Les termes clés de la conformité, définis.

L’assistant IA d’Acuna destiné aux équipes GRC. Il propose et rédige au sein de la plateforme (mises en correspondance, documentation et réponses en langage clair sur l’état du programme), tandis qu’un humain relit et valide chaque résultat.

Une analyse, exigée par l’article 35 du RGPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes, qui démontre la nécessité et la proportionnalité du traitement et décrit les garanties qui protègent les personnes concernées. Elle est réalisée avant la mise en œuvre du traitement.

L’analyse qui identifie les fonctions critiques d’une organisation et l’impact opérationnel et financier de leur interruption, afin de fixer les priorités de reprise. C’est le socle d’un plan de continuité d’activité.

Un planning des obligations de conformité récurrentes, des vérifications de contrôles, des revues et des échéances qu’une organisation doit respecter, afin que rien ne soit négligé entre deux audits. Il fait de la conformité un rythme entretenu plutôt qu’une course ponctuelle.

Les critères de l’AICPA au regard desquels un examen SOC 2 évalue les contrôles : la sécurité (critères communs, toujours inclus), complétée selon les besoins par la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée. Ils constituent l’étalon de mesure d’un rapport SOC 2.

Le document d’un programme ISO 27001 qui recense les mesures de l’annexe A, indique celles qui s’appliquent et celles qui sont exclues, et justifie chaque décision. Il fait le lien entre l’appréciation des risques de l’organisation et les mesures qu’elle met en œuvre.

Le règlement européen qui impose aux entités financières et à leurs prestataires TIC critiques de gérer le risque lié aux TIC, de notifier les incidents majeurs, de tester leur résilience opérationnelle et de maîtriser le risque lié aux tiers. Il s’applique directement dans toute l’UE depuis le 17 janvier 2025.

Le contrat, exigé par l’article 28 du RGPD, conclu entre un responsable du traitement et un sous-traitant qui traite des données personnelles pour son compte. Il doit imposer au sous-traitant des obligations précises, notamment n’agir que sur instruction documentée, assurer la sécurité, encadrer le recours à des sous-traitants ultérieurs et aider à la gestion des droits des personnes concernées.

Une demande par laquelle une personne exerce ses droits sur ses données personnelles au titre du RGPD, le plus souvent pour en obtenir une copie. Le responsable du traitement doit y répondre dans les meilleurs délais et dans le délai légal, qui peut être prolongé pour les demandes complexes ou nombreuses.

La classification, par NIS2, des organisations qu’elle couvre. Les deux catégories sont soumises aux mêmes obligations de fond ; la différence tient à la supervision : les entités essentielles font l’objet d’un contrôle proactif et de plafonds de sanctions plus élevés, les entités importantes d’un contrôle a posteriori.

La discipline qui consiste à piloter la gouvernance, la gestion des risques et la conformité réglementaire d’une organisation de manière coordonnée plutôt qu’en silos distincts. Une plateforme GRC relie les référentiels, les risques, les contrôles et les preuves que ces fonctions partagent.

L’une des six bases légales de traitement des données personnelles prévues par le RGPD, invoquée lorsque le traitement est nécessaire aux intérêts poursuivis par le responsable du traitement ou par un tiers et que ces intérêts ne prévalent pas sur les droits de la personne concernée. Y recourir suppose une mise en balance documentée.

La norme internationale relative au système de management de la sécurité de l’information (SMSI). La certification est délivrée par un organisme accrédité au regard des exigences de la norme et des mesures de son annexe A, et elle est reconnue dans le monde entier.

La norme internationale relative au système de management de l’intelligence artificielle (SMIA), qui définit comment une organisation encadre de manière responsable le développement et l’utilisation de l’IA. C’est le pendant d’ISO 27001 pour la gouvernance de l’IA.

Le principe du RGPD selon lequel les données personnelles collectées et traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité. En pratique, il s’agit de ne pas collecter ni conserver de données dont vous n’avez pas besoin.

La pratique qui consiste à relier un même contrôle aux exigences des différents référentiels qu’il satisfait, afin que les preuves soient produites une seule fois et réutilisées d’un référentiel à l’autre au lieu d’être dupliquées. C’est ce qui permet à un seul programme de contrôles de couvrir à la fois le RGPD, ISO 27001, SOC 2 et d’autres référentiels.

