Quelles sont les sources de données KPI dans une plateforme GRC ?

Parce que les normes demandent de mesurer, pas seulement de décrire. L’article 9.1 d’ISO/IEC 27001:2022 impose de déterminer ce qui doit être surveillé et mesuré, les méthodes, le moment, qui s’en charge, ainsi que quand et par qui les résultats sont analysés et évalués, et de conserver les résultats sous forme d’informations documentées. L’article 9.3 fait ensuite entrer les résultats de surveillance et de mesure, les résultats d’audit et l’atteinte des objectifs dans la revue de direction.

La source des données compte autant que l’indicateur. Un chiffre recopié d’un tableur chaque trimestre est lent, facile à fausser et difficile à défendre. Un chiffre calculé à partir des enregistrements eux-mêmes, ou remonté du système qui le produit, est à jour et traçable. Choisir la source, c’est choisir quelle part de la mesure vous pouvez croire sans la vérifier à la main.

Dans Acuna GRC, l’assistant de création commence par la source de données, puis demande le titre, la cible, la fréquence, le responsable, le réviseur, le type de graphique et les périmètres.

• La saisie manuelle convient aux chiffres qui vivent hors de la plateforme et hors de tout service connecté. Record KPI Measurement consigne la valeur, la date, une série et des notes.
• Les valeurs calculées proviennent des données d’Acuna GRC en temps réel, soit d’une bibliothèque de sources, soit de votre propre requête Aggregator : un type d’objet, des filtres, un regroupement et une agrégation. Ces KPI enregistrent leur valeur selon leur calendrier, ce qui construit la tendance des graphiques en courbes et en colonnes.
• Un connecteur récupère une métrique d’un service connecté, par exemple un taux de conformité des appareils depuis Microsoft Intune. Chaque connecteur propose ses propres KPI. La première synchronisation a lieu à l’activation, puis toutes les 4 heures, et une mesure est enregistrée lorsque la valeur a changé.
• Une API externe reçoit des valeurs par webhook, et l’API v1 peut enregistrer des mesures une par une ou par lot.
• L’agrégation de groupe, dans une maison mère, combine la valeur de chaque filiale pour un KPI de groupe selon une méthode (On target, Sum, Average, Lowest ou Highest) et une fenêtre de fraîcheur. Seules les valeurs sont partagées, jamais les enregistrements qui les sous-tendent.

Les KPI par formule s’ajoutent à ces sources : un ratio, une somme de deux à cinq KPI ou un cumul sur une période. Une fois qu’ils sont publiés, Acuna GRC écrit leur valeur chaque nuit, et personne ne la saisit.

Chaque KPI a une cible. Un seuil d’alerte ajoute une bande orange, et un seuil de conformité indique combien d’éléments sont conformes sur le total. Un clic sur une valeur ou un segment de graphique ouvre la liste des éléments correspondants : un chiffre se rattache toujours aux enregistrements qui le composent.

Les mesures peuvent être modifiées ou supprimées pour corriger le passé, et le KPI affiche la dernière valeur datée. Sur le tableau de bord partagé d’Assure, chacun voit les mêmes widgets ; les administrateurs les ajoutent, les déplacent, les redimensionnent ou les retirent. Un widget fondé sur un module que vous n’avez pas, ou sur des enregistrements que votre profil d’accès masque, est masqué plutôt que mal compté.

• Les contrôles : un contrôle Target Value peut prendre sa valeur d’un KPI, qui pilote alors la santé du contrôle. Voir comment fonctionne la santé des contrôles.
• Les objectifs : un KPI relié affiche l’état de sa cible sur l’objectif.
• Les rapports : une section de rapport peut afficher l’un de vos KPI, de sorte que rapport et tableau de bord concordent toujours. Les rapports s’exportent en PDF ou Excel, et chaque génération est conservée comme instantané.
• Les KPI de conformité peuvent être restreints aux référentiels de votre programme et à leurs domaines.

Les erreurs courantes s’évitent facilement : des KPI sans responsable ni réviseur, des cibles fixées une fois puis jamais revues, des chiffres manuels là où une source calculée ou un connecteur existe, et des indicateurs qui comptent l’activité plutôt que le résultat. Voir l’espace de travail Assure.