CMMC Lite — inventaire des actifs, référentiel des 110 exigences, évaluation et POA&M (gratuit)

Guide utilisateur — CMMC, édition gratuite

Ce guide décrit le code et les vues Odoo 19 lus le 27 septembre 2026. Il prépare un dossier interne ; il ne prouve pas une évaluation officielle.

1. Donner les droits

Dans Paramètres → Utilisateurs, faites attribuer le groupe adapté :

Les réponses sont accessibles aux évaluateurs et responsables : réservez ces droits aux personnes habilitées à lire les preuves. Les dossiers sont filtrés par sociétés autorisées. Un droit d'administration technique ne remplace pas un groupe métier.

2. Créer le périmètre

CMMC → Périmètres d'évaluation → Nouveau, avec le responsable du programme. Saisissez le nom, ce qui est inclus ou exclu, le niveau visé et le responsable. Recopiez les codes CAGE, l'UEI, le CMMC UID et le statut uniquement quand vous disposez de leur justificatif. Le module vérifie le format de l'UID et la cohérence niveau/statut, sans interroger SPRS.

La CMMC Status Date sert de point de départ au calcul d'échéance du POA&M. En son absence, aucune échéance de clôture n'est inventée. Le niveau 3 est possible sur le périmètre, mais son évaluation n'est pas prise en charge.

3. Inventorier les actifs

CMMC → Inventaire des actifs → Nouveau, ou bouton Actifs du périmètre. Renseignez le type, la référence, le responsable et l'emplacement. Le nom d'un responsable extérieur à Odoo peut être saisi dans le champ prévu.

Déclarez séparément si l'actif traite, stocke ou transmet du FCI (information contractuelle fédérale) ou du CUI (information non classifiée contrôlée). La portée affichée résume ces cases ; aucune détection technique n'est faite. Les signalements « Sans responsable » et « Sans emplacement » repèrent les informations non renseignées.

4. Évaluer et documenter

CMMC → Évaluations → Toutes les évaluations → Nouveau. Choisissez le périmètre, le niveau évalué, le type d'évaluation, la date et l'évaluateur. Un libellé C3PAO ou DIBCAC saisi ne prouve pas l'intervention de cet organisme.

1. Enregistrez, puis cliquez Engendrer les réponses. Le bouton ajoute les exigences du niveau qui n'ont pas encore de ligne, sans attribuer de verdict.
2. Ouvrez Réponses, ou Évaluations → Réponses aux exigences.
3. Saisissez le verdict Satisfaite (Met), Non satisfaite (Not Met) ou Sans objet (Not Applicable), le texte de preuve, la date et l'auteur du constat. Ajoutez les justificatifs au fil de discussion de la réponse.
4. Pour une exigence offrant un crédit partiel, renseignez le détail réellement constaté. Le module refuse ce détail sur les autres exigences.
5. Relisez toutes les lignes et leurs pièces avant d'utiliser les chiffres.

Attention aux compteurs actuels. « Exigences répondues » compte les lignes existantes, même sans verdict ; « Sans réponse » est le nombre d'exigences du référentiel moins ce nombre de lignes. Après génération, il peut donc afficher zéro alors que tous les verdicts restent vides. Au niveau 1, l'absence de Not Met peut produire Met sans dossier complet. Ces affichages ne constituent pas une validation.

Au niveau 2, le score est le nombre d'exigences actives du niveau moins les points retranchés par les réponses. Le ratio divise ce score par ce nombre. La table de référence et les réglages de société influencent donc les résultats. Le compteur « Sans preuve rattachée » de l'évaluation regarde le texte de preuve ; celui de chaque réponse regarde aussi ses pièces jointes. Relisez les deux, sans assimiler présence et qualité d'une preuve.

5. Tenir le plan d'action et jalons

CMMC → Plan d'action et jalons → Nouveau. Rattachez le périmètre, l'évaluation et l'exigence ; décrivez la tâche, les ressources et les jalons. Fixez un responsable et une clôture prévue.

L'échéance calculée utilise la date de statut du périmètre et le délai de société. Les constats signalent les restrictions associées à l'exigence et les dépassements connus du calcul ; ils ne décident pas de l'acceptation du POA&M. Une entrée de niveau 1 peut servir de plan interne, sans devenir un POA&M réglementaire autorisé. Clore renseigne la clôture réelle si elle est vide.

6. Relire et clore l'évaluation

Clore passe l'évaluation à l'état « Close » ; Rouvrir permet de revenir en cours. Le code ne vérifie pas l'exhaustivité des verdicts lors de cette action. La clôture empêche la génération de nouvelles réponses par le bouton, mais n'est pas une garantie de gel de toutes les données ou des calculs.

Faites contrôler le dossier avant toute reprise dans un système officiel. L'affirmation et la décision d'attribution restent extérieures au module.

7. Réglages et édition complète

Les réglages CMMC de société sont exposés dans Paramètres. Ils distinguent ratio, délai de clôture, bornes d'outil SPRS et plancher optionnel du score. Le plancher est désactivé à la livraison : aucun minimum ne doit être déduit d'une simple valeur de champ. Le relevé historique décrit les sources et les valeurs non établies ; n'en changez une qu'avec sa justification.

Le premium ajoute calendrier et relances, SSP imprimable, sous-traitants, incidents et export pour reprise manuelle ; le lite n'appelle aucun portail. Le connecteur premium SPRS est inactif et non éprouvé en production. Voir le guide du premium.

8. Sources et portée de ce guide

Sources consultées le 27 septembre 2026 : programme CMMC, 32 CFR partie 170 et publication NIST révision 2. Le code livre la révision 2 incorporée au programme ; la publication NIST indique qu'une révision 3 lui succède. Vérifiez la version applicable au dossier, sans remplacer un référentiel à partir de son seul numéro de publication.

Le registre de vérification conserve les relevés antérieurs et les réserves sur les valeurs. Non éprouvé en production