Contrôles

À quoi sert l'écran#

L'écran sert à retrouver un contrôle et à voir ce qui le couvre, ce qui lui manque et ce qui s'appuie sur lui. On ne modifie pas un contrôle ici : la mise en œuvre vient de l'évaluation, des tâches vérifiées, des preuves et des tests ; l'applicabilité de l'annexe A se règle dans la déclaration d'applicabilité.

Qui peut faire quoi#

Toute personne qui peut ouvrir la page lit cet écran. Il n'y a pas d'action d'écriture.

L'état d'un contrôle#

L'état est calculé, jamais saisi :

• « Exclu » : le contrôle est écarté de la déclaration ;
• « Non mis en œuvre » ;
• « Test en échec » : un test mesuré échoue (il prime sur la preuve manquante) ;
• « Preuve à apporter » : une preuve attendue manque ou est plus ancienne que sa fréquence ;
• « En place » : mis en œuvre, preuves à jour, aucun test en échec.

Une preuve périmée ne compte ni pour l'état, ni pour le score, ni pour la règle « pas de clôture sans preuve » : c'est la même règle partout.

Pas à pas#

1. Lisez les cartes : « Mise en œuvre » (part des contrôles applicables mis en œuvre), « Preuves » (part ayant une preuve à jour), et les « Contrôles par domaine ». Un clic sur un domaine filtre la liste.
2. Cherchez par code, titre ou mot-clé, ou filtrez par « Domaine » et par « État ». Un filtre peut venir du tableau de bord : une ligne le dit, et ne décrit que ce qui est appliqué.
3. La table montre, pour chaque contrôle : état, responsable, preuves à jour sur attendues, tests (« Aucun test » ou « 1 en échec sur 3 »), risques ouverts, et les exigences couvertes par référentiel.
4. « Détails » ouvre le tiroir : domaine, sous-domaine, fonction (Gouverner, Identifier, Protéger, Détecter, Répondre, Rétablir), responsable, preuves, risques ouverts qui s'appuient sur ce contrôle, actifs concernés et incidents liés.
5. « Actualiser » relit les données.

Écrire comment le contrôle est mis en œuvre, relire une preuve#

Dans le tiroir d'un contrôle, le champ « Comment nous le mettons en œuvre » décrit ce que vous faites concrètement : l'outil, la fréquence, la personne qui en répond (par son rôle). Il se modifie avec « Enregistrer », dans les deux éditions, par qui modifie la déclaration d'applicabilité ou par la personne à qui le contrôle est assigné. L'auditeur le lit dans le fichier des contrôles du dossier d'audit.

Édition : Advanced « Proposer une rédaction » demande à l'assistant un texte à partir du contrôle, de ses tâches, des réponses à l'évaluation et du nom des pièces rattachées. Le texte pris est dans le champ, et n'est enregistré qu'avec « Enregistrer ». Dans la liste des pièces d'un contrôle, « Relire avec l'assistant » donne un avis (« Couvre ce qui est attendu », « Couvre en partie », « Ne couvre pas »), ce qui manque et des remarques, d'après le nom, le type et la date de la pièce : il ne lit pas le contenu d'un fichier. Ce qui part au modèle : Assistant IA.

Importer l'état des contrôles#

« Importer » et « Télécharger le modèle » (pour qui modifie les contrôles) renseignent l'état de mise en œuvre, le responsable, l'échéance et la justification de contrôles qui existent, depuis un classeur Excel. Voir Importer et exporter par modèles Excel.

Ce que l'auditeur en tirera#

La piste qui va de l'exigence au contrôle, du contrôle à sa preuve datée et à son test, et du contrôle aux risques et aux incidents qui s'y rattachent.

Les contrôles communs et le reste de l'app#

• Les preuves (fichier, référence, requête Jira figée) se rangent sur un contrôle et, s'il y répond, sous l'une de ses preuves attendues. Celles d'avant, que l'app n'a pas pu rattacher à un seul contrôle, restent « à rattacher ».
• Les tests sont les moniteurs du suivi : le dernier résultat d'un moniteur nommé par un contrôle fait passer un contrôle mis en œuvre à « Test en échec » s'il échoue.
• Les risques citent des contrôles ; le panneau d'un ticket montre les contrôles de la tâche, leur état et les exigences couvertes.
• La règle « pas de clôture sans preuve » refuse une clôture si ni la tâche ni ses contrôles n'ont de preuve à jour.

Limites connues#

• Les intitulés et explications des contrôles viennent du catalogue de contenu.
• Le rattachement d'une preuve à un contrôle ou d'un moniteur à un contrôle ne se fait pas encore depuis cet écran.
• Les « tests » ne sont pas encore des objets (responsable, délai, historique) : ce sont les résultats des moniteurs.