Comment Acuna GRC montre-t-il la préparation aux audits ?

Quel que soit le référentiel, un auditeur pose trois questions. L’exigence est-elle couverte par une pratique qui existe ? Le contrôle qui la vérifie a-t-il fonctionné, et une preuve couvre-t-elle la période examinée ? Lorsque quelque chose a échoué, a-t-on consigné, corrigé et vérifié ?

Les normes le disent explicitement. ISO/IEC 27001:2022 impose de maîtriser les informations documentées (article 7.5), de conduire les audits internes selon un programme d’audit dont les résultats sont conservés (article 9.2), et de consigner les non-conformités et les actions correctives avec leurs résultats (article 10.2). Un rapport SOC 2 Type II porte une opinion sur l’efficacité du fonctionnement des contrôles tout au long d’une période : une preuve d’un seul jour ne suffit pas.

Être prêt, c’est donc pouvoir répondre à ces questions pour chaque exigence du périmètre, avant que l’auditeur ne les pose.

Un pourcentage saisi à la main cache précisément ce que l’auditeur trouvera : le contrôle qui a cessé de tourner, les enregistrements hors période, l’action corrective mise en œuvre mais jamais vérifiée. Faire la moyenne des points forts et des points faibles en un seul chiffre fait disparaître les seconds.

Acuna GRC montre la préparation à travers des valeurs qu’il calcule et qui se retracent :

• La santé de chaque contrôle, mesure et exigence, remontée selon la règle du plus faible, pour qu’un échec ne soit pas compensé par une réussite ailleurs. Voir comment fonctionne la santé des contrôles.
• Les KPI de conformité du tableau de bord Assure. Un seuil de conformité indique combien d’éléments sont conformes sur le total, et un clic sur une valeur ouvre la liste correspondante.
• Les enregistrements derrière chaque contrôle, regroupés par période d’audit.

Un widget fondé sur des enregistrements que votre profil d’accès masque est masqué plutôt que mal compté : un chiffre n’affirme jamais plus que ce que vous pouvez voir.

1. Planifiez l’audit dans un programme, avec son type (Internal, External ou Certification), sa date prévue, l’auditeur principal et l’audité, et reliez les exigences, mesures et documents concernés.

2. Fixez Period from et Period to. La section Records regroupe les enregistrements reliés en In period, Undated et Other periods, sans rien masquer.

3. Utilisez le filtre de périmètre global pour limiter tableaux et tableaux de bord à l’entité, au site ou à l’unité auditée, et restreignez les KPI de conformité au référentiel et à ses domaines.

4. Vérifiez la santé des exigences du périmètre, et ouvrez l’onglet Health de tout contrôle en mauvaise santé pour voir quel élément est défaillant.

5. Passez en revue les constats et actions correctives ouverts, ainsi que les exceptions acceptées et leurs échéances.

6. Générez un rapport à partir d’un modèle pour la période et les périmètres. Chaque génération est conservée comme instantané.

Ce que l’audit relève est ensuite consigné en constats reliés à l’audit et à l’exigence ou au contrôle concerné, chacun avec une action corrective à vérifier avant clôture. Voir l’espace de travail Assure.

• Des enregistrements non datés, impossibles à placer dans la période d’audit.
• Des contrôles sans calendrier, jamais dus et donc jamais en échec.
• Des documents dont la revue annuelle est dépassée, ce qui dégrade la dimension documentation des mesures qu’ils soutiennent.
• Des actions correctives marquées mises en œuvre mais jamais vérifiées.
• Des exceptions dont la date Valid until est passée, ou des lacunes acceptées de façon informelle, sans exception du tout.
• Des preuves rassemblées la dernière semaine avant l’audit au lieu de l’être au fil du travail. Voir comment fonctionne le cycle de vie des preuves.