Contrôles internes et leur audit

1) Destination et zone

Objectif : assurer la réalisation des objectifs de l'entreprise en toute sécurité et en toute légalité, en réduisant les risques opérationnels, financiers, de conformité et de réputation.
Couverture : Process and IT Control dans tous les domaines : paiements/cassaouts, KYC/AML/sanctions, antifrod, RG, marketing/exportation de données, DevOps/SRE, DWH/BI, vie privée/GDPR, TPRM.

2) Principes et modèle de protection

Trois lignes de défense : 1) les propriétaires de processus (exploitation/produit), 2) le risque/conformité/sécurité (méthodologie, surveillance), 3) la vérification interne indépendante.
Risque : les contrôles sont établis selon la priorité du risque résiduel.
Evidence-driven : chaque contrôle a des critères mesurables, des sources de données et des artefacts de probabilité.
Automate-first : si possible, des commandes automatiques et continues (CCM) au lieu des commandes manuelles.

3) Carte des risques → objectifs → contrôles

1. Registre des risques : identifier les causes/événements/conséquences (finances, joueurs, licences).
2. Objectifs de contrôle : ce qui doit être évité/détecté/corrigé (p. ex. « retrait illégal », « accès non autorisé aux IPI »).
3. Activités de contrôle : sélection de politiques/procédures/automatiques spécifiques pour atteindre un objectif.

• Préventif : RBAC/ABAC, SoD (4-eyes), limites et scoring, validation de données, WebAuthn, mTLS.
• Détectives : SIEM/alertes, reconstitutions, dashboards SLA/SLO, logs d'audit (WORM), contrôle des anomalies.
• Corrections : verrouillages automatiques, retraits, rotation des clés, démontages manuels et retours.
• Compensant : si le contrôle de base n'est pas possible - mesures de renforcement (dopage, double rapprochement).

4) Catalogue des contrôles (Bibliothèque de contrôle)

• ID/Titre, objectif (objectif), risque, type, fréquence, propriétaire (control owner), intervenant, méthode d'exécution (manuel/auto/guid), sources de preuves, KPI/KRI, lien avec les politiques/procédures, systèmes dépendants.
• États : Draft → Active → Monitored → Retired. Versioning et journal des modifications.

• 'CTRL-PAY-004 '- 4-eyes approve pour les paiements> X (préventif, quotidien, Owner : Tête des paiements, Evidence : demandes/logs, KPI : couverture 100 %).
• 'CTRL-DWH-012 '- Masquage des PII dans les vitrines (préventif, permanent, Owner : Head of Data, Evidence : tests-requêtes, KPI : ≥95 % masked reads).
• 'CTRL-SEC-021 '- MFA pour les consoles admin (préventives ; Evidence : Rapports IdP ; KPI: 100% adoption).

5) RACI et les propriétaires

6) Planification des audits et des tests

Le plan annuel est conçu de manière axée sur les risques (risque résiduel élevé, exigences réglementaires, incidents, nouveaux systèmes).

• Design Effectiveness (DE) : si le contrôle est correctement conçu pour réduire les risques.
• Efficacité opérationnelle (OE) : fonctionne-t-il de façon stable à une fréquence donnée ?
• Audit Thematic/Process : vérification de bout en bout du domaine (par exemple KYC/AML ou cassauts).
• Follow-up/Verification : confirmation de la fermeture du CAPA.

Approche : Walkthrough (traçage), interviews, revues d'artefacts/logs, analyse, reperformance (répétition d'exécution).

7) Preuves et échantillons

Types d'evidence : déchargement de logs (signature/hash), rapports IdP/SSO, tiquets et journaux d'approbation, configis, captures d'écran avec timstamps, xls/csv des vitrines, enregistrements des sessions PAM.
Intégrité : Copie WORM, chaîne de hachage/signature, spécification 'ts _ utc'.
Échantillon : statistique/jugement ; la taille dépend de la fréquence de contrôle et du niveau de confiance.
Critères : pass/fail ; les seuils de minimis pour les opérations manuelles sont autorisés.

8) Évaluation et classification des incohérences

Gradations : Critical/High/Medium/Low.
Critères : impact (argent/PII/licences), probabilité, durée, répétabilité, contrôles compensatoires.
Rapports : fiche de recherche (risque, description, exemples, cause première, impact, actions requises, échéancier, propriétaire), état de la piste.

9) CAPA et gestion du changement

Actions correctives et préventives : éliminer la cause première (cause racine), pas seulement les symptômes.
S.M.A.R.T.- mesures : spécifiques, mesurables, datées ; responsabilité et points de contrôle.
Conseil consultatif sur le changement : les changements à haut risque passent par l'ACR ; mise à jour des politiques/procédures/rôles.
Vérification du rendement : Réévaluation après N semaines/mois.

