Un contrôle fait une fois.
Couvert partout.

Construire une conformité multi-référentiels qui tient dans la durée

Une revue des habilitations peut servir plusieurs démarches de conformité. Pourtant, son utilité dépend du périmètre examiné, des exceptions traitées et de la qualité des preuves. Copier son résultat dans plusieurs questionnaires ne suffit pas à démontrer que toutes les exigences sont satisfaites.

La conformité multi-référentiels consiste à organiser ce travail commun sans effacer les différences entre normes, obligations légales et attentes contractuelles. L’objectif : expliquer ce qui fonctionne, ce qui manque et quelles décisions doivent être prises, avec une traçabilité exploitable par les équipes comme par les auditeurs.

Pourquoi partir d’une bibliothèque de contrôles unique ?

Une bibliothèque commune décrit les mesures réellement appliquées : retirer les accès après un départ, tester une restauration, évaluer un prestataire critique. Chaque contrôle possède un objectif, un périmètre, un responsable, une méthode de vérification et des preuves attendues.

Les exigences des différents référentiels viennent ensuite se rattacher à ces contrôles. Cette séparation évite de confondre le texte d’une obligation avec sa mise en œuvre. Elle permet aussi de modifier une procédure sans perdre les correspondances déjà documentées.

Un contrôle partagé ne signifie pas un résultat uniforme. Une revue peut être satisfaisante pour une application et insuffisante pour une autre. Conservez donc les résultats par entité, service ou environnement, puis rattachez chaque conclusion au périmètre concerné.

Relier les référentiels sans promettre d’équivalence

Les correspondances sont des hypothèses de couverture à vérifier, pas des certificats automatiques. Une même mesure peut contribuer aux objectifs suivants :

• ISO 27001 : organiser le management de la sécurité autour des risques, des mesures retenues et de leur amélioration. La déclaration d’applicabilité, ou SoA, justifie les mesures nécessaires et les exclusions des mesures de référence de l’annexe A.
• NIS2 : soutenir la gestion des risques cyber, notamment concernant les accès, les incidents, la continuité et la chaîne d’approvisionnement. L’applicabilité dépend de l’entité et du cadre national pertinent.
• DORA : contribuer à la gestion du risque informatique et à la résilience opérationnelle des entités financières concernées, avec une attention aux tests, aux incidents et aux prestataires informatiques.
• RGPD : étayer la sécurité des traitements de données personnelles. Cette contribution ne remplace ni la justification des traitements, ni l’information des personnes, ni l’exercice de leurs droits.
• SOC 2 : alimenter l’examen des contrôles d’une organisation de services selon les critères retenus. Le résultat est un rapport d’attestation, et non une certification ISO.
• AI Act : apporter des éléments de cybersécurité et de traçabilité lorsque ces exigences sont applicables. Les obligations propres aux systèmes d’IA dépendent notamment du rôle de l’organisation et de la qualification du système.

Prenons la gestion des accès privilégiés. Une liste des comptes, une validation des habilitations et le traitement des anomalies peuvent contribuer à plusieurs référentiels. Mais ces pièces ne démontrent pas, seules, la supervision humaine d’un système d’IA ou la maîtrise contractuelle d’un prestataire financier.

Pour préparer une démarche ISO 27001, documentez chaque lien : exigence visée, contrôle mobilisé, couverture complète ou partielle, justification et compléments nécessaires. Un lien sans explication rend l’analyse fragile.

Collecter des preuves qui démontrent le fonctionnement

Une politique décrit ce qui devrait se produire. Une preuve opérationnelle montre ce qui s’est produit. Pour une revue des accès, rassemblez la population examinée, les décisions des responsables et les traces de suppression ou de correction.

Chaque élément devrait permettre de retrouver :

• sa source et la date de collecte ;
• le système et la période concernés ;
• la personne ayant vérifié son contenu ;
• le contrôle et le résultat qu’il soutient ;
• ses conditions d’accès et sa durée de conservation.

Évitez les captures sans contexte et les exports dont personne ne connaît les filtres. Limitez également les données personnelles et les secrets présents dans les dossiers d’audit. Une collecte utile reste proportionnée, accessible aux seules personnes autorisées et renouvelée lorsque le contexte change.

Transformer l’analyse des écarts en décisions

L’analyse des écarts compare l’exigence applicable, le contrôle prévu et son fonctionnement observé. Distinguez une mesure absente, une mesure partiellement déployée, une mesure inefficace et une preuve manquante. Ces situations appellent des actions différentes.

Ne réduisez pas la priorité au nombre d’exigences reliées. Un défaut touchant un service essentiel peut mériter un traitement immédiat même s’il ne concerne qu’un seul contrôle. Appuyez l’arbitrage sur votre analyse de risques, les dépendances opérationnelles et les obligations applicables.

Une action exploitable précise le responsable, l’échéance, les moyens, les dépendances et le critère de clôture. « Renforcer les sauvegardes » reste vague. « Tester la restauration du service concerné et faire valider le résultat par son responsable » définit une réalisation vérifiable. La clôture doit reposer sur cette vérification, pas seulement sur une déclaration d’avancement.

Préparer les audits et la revue de direction

Un dossier d’audit doit permettre de remonter d’une exigence à son contrôle, puis aux preuves et aux éventuelles actions correctives. Vérifiez les périmètres et les périodes avant de transmettre les pièces. Une preuve récente ne démontre pas nécessairement le fonctionnement d’un contrôle pendant toute la période examinée.

L’audit interne recherche les faiblesses et vérifie la mise en œuvre. La revue de direction sert à décider : ressources supplémentaires, priorités, traitement des risques et améliorations du dispositif. Présentez les écarts persistants, les actions bloquées et les changements susceptibles de modifier l’applicabilité des exigences.

Consignez les décisions avec leurs responsables et leur suivi. Un tableau de bord est utile seulement s’il permet de comprendre ce qui nécessite un arbitrage.

Un parcours progressif en six étapes

1. Délimiter le périmètre. Identifier les entités, services, données et systèmes concernés, puis vérifier les référentiels applicables.
2. Décrire les contrôles existants. Partir des pratiques réelles et désigner leurs responsables avant de créer de nouvelles procédures.
3. Qualifier les correspondances. Relier les exigences aux contrôles en distinguant couverture partielle, complète et non-applicabilité justifiée.
4. Tester et documenter. Recueillir les preuves, vérifier leur qualité et enregistrer les écarts constatés.
5. Traiter les priorités. Affecter les actions, suivre les dépendances et vérifier les résultats avant clôture.
6. Réexaminer le dispositif. Préparer les audits et la revue de direction, puis adapter les contrôles aux changements d’activité.

Comment Domyno accompagne ce fonctionnement

Domyno associe une plateforme SaaS à un expert humain dédié. Le module Contrôles & conformité réunit une bibliothèque commune, plus de 28 référentiels, les preuves, les plans d’action et la SoA. Les agents préparent le travail ; l’humain valide.

Les modules risques, actifs, fournisseurs et documentation permettent d’inscrire la conformité dans son contexte opérationnel. Les plus de 300 connecteurs, dont Active Directory sur site, offrent des points de raccordement aux sources existantes. Une donnée collectée reste toutefois à interpréter : sa présence ne prouve pas, à elle seule, qu’une exigence est satisfaite.

Pour organiser votre bibliothèque, vos preuves et vos prochaines décisions, demandez une démonstration.