Audit de conformité aux exigences réglementaires et au référentiel interne (OWASP)
Vous abordez une revue interne, une mission d'audit ou un contrôle du superviseur avec un dossier de preuves déjà constitué.
En bref
- Résultat
- Vous abordez une revue interne, une mission d'audit ou un contrôle du superviseur avec un dossier de preuves déjà constitué.
- Idéal pour
- Responsable de la conformité et du contrôle interne, directeur des risques ou auditeur interne qui prépare une revue, une mission d'audit ou un contrôle sur le thème OWASP (Open Worldwide Application Security Project, projet ouvert de sécurité des applications web).
- Ce que vous obtenez
- Rapport de conformité exigence par exigence au référentiel applicable, avec preuves attendues et preuves présentées.
- Prérequis de votre côté
- Les textes et le référentiel interne applicables, vos politiques, procédures et enregistrements, un interlocuteur par exigence.
- Durée et charge
- 4 à 8 jours
- Format
- Forfait
Exemple construit
Constituer le dossier de preuves d'une revue du contrôle interne. Une société de gestion prépare la revue annuelle de son dispositif sur le thème OWASP. Nous confrontons chaque exigence à ses procédures et à ses enregistrements, classons les écarts et rédigeons le dossier de réponse ; les actions sont réparties entre les services avant l'échéance.
Un contrôleur, qu'il vienne de l'audit interne, d'un auditeur externe ou du superviseur, évalue sur un référentiel précis, exigence par exigence, et attend des preuves, pas des intentions. Sur le thème OWASP, nous reprenons ce référentiel, qu'il s'agisse d'un texte européen, du règlement général de l'AMF (Autorité des marchés financiers), d'une norme ou de votre politique interne, et nous confrontons chaque exigence à vos documents et à vos pratiques, dans des organisations financières soumises à DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier), où le risque lié aux technologies de l'information, les prestataires tiers et la continuité des services critiques engagent la direction et chacun de ses fournisseurs.
Le rapport présente, pour chaque exigence, la preuve attendue, la preuve que vous détenez, l'écart éventuel et l'action pour le combler avant l'échéance. Il sert de dossier de réponse et d'entraînement pour vos auditeurs sécurité, qui savent ainsi quoi montrer et comment le dire. Il reste un audit de conseil : il ne remplace aucune mission que la loi confie à une personne désignée, ne vaut pas attestation de conformité et ne préjuge pas du résultat d'un contrôle.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, de déontologie et d'accès aux documents.
Lecture documentaire
Nous lisons les politiques, procédures, enregistrements et comptes rendus de comité relatifs au thème OWASP, avant toute rencontre, pour arriver aux entretiens avec des questions précises.
Entretiens et contrôles par échantillon
Nous rencontrons les responsables et les équipes, observons les pratiques et contrôlons des échantillons sur des extraits anonymisés que vous préparez dans votre environnement, ou sur des données de test, sans aucune information privilégiée ni donnée d'ordre ou de position.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.
- Grille exigence par exigence avec preuves attendues et preuves présentées
- Liste des écarts et des actions avant l'échéance
- Dossier de réponse prêt pour la revue ou le contrôle
Format et charge : forfait, 4 à 8 jours. Idéal pour : responsable de la conformité et du contrôle interne, directeur des risques ou auditeur interne qui prépare une revue, une mission d'audit ou un contrôle sur le thème OWASP. Prérequis de votre côté : les textes et le référentiel interne applicables, vos politiques, procédures et enregistrements, un interlocuteur par exigence.
Exemples d'usage
Une situation d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.
Constituer le dossier de preuves d'une revue du contrôle interne
Une société de gestion prépare la revue annuelle de son dispositif sur le thème OWASP. Nous confrontons chaque exigence à ses procédures et à ses enregistrements, classons les écarts et rédigeons le dossier de réponse ; les actions sont réparties entre les services avant l'échéance.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 4 à 8 jours, format forfait, répartie entre la lecture documentaire, les entretiens, les contrôles par échantillon et la rédaction. L'auditeur est un praticien du thème OWASP, indépendant de vos équipes, qui signe les engagements de confidentialité et de déontologie demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, revue interne, mission d'audit ou contrôle du superviseur, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème OWASP, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre direction, à votre audit interne ou au superviseur. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus une mission que la loi confie à une personne désignée, ni le contrôle d'une autorité, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Une prestation d'Optédif relève-t-elle des clauses de l'article 30 de DORA ?
Cela dépend de la prestation et de l'entité cliente, et nous ne le promettons pas. Lorsqu'une mission sur le thème OWASP constitue un service fourni à une entité financière au titre de ses systèmes d'information, par exemple l'administration d'un outil, les clauses de l'article 30 peuvent s'appliquer au contrat : description des services, lieux de traitement des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation. Nous les examinons avec vos équipes juridiques et achats avant la signature. Une mission d'audit ou de conseil n'entre pas toujours dans ce périmètre : la qualification relève de votre analyse.
Demander un devis
Indiquez le périmètre, les équipes concernées et l'échéance : première réponse sous 48 h ouvrées, devis ferme après l'échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème OWASP
- Audit de sécurité et de résilience opérationnelle (OWASP)
- Diagnostic flash avant une revue, un contrôle ou un audit interne (OWASP)
Les autres types de prestation sur le thème OWASP
