Des contrôles qui survivent à l’audit et au prochain attaquant.

Un référentiel est une liste de choses qui devraient être vraies. Il ne les rend pas vraies. L’écart entre « nous avons un contrôle » et « ce contrôle fonctionne, quelqu’un en est responsable et nous pouvons le prouver n’importe quel jour » est l’endroit où vivent discrètement la plupart des programmes — et c’est précisément cet écart qu’exposent l’échantillonnage d’un auditeur, le questionnaire d’un client grand compte ou un incident réel.

Trois choses comblent cet écart, et aucune n’est un document. Une propriété claire, pour que chaque contrôle ait un nom rattaché et une personne qui remarquerait s’il cessait de fonctionner. Un modèle de preuve qui fonctionne, pour que la preuve soit un sous-produit de la manière dont l’équipe opère plutôt qu’une course avant l’audit. Et une priorisation honnête, pour que le temps limité de votre équipe aille aux risques qui comptent plutôt qu’aux cases les plus faciles à cocher. Nous construisons ces trois éléments d’abord ; l’ensemble de politiques en découle, et non l’inverse.

La certification est un résultat. Ce qui la produit — et survit entre deux audits — est un modèle opérationnel. Nous vous aidons à construire les éléments qui le rendent réel :

Chaque mission se déroule de la même manière, calibrée sur votre situation actuelle :

Diagnostiquer l’état actuel. Nous évaluons ce que vous avez réellement — contrôles, preuves, propriété et obligations en présence — et renvoyons une image honnête de la distance à parcourir.

Relier les obligations aux systèmes et processus réels. Nous connectons chaque exigence au système, à l’équipe et au flux de travail concrets qui la satisfont, pour que le programme décrive votre entreprise plutôt qu’une entreprise modèle.

Prioriser les écarts par le risque métier. Nous classons les écarts selon ce qu’ils exposent réellement, pour qu’un budget contraint referme d’abord les risques qui comptent le plus, avant les écarts cosmétiques.

Mettre en place les routines de preuve. Nous installons la manière dont la preuve est produite et tenue à jour, puis montrons à votre équipe comment la faire tourner, pour que rien n’ait à être reconstruit avant chaque audit.

Préparer la direction aux échanges. Nous préparons vos dirigeants aux conversations avec l’auditeur, le client et le régulateur — ce qui sera demandé, ce que disent les preuves, et où se trouvent les réserves honnêtes.

Nous vous rendons prêts et nous vous maintenons prêts. Nous ne sommes pas un organisme de certification et nous ne délivrons pas de certificats — pour ISO 27001, cela relève d’un organisme de certification accrédité, et un rapport SOC 2 est émis par un cabinet de CPA agréé. Rester indépendant de l’audit est précisément l’intérêt : c’est ce qui nous permet d’être francs avec vous sur votre situation réelle.

Nous ne fournissons pas non plus de conseil juridique. Lorsqu’un référentiel soulève une question juridique — comment une obligation doit être interprétée, ce qu’un contrat doit stipuler — cela relève de votre conseil juridique, et nous l’appuyons plutôt que de prétendre le remplacer. Ce que nous faisons, c’est rendre opérationnelles la sécurité et la conformité : transformer les obligations en contrôles, les contrôles en preuves, et les preuves en décisions que votre direction peut assumer.

Nous facturons le travail GRC au forfait, par tranche selon le périmètre — le nombre de référentiels, la taille du parc, et qu’il s’agisse d’un projet de préparation ou d’un programme continu — et communiquons la tranche au cadrage avant tout engagement. Un RSSI à temps partagé est un arrangement mensuel défini, pas un taux journalier ouvert.

Nous ne vendons aucun outil et ne percevons aucune commission d’éditeur, de sorte que le programme est bâti autour de vos obligations plutôt que d’un produit que nous chercherions à placer. Si vous travaillez avec un budget, indiquez-le au cadrage et nous serons clairs sur ce qu’il couvre.