaque tranche non financée.

Ce qu'elle produit : Un budget dont chaque poste porte un ordre de grandeur et son fondement, avec l'incertitude exprimée et ce qui est perdu à chaque tranche non financée.

Ce qui la fait échouer : Chiffrer au centime. Une précision que rien ne fonde discrédite l'ensemble, alors qu'une fourchette assumée et motivée se défend devant une direction.

G3.4 Assumer un arbitrage défavorable. Réussi si le candidat, placé devant un refus de financement, propose une trajectoire dégradée cohérente, nomme le risque accepté, et fait acter cette acceptation par écrit au bon niveau.

Ce qu'elle produit : Une trajectoire dégradée cohérente, le risque accepté nommé, et l'acceptation actée par écrit au bon niveau de l'organisation.

Ce qui la fait échouer : Accepter la réduction sans rien écrire. Le risque accepté par oral redevient, le jour de l'incident, une défaillance du titulaire.

G3.5 Décider ce qui n'est pas fait. Réussi si le plan comporte une liste explicite des actions écartées et de la raison de leur écartement. Un plan sans renoncement écrit est réputé non arbitré.

Ce qu'elle produit : Une liste explicite des actions écartées, chacune avec la raison de son écartement. Un plan sans renoncement écrit est réputé non arbitré.

Ce qui la fait échouer : Reporter à la tranche suivante ce qu'on renonce à faire. Un report indéfini n'est pas un arbitrage, il empêche seulement la direction de savoir ce qu'elle accepte.

Domaine G4 · Faire appliquer par des tiers

G4.1 Traduire les exigences en clauses. Réussi si les exigences du socle se retrouvent en clauses opposables dans les marchés de travaux et de maintenance, avec leur mode de preuve et la conséquence de leur inexécution.

Ce qu'elle produit : Des clauses opposables reprises dans les marchés de travaux et de maintenance, chacune avec son mode de preuve et la conséquence de son inexécution.

Ce qui la fait échouer : Annexer la politique au contrat sans clause. Un document annexé sans obligation ni sanction n'engage personne, et le mainteneur a raison de le dire.

G4.2 Définir la recette de sécurité d'une installation neuve. Réussi si le candidat fixe ce qui est vérifié avant réception, par qui, sur pièces ou sur site, et ce qui bloque la réception.

Ce qu'elle produit : Une recette de sécurité fixant ce qui est vérifié avant réception, par qui, sur pièces ou sur site, et ce qui bloque la réception.

Ce qui la fait échouer : Prévoir des vérifications sans point bloquant. Une réception qui se prononce malgré les réserves laisse à l'exploitant une installation qu'il devra corriger à ses frais.

G4.3 Organiser la remise et la reprise d'une installation. Réussi si le candidat exige le dossier, les accès administrateurs, les configurations et le retrait des accès de l'intervenant sortant, et s'il fixe ce qui se passe quand ces éléments ne sont pas remis.

Ce qu'elle produit : La remise exigée du dossier, des accès administrateurs et des configurations, le retrait des accès de l'intervenant sortant, et ce qui se passe si ces éléments ne sont pas remis.

Ce qui la fait échouer : Organiser la remise sans prévoir le défaut de remise. C'est au moment où un prestataire part fâché que les accès ne reviennent pas, et c'est le seul moment qui compte.

G4.4 Conduire la relation avec un mainteneur défaillant. Réussi si le candidat s'appuie sur des constats datés, actionne les leviers du contrat dans l'ordre, et distingue ce qui relève de la relation commerciale de ce qui relève du risque à traiter sans délai.

Ce qu'elle produit : Des constats datés, les leviers du contrat actionnés dans l'ordre, et la séparation entre ce qui relève de la relation commerciale et ce qui relève du risque à traiter sans délai.

Ce qui la fait échouer : Suspendre le traitement d'un risque le temps de régler le différend commercial. Les deux calendriers n'ont rien à voir, et le second ne doit jamais retarder le premier.

Domaine G5 · Piloter dans la durée

G5.1 Choisir des indicateurs qui décrivent l'état réel. Réussi si chaque indicateur a une source vérifiable, une périodicité, un responsable, et si le candidat écarte explicitement les indicateurs flatteurs qui ne mesurent que l'activité.

Ce qu'elle produit : Des indicateurs portant chacun une source vérifiable, une périodicité et un responsable, avec l'écartement explicite des indicateurs qui ne mesurent que l'activité.

