Plans pour remédier aux violations

1) Qu'est-ce qu'un plan d'élimination des infractions (CAPA)

• décrit la non-conformité (finding), la cause (cause) et le risque ;
• désigne les propriétaires, les mesures (correctives et préventives), le calendrier et les critères de succès ;
• enregistre les preuves de fermeture et empêche la répétition.

Objectifs : réduire le risque résiduel au niveau d'Appetite, assurer une traçabilité juridiquement significative et une préparation à l'audit.

2) Quand vous avez besoin de CAPA

Résultats des audits/évaluations (internes et externes).
Incidents de BI/vie privée/opérations et leur post-mortem.
Anomalies des tests SSM/contrôle, KRI dans la « zone rouge ».
Violation des exigences contractuelles/réglementaires.
Dérives importantes des configurations et conflits SoD.

3) RACI et les rôles

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Cycle de vie CAPA (fin-à-fin)

1. Identification : formulation finding (fait → critère → influence des preuves →).
2. Évaluation des risques : severity/likelihood, impact sur les SLA/régulateurs.
3. Root Cause Analyse : 5 Why, Fishbone, fault tree est le choix de la méthode.
4. Planification : Mesures SMART (Corrective/Preventive), ressources, échéances, KPI.
5. Apruve : Owner → (dans High/Critical) Comité des risques/Ejes.
6. Exécution : tâches dans ITSM/Jira, contrôle des dépendances, communications.
7. Vérification : test de conception et d'efficacité, reperforme (si possible).
8. Fermeture : evidence dans WORM, mise à jour des règles/stratégies de contrôle.
9. Après-revue : 30-60 jours plus tard - vérification de répétition (repeat finding).

5) Priorité et échéancier

• Critical : immédiatement ; debline ≤ 7 jours ; Apdates quotidiens.
• High : ≤ 30 jours ; Apdates chaque semaine.
• Médium : ≤ 90 jours.
• Low : ≤ 180 jours.

Facteurs prioritaires : effets réglementaires, répercussions sur les clients/IPI, incidence financière, fréquence et échelle, disponibilité des contrôles compensatoires.

6) Exigences de qualité CAPA

Étapes SMART : concrètes, mesurables, réalisables, pertinentes, avec un délai.
Double contour : Corrective (corriger) + Preventive (empêcher la répétition).
Contrôles compensatoires : si la mesure finale prend du temps, des barrières temporaires sont introduites (surveillance renforcée, contrôles manuels, réduction des limites).
Communication avec les politiques/contrôles : mettre à jour les normes, les SOP, les règles du CCM.
Preuve : une liste claire des artefacts de fermeture et un moyen de les vérifier.

7) Modèle CAPA (structure de carte)

ID Finding/Source (audit, incident, CCM).
Description de l'incohérence (fait/critère/impact).
Risk Rating & Appetite (avant/après).
Root Cause (méthode et conclusions).
Actions correctives (étapes, owner, due, KPI, ressources).
Preventive Actions (шаги, owner, due, KPI).
Compensating Controls (quoi, par qui, jusqu'à quelle date).
Dependencies (services, fournisseurs, versions).
Evidence List (ce qui prouve exactement la fermeture).
Plan de vérification (qui, comme, quand, le critère d'admission).
Status & Updates (journal des progrès).
Approvals (signatures/décisions du Comité).

8) Exemples de mesures correctives/préventives

Accès/IAM : retrait des droits superflus, lancement d'une campagne re-cert, mise en place de JIT/MFA, auto-escalade SoD.
DevSecOps : inclure les gats SAST/SCA, interdire les dépendances vulnérables, scan secret dans le PR.
Données/vie privée : correction de la rétraction/TTL, activation de Legal Hold, masquage des champs.
Logs/preuves : traduction en logis structuré, WORM/Object Lock, ancrage des chaînes de hachage.
Vendeurs : mise à jour DPA/SLA, audit des sous-processeurs, confirmation de la destruction des données.
BCP/DR : augmentation du RPO/RTO, exercices réguliers, redondance.
Processus : mise à jour des SOP, formation, quizes/certifications en LMS.

9) Gestion des exceptions (waivers)

Lorsque permis : « hard constraint » (vendeur, délais réglementaires, contraintes architecturales).
Réclamations : cause, date d'expiration, mesures compensatoires, évaluation du risque résiduel, accord avec le Comité.
Contrôle : dashboard, rappels pour 14/7/1 jour, interdiction des « éternels » waivers.

