Guide auditeur

Ce guide s’adresse à ceux qui doivent vérifier ce que la plateforme affiche : auditeurs internes ou externes, RSSI, responsables conformité qui préparent un audit. Il décrit les règles telles qu’elles sont codées, y compris les cas où deux écrans mesurent des choses différentes, et signale ce qui n’existe pas encore.

Ce qu’il faut retenir

• Le score de conformité d’un référentiel est une moyenne pondérée des statuts des contrôles applicables, par entité. Les poids viennent du catalogue du référentiel ; les contrôles « Non applicable » sont exclus. Voir Calcul du score.
• Les scores sont enregistrés sous forme d’instantanés (au plus un par jour et par référentiel), lors de l’enregistrement d’un contrôle et des opérations qui modifient les contrôles ou leurs poids (analyse d’écart appliquée, mise à jour de référentiel acceptée…), et une fois par mois ; la tendance sur 30 jours n’est affichée que si les deux scores comparés ont été calculés avec la même formule. Voir Historique et tendances.
• Les référentiels maîtres (NIS2, DORA, RGPD, ISO 27001) sont versionnés ; chaque organisation choisit quand adopter une nouvelle version. Voir Versions des référentiels.
• La plateforme ne gère pas encore de preuves attachées aux contrôles. Voir Preuves.
• Les modifications de données sont tracées dans un journal d’audit applicatif, lisible en entier par les administrateurs et les RSSI, et par l’Auditeur pour les entités qu’il audite. Voir Journal d’audit.
• Les rapports PDF et Excel reflètent l’état au moment de leur génération. Voir Rapports et exports.

Le rôle Auditeur

Le rôle Auditeur donne un accès en lecture à l’entité sur laquelle il est attribué : contrôles, référentiels, risques, incidents, actifs, fournisseurs, politiques, RGPD, tâches, Trust Center, journal d’audit de l’entité, et la génération de rapports. Il ne permet aucune modification.

Deux limites à connaître avant une mission :

• Le journal d’audit est limité aux entités auditées : l’Auditeur n’y voit que les entrées rattachées aux entités sur lesquelles il est Auditeur, jamais les entrées de niveau organisation (comptes utilisateurs, invitations, paramètres, authentification) ; les attributions de rôles sur ses entités y figurent. Voir Journal d’audit. La piste d’audit d’une entité figure aussi dans le Rapport d’Audit (500 dernières entrées de la période).
• Les droits sont attribués entité par entité, sans héritage : pour auditer un groupe et ses filiales, l’accès doit être donné sur chaque entité concernée.

Le détail des rôles figure dans le guide utilisateur.