Que fait l’espace de travail Implement dans Acuna GRC ?

Une fois les référentiels et leur périmètre choisis, chaque exigence appelle une réponse : est-elle satisfaite, quelle est la maturité de la pratique qui la sous-tend, qui en est responsable, et comment savoir qu’elle fonctionne. ISO/IEC 27001:2022 le demande à plusieurs endroits : des rôles, responsabilités et autorités attribués et communiqués (article 5.3), et des processus nécessaires pour satisfaire aux exigences planifiés, mis en œuvre et maîtrisés (article 8.1).

Dans Acuna GRC, les exigences arrivent des référentiels adoptés dans Comply. Vous les parcourez en arborescence par domaine ou en tableau, et définissez le statut de conformité, la maturité, la justification, les responsables (personnes ou rôles) et des commentaires depuis la ligne, ou en masse. Ces deux appréciations vous appartiennent. La santé est calculée à côté, en Healthy, At Risk, Unhealthy, N/A ou Unknown.

La Measure Library contient les pratiques qui satisfont les exigences. Chaque mesure a une référence, un titre, une catégorie, un statut de mise en œuvre, une maturité, un responsable et une santé calculée, et son panneau liste les exigences, contrôles, risques, enregistrements et tâches reliés. Une même mesure peut couvrir des clauses de plusieurs référentiels.

La Control Library contient les vérifications que ces pratiques fonctionnent :

• Add Control passe par les étapes Basics, Effectiveness, Target or Checklist, Schedule, Related et Review. Un contrôle arrivé à échéance apparaît dans My Actions de son responsable.
• Chaque contrôle est jugé par Record Completion, une Target Value (saisie à la main, issue d’un KPI ou d’un connecteur) ou une Checklist.
• Les checklists comportent des sections et des points (case à cocher, choix, nombre, texte) et des versions publiées. Une exécution est remplie et signée point par point, sur un ordinateur ou un téléphone, et crée un enregistrement avec le PDF de l’exécution signée.
• Add from repository adopte des contrôles du catalogue d’Acuna GRC, filtrés selon vos référentiels, avec les mesures suggérées précochées.

Voir la différence entre une mesure et un contrôle.

Parce que les risques, la continuité et les contrôles en dépendent, et que les garder au même endroit maintient les liens à jour.

• Les actifs portent une classification en confidentialité, intégrité, disponibilité et traçabilité, qui alimente le risque et l’analyse d’impact sur l’activité, des objectifs de reprise (RTO, RPO et DMTA) et un pays de résidence des données.
• Les tiers ont un onglet Info et un onglet Exposure avec le niveau de risque, les facteurs d’exposition et les déclarations Contains PII, Contains IP et Uses AI, des contacts nommés et une arborescence Supply Chain des sous-traitants. Avec le module TPRM, les fournisseurs forment le même registre sous une seconde vue.
• Les processus forment une arborescence de sous-processus avec responsable, type, criticité, statut, classification, RTO, RPO et DMTA, et un interrupteur In BIA scope.

Le Visualizer dessine actifs, processus, tiers, risques, personnel, catégories et sites sous forme de graphe 3D. Cliquez sur un nœud pour éclairer ses liens directs, et repérez les objets isolés à revoir et les nœuds-ponts qui révèlent des dépendances partagées.

Staff liste les personnes avec nom, e-mail, fonction et rôles, ou les reprend d’un annuaire Microsoft Entra connecté. Un badge No login signale qui n’a pas de compte sur la plateforme, et le panneau des objets reliés de chaque personne regroupe tout ce qu’elle porte, revoit ou approuve.

Les rôles sont des fonctions de l’organisation, indépendantes des personnes qui les occupent, et les responsabilités sont des missions confiées à un rôle ou à une personne. Chaque lien porte une valeur RACI : A, R, A/R, C ou I. La matrice RACI présente les responsabilités en lignes et les rôles et personnes en colonnes, signale un A manquant ou en double, et s’exporte en XLSX.

Erreurs fréquentes à ce stade : des responsables désignés comme une équipe plutôt qu’un rôle ou une personne, des contrôles sans calendrier, des mesures rédigées mais reliées à aucune exigence, et des éléments de contexte (actifs, fournisseurs, processus) saisis une fois et jamais reliés. Voir l’espace de travail Implement.