Qu’est-ce qu’un calendrier de conformité et pourquoi est-ce important ?

Tout ce qui revient et qui a un responsable. Un calendrier multi-référentiel contient en général :

• L’exécution des contrôles : revues des accès, tests de restauration des sauvegardes, scans de vulnérabilités et autres vérifications à fréquence fixe.
• Les revues documentaires : politiques et procédures arrivées à leur revue périodique.
• Les revues des risques : la revue annuelle de chaque risque approuvé et le suivi des plans de traitement.
• Les audits : audits internes, audits de certification et de surveillance, évaluations des fournisseurs.
• La revue de direction et le reporting qui l’alimente.
• Les échéances de protection des données : activités de traitement à revoir et accords de sous-traitance qui arrivent à expiration.

Les référentiels fixent une partie de ce rythme. ISO/IEC 27001 impose des audits internes à intervalles planifiés (clause 9.2) et une revue de direction à intervalles planifiés (clause 9.3), et les documents du SMSI doivent être maîtrisés, revue comprise (clause 7.5). Les autres dates viennent de vos politiques, de vos contrats et de vos décisions sur les risques.

Le responsable conformité ou sécurité porte en général le calendrier dans son ensemble, mais chaque échéance a besoin de son propre responsable : le responsable du contrôle, du document ou du risque, ou l’auditeur. Un calendrier où chaque ligne renvoie à l’équipe conformité fait de celle-ci un service de rappels.

Une méthode pratique :

1. Partir des exigences de chaque référentiel du périmètre et lister ce qui doit se répéter pour les satisfaire.

2. Fusionner les recoupements. Une même revue trimestrielle des accès peut servir ISO 27001, NIS2 et SOC 2 : elle ne doit figurer qu’une fois.

3. Donner à chaque échéance un responsable, une fréquence et l’enregistrement qui prouve qu’elle a été tenue.

4. Ajouter les dates fixes : audits, renouvellements de contrats, échéances réglementaires.

5. Revoir le calendrier lui-même quand un référentiel, un périmètre ou une décision sur les risques change.

Dans Acuna GRC, le calendrier se construit à partir du travail lui-même, sans saisie séparée :

• Les tâches récurrentes se répètent chaque semaine, chaque mois, chaque trimestre ou chaque année, sur des jours de semaine ou un jour du mois. Terminer une tâche crée l’occurrence suivante, à échéance à partir de la date d’achèvement, et consigne qui l’a faite avec un enregistrement joint. Voir comment fonctionnent les tâches récurrentes.
• Les contrôles ont leur propre calendrier, et un contrôle dû apparaît dans les My Actions de son responsable.
• Approuver un risque ou publier un document fixe une date de revue un an plus tard, avec des rappels 30 jours avant, 3 jours avant puis en cas de retard. Confirmer la revue repousse la date d’un an.
• Le plan annuel réunit le tout sur une grille de 12 mois, où les occurrences prévues et réalisées sont signalées.
• Les audits se planifient dans des programmes avec une fréquence et des dates, et les actions correctives relancent leur responsable quand l’échéance est à moins de trois jours ou dépassée.
• Les modèles de tâches du catalogue d’Acuna GRC, filtrés sur vos référentiels, arrivent déjà reliés aux exigences qu’ils satisfont.

Comme les tâches alimentent la santé des contrôles, une occurrence manquée apparaît aussi comme une lacune sur les contrôles, mesures et exigences au-dessus. Voir l’espace de travail Operate.

• Un calendrier par référentiel. La même revue apparaît alors trois fois avec trois responsables, ou tombe entre eux.
• Des dates sans preuve. Une échéance cochée sans enregistrement joint ne convaincra pas un auditeur.
• Un calendrier séparé du travail. Des dates tenues dans un tableur s’éloignent peu à peu des contrôles et documents qu’elles concernent.
• Des échéances figées pour un travail récurrent. Si l’occurrence suivante ignore la date réelle de la précédente, l’intervalle entre deux vérifications s’allonge ou se raccourcit sans que personne ne le voie.
• Aucune revue du calendrier après un changement de périmètre ou de référentiel.