Notre BIA est dans un fichier Word de 2022.
La solution : Tenez une BIA par processus dans Operate, avec RTO, RPO et MTPD tirés d’une seule liste de seuils de temps, et voyez chaque processus dans la vue BIA.
Voir la BIAFINMA
Logiciel de conformité FINMA
La FINMA demande ce qui se passe quand quelque chose casse. Montrez la réponse, processus par processus.
Acuna GRC aide les banques, les assureurs et les autres établissements surveillés par la FINMA à montrer qu’ils continuent de fonctionner quand quelque chose casse. Chaque processus critique a ses délais de reprise, chaque prestataire une note et chaque risque opérationnel un responsable.
1 · ÉVALUER LE RISQUEActuel → Cible
ProbabilitéImpact
!Rançongiciel sur les serveurs de fichiersRisque 9 · ÉlevéRisque 4 · Cible
2 · TRAITER LES TÂCHESTableau
✓Corriger les serveursFait
✓Tester la restaurationEn coursFait · preuve
Renouveler les certificatsÉchéance 30 sept.
Santé du plan de traitementÀ risqueSain
3 · PUBLIER LA POLITIQUECycle de vie du document
§Politique de sécurité de l'informationEn attente d'approbationPublié
Approbateurs ayant signé2 sur 33 sur 3
✓Prochaine revue dans 12 mois
Ce que demande la FINMA
Que doivent montrer les banques à la FINMA ? Que leurs fonctions critiques continuent.
La circulaire FINMA 2023/1 sur les risques opérationnels et la résilience demande aux banques de gérer leurs risques opérationnels, dont les risques TIC et cyber, et de montrer qu’elles maintiennent leurs fonctions critiques lors d’une perturbation grave.
Risques opérationnels et TIC
Identifiez, évaluez et limitez les risques opérationnels, y compris les risques TIC et cyber, avec des responsabilités claires.
Fonctions critiques
Connaissez vos fonctions critiques et ce dont elles dépendent, fixez la perturbation que chacune peut tolérer et prévoyez comment reprendre.
Prestataires et externalisation
Gardez la maîtrise des prestataires et des services externalisés sur lesquels reposent vos fonctions critiques.
Cela vous parle ?
Pourquoi la résilience opérationnelle est-elle difficile à montrer ? Les réponses datent de plusieurs années.
La plupart des établissements connaissent leurs processus critiques. Le temps part à mettre l’analyse à jour, à trouver de quel prestataire dépend chaque processus et à piloter la FINMA à côté d’autres référentiels.
Nous ne voyons pas quel prestataire nous arrêterait.
La solution : Reliez dans la BIA les fournisseurs dont dépend chaque processus, chacun avec une criticité suggérée, et laissez l’analyse SPOF lister les actifs que partagent plusieurs processus critiques.
Voir les prestataires dans la BIAFINMA et DORA, cela fait deux programmes.
La solution : Pilotez un seul programme. Adoptez les deux dans Comply, et une mesure compte pour chaque exigence qu’elle couvre.
Voir un seul programmeComment Acuna GRC le couvre
Que doit faire un logiciel de conformité FINMA ? Relier processus, risques et prestataires.
Acuna GRC déroule la FINMA dans Operate, TPRM, Comply et Assure : la BIA et les risques opérationnels dans Operate, les prestataires dans TPRM, les exigences FINMA dans Comply, et les preuves dans Assure.
01 · Operate
Comment cartographier les processus critiques et leurs objectifs de reprise ?
La vue BIA liste chaque processus du périmètre avec son évaluation d’impact et son RTO. Pour chaque processus, vous fixez RTO, RPO et MTPD, décrivez ce qui se passe quand une interruption se prolonge et enregistrez les actifs, les personnes et les fournisseurs dont il dépend. L’analyse SPOF liste les actifs qui portent plusieurs processus critiques.
Voir Operate →02 · Operate
Comment garder les risques opérationnels à jour ?
Placez vos risques opérationnels et TIC sur une matrice impact par vraisemblance, reliés aux sources de menace, aux actifs et aux processus qu’ils concernent. Chaque risque a un plan de traitement et un responsable qui l’approuve, et ce responsable reçoit un rappel avant la revue annuelle.
