Audit & Advisory GRC

Par l'analyse de risques, presque toujours. Une certification obtenue sans elle produit un système de management qui décrit une organisation théorique : coûteux à maintenir et déconnecté des menaces réelles. L'analyse de risques est d'ailleurs une exigence de la norme, pas une étape préalable facultative. Si l'échéance est contractuelle — un client, un appel d'offres — l'audit d'écarts dit en quelques semaines ce qui sépare l'existant de la cible, et ce que la certification coûtera vraiment.

Ils sont construits pour l'être : politiques, analyse de risques, déclaration d'applicabilité et preuves suivent la structure attendue par les référentiels visés. Un auditeur ne valide toutefois pas un document, il valide une pratique — un processus décrit mais non appliqué se voit en entretien. C'est pourquoi nous privilégions un corpus court et réellement tenu à une documentation exhaustive que personne ne fait vivre.

Non, et personne ne peut faire les deux. La certification est délivrée par un organisme accrédité, indépendant de celui qui a conseillé : c'est la condition même de sa valeur. Nous vous préparons — analyse d'écarts, mise en place du système de management, constitution des preuves, accompagnement pendant l'audit — puis l'organisme certificateur intervient. Un prestataire qui promet la certification elle-même vend soit un audit blanc, soit une confusion des rôles.