10) Métriques et SLO du portefeuille CAPA

Remédiation en temps réel (par severity) :% des fermetures à temps (cibles ≥ 95 %).
Median Time-to-Close : médiane par High/Critical.
Repeat Findings : proportion de répétitions pour 12 mois (tendance ↓).
Indice de réduction des risques : ∆ du risque total après les fermetures.
Evidence Completeness :% des plans avec un ensemble complet d'artefacts (objectif 100 %).
Couverture de contrôle compensatoire :% des cas à risque élevé avec mesures temporaires (objectif de 100 % avant la fixation finale).
Communication SLA : pourcentage de mises à jour du statut dans les délais (cibles ≥ 98 %).

11) Dashboards (recrutement minimum)

CAPA Pipeline : étape (Plan → En cours → Verify → Closed) avec SLA/expirations.
Severity Heatmap : distribution par criticité et par propriétaire.
Risque Impact : indice de réduction des risques et risque résiduel par domaine.
Evidence Read....: exhaustivité des preuves, progrès des vérifications.
Waivers & Deadlines : actifs/en retard, mesures compensatoires.
Aging & Bottlenecks : âge des CAPA ouverts, goulets d'étranglement (vendeurs/sorties).

12) SOP (procédures standard)

SOP-1 : Création du CAPA

1. Enregistrer le finding → 2) évaluer le risque → 3) RCA → 4) former une carte CAPA (SMART) → 5) convenir.

SOP-2 : Gestion du CAPA

Les updates hebdomadaires (High +) → le contrôle des dépendances → la fixation de l'evidence → le réglage des délais avec l'aprouve.

SOP-3 : Vérification de la fermeture

Le test de conception/efficacité → reperformes (le cas échéant) → la décision de fermer l'archive evidence → dans WORM.

SOP-4 : Post-revue

Après 30 à 60 jours - vérification de l'absence de répétitions, ajustement des contrôles/politiques.

13) Critères d'acceptation

Toutes les étapes ont été accomplies ; Les KPI sont atteints.
Les mesures compensatoires ont été supprimées ou intégrées en tant que contrôles permanents.
Les politiques/normes/SOP/règles de surveillance ont été mises à jour.
Les preuves sont recueillies et archivées (reçus de hachage, liens).
Une vérification par une partie indépendante (Compliance/Internal Audit) a été effectuée.

14) Anti-modèles

« Plans sur papier » : aucun propriétaire/échéancier/métriques → découvertes éternelles.
« Ils l'ont fait - pas prouvé » : pas d'evidence/reperformage.
Seulement Corrective sans Preventive → répétitions.
Waivers sans date d'expiration et sans compensation.
Reports de délais sans aprouve et analyse des risques.
CAPA « hors ligne » des politiques/MSU - Contrôles non mis à jour.
L'absence de communications et de statuts pour les steakholders.

15) Intégration

GRC/ITSM : registre unique du CAPA, communications avec les findings/incidents, SLA/escalade.
CCM/Compliance-as-Code : tests automatiques de contrôle pour la vérification.
Evidence Storage : WORM/Object Lock, ancrage, journal d'accès.
Policy Lifecycle : une piste de changement de politique liée à CAPA.
LMS : formation/quiz sur les nouvelles exigences.
VRM : actions vendoriennes, rétraction miroir, confirmation de destruction.

16) Modèle de maturité (M0-M4)

M0 Ad hoc : plans disparates, pas de délais/preuves.
M1 Catalogue : Registre CAPA unique, dates de référence et statuts.
M2 Guidé : SLA/dashboards, evidence, updates régulières, responsabilité de rôle.
M3 Intégré : lien avec CCM/GRC/Policy-as-Code, reperform, « audit-ready par bouton ».
M4 Assurance continue : KRI prédictif, auto-déclencheurs CAPA, moteurs de recommandation de priorité, prévention des répétitions.

17) Articles wiki liés

Interaction avec les régulateurs et les auditeurs

Audit axé sur les risques (RBA)

Surveillance continue de la conformité (CCM)

KPI et métriques de conformité

Conservation des preuves et des documents

Tenue de journaux et Audit Trail

Gestion des changements dans la politique de conformité

Diligence raisonnable et risques d'externalisation

Résultat

Un PAAC efficace n'est pas une « liste de tâches », mais un système gérable de réduction des risques : hiérarchisation claire, mesures SMART, preuves et vérification, mise à jour des contrôles et absence de répétitions. Cette approche rend la conformité prévisible, réduit le coût des incidents et renforce la confiance des régulateurs et des entreprises.