La conformité continue, pour les mois où personne ne vous audite
Un certificat ou un rapport prouve que vous étiez en bon ordre le jour de l'audit. Nous vous aidons à le rester entre deux audits, pour que le suivant soit une visite et non un sauvetage.
Présentation
Ce qui se passe après le certificat
La plupart des programmes de conformité culminent juste avant un audit et s'effritent juste après. Les preuves ne sont plus collectées, les revues glissent, le registre des risques vieillit, et trois mois avant l'audit suivant, quelqu'un se met à reconstituer une année d'enregistrements de mémoire.
Black Fox fait tourner le programme. Nous tenons le calendrier des preuves, testons les contrôles selon un planning, menons les audits internes, revoyons les politiques à échéance et vous préparons aux audits de surveillance et de renouvellement. Le même travail sert plusieurs référentiels à la fois lorsque leurs exigences se recoupent, par exemple l'ISO/IEC 27001, SOC 2 et NIS2.
Nous ne délivrons ni certificats ni rapports. Ce sont les organismes de certification, les cabinets d'expertise comptable et les autorités compétentes qui le font. Nous travaillons avec des partenaires de certification de longue date et coordonnons les audits de surveillance et de renouvellement avec eux ou avec l'organisme que vous avez déjà retenu. Ce que nous tenons en ordre, c'est tout ce qu'ils demanderont à voir.
À qui s'adresse ce service
Les organisations qui détiennent déjà un certificat, un rapport SOC ou des obligations réglementaires et veulent les conserver sans course contre la montre chaque année, et les équipes soumises à plusieurs référentiels qui préfèrent faire tourner un programme plutôt que trois.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Calendrier des preuves
Un calendrier de chaque activité de contrôle récurrente et de la preuve qu'elle doit produire, avec responsables et rappels, pour que rien ne dépende de la mémoire.
Tests de contrôles
Nous échantillonnons et testons les contrôles en cours d'année, comme le ferait un auditeur, et signalons ce qui échoue tant qu'il reste du temps pour corriger.
Audits internes
Des audits internes menés indépendamment de ceux qui opèrent les contrôles, avec un suivi des constats jusqu'à leur clôture.
Revue des politiques et des risques
Politiques, procédures et registre des risques revus à échéance et chaque fois que l'activité change.
Correspondance entre référentiels
Un seul ensemble de contrôles mis en correspondance avec les référentiels qui vous concernent, pour qu'une preuve couvre toutes les exigences possibles.
Appui aux audits
Préparation aux audits de surveillance, de renouvellement et d'attestation, aide face aux demandes des auditeurs et aux éventuels constats.
Déroulement de la mission
Lancement
Nous convenons des référentiels, du périmètre, des responsables et des dates d'audit à venir, et signons d'abord un accord de confidentialité si vous le souhaitez.
Revue du programme
Nous examinons l'état actuel de vos contrôles, preuves et documents et listons ce qui a glissé depuis le dernier audit.
Calendrier et plan
Nous construisons le calendrier des preuves et un plan pour l'année : tests de contrôles, audits internes, revues et préparation aux audits.
Tout au long de l'année
Nous déroulons le plan avec vos responsables, collectons et vérifions les preuves et rendons compte de l'avancement à la direction.
Préparation aux audits
Avant chaque audit externe, nous vérifions l'état de préparation, fermons ce qui peut l'être et préparons les personnes qui seront interrogées.
Après l'audit
Nous vous aidons à répondre aux constats et intégrons les enseignements au plan de l'année suivante.
Ce que vous recevez
- Calendrier des preuves avec responsables et échéances
- Résultats des tests de contrôles et suivi des actions
- Rapports d'audit interne
- Politiques, procédures et registre des risques mis à jour
- Correspondance des contrôles entre vos référentiels
- Synthèse de préparation avant chaque audit externe
Questions
Délivrez-vous des certificats ou des rapports SOC ?
Non. Les certificats ISO sont délivrés par des organismes de certification accrédités et les rapports SOC par des cabinets CPA habilités. Les obligations réglementaires comme NIS2 sont supervisées par les autorités nationales compétentes. Nous tenons votre programme et vos preuves prêts pour eux.
Un seul programme peut-il couvrir plusieurs référentiels ?
En grande partie, oui. De nombreuses exigences se recoupent, par exemple sur le contrôle d'accès, la gestion des risques et la gestion des incidents. Nous mettons un seul ensemble de contrôles en correspondance avec chaque référentiel et notons ce que l'un exige et pas les autres.
Cela veut-il dire que nous réussirons le prochain audit ?
Personne ne peut le promettre. Cela veut dire que les contrôles sont testés et les preuves collectées toute l'année, que les problèmes apparaissent tôt et que l'auditeur voit un programme qui fonctionne.
Remplacez-vous notre responsable conformité ?
Pas forcément. Nous pouvons travailler à ses côtés et prendre en charge ce qu'il n'a pas le temps de faire, ou être ceux qui font avancer le programme si personne n'occupe ce rôle.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conformité et certificationSOC 2SOC 2 avec Black Fox Security : périmètre selon les Trust Services Criteria, analyse d'écarts, conception des contrôles et préparation des preuves pour votre cabinet CPA.
- Conformité et certificationNIS 2NIS 2 avec Black Fox Security : analyse d'assujettissement, écarts face aux mesures de gestion des risques, notification des incidents, fournisseurs.
- Sécurité managéeRevues des accèsRevues des accès par Black Fox Security : comptes utilisateurs et privilégiés, annuaires, cloud et applications clés, arrivées et départs, preuves d'audit.
Pour que le prochain audit soit sans surprise
Dites-nous à quels référentiels vous êtes soumis et quand ont lieu les prochains audits. Nous vous montrerons à quoi ressemble pour vous une année de conformité continue.