Comment fonctionne la gestion du cycle de vie des preuves dans une plateforme GRC ?

Quel que soit l’outil, une preuve passe par les mêmes étapes :

• La collecte : la preuve naît au moment où le travail est fait, avec une date et le nom de la personne qui l’a fait.
• Le rattachement : elle est reliée au contrôle, à la mesure ou à l’exigence qu’elle étaye, pour qu’on la retrouve depuis l’un comme depuis l’autre.
• La revue : avant un audit, quelqu’un vérifie qu’elle couvre la période examinée et que rien ne manque.
• L’utilisation : l’auditeur l’échantillonne, et les constats, actions correctives et exceptions y renvoient.
• Le renouvellement : la prochaine exécution du contrôle produit une preuve récente, et les anciens enregistrements restent comme historique.

ISO/IEC 27001 le demande sans parler de cycle de vie. La clause 7.5 impose de maîtriser les informations documentées, y compris leur version, leur approbation, leur disponibilité et leur conservation. La clause 9.1 impose de conserver les résultats de surveillance et de mesure, la clause 9.2 le programme et les résultats d’audit, et la clause 10.2 les non-conformités, les actions menées et leurs résultats. Voir quels documents ISO 27001 exige.

Acuna GRC appelle les preuves des enregistrements (records). Leurs références commencent toujours par EVD-, et un enregistrement reste inchangé une fois créé : il montre ce qui était vrai au moment de la collecte.

La plupart des enregistrements naissent du travail lui-même :

• Terminer une tâche, récurrente ou non, permet de relier ou de créer sur-le-champ un enregistrement typé et daté, et l’entrée d’achèvement indique qui a fait le travail. Voir comment fonctionnent les tâches récurrentes.
• Enregistrer une exécution de contrôle depuis My Actions fait de même.
• Une checklist, remplie et signée point par point sur un ordinateur ou un téléphone, crée automatiquement son enregistrement, avec un PDF de l’exécution signée.
• Les connecteurs alimentent les valeurs des contrôles et les mesures de KPI, et l’API peut enregistrer des exécutions de contrôle : les valeurs des services connectés arrivent datées.

Le reste s’ajoute dans le registre Records avec un nom, un type, une date de collecte et un responsable, puis des fichiers ou des liens. Un enregistrement sans l’un ni l’autre signale la lacune : une coquille vide ne passe pas pour une preuve.

Les enregistrements sont reliés aux contrôles, mesures, exigences, audits, constats, actions correctives et plans de traitement. Un auditeur suit ainsi la piste depuis une exigence jusqu’à la mesure qui la satisfait, au contrôle qui la vérifie et aux enregistrements qui montrent que le contrôle a été exécuté. Le registre se filtre par contrôle, mesure ou exigence reliés et par un filtre Collected à deux dates.

Pour chaque audit, vous fixez Period from et Period to. Sa section Records regroupe alors les enregistrements reliés en In period, Undated et Other periods, sans rien masquer : un enregistrement non daté apparaît comme tel au lieu d’être compté en silence. Ce que l’audit relève devient des constats reliés à l’audit et au contrôle concerné, et chaque constat peut donner lieu à une action corrective qui distingue mise en œuvre et vérification. Voir comment Acuna GRC montre la préparation aux audits et l’espace de travail Assure.

• Collecter les preuves au moment de l’audit. Des captures d’écran rassemblées la semaine précédente montrent l’état de ce jour-là, pas que le contrôle a fonctionné sur toute la période.
• Des preuves sans date ni responsable. Sans date de collecte ni nom, un fichier ne peut être placé dans la période d’audit ni rattaché à la personne qui en répond.
• Des preuves classées par référentiel. La même revue des accès enregistrée trois fois pour trois référentiels se désynchronise. Reliez un seul enregistrement au contrôle, et laissez le contrôle servir chaque exigence qu’il satisfait.
• Écraser les anciennes preuves. Remplacer le fichier du trimestre passé par celui du trimestre en cours efface l’historique que l’auditeur échantillonne.
• Les coquilles vides. Un enregistrement avec un titre et rien en pièce jointe est une lacune, et doit être traité comme tel.