Audit de conformité au référentiel du groupe et du régulateur (Cryptographie)

Un auditeur, qu'il vienne de l'audit interne, d'une autorité de supervision, d'un donneur d'ordre ou d'un organisme de certification, évalue sur un référentiel précis, exigence par exigence, et attend des preuves, pas des intentions. Sur le thème Cryptographie, nous reprenons ce référentiel, qu'il s'agisse d'un règlement européen, d'un texte d'une autorité de supervision, d'une norme ou de la politique de votre groupe, et nous confrontons chaque exigence à vos documents et à vos pratiques, dans un établissement soumis au contrôle de l'ACPR (Autorité de contrôle prudentiel et de résolution), où la résilience opérationnelle numérique, la maîtrise des accès et le pilotage des prestataires de services TIC (technologies de l'information et de la communication) engagent la direction, la sécurité des systèmes d'information et chaque fournisseur.

Le rapport présente, pour chaque exigence, la preuve attendue, la preuve que vous détenez, l'écart éventuel et l'action pour le combler avant l'échéance. Il sert de dossier de réponse et d'entraînement pour vos développeurs logiciels, qui savent ainsi quoi montrer et comment le dire. Il reste un audit de conseil : il ne remplace ni l'audit interne ni le contrôle d'une autorité, et ne préjuge pas de leur résultat.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, d'accès aux sites et aux données.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cryptographie, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les équipes, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Grille exigence par exigence avec preuves attendues et preuves présentées
• Liste des écarts et des actions avant l'échéance
• Dossier de réponse prêt pour la mission d'audit ou le contrôle

Format et charge : forfait, 4 à 8 jours. Idéal pour : responsable conformité, responsable du contrôle permanent ou directeur de filière qui prépare une mission d'audit interne, un contrôle ou une revue de conformité sur le thème Cryptographie. Prérequis de votre côté : le référentiel applicable (texte réglementaire, norme, politique du groupe), vos procédures et enregistrements, un interlocuteur par exigence.

Exemples d'usage

Une situation d'exemple, dans laquelle cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.