Audit axé sur les risques

1) Essence de la vérification axée sur les risques (RBA)

• Priorité lorsque la combinaison de probabilité et d'influence est maximale.
• Évaluer le risque inhérent (sans contrôles) et le risque résiduel (en tenant compte des contrôles).
• Révision continue de l'évaluation à mesure que le paysage des risques change (produit, marché, réglementation, incidents).

2) Termes et cadres

Audit-universum - Catalogue des processus, des systèmes, des emplacements, des fournisseurs et des responsabilités réglementaires susceptibles d'être vérifiés.
Heatmap risques - Visualisation « Probabilité × Impact » avec gradation par priorité.
L'appellation de risque/Tolération est la volonté déclarée de l'entreprise d'accepter le risque dans les limites spécifiées.
Niveaux de contrôle - préventif/détective/correctif ; conception et efficacité opérationnelle.
Les lignes de défense sont la 1re (affaires et opérations), la 2ème (risque/conformité), la 3ème (audit interne).

3) Construire un audit-Universal

• Processus : paiements, KYC/KYB, surveillance AML, gestion des incidents, DSAR, rétention.
• Systèmes : cœur de transaction, DWH/datalake, IAM, CI/CD, cloud, DLP/EDRM.
• Juridictions et licences, fournisseurs clés et sous-traitants.
• KPI/KRI, historique des incidents/violations, Findings/sanctions externes.
• Effet monétaire et de réputation, critique pour les régulateurs (GDPR/PCI/AML/SOC 2).

4) Méthodologie d'évaluation des risques

1. Risque inhérent (IR) : complexité du processus, volume de données, flux de trésorerie, dépendances externes.
2. Conception des contrôles (CD) : disponibilité, couverture, maturité du code-politique, automatisation.
3. Efficacité opérationnelle (OE) : stabilité de l'exécution, métriques MTTD/MTTR, niveau de dérive.
4. Risque résiduel (RR) : 'RR = f (IR, CD, OE)' - rationner sur une échelle (p. ex. 1-5).
5. Facteurs modificateurs : changements réglementaires, incidents récents, résultats d'audits antérieurs, rotation du personnel.

Exemple d'échelle d'impact : dommages financiers, sanctions réglementaires, temps d'arrêt de la SLA, perte de données, conséquences sur la réputation.
Exemple d'échelle de probabilité : fréquence des événements, exposition, complexité des attaques/abus, tendances historiques.

5) Priorité et plan d'audit annuel

Trier les unités d'audit en fonction du risque résiduel et de l'importance stratégique.
Attribuer une fréquence : annuelle (élevée), tous les 2 ans (moyenne), par suivi/thème (faible).
Incluez les vérifications thématiques (par exemple, « Suppression et anonymisation des données », « SoD », « PCI segmentation »).
Planifiez vos ressources : compétences, indépendance, éviter les conflits d'intérêts.

6) RACI et les rôles

(R — Responsible; A — Accountable; C — Consulted)

7) Méthodes d'essai des contrôles

Walkthrough : suivre le flux de « transaction de bout en bout »/données.
Conception efficace : vérifier la présence et la pertinence des politiques/contrôles.
Efficacité opérationnelle : vérification sélective de l'exécution par période.
Re-performance : reproduction des calculs/signaux par les règles CaC.
CAATs/DA (computer-assisted audit technics/data analytics) : SQL/python-scripts, requêtes de contrôle aux vitrines Compliance, comparaison IaC ↔ configues réelles.
Contrôle continu : intégration des tests de contrôle dans le bus d'événements (stream/batch).

8) Échantillonnage (sampling)

Statistique : aléatoire/stratifié, déterminer la taille en fonction du niveau de confiance et de l'erreur tolérée.
Cible (judgmental) : valeur élevée/risque élevé, changements récents, exceptions (waivers).
Anormal : conclusion de l'analyste (outliers), incidents de proximité, « intrus supérieurs ».
De bout en bout (100 %) : si possible, utiliser une vérification automatisée de l'ensemble du tableau (p. ex., SoD, TTL, contrôle des sanctions).

9) Analyses et sources de preuves (evidence)

Logs d'accès (IAM), traces de changement (Git/CI/CD), conformations d'infrastructure (Terraform/K8s), rapports DLP/EDRM.
Vitrines « Conformité », revues Legal Hold, registre DSAR, rapports AML (SAR/STR).
Snapshots dashboard, export CSV/PDF, hachage et WORM/immutabilité.
Procès-verbaux d'interviews, chèques-feuilles, artefacts de tiketing/escalade.

10) Effectuer un audit : SOP

1. Évaluation préliminaire : préciser les objectifs, les critères, les limites, les propriétaires.
2. Demande de données : liste des décharges, accès, configs, période d'échantillonnage.
3. Travail de terrain : walkthrough, tests de contrôle, analyses, interviews.
4. Étalonnage des conclusions : Comparer avec Risk Appetite, avec les règlements et les politiques.
5. La formation de Findings : le fait → le critère → l'impact → la cause → la recommandation → le propriétaire → le délai.
6. Closing meeting : accord sur les faits, le statut et les plans de remédiation.
7. Rapport et suivi : sortie, classement, dates de clôture, revérification.

