Audit de conformité au référentiel du groupe et du régulateur (Privacy by Design)

Un auditeur, qu'il vienne de l'audit interne, d'une autorité de supervision, d'un donneur d'ordre ou d'un organisme de certification, évalue sur un référentiel précis, exigence par exigence, et attend des preuves, pas des intentions. Sur le thème Privacy by Design, nous reprenons ce référentiel, qu'il s'agisse d'un règlement européen, d'un texte d'une autorité de supervision, d'une norme ou de la politique de votre groupe, et nous confrontons chaque exigence à vos documents et à vos pratiques, dans un établissement soumis au contrôle de l'ACPR (Autorité de contrôle prudentiel et de résolution), de la CNIL (Commission nationale de l'informatique et des libertés) et de l'AMF (Autorité des marchés financiers), où chaque procédure, chaque décision et chaque contrôle doivent pouvoir être expliqués et prouvés.

Le rapport présente, pour chaque exigence, la preuve attendue, la preuve que vous détenez, l'écart éventuel et l'action pour le combler avant l'échéance. Il sert de dossier de réponse et d'entraînement pour vos équipes métiers et encadrants, qui savent ainsi quoi montrer et comment le dire. Il reste un audit de conseil : il ne remplace ni l'audit interne ni le contrôle d'une autorité, et ne préjuge pas de leur résultat.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, d'accès aux sites et aux données.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Privacy by Design, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les équipes, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Grille exigence par exigence avec preuves attendues et preuves présentées
• Liste des écarts et des actions avant l'échéance
• Dossier de réponse prêt pour la mission d'audit ou le contrôle

Format et charge : forfait, 4 à 8 jours. Idéal pour : responsable conformité, responsable du contrôle permanent ou directeur de filière qui prépare une mission d'audit interne, un contrôle ou une revue de conformité sur le thème Privacy by Design. Prérequis de votre côté : le référentiel applicable (texte réglementaire, norme, politique du groupe), vos procédures et enregistrements, un interlocuteur par exigence.

Exemples d'usage

Une situation d'exemple, dans laquelle cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.