Établir un diagnostic
Une analyse centrée sur les seuls risques financiers de l’entreprise peut ignorer les conséquences pour les personnes.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Confronter les mesures annoncées à la conception et aux tests réellement réalisés.
Suivre analyses nécessaires non réalisées, mesures non appliquées et changements non réexaminés.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Vérifier si une AIPD est requise selon les critères applicables
- Analyser le traitement avec les acteurs concernés
- Décider des mesures et réexaminer les risques résiduels