Évaluation

À quoi sert l'écran#

Les questions sont rangées par thème.

Qui peut faire quoi#

Un lecteur voit le message : seuls les administrateurs Jira et les responsables conformité peuvent enregistrer l'évaluation.

Pas à pas#

1. Sous « Référentiels évalués », cochez ISO 27001 et/ou SOC 2. Les questions s'adaptent. Cocher un référentiel de plus ajoute ses questions. En décocher un retire les tâches sans travail engagé. Il faut en garder au moins un.
2. Répondez à chaque question par « Oui », « En partie », « Non » ou « Sans objet ». Chaque question affiche son importance (« Importance 3 sur 5 »). « Pourquoi cette question » et « Preuve attendue » vous aident à répondre.
3. Ajoutez si besoin une « Note (facultative) ».
4. Suivez l'« Avancement de l'évaluation » et la complétude de chaque thème (« Complet »).
5. Cliquez sur « Enregistrer l'évaluation ». Il faut au moins une réponse et un référentiel.
6. Un message « Évaluation enregistrée » indique combien de tâches ont été créées, conservées, retirées ou mises de côté. Cliquez sur « Voir le plan d'action ».

Enregistrer remplace les réponses précédentes par celles de l'écran. Votre brouillon reste sur l'écran jusqu'à l'enregistrement : rien n'est envoyé avant le bouton.

Si l'enregistrement est interrompu#

Si l'écran dit que l'enregistrement n'a peut-être pas abouti, appuyez de nouveau sur « Enregistrer l'évaluation » sans rien changer. L'opération se termine sans repartir de zéro.

Relancer l'évaluation#

Vous pouvez la relancer à tout moment. Le travail déjà engagé (statut, preuves, ticket) est conservé. Un écart refermé qui porte du travail est « mis de côté » et reste visible dans le plan avec la mention « Écart refermé, travail conservé ».

Ce que votre réponse change sur les contrôles#

Une réponse agit sur les contrôles communs que la question vise, et donc sur toutes les exigences qu'ils couvrent, dans chaque référentiel choisi :

• « Oui » met ces contrôles à « mis en œuvre » ;
• « En partie » ou « Non » les met à « non mis en œuvre » et crée les tâches ;
• « Sans objet » ne change rien : c'est sur le contrôle qu'on décide qu'il ne s'applique pas ;
• si plusieurs questions visent un même contrôle, la réponse la plus prudente l'emporte ;
• une tâche vérifiée compte comme du travail fait : relancer l'évaluation ne le défait pas. Si la tâche est ensuite rouverte (dans l'app ou derrière son ticket Jira), le contrôle repasse à « non mis en œuvre » et le journal le dit.

Un contrôle « mis en œuvre » n'est « en place » que s'il a ses preuves attendues, récentes (pas plus anciennes que leur fréquence), et qu'aucun test n' échoue. La préparation affichée est le score de version 2, qui compte la moitié d'une exigence dont les contrôles sont en place mais dont il reste une preuve à apporter. L'écran indique le nombre de preuves à apporter.

Où voir le résultat#

L'état de chaque contrôle touché se lit dans la bibliothèque de contrôles (« Preuve à apporter », « Test en échec », « En place »). Le guide de démarrage compte « Répondre à l'évaluation » comme une de ses onze tâches.

Ce que l'auditeur en tirera#

L'évaluation est le point de départ du plan. L'auditeur voit dans le journal « Évaluation commencée » et « Évaluation terminée », avec l'auteur et la date. La préparation affichée (« Préparation ») est calculée à partir de l'état des contrôles communs.

Limites connues#

• Les questions et les tâches sont, pour l'instant, rédigées en anglais : ce sont les textes du catalogue de contenu. Les libellés de l'écran sont en français.
• Deux évaluations enregistrées au même instant par deux personnes peuvent créer deux tâches pour une même question.
• Les référentiels proposés sont ISO 27001 et SOC 2. Un autre référentiel est à venir.
• Un grand nombre de questions n'ont pas encore de lien vers un contrôle : leur réponse crée ou garde des tâches, mais ne déplace pas le score.
• Le thème est affiché avec un libellé tiré de sa clé, sans traduction française.