Ce qui la fait échouer : Suivre le nombre d'actions réalisées. Il monte quoi qu'il arrive, il ne redescend jamais, et il ne dit rien de l'état du parc.

G5.2 Organiser la remontée d'information depuis les sites. Réussi si le circuit tient compte du fait que le déclarant est aussi celui que la déclaration expose, et si le candidat prévoit ce qui rend la déclaration possible sans sanction immédiate.

Ce qu'elle produit : Un circuit de remontée qui tient compte du fait que le déclarant est aussi celui que la déclaration expose, avec ce qui rend la déclaration possible sans sanction immédiate.

Ce qui la fait échouer : Faire remonter l'information par la voie hiérarchique seule. Un responsable de site ne déclare pas à son supérieur un écart dont il répond.

G5.3 Exploiter un incident comme source de révision. Réussi si le candidat tire d'un incident une modification de la politique ou du plan, et non un rappel à l'ordre, et s'il vérifie que la cause identifiée n'est pas seulement l'erreur du dernier intervenant.

Ce qu'elle produit : Une modification de la politique ou du plan tirée de l'incident, avec la vérification que la cause retenue ne se réduit pas à l'erreur du dernier intervenant.

Ce qui la fait échouer : Conclure à l'erreur humaine. Elle est toujours vraie et ne sert à rien : la question est ce qui a permis que cette erreur produise cet effet.

G5.4 Conduire une revue périodique et la conclure par des décisions. Réussi si la revue produit des décisions datées et attribuées, et si le candidat distingue ce qui est constaté de ce qui est décidé.

Ce qu'elle produit : Un relevé de revue produisant des décisions datées et attribuées, où ce qui est constaté est séparé de ce qui est décidé.

Ce qui la fait échouer : Conclure la revue sur un tour de table. Une revue qui ne produit aucune décision attribuée déplace le sujet au trimestre suivant, indéfiniment.

Domaine G6 · Rendre compte et faire décider

G6.1 Présenter une situation de sécurité à une direction non technique. Réussi si l'exposé tient dans le temps imparti, s'ouvre sur la décision demandée, et si chaque élément technique est traduit en conséquence pour l'organisation.

Ce qu'elle produit : Un exposé tenant dans le temps imparti, ouvrant sur la décision demandée, où chaque élément technique est traduit en conséquence pour l'organisation.

Ce qui la fait échouer : Commencer par l'état des lieux. Une direction qui n'a pas su en trois minutes ce qu'on lui demande écoute la suite sans savoir quoi en faire.

G6.2 Soutenir un arbitrage contesté. Réussi si le candidat revient au fait établi, reconnaît la part d'incertitude de son analyse, et ne cède pas sur un constat pour obtenir un accord.

Ce qu'elle produit : Un arbitrage soutenu par le retour au fait établi, la part d'incertitude reconnue, et aucun constat cédé pour obtenir un accord.

Ce qui la fait échouer : Céder sur un constat pour obtenir le budget. Le budget obtenu ainsi finance un plan que le constat abandonné rendra insuffisant.

G6.3 Reconnaître et énoncer les limites de son analyse. Réussi si le candidat dit ce qu'il n'a pas pu établir, pourquoi, et ce qu'il faudrait pour l'établir.

Ce qu'elle produit : L'énoncé de ce qui n'a pas pu être établi, pourquoi, et ce qu'il faudrait pour l'établir.

Ce qui la fait échouer : Combler un blanc par une hypothèse vraisemblable. Un blanc annoncé protège la décision ; un blanc comblé la fausse sans que personne le sache.

4. Prérequis

4.1 Ce qui est exigé

Trois ans de pratique professionnelle sur des installations de sûreté ou dans la conduite de programmes techniques multi-sites, ou deux années accompagnées d'une certification de niveau Praticien du même domaine.

La maîtrise des notions de réseau nécessaires à la compréhension d'une architecture répartie, à savoir adressage, segmentation, filtrage et accès distants.

La capacité à lire un contrat de maintenance et un marché de travaux, et à y repérer ce qui est exigible. Ce prérequis n'existe sur aucune autre certification du catalogue, et il est ici déterminant : c'est par le contrat que la politique devient opposable, et un candidat qui ne sait pas lire une clause ne peut pas en écrire une.

Aucune formation particulière n'est exigée. Le candidat qui possède ces acquis par la pratique se présente directement. Cette règle est ferme : conditionner l'accès à l'examen au suivi de la formation du même éditeur ruinerait la valeur du certificat et contreviendrait aux règles admises en matière de certification de personnes.