11) Classement des Findings et classement des risques

Severity : Critical/High/Medium/Low (attacher à l'impact sur la sécurité, la conformité, la finance, les opérations, la réputation).
Likelihood : Fréquent/Possible/Rare.
Score de risque : matrice ou fonction numérique (par exemple 1-25).
Theme tags: IAM, Data Privacy, AML, PCI, DevSecOps, DR/BCP.

12) Métriques et KRI/KPI pour l'audit des risques

Coverage : part de l'audit-universum couverte dans l'année.
Remediation en temps réel :% des corrections à temps (par severity).
Repeat Findings : proportion de répétitions pour 12 mois.
MTTR Findings : médiane du temps avant la fermeture.
Control Effectiveness Trend : proportion de tests Passed/Failed par période.
Temps de lecture de l'audit : temps pour la collecte de l'evidence.
Indice de réduction des risques : ∆ du risque total après remédiation.

13) Dashboards (recrutement minimum)

Risk Heatmap : processus × probabilité/impact × risque résiduel.
Findings Pipeline : statut (Open/In progress/Overdue/Closed) des propriétaires ×.
Top Themes : catégories fréquentes d'infractions (IAM/Privacy/PCI/AML/DevSecOps).
Aging & SLA : expirations et deblines approchant.
Repeat Issues : répétabilité par commandes/systèmes.
Résultats de test de contrôle : taux de passe, tendances, FPR/TPR pour les règles de détective.

14) Modèles d'artefacts

Audit-Zone (Audit Scope)

Objectif et critères (normes/politiques).
Le volume : системы/период/локации/поставщики.
Méthodes : échantillonnage, analyse, entrevue, walkthrough.
Exceptions et restrictions (le cas échéant).

Carte de Finding

ID/Thème/Severity/Likelihood/Score.
Description du fait et critère de non-conformité.
Risque et impact (affaires/réglementation/sécurité).
Recommandation et plan d'action.
Propriétaire et date limite (due date).
Preuves (références/hashi/archives).

Rapport d'audit (structure)

1. Résumé du guide (Résumé exécutif).
2. Contexte et portée.
3. Méthodologie et sources de données.
4. Conclusions et évaluation des contrôles.
5. Findings et priorités.
6. Plan de remédiation et contrôle de l'exécution.

15) Communication avec la surveillance continue (CCM) et la conformité-as-code

Utilisez les résultats de la GCC comme point de départ pour l'évaluation des risques et la planification des vérifications.
Les politiques de code permettent aux auditeurs de repérer les tests, ce qui améliore la reproductibilité.
Implémentez l'audit continu pour les zones à haut risque et accessibles par télémétrie.

16) Anti-modèles

Audit « uniforme » sans tenir compte du risque → perte de concentration et de ressources.
Rapports sans recommandations mesurables et propriétaires.
Méthodologie opaque de notation des risques.
Ignorer les fournisseurs et la chaîne de services.
Absence de suivi (follow-up) - les problèmes reviennent.

17) Modèle de maturité RBA (M0-M4)

M0 Documentaire : vérifications ponctuelles, échantillonnage manuel.
M1 Catalogue : Audit universel et heatmap de base.
M2 Politiques et tests : chèques normalisés et demandes de contrôle.
M3 Intégré : communication avec CCM, données SIEM/IGA/DLP, collecte semi-automatique d'evidence.
M4 Continu : Auditing continu, hiérarchisation en temps réel, reperformages automatisés.

18) Conseils pratiques

Calibrer les échelles de risque impliquant l'entreprise et la conformité - une « monnaie » unique du risque.
Maintenir la transparence : documenter la méthode et les poids, garder l'historique des changements.
Liez le plan d'audit à la stratégie et à l'application Risk.
Intégrez la formation des propriétaires de processus - l'audit comme une économie d'incidents futurs.
Réduire le « bruit » par l'analyse : stratification, règles d'exclusion, priorité sur les dommages.

19) Articles wiki liés

Surveillance continue de la conformité (CCM)

Automatisation de la conformité et des rapports

Legal Hold et le gel des données

Graphiques de stockage et de suppression des données

DSAR : demandes de données des utilisateurs

PCI DSS/SOC 2 : contrôle et certification

Plan de continuité des activités (PCA) et PRD

Total

L'audit axé sur les risques met l'accent sur les menaces les plus importantes, mesure l'efficacité des contrôles et accélère la prise de mesures correctives. Sa force réside dans les données et la méthodologie transparente : lorsque la priorité est compréhensible, les tests sont reproductibles et les recommandations sont mesurables et clôturées à temps.