Voir les risques dans Operate →03 · TPRM
Comment gérer l’externalisation et les prestataires TIC ?
TPRM tient un registre unique de vos prestataires, avec des questionnaires envoyés un par un ou en campagne, une note d’un à trois boucliers et une note quotidienne de A à F. Les sous-traitants apparaissent dans une arborescence de la chaîne d’approvisionnement, et dans la BIA chaque fournisseur dont dépend un processus reçoit une criticité, suggérée d’après son exposition et son niveau.
Voir TPRM →04 · Comply
Pouvons-nous piloter la FINMA et DORA ensemble ?
Oui. Adoptez la FINMA dans Comply à côté de DORA et de l’ISO 27001. Les mesures communes sont reliées entre référentiels : une mesure compte pour chaque exigence qu’elle couvre, et les correspondances montrent ce qui reste à faire dans chacun.
Voir Comply →05 · Assure
Comment montrer à la direction que cela fonctionne ?
Les KPI suivent vos cibles dans le temps, les enregistrements montrent que chaque contrôle a été exécuté, et un incident enregistré comme problème garde une chronologie datée qui apparaît dans la BIA du processus touché. Les rapports générés à partir de modèles s’exportent en PDF ou en Excel.
Voir Assure →Modules complémentaires utiles pour la FINMA
Aiko à votre rythme
L’IA peut-elle nous dire quels risques semblent sous-évalués ? Aiko signale. Vous décidez.
Demandez à Aiko quels risques semblent sous-évalués. Il confronte chaque risque aux exécutions de ses contrôles, à ses KPI et aux menaces sur ses actifs, avec la source et la date de chacun, et propose un nouveau score. Rien ne change avant que vous cliquiez sur Change Score, un risque à la fois.
1Aiko propose
Analyse de risque · avec sourcesRISK-004 · Rançongiciel sur les serveurs de fichiersNoté Moyen × Possible = 4 · les preuves disent plusTest de restaurationLes deux dernières exécutions en retardContrôle · 12 sept.Niveau de correctifs71 % pour une cible de 95 %KPI · 30 sept.Proposé : Élevé × Probable = 92Vous confirmez
Vous vérifiez, un risque à la foisChange Score✓Score modifié et journaliséValeur de risque de RISK-004493Vous fixez le rythme
Ce que fait AikoSuggérer seulement
Aiko explique. Vous le faites.Me demander d'abord · par défaut
Aiko prépare. Vous confirmez.Le faire et me le dire
Aiko le fait et vous le montre.
Les menaces, en réponse
Demandez à Aiko quelles menaces peuvent affecter la disponibilité, quels actifs une menace expose ou à quelles menaces un actif est exposé.
Certaines actions demandent toujours
Les administrateurs fixent le mode le plus élevé pour chaque action.
Chaque étape est tracée
Chaque action d'Aiko entre dans le journal d'activité.
Un seul Aikodans tout Acuna GRC. Ajoutez un module, il vous y aide aussi. Comment fonctionne Aiko
Experts suisses
Quelqu’un peut-il piloter la résilience opérationnelle avec nous toute l’année ? Oui, avec un RSSI externalisé.
Nous nous en chargeons : nos experts mènent la BIA, les revues des risques opérationnels et le suivi des prestataires dans Acuna GRC toute l’année. Vous relisez et décidez.
.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
CEO du Groupe Abilene
Henri Haenni
Continuité d’activité et gestion des risques
Experte juridique et conformité
Laura Menetrey
RGPD, NIS2, DORA, LPD.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
Vous le faites
Vous pilotez le programme dans Acuna GRC, avec Aiko.
Avec vous
Conseils, revues et préparation d'audit avec votre équipe.
Pour vousRSSI externalisé
Nos experts le pilotent. Vous validez.
RSSI externalisé, on s’en charge
- Tenir à jour la BIA et les revues des risques
- Suivre vos prestataires et votre externalisation
- Préparer les rapports pour la direction
Intégrations
Acuna GRC peut-il collecter les preuves dans nos outils ? Oui, avec plus de 100 connecteurs.
Les connecteurs récupèrent les données de sécurité de vos outils d’identité, de postes, de cloud et de sauvegarde, selon un calendrier, et les valeurs des contrôles restent à jour sans étape manuelle.