10) Surveillance continue (CCM) et analyse

Candidats CCM : contrôles à haute fréquence et formalisables - conflits SoD, émissions JIT, exportations anormales, MFA-coverage, limites de paiement, succès de sanctions.
Outils : règles SIEM/UEBA, dashboards Data/BI, validateurs de schéma/masquage, tests d'accès (policy-as-code).
Signaux/alertes : seuil/comportement ; les tiquets SOAR ; auto-blocs en cas d'anomalies critiques.
Avantages : vitesse de détection, réduction de la charge manuelle, meilleure probabilité.

11) Métriques (KPI/KRI)

• Contrôles Coverage des processus critiques ≥ 95 %
• Contrôle manuel en temps réel ≥ 98 %
• CAPA fermé à temps (Haute/Critique) ≥ 95 %
• Proportion de contrôles automatisés ↑ MoM

• Irrégularités SoD = 0
• Accès à PII sans 'purpose' = 0
• Fuites/incidents notifiés ≤ 72 h - 100 %
• Fail-rate des contrôles d'exploitation <2 % (tendance à la baisse)

12) Fréquence et calendrier

Quotidien/continu : CCM, signaux antifrod, limites de paiement, masquage.
Hebdomadaire : rapprochement des paiements/registres, contrôle des exportations, analyse des alertes.
Tous les mois : rapports MFA/SSO, registre d'accès, surveillance des fournisseurs, tendances KRI.
Trimestriel : re-certification des droits, examens thématiques, tests de résistance BCP/DR.
Annuellement : plan complet de vérification et mise à jour de la carte des risques.

13) Intégration avec les politiques existantes

RBAC/ABAC/Least Privilège, Politiques d'accès et segmentation - Source de contrôles préventifs.
Politique sur les mots de passe et ZPM - exigences obligatoires pour les admins et les opérations critiques.
Les journaux d'audit/politiques des loges sont des contrôles de détective et de preuve.
TPRM et contrats de tiers - contrôles externes : SLA, DPA/SCC, droits d'audit.

14) Chèques-feuilles

14. 1 Conception de nouveaux contrôles

• L'objectif et le risque associé sont décrits
• Type déterminé (préventif/détective/correctif)
• Assigné propriétaire/interprète et fréquence
• Sources de données et format evidence spécifiés
• Métriques intégrées (KPI/KRI) et alertes
• Les liens avec les politiques/procédures sont précisés
• Un plan de test DE/OE a été défini

14. 2 Effectuer un audit

• Les critères Scope et DE/OE sont harmonisés
• Liste des artefacts et des accès reçus
• Échantillon convenu et fixé
• Résultats et découvertes classés
• ACPA, échéances et propriétaires approuvés
• Rapport publié et communiqué à Stackholders

14. 3 Suivi et rapports (mensuels)

• KPI/KRI pour tous les contrôles critiques
• Tendances des défaillances/faux positifs
• Statut de l'ACPA et arriérés
• Propositions d'automatisation/SSM

15) Erreurs types et comment les éviter

Contrôle sans objectif/métrique : formaliser objective et KPI/KRI.
Contrôles manuels sans preuves : normaliser les formulaires/scripts et stocker les artefacts dans WORM.
Extension des exceptions : registre des exceptions avec date d'expiration et mesures compensatoires.
« Sur papier » fonctionne - en réalité non : tests OE réguliers et CCM.
CAPA non fermé : escalade automatique et statut au comité mensuel des risques.

16) Feuille de route pour la mise en œuvre

Semaines 1-2 : mettre à jour la carte des risques, faire le catalogue des contrôles, désigner les propriétaires, approuver les modèles d'evidence.
Semaines 3 à 4 : lancer la surveillance KPI/KRI, sélectionner 5 à 10 contrôles pour l'automatisation (CCM), approuver le plan d'audit annuel.
Mois 2 : effectuer 1-2 audits thématiques (risque élevé), mettre en place des alertes SOAR, établir des rapports à bord.
Mois 3 + : agrandir le CCM, effectuer des examens trimestriels, réduire les contrôles manuels, augmenter la part de la couverture de DE/OE et la vitesse de fermeture du CAPA.

TL; DR

Contrôles internes efficaces = carte des risques → objectifs → activités claires avec le propriétaire et les preuves, plus des tests réguliers DE/OE, CAPA et automatisation CCM. Cela rend la gestion des risques mesurable, l'audit prévisible et la conformité prouvable.