Préparer et mener un audit externe

Avant de commencer

• Qui peut le faire : toute personne ayant un rôle GRC qui peut consulter les données de conformité peut voir l’aperçu et les rapports antérieurs; l’exportation exige un rôle qui peut exporter; modifier la mise en page, ajouter des sections et marquer un rapport comme final exigent l’autorisation d’audit
• Forfait : Plateforme de conformité GRC (incluse dans Complete). Voir les tarifs.
• Pour commencer : ouvrez la page Rapport d’audit dans votre console.

Étapes

1. Définir la mission (type I ou II). Définir la mission

   Passez en revue chaque contrôle des cadres de référence que vous avez choisis : voyez en un coup d’œil son statut, son responsable, sa conception, ses documents justificatifs et ses preuves, et ouvrez n’importe quel contrôle pour rédiger ou examiner sa conception.

   Tiré de l’article : Comment définir la mission

   1. Sélectionnez Set the engagement (ou Change).
   2. Dans The engagement, choisissez le Framework et saisissez un Name.
   3. Choisissez le Report type (type I ou type II) et saisissez Period start et Period end (le type I utilise une seule date « au »).
   4. Sélectionnez Save. Il y a une seule mission par cadre de référence; changer de cadre en commence une nouvelle.
   5. Une fois le rapport émis, sélectionnez Lock pour que les dates et le type de la mission ne puissent plus changer.

   Ouvrir la page Contrôles (Conception des contrôles) dans votre console →

2. Créer la mission d’audit. New engagement

   Menez un audit du début à la fin : la liste de demandes de l’auditeur, les preuves pour chaque demande, les échantillons du type II, les constats, l’accès de l’auditeur externe et le dossier de preuves final.

   Tiré de l’article : Comment configurer une mission

   1. Sélectionnez New engagement.
   2. Saisissez le Title, choisissez le Framework (seuls vos cadres de référence actifs sont énumérés) et l’Audit type, puis définissez Period start, Period end, Status et Audit firm.
   3. Ajoutez des Notes (scope, contacts, milestones). Les auditeurs externes voient ces notes comme la portée de la mission.
   4. Sélectionnez Save.

   Ouvrir la page Audits dans votre console →

3. Charger la liste de demandes. Import spreadsheet ou Generate from framework

   Tiré de l’article : Comment établir la liste de demandes

   1. Ouvrez la mission et restez sur Requests.
   2. Choisissez l’une des options suivantes :
   3. Sélectionnez Collect evidence automatically pour lier les preuves que Lavawall possède déjà.

   Ouvrir la page Audits dans votre console →

4. Demander des preuves à d’autres personnes. Demandez des preuves au moyen d’un lien sécurisé

   Demandez à un fournisseur, à un fournisseur de services de TI ou à un gestionnaire de téléverser des preuves au moyen d’un lien sécurisé, puis examinez et acceptez ce qu’il envoie.

   Tiré de l’article : Comment demander des preuves

   1. Sélectionnez Request evidence.
   2. Remplissez What do you need? (par exemple « Résultats du test de restauration des sauvegardes du T3 ») et Instructions. Précisez exactement ce qui compte : quel système, quelle période, ce que doit montrer une capture d’écran.
   3. Saisissez le Recipient email et le Recipient name.
   4. Choisissez au besoin un Control (optional); les fichiers que vous acceptez y sont liés. Choisissez un Internal owner (optional) pour être informé de l’arrivée des preuves.
   5. Réglez Repeats, Due date et Link expires et, au besoin, Maximum files et Maximum total size.
   6. Sélectionnez Create and email. Le lien est envoyé par courriel au destinataire.

   Ouvrir la page Demandes de preuves dans votre console →

5. Examiner et accepter les preuves. Needs review : Accept ou Reject

   Conservez au même endroit chaque fichier et chaque enregistrement qui prouve que vos contrôles fonctionnent, examinés, liés aux contrôles et suivis jusqu’à leur expiration.

   Tiré de l’article : Comment examiner des preuves

   1. Cliquez sur la tuile Needs review.
   2. Ouvrez un élément et vérifiez le fichier (utilisez Download).
   3. Sélectionnez Accept, ou Reject avec une note (une note est obligatoire pour refuser).
   4. L’examen de preuves que vous avez recueillies vous-même exige un motif que les auditeurs peuvent lire, et n’est possible que si votre entreprise autorise l’auto-approbation.