Animation : un bras robotisé prend les données de Microsoft Entra ID, Microsoft Defender, Azure, AWS, GitHub et Jira et les dépose sur un tapis vers votre espace dans Acuna, où vos preuves, vos KPI et vos alertes de sécurité restent à jour.
Entra ID
Okta
Intune
Jamf Pro
CrowdStrike
Defender
AWS
Azure
Google Cloud
Microsoft 365
Acronis
GitHub
Jira
ServiceNow- Plus de 100 connecteurs
Vos outils alimentent Acuna GRC
Les connecteurs récupèrent les données de sécurité à intervalles réguliers, et des clés API permettent à vos systèmes d'en envoyer. Chaque appel est journalisé.
Un connecteur manque ? Nous le créons.
Nous concevons l'intégration selon votre environnement. Chacun de nos connecteurs natifs existe parce qu'un client en avait besoin.
Les corrections arrivent là où travaille votre équipe
Les tâches se synchronisent dans les deux sens avec Jira et ServiceNow. Voir Intégrations et API
Comment tout se relie
Quelles parties d’Acuna GRC pilotent la FINMA ? Le socle, avec TPRM pour les prestataires.
La FINMA tourne dans les quatre espaces de base, avec TPRM pour les prestataires et l’externalisation. Ajoutez la gestion de groupe pour un groupe financier et Evaluations pour une évaluation des écarts.
Socle Acuna GRC
Modules complémentaires
Dans toute la plateforme
FINMA est relié à
- OperateBIA, analyse SPOF et risques opérationnels
- TPRM (Supplier Shield)Prestataires notés et suivis
- ComplyAdopter la FINMA à côté de DORA
- AssureKPI, enregistrements et incidents
- ImplementActifs, processus et tiers
- Gestion de groupeChaque entité dans une seule vue
- ÉvaluationsUne évaluation des écarts FINMA
- AikoRepère les risques sous-évalués
FAQ
Quelles autres questions se pose-t-on sur un logiciel FINMA ?
Acuna GRC fait-il rapport à la FINMA pour nous ?
Non. Vous traitez vous-même avec la FINMA. Acuna GRC garde votre BIA, vos risques, vos prestataires et vos enregistrements d’incident au même endroit, et les faits sont prêts quand vous en avez besoin.
Acuna GRC est-il approuvé par la FINMA ?
Non. Acuna GRC n’est ni approuvé ni certifié par la FINMA. Il vous aide à piloter votre programme et à conserver les preuves ; satisfaire aux exigences de la FINMA reste votre responsabilité.
Nous avons aussi des activités dans l’UE. Faut-il un programme DORA séparé ?
Non. Adoptez DORA dans Comply à côté de la FINMA : une mesure compte pour chaque exigence qu’elle couvre, et la même BIA et les mêmes fiches prestataires servent aux deux. Logiciel de conformité DORA
En quoi DORA diffère-t-il de la circulaire FINMA 2023/1 ?
DORA est un règlement de l’UE pour les entités financières de l’UE, avec des règles précises sur la déclaration des incidents TIC et un registre d’informations. La circulaire FINMA 2023/1 fixe des principes pour les banques surveillées par la FINMA. Les deux demandent de connaître vos fonctions critiques, les prestataires dont elles dépendent et la vitesse de votre reprise : dans Acuna GRC, une seule BIA et un seul registre des prestataires servent aux deux. DORA expliqué
Un établissement surveillé par la FINMA peut-il piloter sa GRC dans le cloud ?
C’est votre décision, selon vos règles d’externalisation. Acuna GRC donne à cet examen ce qu’il demande : un hébergement en Suisse, dans l’UE ou aux États-Unis, selon votre choix, chez un prestataire certifié ISO 27001.
Où nos données sont-elles hébergées ?
En Suisse, dans l’UE ou aux États-Unis, selon votre choix.
Surveillés par la FINMA ? Commencez par une étape.
Indiquez-nous votre type d’établissement et vos processus critiques. Nous vous montrons la FINMA dans Acuna GRC, et comment nos experts peuvent la piloter avec vous.
Hébergé en Suisse, dans l'UE ou aux États-Unis