Ce qu'est une piste d'audit
La piste d'audit (*audit trail*) enregistre les événements qui affectent une étude et ses données. Un enregistrement utile comporte au minimum cinq éléments : l'auteur, l'action, l'objet, l'horodatage, et — pour une modification — la valeur avant et après.
Sa fonction n'est pas la surveillance des personnes. Elle est de permettre, des mois plus tard, de répondre à une question précise : « cette valeur a-t-elle changé depuis le gel, et si oui, pourquoi ? » Sans journal, cette question n'a pas de réponse ; avec un journal modifiable, elle en a une qui ne prouve rien.
Ce qu'elle doit couvrir
- La création et la modification de toute valeur de données.
- Les changements de structure : ajout, retrait ou redéfinition d'une variable.
- Les changements d'état de l'étude : verrouillage du protocole, gel de la base, réouverture.
- Les accès et les exports, avec leur périmètre.
- Les décisions humaines qui tranchent une ambiguïté, avec leur justification.
ALCOA+ : le critère de référence
L'acronyme ALCOA, étendu en ALCOA+, résume les propriétés attendues d'une donnée dans un cadre de bonnes pratiques. Il ne s'agit pas d'une norme au sens strict mais d'une grille largement reprise, y compris hors du domaine réglementé.
| Propriété | Ce qu'elle exige | Ce qui la met en défaut |
|---|---|---|
| Attribuable | On sait qui a produit la donnée | Un compte partagé entre plusieurs personnes |
| Lisible | La donnée reste lisible dans la durée | Un format propriétaire abandonné |
| Contemporaine | Elle est enregistrée au moment du fait | Une saisie rétrospective non signalée |
| Originale | On accède à la source, pas à une recopie | Une valeur retapée depuis un tirage papier |
| Accurate — exacte | Elle correspond à ce qui a été observé | Une conversion d'unité non tracée |
| + Complète | Rien n'a été retiré en silence | Une ligne supprimée sans trace |
| + Cohérente | L'ordre des événements est préservé | Des horodatages qui se contredisent |
| + Durable | Elle survit au projet | Un fichier sur le poste d'un interne parti |
| + Disponible | Elle peut être produite sur demande | Un export impossible sans le prestataire |
Pourquoi un journal modifiable ne prouve rien
C'est le point que la plupart des discussions manquent. Un journal est un enregistrement de plus dans le système. Si celui qui peut modifier une donnée peut aussi modifier la ligne de journal qui décrit cette modification, alors le journal ne démontre rien : il documente seulement les modifications que son auteur a bien voulu laisser.
Le remède classique en informatique est le chaînage par empreintes. Chaque événement du journal est scellé par une empreinte cryptographique qui prend en compte le contenu de l'événement et l'empreinte du précédent. Les événements forment alors une chaîne : modifier une entrée passée change son empreinte, donc rompt la correspondance avec toutes les suivantes.
C'est la différence entre « nous n'avons rien modifié » — une affirmation — et « voici une chaîne intacte » — une vérification.
Concevoir une piste d'audit utile
Enregistrer le motif, pas seulement le fait
Un journal qui dit « valeur modifiée de 12 à 14 » est complet et inutile. Un journal qui dit « valeur modifiée de 12 à 14 — relecture du compte rendu du 3 mars, le score initial avait été saisi depuis le mauvais bilan » répond à la question que quelqu'un posera.
Distinguer la correction de la mise à jour
Corriger une erreur de saisie et enregistrer une nouvelle mesure sont deux actes différents qui produisent le même changement de valeur. Les confondre rend le journal illisible au moment où il servirait.
Ne pas journaliser les données elles-mêmes
Un journal qui recopie les identifiants directs des patients à chaque événement crée une seconde base de données personnelles, souvent moins protégée que la première. La bonne granularité est l'identifiant interne de l'enregistrement, pas son contenu nominatif.
Rendre la vérification accessible
Une chaîne qui ne peut être vérifiée que par son éditeur ne vaut guère mieux qu'une affirmation. La vérification doit être exposée à l'utilisateur, et son résultat lisible sans compétence cryptographique.
Comment AnzarSeha traite le sujet
Le journal d'AnzarSeha est chaîné par empreintes : chaque événement est scellé par l'empreinte du précédent, et l'état de la chaîne est affiché comme un état de l'étude, pas comme une option d'administration.
- Chaque action porte son auteur, son horodatage, son objet et, pour les décisions, sa justification écrite.
- Le verrouillage du protocole et le gel de la base sont des événements du journal, datés et signés.
- Rouvrir une base gelée exige un motif, conservé — la réouverture n'est pas interdite, elle est coûteuse en traces.
- L'intégrité de la chaîne est recalculée et affichée ; une rupture se voit sans avoir à la chercher.
- Le journal accompagne l'export, de sorte que le destinataire du jeu reçoit aussi son histoire.
Ce que la piste d'audit ne fait pas
- Elle ne valide pas la donnée : voir la qualité des données.
- Elle ne dit pas d'où vient une valeur, seulement ce qui lui est arrivé : voir la provenance.
- Elle ne remplace pas une sauvegarde : un journal intact d'une base perdue ne restitue rien.
- Elle ne confère aucune conformité en elle-même. Aucun journal ne rend une étude conforme ; il rend seulement vérifiable ce qui a été fait.
Questions fréquentes
Faut-il une piste d'audit pour une étude rétrospective sur dossiers ?
Rien ne l'impose réglementairement hors cadre d'essai. Elle reste utile pour une raison pratique : une étude rétrospective se construit par allers-retours entre le dossier et la base, et c'est précisément là que les valeurs changent sans qu'on s'en souvienne.
Une piste d'audit suffit-elle à rendre une étude conforme au RGPD ?
Non. La journalisation des accès est l'une des mesures attendues, mais la conformité repose aussi sur la base légale du traitement, la minimisation, l'information des personnes et la durée de conservation. Le journal en est un élément, pas la preuve.
Que se passe-t-il si la chaîne se rompt ?
La rupture s'affiche et désigne le maillon concerné. Elle ne détruit pas les données : elle signale qu'un événement passé ne correspond plus à ce qui avait été scellé, et que l'écart doit être expliqué avant toute publication.
Un tableur peut-il tenir une piste d'audit ?
L'historique de version d'un tableur en ligne enregistre les changements, ce qui est déjà quelque chose. Il ne porte ni motif, ni distinction entre correction et mise à jour, ni scellement — et il est modifiable par qui peut modifier le fichier. Voir la comparaison avec le tableur.