Examens et audits périodiques

1) Objectif et principes

Les examens périodiques et les audits (Periodic Reviews) sont un cycle d'audits réglementé qui confirme la pertinence des politiques, l'exactitude des accès, l'efficacité des contrôles et la préparation à l'audit.

• Calendrier et prévisibilité : fenêtres fixes et date limite.
• Orientation des risques : priorités en matière de criticité et d'IRC.
• Automation-first : un maximum d'auto-assemblages et de rover.
• Evidence by design : les preuves sont formées automatiquement et invariablement (WORM).
• One owner : chaque révision a un propriétaire, un SLA et un plan d'escalade.

2) Types d'examens périodiques (portefeuille)

3) Rôles et RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Calendrier annuel (exemple de modèle)

Mensuellement : contrôles CCM, DSAR SLA, rapports de dérive nuage/cryptage, hygiène waiver.
Trimestriel (Q1/Q2/Q3/Q4) : IAM re-cert, Risk Register, exercice DR, Audit dry-run, rétention/élimination.
Annuellement : révision complète des politiques/procédures, examens de la VRM des fournisseurs essentiels, ÉFI (impact opérationnel), plan de vérification/certification.

5) Processus (SOP) de toute révision

1. Initiation : carte de révision (scope, objectifs, critères, date limite, propriétaires).
2. Collecte de données : auto-déchargement/dashboards, vitrine evidence, échantillons.
3. Contrôles et tests : checklist, pass/fail, severity des écarts.
4. LEP/remediation : Liste des propriétaires et délais compensatoires.
5. Apruve et fixation : protocole de solution, reçus de hachage, archives WORM.
6. Communication : one-pager + tâches à l'ITSM/GRC ; escalade sur SLA.
7. Rétrospective : leçons, mise à jour des normes/modèles.

6) Modèles de liste de contrôle

6. 1 Politiques/procédures

• Pertinence des références et des termes normatifs
• Mesures des paramètres de contrôle
• Lien avec les normes/SOP et les règles CCM
• Localisation/addendums synchronisés
• Changelog et version, par le Comité

6. 2 IAM re-cert

• Liste complète des droits actifs et des propriétaires
• Conflits SoD, comptes orphan, exceptions JIT
• Preuve de révocation/rétrogradation
• Accès vendoriens et fédérations SSO
• Protocole de ré-évaluation et métriques de retard

6. 3 VRM

• Rapports actualisés SOC/ISO/PCI, scope et exceptions
• SLA/incidents/crédits pour la période
• Sous-processeurs et emplacements de données - pas de dérive
• Liste de gap et état des remédiations
• Plan de sortie et confirmation de la rétraction miroir

6. 4 Rétentions/Legal Hold

• Violations TTL = 0 critiques
• Rapports de suppression + résumé de hachage
• Actif Legal Hold - motifs, dates, propriétaires
• Rétraction miroir chez les fournisseurs
• La logique DSAR n'est pas violée

6. 5 DR/BCP

• Test RTO/RPO et récupération d'échantillons
• Communications Playbooks et on-call
• Résultats de l'exercice et CAPA
• Les vendeurs ont participé/confirmé la préparation
• Documenté post-mortem

7) Métriques et SLO du portefeuille d'audits

Taux de révision en temps réel :% des révisions effectuées à temps (objectif ≥ 95 %).
Evidence Read....: % des révisions avec un ensemble complet d'artefacts (objectif 100 %).
CAPA On-time :% des remediations fermées par SLA (par severity).
Repeat Findings : proportion de remarques répétées pour 12 mois (tendance ↓).
Access Hygiene : proportion de droits obsolètes après re-cert (cible ≤ 2 %).
Vendor Certificat Freshness :% de certificats à jour chez les fournisseurs critiques (objectif 100 %).
Temps d'audit : temps de collecte du « paquet d'audit » après la révision (≤ 8 heures).

8) Dashboards (recrutement minimum)

Calendrier View : carte des révisions trimestrielles avec SLA/arriérés.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA : ouvert/périmé, propriétaires, severity.
IAM Hygiene : orphan/SoD/JIT exceptions, tendances.
VRM Heatmap : risque-skore des fournisseurs, certificats, incidents.
Pension & Hold : Violations TTL, volumes de suppression, hold actifs.
Audit Read....: completeness « par bouton », ancre des paquets de hachage.

9) Artefacts et stockage

Protocole d'audit (agenda, conclusions, décisions, owner/due).
Liste des contrôles/échantillons et leurs résultats (pass/fail).
Gap list et CAPA avec dates et métriques de succès.
Reçus de hachage des téléchargements et des rapports ; WORM/Object Lock.
Mises à jour des politiques/procédures et mapping sur le contrôle.

10) Gestion des exceptions (waivers)

Est enregistré pour chaque gap identifié si la correction n'est pas possible dans le délai.
Contient la raison, les mesures compensatoires, la date d'expiration, le propriétaire/le plan.
Visible dans le dashboard ; auto-escalade 14/7/1 jour avant l'expiration.

11) Intégration

CCM/Compliance-as-Code : les règles de test des contrôles sont exécutées automatiquement lors de la révision.
GRC : registre des vérifications, findings, CAPA, waivers, SLA et rapports.
Evidence Storage : archivage automatique de tous les matériaux avec fixation de hachage.
ITSM : défis et escalade pour les propriétaires de systèmes.
VRM : Tire les statuts des fournisseurs/certificats.
LMS : Cours/certifications dans le cadre des modifications majeures découlant de la vérification.

12) Anti-modèles

Révisions « pour cocher » sans CAPA et propriétaires.
Manque de calendrier et de prévisibilité → retard et mode incendie.
Déchargement manuel sans reçus de hachage et WORM → la controverse des preuves.
Mélange scope (les politiques changent les exigences, mais les SOP/contrôles ne sont pas mis à jour).
Waivers « éternels » sans date d'expiration et sans compensation.
Il n'y a aucun lien avec le risque-appétit/comité - les solutions ne sont pas mises à l'échelle.

13) Modèle de maturité (M0-M4)

M0 Ad hoc : inspections irrégulières, rapports dans Excel, sans owners.
M1 Planifié : calendrier et chèques de base, stockage des artefacts.
M2 Géré par : GRC-registre, dashboards, SLA/escalade, archives WORM.
M3 Intégré : SSM/ascode, auto-évidence, dry-run d'audit par bouton.
M4 Assurance continue : Anticipation KRI, auto-réaménagement, capabilités de bout en bout « risques d'audit → → CAPA ».

14) Articles wiki liés

KPI et métriques de conformité

Audit axé sur les risques (RBA)

Surveillance continue de la conformité (CCM)

Conservation des preuves et des documents

Tenue de journaux et Audit Trail

Gestion des changements dans la politique de conformité

Diligence raisonnable et risques d'externalisation

Comité de gestion des risques et de la conformité

Résultat

Les examens et les vérifications périodiques transforment la conformité de la « réponse aux problèmes » en une chaîne transparente d'améliorations : calendrier fixe, vérifications automatisées, artefacts de qualité, APA en temps opportun et préparation prévisible à toute vérification.