La directive européenne qui impose des obligations de gestion des risques de cybersécurité et de notification des incidents aux entités essentielles et importantes d’un large éventail de secteurs. En tant que directive, elle s’applique par la transposition nationale de chaque État membre, et non directement.

Un enregistrement chronologique, qui rend toute altération détectable, de qui a fait quoi et quand dans un système ou un processus. En matière de conformité, c’est la preuve qu’un contrôle a fonctionné comme prévu, que les auditeurs échantillonnent pour en confirmer l’efficacité.

Le plan documenté qui précise comment l’organisation traitera chaque risque identifié, en le réduisant, en le transférant, en l’acceptant ou en l’évitant, avec des responsables et des échéances. Il consigne les décisions qui découlent de l’appréciation des risques.

Une approche du contrôle d’accès dans laquelle les droits sont attribués à des rôles plutôt qu’à des individus, chacun obtenant ainsi les accès correspondant à son rôle. Elle facilite l’attribution des accès, l’authentification et les revues périodiques qu’exigent les référentiels de sécurité.

Le registre, exigé par l’article 28 de DORA, qui recense l’ensemble des accords contractuels d’une entité financière portant sur des services TIC. Il doit être tenu à jour, au niveau de l’entité et, le cas échéant, au niveau du groupe, et mis à la disposition de l’autorité compétente sur demande.

Le règlement européen qui encadre la manière dont les organisations collectent, utilisent et protègent les données personnelles des personnes situées dans l’UE et l’EEE. Il fixe des obligations de licéité des traitements, de respect des droits des personnes concernées et de responsabilité, et s’applique aussi aux organisations établies hors de l’UE qui traitent des données de résidents européens.

Le registre, exigé par l’article 30 du RGPD, qui documente la manière dont une organisation traite les données personnelles : finalité de chaque activité, catégories de données et de personnes concernées, destinataires, transferts, durées de conservation et mesures de sécurité. Responsables du traitement et sous-traitants doivent en tenir un et le communiquer à l’autorité de contrôle sur demande.

Les trois indicateurs de délai de la continuité d’activité. Le RTO indique en combien de temps une fonction doit être rétablie ; le RPO, la perte de données tolérable, exprimée en durée ; la MTPD, la durée maximale pendant laquelle une fonction peut être interrompue avant que les dommages ne deviennent inacceptables.

L’ensemble documenté de politiques, de processus et de mesures par lequel une organisation gère la sécurité de l’information de manière systématique et fondée sur les risques. C’est le système de management que certifie ISO 27001.

Un référentiel d’attestation de l’AICPA dans le cadre duquel un cabinet d’expertise comptable indépendant (CPA) examine les contrôles d’une organisation de services au regard des critères des services de confiance (TSC), puis émet un rapport. Contrairement à une certification, il aboutit à un rapport confidentiel, largement exigé par les grandes entreprises clientes, en particulier sur le marché américain.

La fonctionnalité de gestion des risques liés aux tiers d’Acuna. Elle tient le registre des fournisseurs et prestataires, mène des campagnes d’évaluation et surveille la posture de sécurité externe ; elle rend opérationnels le registre TIC de DORA et les exigences de NIS2 et d’ISO 27001 relatives à la chaîne d’approvisionnement.

Un test de sécurité encadré au cours duquel des testeurs tentent d’exploiter les failles des systèmes comme le ferait un attaquant, afin de les identifier et de les corriger avant qu’un véritable attaquant ne le fasse. Au titre de DORA, les entités financières importantes en réalisent une forme avancée, fondée sur le renseignement sur la menace (TLPT).

L’analyse menée au titre du chapitre V du RGPD avant de transférer des données personnelles vers un pays hors de l’UE ou de l’EEE qui ne bénéficie pas d’une décision d’adéquation. Depuis l’arrêt Schrems II, elle évalue si le pays de destination offre une protection essentiellement équivalente et quelles mesures supplémentaires le transfert nécessite.

Le test de résilience avancé que DORA impose aux entités financières importantes : une simulation, fondée sur le renseignement, du comportement de véritables acteurs de la menace contre des systèmes de production en conditions réelles, menée par des testeurs qualifiés et s’appuyant sur le cadre TIBER-EU.

La démarche qui consiste à identifier, évaluer et surveiller les risques qu’introduisent les fournisseurs et prestataires, sur les plans de la sécurité, financier et opérationnel. Elle couvre les vérifications préalables avant l’intégration d’un fournisseur, puis sa surveillance continue.