4.2 Comment la pratique se prouve

Par des attestations d'employeur ou de donneur d'ordre nommant le périmètre exercé et la nature des décisions prises. Une fiche de poste ne suffit pas : elle décrit un emploi, pas une pratique.

L'attestation doit établir une pratique de décision et non seulement une contribution technique. Un candidat qui a instruit des dossiers sans jamais arbitrer ne satisfait pas au prérequis de ce niveau, quelle que soit la durée de sa pratique.

Le licencié qui inscrit un candidat conserve ces pièces et les tient à disposition. Il ne les transmet pas au concepteur, qui n'a pas à détenir les dossiers individuels des candidats d'un licencié.

La faculté d'admettre un candidat proche du seuil, ouverte sur les certifications d'auditeur, ne l'est pas ici. Le niveau Expert se définit par une pratique de décision, qui s'atteint ou ne s'atteint pas ; l'apprécier à la marge reviendrait à supprimer la distinction entre les deux niveaux du catalogue.

4.3 Passerelles avec les autres certifications du catalogue

Une certification voisine dispense d'un prérequis, jamais d'une épreuve. Dispenser d'une épreuve reviendrait à délivrer un certificat sur la foi d'un autre, alors qu'aucun des deux n'a évalué la même chose.

Les passerelles sont ici plus étroites que sur les certifications d'auditeur, et c'est la conséquence directe du niveau.

Le sens inverse est en revanche largement ouvert : le titulaire de cette certification voit son prérequis d'expérience réputé satisfait sur les trois certifications d'auditeur du catalogue. Une pratique de gouvernance couvre l'expérience attendue d'un auditeur, l'inverse n'est pas vrai.

5. Code de conduite

Le titulaire n'engage l'organisation qui l'emploie ou le mandate que dans les limites du mandat qu'il a reçu, et fait préciser ce mandat lorsqu'il est ambigu.

Il n'exploite ni ne divulgue les informations recueillies sur l'état de sécurité d'un parc, dont il sait qu'elles constituent une cartographie de vulnérabilités.

Il ne présente pas comme établi ce qu'il a supposé, et distingue toujours le constat de l'estimation.

Il refuse une mission lorsqu'il est en situation de conflit d'intérêts, notamment lorsqu'il a un intérêt dans une entreprise candidate aux travaux qu'il prescrit.

Il ne se prévaut pas de sa certification pour laisser croire à une habilitation ou à une désignation qu'il ne détient pas.

Le manquement à ce code entraîne la suspension ou le retrait du certificat.

6. Plan d'examen

L'examen dure six heures, réparties sur une journée.

La répartition diffère de celle des certifications d'auditeur du catalogue, et c'est délibéré. Le niveau Expert se définit par la capacité à arbitrer et à défendre devant une direction. Une épreuve orale pesant vingt pour cent ne permettrait pas de la vérifier. Le poids de l'oral est donc porté à trente pour cent, celui du questionnaire ramené à quinze, la part de la connaissance restant en tout état de cause très inférieure au tiers que le cadre commun autorise au maximum.

Le questionnaire compte trente questions à choix unique, corrigées automatiquement.

L'étude de cas remet au candidat le dossier d'un parc réel anonymisé comprenant la liste des sites, un inventaire partiel volontairement incomplet, trois contrats de maintenance aux périmètres différents, deux rapports d'audit antérieurs contradictoires, une enveloppe budgétaire insuffisante pour tout traiter, et un courriel de direction fixant une échéance. Le candidat produit quatre pièces : la qualification du parc et de son degré de maîtrise, le socle minimal proposé avec sa voie de dérogation, le plan pluriannuel chiffré et séquencé, et la liste écrite de ce qu'il renonce à faire.

Le dossier comporte au moins trois contraintes obligatoires : un ensemble d'équipements sur lesquels l'organisation n'a aucun moyen d'action contractuel, une famille d'équipements dont le support est arrêté et qui ne peut donc pas être mise à niveau, et un budget qui ne couvre pas l'ensemble des écarts graves.

La soutenance se tient devant deux examinateurs dont l'un joue la direction non technique. Le candidat dispose de quinze minutes pour présenter la décision qu'il demande, puis répond pendant quarante-cinq minutes. Le jury conteste au moins un arbitrage et annonce au moins une réduction de budget en séance.

