Une preuve, plusieurs exigences
Votre politique de contrôle d'accès sert ISO 27001 comme SOC 2. Elle se rattache là où elle compte, sans être dupliquée.
Logiciel de conformité
Un logiciel de conformité qui va de l'exigence à la preuve.
Déclarer sa conformité est facile. La démontrer demande de relier chaque exigence à ce qui la couvre. C'est ce lien que l'application tient à votre place, sur 266 exigences auditables.
Le cycle complet
De la norme au rapport, sans rupture.
La conformité échoue rarement sur une exigence précise. Elle échoue sur les ruptures : l'évaluation dans un fichier, les preuves dans un autre, les actions dans un troisième.
Le référentiel est déjà découpé
Vous choisissez un cadre, ses exigences sont là, référencées sur le texte applicable. Personne ne commence par retaper une norme dans un tableur.
Vous évaluez exigence par exigence
Conforme, partiel, non conforme, non applicable, non évalué. Le taux se recalcule seul, et le non applicable sort du dénominateur au lieu de fausser la moyenne.
Les écarts deviennent des actions
Un écart sans action est un constat sans suite. Ici il devient une action corrective assignée, avec une échéance et un responsable.
Les preuves se rattachent
Chaque exigence porte les documents qui la couvrent, versionnés et approuvés. C'est ce qui transforme une déclaration en démonstration.
Le rapport sort de l'état réel
Synthèse, écarts par domaine, plan de traitement, preuves rattachées. Regénéré demain, il reflète l'état de demain.
Plusieurs cadres à la fois
Gérez plusieurs référentiels sans tout refaire.
Une organisation soumise à l'ISO 27001 l'est souvent aussi au RGPD, et parfois à un cadre sectoriel. Les traiter séparément revient à payer trois fois le même travail.
Des référentiels qui se recoupent
Les cadres se chevauchent largement. Travailler dans une plateforme unique évite de refaire trois fois le même travail d'évaluation.
Un état consolidé
Le tableau de bord montre le taux par référentiel, pas une moyenne floue. Vous voyez lequel avance et lequel décroche.
La liste complète est sur la page référentiels couverts, et la vision d'ensemble sur la page logiciel GRC.
Automatisation
Automatiser la conformité, dans les limites du raisonnable.
Tout n'est pas automatisable, et se le faire promettre devrait alerter. Ce qui l'est : lire vos documents en face des exigences, proposer un premier jet de politique, recalculer un taux. Ce qui ne l'est pas : décider.
L'analyse d'écart
Metis confronte les documents approuvés de votre coffre aux exigences du référentiel et rend un statut justifié par un extrait. Vous gardez la main sur chaque conclusion.
Les projets de politiques
Un brouillon ancré sur le texte officiel, sources citées, qu'il reste à relire et adapter à votre organisation.
Ce que l'outil ne fait pas
- Il ne déclare pas votre conformité à votre place.
- Il ne se substitue ni à l'auditeur ni au régulateur.
- Il ne constitue pas un avis juridique.
Questions fréquentes
Les questions posées avant de s'équiper.
Qu'attend-on d'un logiciel de conformité ?
Trois choses, dans cet ordre : savoir où vous en êtes exigence par exigence, prouver ce que vous affirmez, et sortir un document présentable à un tiers sans y passer une semaine. Un outil qui ne fait que stocker des fichiers ne répond à aucune des trois.
Comment le taux de conformité est-il calculé ?
Une exigence conforme compte pour une unité, une exigence partielle pour une demi-unité. Les exigences marquées non applicables sortent du dénominateur, ce qui évite de pénaliser une organisation pour des points qui ne la concernent pas. Les exigences non encore évaluées comptent pour zéro : le taux ne se flatte pas de ce qui n'a pas été regardé.
Peut-on suivre plusieurs référentiels en même temps ?
Oui, et c'est le cas courant. 15 référentiels sont pré-chargés et se travaillent en parallèle, avec des preuves partagées entre eux quand elles se recoupent.
Que se passe-t-il quand un texte évolue ?
Les exigences pré-chargées sont maintenues côté produit, référencées sur le texte applicable. Vous n'avez pas à reconstruire votre grille à chaque révision. En revanche, l'interprétation d'une exigence dans votre contexte reste votre décision.