Une matrice d’applicabilité et de preuves reliant obligations, services concernés, responsables et contrôles.
ÉTAPE 1
Registre et traitement des risques SI
Il rend les arbitrages de sécurité, continuité et investissement compréhensibles par les métiers.
Pour commencer : Construire des scénarios avec les métiers.
Élément à vérifier : Vérifier que les mesures déclarées existent et que l’autorité acceptant le risque en comprend les conséquences.
Le dossier et ses questionsÉTAPE 2
Risques fournisseurs et suivi des tiers
Elle permet d’anticiper les changements qui affectent sécurité, continuité, coût ou maîtrise des données.
Pour commencer : Classer les tiers selon l’impact potentiel.
Élément à vérifier : Vérifier sur un fournisseur prioritaire que les engagements, contacts et preuves restent valides et utilisables.
Le dossier et ses questionsÉTAPE 3
Registre des traitements et connaissance des données personnelles
Il aide à identifier les traitements, clarifier les responsabilités et organiser les vérifications de conformité.
Pour commencer : Recenser les activités avec les métiers.
Élément à vérifier : Partir d’un processus réel et vérifier que ses données, échanges et prestataires correspondent à la fiche de traitement.
Le dossier et ses questionsÉTAPE 4
NIS 2 et démarche de préparation
Elle aide à organiser gouvernance, maîtrise des risques, continuité et capacité de réponse lorsque l’organisation est concernée.
Pour commencer : Vérifier le périmètre applicable avec les sources officielles.
Élément à vérifier : Relier une exigence effectivement applicable à un contrôle, un responsable et une preuve observable.
Le dossier et ses questionsÉTAPE 5
DORA et résilience opérationnelle numérique
Il relie les capacités techniques et organisationnelles à la continuité des services financiers concernés.
Pour commencer : Vérifier les obligations applicables à l’entité.
Élément à vérifier : Choisir une fonction importante et vérifier la cohérence entre risque, contrat, test et capacité de reprise.
Le dossier et ses questionsÉTAPE 6
Règlement européen sur l’IA et qualification des usages
Elle permet de préparer les contrôles et informations réellement nécessaires avant de déployer ou modifier un usage.
Pour commencer : Identifier les systèmes et rôles.
Élément à vérifier : Vérifier qu’un changement d’usage ou de rôle déclenche un réexamen des exigences et des responsabilités.
Le dossier et ses questions