Le seuil de réussite est de soixante-dix pour cent sur l'ensemble. Une note inférieure à cinquante pour cent sur l'étude de cas est éliminatoire, quelle que soit la moyenne.

Un candidat dont le plan prescrit une action sur les équipements hors de portée contractuelle sans avoir identifié le chemin permettant de les atteindre est ajourné, quelle que soit la qualité du reste. Cette règle traduit le premier enseignement du paragraphe 2 : on ne gouverne que ce que l'on peut atteindre, et un plan qui l'ignore consomme un budget sans produire d'effet.

7. Délivrance, refus, suspension et retrait

Le certificat est délivré par le concepteur, sur décision prise au vu du dossier complet et jamais par un examinateur seul.

Le refus est motivé par écrit, compétence par compétence, et ouvre droit à un recours dans les trente jours, examiné par une personne n'ayant pas participé à la décision initiale.

Le certificat est suspendu en cas de manquement au code de conduite, le temps de l'instruction, et retiré si le manquement est établi. Le retrait est notifié par écrit et motivé.

Un candidat ajourné se représente après trois mois. Il ne repasse que les épreuves échouées, dans la limite de dix-huit mois après la première présentation. La soutenance ne peut être repassée seule qu'une fois.

8. Maintien et renouvellement

8.1 Durée et demande

Le certificat vaut trois ans à compter de sa date de délivrance.

Le renouvellement se demande dans les six mois qui précèdent l'échéance. Une demande déposée après l'échéance n'est pas un renouvellement : le titulaire repasse l'examen complet, soutenance comprise.

8.2 Ce qu'il faut justifier

Une responsabilité effective exercée pendant la période sur un parc d'au moins cinq sites, attestée par l'employeur ou par les donneurs d'ordre.

Le critère n'est pas le nombre de missions mais la continuité. Ce référentiel vérifie une pratique de durée : trois audits ponctuels sur trois ans ne valent pas la conduite d'un programme, et ne sont pas recevables au titre du renouvellement.

L'attestation nomme le périmètre, la période et la nature des arbitrages rendus, jamais l'état de sécurité du parc. Une attestation qui décrirait les écarts du parc violerait le code de conduite du titulaire.

Un titulaire qui a exercé sur un parc de moins de cinq sites, ou qui n'a pas exercé pendant la période, demande son renouvellement en le motivant. Le concepteur peut alors le soumettre à la soutenance seule plutôt qu'à l'examen complet, sur décision écrite et motivée. Cette voie est bornée : elle ne s'ouvre qu'une fois pour un même titulaire.

8.3 L'épreuve de mise à jour

Deux heures, en trois parties.

Un questionnaire de vingt questions sur les évolutions du cadre applicable et de l'état de la technique depuis la délivrance : exigences nouvelles portées par les assureurs et les donneurs d'ordre, familles d'équipements dont le support s'est arrêté, modes d'exploitation apparus.

Une étude de cas courte, sur un dossier d'une heure, posant un arbitrage sous contrainte budgétaire que le référentiel d'origine ne traitait pas. C'est la partie qui pèse le plus, et elle demande toujours un renoncement écrit.

Un retour du titulaire sur un programme qu'il a conduit pendant la période : ce qui a été tenu, ce qui ne l'a pas été, et pourquoi. Cette partie ne se note pas sur le résultat du programme mais sur la lucidité du retour. Un titulaire qui présente un programme sans écart n'est pas crédité, il est interrogé davantage.

Le seuil de réussite est de soixante pour cent. Un échec ouvre une seconde présentation dans les six mois, sans repasser l'examen complet ; un second échec y renvoie.

8.4 Absence de surveillance intermédiaire

Aucune surveillance intermédiaire n'est prévue entre deux renouvellements. Ce choix est délibéré : une surveillance annoncée et non tenue vaut moins que l'absence de surveillance.

Il connaît une exception. Un signalement écrit et motivé mettant en cause un titulaire au regard du code de conduite ouvre une instruction, qui peut conduire à la suspension puis au retrait. Le titulaire est entendu avant toute décision.

Ce référentiel appelle une précision que les autres n'appellent pas. Le titulaire engage l'organisation qui l'emploie ou le mandate ; un désaccord sur un arbitrage, même vif, n'est pas un manquement au code de conduite et n'ouvre aucune instruction. Ce qui l'ouvre est la divulgation de l'état de sécurité d'un parc, la présentation comme établi de ce qui a été supposé, ou l'intérêt non déclaré dans une entreprise candidate aux travaux prescrits.