   Ouvrir la page Evidence Library dans votre console →

6. Inviter l’auditeur externe. External auditors : Invite auditor

   Tiré de l’article : Comment inviter un auditeur externe

   1. Ouvrez External auditors et sélectionnez Invite auditor.
   2. Saisissez son Email, son Name et son Firm.
   3. Choisissez ce qu’il peut faire : Can download evidence files, Can comment on requests, Can add new requests, Can raise findings et Can evaluate the control designs shared with them.
   4. Réglez Access ends (par défaut 90 jours après la fin de la période) et sélectionnez Send invitation.
   5. Sous Details, dans What the external auditor may do with evidence, choisissez View only. ou Downloads allowed. et sélectionnez Save settings.

   Ouvrir la page Audits dans votre console →

7. Répondre aux constats. Ouvrez un problème pour chaque constat

   Tenez une seule liste de tout ce qui doit être corrigé : qui en est responsable, qui s’en occupe, l’échéance et l’état d’avancement.

   Tiré de l’article : Comment générer des problèmes à partir des constats

   1. Sélectionnez Generate from findings.
   2. Cochez les sources à utiliser : Failing automated checks, "No" answers in the latest assessments et, lorsqu’elle est offerte, Resilience follow-up findings.
   3. Sélectionnez Generate. Le sommaire indique combien de problèmes ont été créés, rouverts, mis à jour et fermés. Les problèmes dont le constat a disparu sont fermés; vos propres choix de responsabilité, de personne assignée, d’échéance et de statut sont conservés.

   Ouvrir la page Problèmes et corrections dans votre console →

8. Exporter le rapport d’audit. Export PDF, puis Final

   Préparez le rapport d’une mission d’audit, prévisualisez exactement ce que le client recevra et exportez-le en document Word ou en PDF.

   Tiré de l’article : Comment préparer et exporter un rapport

   1. Choisissez la mission dans le sélecteur Engagement.
   2. Dans Report configuration, réglez Written for, Page size et, au besoin, un Watermark (par exemple CONFIDENTIEL), et cochez Include the evidence index si nécessaire.
   3. Sous Sections, désactivez les sections dont vous n’avez pas besoin et utilisez les flèches pour changer l’ordre. Sélectionnez Save.
   4. Vérifiez l’aperçu à droite.
   5. Sélectionnez Export .docx ou Export PDF, puis choisissez Draft ou Final.
   6. Téléchargez le fichier à partir de Reports generated.

   Ouvrir la page Rapport d’audit dans votre console →

Une fois terminé

L’auditeur a reçu ce qu’il a demandé, chaque constat est suivi comme un problème et le rapport d’audit est exporté.

Articles sur les pages de ce guide

• Rapport d’audit : préparez le rapport d’une mission d’audit, prévisualisez exactement ce que le client recevra et exportez-le en document Word ou en PDF.
• Audits : menez un audit du début à la fin : la liste de demandes de l’auditeur, les preuves pour chaque demande, les échantillons du type II, les constats, l’accès de l’auditeur externe et le…
• Contrôles (Conception des contrôles) : passez en revue chaque contrôle des cadres de référence que vous avez choisis : voyez en un coup d’œil son statut, son responsable, sa conception, ses documents justificatifs et ses preuves, et ouvrez n’importe quel contrôle…
• Evidence Library : conservez au même endroit chaque fichier et chaque enregistrement qui prouve que vos contrôles fonctionnent, examinés, liés aux contrôles et suivis jusqu’à leur expiration.
• Demandes de preuves : demandez à un fournisseur, à un fournisseur de services de TI ou à un gestionnaire de téléverser des preuves au moyen d’un lien sécurisé, puis examinez et acceptez ce qu’il envoie.
• Problèmes et corrections : tenez une seule liste de tout ce qui doit être corrigé : qui en est responsable, qui s’en occupe, l’échéance et l’état d’avancement.

Besoin d’aide?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant à quelle étape vous êtes rendu :

• Clavarder maintenant : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe sur-le-champ. Là où le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
• Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est transmis directement à une personne.
• Téléphone : AB : 1-403-538-5053, BC : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.

← Tous les guides de tâches