Que fait l’espace de travail Comply dans Acuna GRC ?

Avant que quiconque rédige une politique ou exécute un contrôle, trois décisions façonnent le programme :

• Quels référentiels s’appliquent : une certification visée, une réglementation à laquelle vous êtes soumis, un contrat qui l’exige.
• Où chacun s’applique : ISO/IEC 27001:2022 demande de déterminer les limites et l’applicabilité du SMSI pour en établir le domaine d’application (article 4.3), et des réglementations comme NIS2 ou DORA visent des entités et des services précis.
• Quelles exigences s’appliquent dans ce périmètre, et pourquoi les autres ne s’appliquent pas. Voir comment fonctionne le marquage d’applicabilité.

Lorsque plusieurs référentiels s’appliquent à la fois, une quatrième décision consiste à éviter de faire plusieurs fois le même travail. La plupart des référentiels demandent des pratiques qui se recoupent, comme les revues d’accès, les sauvegardes, la gestion des incidents ou le suivi des fournisseurs, et une seule mesure bien définie peut les servir tous.

Your Frameworks liste ce que vous avez adopté. Un administrateur ouvre l’onglet Library, y cherche un référentiel et l’adopte, ou importe un référentiel déjà adopté sous un autre nom. Un référentiel propre peut être importé depuis un fichier CSV (Reference, Level, Title, Description et une colonne NodeType facultative) sous Admin, ou préparé par l’équipe Acuna GRC. Plusieurs référentiels forment un seul programme, avec une seule bibliothèque de mesures et de contrôles.

Les périmètres (scopes) reflètent votre organisation. Chacun a un nom, un type (Geographic, Business Unit, Legal Entity, Product Line, Department, Site ou Other), un parent facultatif, une couleur et une description. Les périmètres s’imbriquent, et un périmètre Global existe dès le départ. Vous affectez référentiels, exigences et tout enregistrement à un périmètre, et le filtre de périmètre global de la barre supérieure limite ensuite chaque tableau, tableau de bord et vue détaillée aux périmètres choisis, vous suit d’un module à l’autre et préaffecte les nouveaux enregistrements.

Les étiquettes (tags) sont des libellés libres pour filtrer dans tous les modules. Dans les profils d’accès, un profil restreint à certains périmètres ne voit que ceux-ci, et décocher une étiquette masque tous les enregistrements qui la portent.

Deux pages font le travail :

• Common Measures est une bibliothèque de mesures de référence, sélectionnée et en lecture seule, recommandée pour vos référentiels et regroupée par domaine. Chaque carte porte un Acuna Reference ID et des badges indiquant les exigences couvertes, avec une force principale ou secondaire. L’adopter crée votre propre mesure dans la Measure Library, déjà reliée à ces exigences.
• Mapping liste les Orphan Requirements, sans mesure reliée, et les Orphan Measures, reliées à aucune exigence, avec des compteurs en temps réel. Les suggestions viennent de la bibliothèque de référence, et Run AI classe les candidats de votre propre bibliothèque avec un score de confiance et une raison d’une ligne. Vous appliquez les liens un par un ou en masse, ignorez un orphelin volontaire (masqué, jamais supprimé), ou reliez d’un clic tout ce que le catalogue prévoit avec Link all mapped.

Deux exigences de référentiels différents rattachées à la même mesure de référence sont considérées comme liées, et c’est ce qui alimente les suggestions entre référentiels. Voir la cartographie des contrôles entre référentiels.

Avec le module Data Privacy activé, Privacy Laws contient les référentiels de protection des données qui vous concernent. Avant le premier enregistrement, la page propose ceux qui figurent déjà dans votre programme. Ce choix détermine les bases légales des activités de traitement, les onglets de l’assistant du registre des traitements, les chiffres du tableau de bord protection des données, les références citées dans les documents générés et la formulation des e-mails du portail.

Lorsque la feuille de route de conformité est activée pour votre organisation, Roadmap setup propose un parcours par référentiel : des étapes ordonnées en phases, chacune recommandant tâches, contrôles, mesures, documents, KPI, risques, objectifs, rôles et responsabilités. Vous cochez ce que vous retenez, et Approve & seed crée le tout en une fois, avec les liens entre éléments. Un panneau ancré suit ensuite chaque étape en Done, Blocked ou Not created yet pendant que vous travaillez dans Implement et Operate.

Un démarrage type : adopter les référentiels, créer les périmètres, adopter les Common Measures recommandées, puis traiter les exigences orphelines dans Mapping. Voir l’espace de travail Comply.