Que fait l’espace de travail Assure dans Acuna GRC ?

La dernière partie de toute norme de système de management porte sur la preuve. ISO/IEC 27001:2022 demande de surveiller, mesurer, analyser et évaluer (article 9.1), de mener des audits internes à intervalles planifiés selon un programme d’audit (article 9.2), de tenir des revues de direction (article 9.3) et de réagir aux non-conformités par des actions correctives dont les résultats sont conservés (article 10.2). NIS2 demande des politiques et procédures permettant d’évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité (article 21, paragraphe 2, point f).

Leur point commun : quelqu’un d’extérieur au travail, un auditeur, une autorité ou l’organe de direction, doit pouvoir le vérifier. Il faut pour cela des enregistrements datés, des audits avec leurs constats, des constats suivis d’actions, et des chiffres qui se rattachent aux éléments qui les composent.

• Les enregistrements sont la preuve que quelque chose a été fait, inchangée une fois créée. La plupart naissent à l’achèvement d’une tâche ou d’une exécution de contrôle, et une checklist exécutée crée le sien. Voir comment fonctionne le cycle de vie des preuves.
• Les audits sont planifiés dans des programmes, chacun étant un cycle de planification avec une fréquence et des dates. Un audit a un type (Internal, External ou Certification), un auditeur principal, un audité et une conclusion, et sa période regroupe les enregistrements reliés en In period, Undated et Other periods.
• Les constats (Issues) recensent non-conformités, observations et faiblesses, avec un statut, une source, un responsable et des pièces jointes. Un constat de type Incident ou Near-miss reçoit une chronologie d’étapes datées.
• Les actions correctives portent la correction prévue et une analyse des causes, et passent par Open, In Progress, Implemented, Verified et Closed, ce qui distingue mise en œuvre et vérification. Leurs responsables reçoivent un rappel lorsque l’échéance tombe dans les trois jours ou est dépassée.

Avec le module Evaluations, les exceptions consignent une lacune acceptée délibérément : une justification, l’exigence, le contrôle, le constat ou l’actif concerné, une date Valid until obligatoire et un approbateur. Les dates approuvées sont verrouillées, et les deux parties sont prévenues avant l’échéance.

Le tableau de bord d’Assure est une grille partagée de widgets KPI, chacun avec sa valeur, sa cible et son état par rapport à la cible. Les KPI tirent leurs valeurs de la saisie manuelle, des données d’Acuna GRC en temps réel, d’un connecteur, d’une API externe ou de l’agrégation de groupe, et les KPI par formule en combinent d’autres. Voir les sources de données KPI.

Les rapports sont générés à partir de modèles, avec une période, des périmètres et des étiquettes facultatifs. Une section affiche l’un de vos KPI, de sorte que rapport et tableau de bord concordent, ou liste les éléments qui répondent à un filtre. Les rapports s’exportent en PDF ou Excel, et chaque génération est conservée comme instantané rechargeable, ce qui sert à la revue de direction et à montrer ce qui a été rapporté à l’époque.

Les auditeurs et la direction consultent enregistrements, résultats d’audit, constats, KPI et rapports. Les responsables de contrôles et les personnes assignées aux tâches créent la plupart des enregistrements par leur travail quotidien dans Operate et Implement. Les responsables des constats et des actions correctives tiennent leurs propres registres, et les approbateurs statuent sur les exceptions.

Les pages du Trust Center (RFP et questionnaires, bibliothèque de réponses, bibliothèque d’exposition et demandes d’accès) figurent aussi dans la barre latérale d’Assure, en tant que module à part. Pour une maison mère, Group Compliance compte les exceptions actives, proches de l’échéance et expirées de chaque organisation. Voir comment Acuna GRC montre la préparation aux audits et l’espace de travail Assure.