Gestion de la Conformité

Toute organisation évolue dans un réseau d'exigences externes et internes : lois sur la protection des données, réglementation sectorielle, normes de la profession, engagements contractuels et politiques internes. Prise isolément, chaque exigence peut paraître gérable. Ensemble, elles se chevauchent, évoluent et entrent parfois en contradiction. La gestion de la conformité met de l'ordre dans ce paysage. Elle répond en continu à trois questions concrètes : quelles obligations nous concernent, que faisons-nous pour chacune et pouvons-nous le prouver ?

Le mot clé est continu. La gestion de la conformité n'est pas un projet qui s'achève avec la publication d'une politique. Les obligations évoluent lorsque les lois changent, que les régulateurs publient de nouvelles orientations ou que l'entreprise entre sur de nouveaux marchés ou lance de nouveaux produits. Un programme mature fonctionne donc en cycle : il identifie les obligations, évalue les risques, met en place des contrôles, vérifie leur efficacité et intègre les résultats à la révision suivante.

Un programme de conformité repose sur six composants principaux :

En pratique, le travail suit un cycle qui se répète. Il commence par le périmètre : recenser les obligations applicables et les relier aux processus, systèmes et données concernés. L'évaluation des risques indique ensuite où le manquement est le plus probable et le plus dommageable. Les contrôles sont alors conçus ou ajustés en conséquence. La mise en œuvre comprend le déploiement des contrôles, mais aussi leur documentation et la formation des personnes qui les appliquent.

Le cycle se referme sur la vérification et l'amélioration. La surveillance et les audits internes contrôlent si les contrôles qui existent sur le papier fonctionnent aussi dans la réalité. Les écarts relevés reviennent sous forme de politiques mises à jour, de nouveaux contrôles ou de formations supplémentaires. Constats, indicateurs et données d'incidents remontent à la direction, et le registre des obligations est réexaminé à chaque évolution de l'activité ou de l'environnement réglementaire.

1. 1

   Périmètre

   Recensez les obligations applicables et reliez-les aux processus, systèmes et données qu'elles touchent.

2. 2

   Évaluation

   Classez les points où la non-conformité est la plus probable et la plus dommageable.

3. 3

   Mise en œuvre

   Concevez ou ajustez les contrôles, documentez-les et formez les personnes qui les appliquent.

4. 4

   Vérification

   Vérifiez que les contrôles fonctionnent en pratique et reportez les écarts dans la révision suivante.

Les régulateurs et les auditeurs acceptent rarement une assurance sur parole. Ils attendent des registres. La preuve prend trois formes principales, résumées ci-dessous.

Une piste d'audit complète et attribuable relie chaque événement enregistré à un utilisateur, une action et un horodatage. C'est elle qui permet à l'organisation de reconstituer ce qui s'est passé lors d'une enquête interne ou d'un audit externe.

La conservation relève de la même discipline. Les registres doivent être conservés assez longtemps pour satisfaire l'exigence applicable la plus longue, être protégés contre toute altération et rester accessibles sur demande. Une tenue documentaire défaillante constitue en soi un constat fréquent lors des inspections réglementaires, même lorsque les contrôles étaient solides.

La conservation relève du paramétrage, pas de l'habitude. Dans Anexet Reports Server, l'administrateur choisit où sont stockées les données collectées, combien de temps elles sont conservées et quelles collections de données sont enregistrées. Les rapports construits à partir de ces données sont décrits dans les rapports de conformité de sécurité.

La gestion de la conformité est l'un des trois piliers du GRC : gouvernance, gestion des risques et conformité. Le GRC désigne de façon générale la manière dont les organisations se dirigent et se contrôlent. Les piliers se recoupent volontairement. Le risque de conformité est une catégorie de la gestion des risques d'entreprise. La gouvernance fournit les structures de responsabilité, le ton donné par la direction et les droits de décision sur lesquels repose toute démarche de conformité.

Traiter les piliers ensemble évite les doublons. Un seul exercice de classification des données peut, par exemple, répondre à la fois à un règlement sur la vie privée, à une norme de sécurité et à une politique interne d'archivage. Beaucoup d'organisations mènent ces activités sur des plateformes GRC partagées, qui relient entre elles obligations, risques, contrôles et preuves. Un même contrôle peut ainsi démontrer la conformité à plusieurs exigences, et les rapports s'appuient sur une source unique de vérité.

Les programmes fragiles échouent généralement aux mêmes endroits, et chaque échec apparaît dans les registres.

• Traiter la conformité comme un projet ponctuel, si bien que les obligations évoluent sans que personne ne le remarque
• Publier des politiques sans savoir où se trouvent les données réglementées, ce à quoi répond la classification des données
• Ne pas tenir de registre attribuable de qui a fait quoi, ce qui ne laisse rien à présenter à l'auditeur
• Traiter la notification d'une violation de données comme une tâche improvisée plutôt que comme une procédure planifiée

Commencez par les obligations à plus fort risque de conformité, puis reliez-les aux systèmes et aux données concernés. Un registre court, avec des responsables nommés, vaut mieux qu'un long document que personne ne tient à jour.

Les obligations de confidentialité issues des règles de protection des données constituent un point de départ concret, car elles désignent les données et les personnes concernées.

Pour aller plus loin : Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD.