Ce que coûte le sprint annuel
Le cycle traditionnel collecte la preuve dans les semaines qui précèdent l’audit, à partir de captures d’écran et d’exports qui décrivent l’état de cette semaine-là. Le reste de l’année est un angle mort : un contrôle peut échouer en février et être découvert en novembre. Le sprint se répète en outre pour chaque référentiel, parce que chaque auditeur demande la même preuve de revue des accès sous une forme différente. La conformité continue étale le travail sur l’année et le fait une fois pour tous les référentiels.
Mapper une fois, prouver une fois
Le mécanisme est un référentiel de contrôles unique, mappé aux exigences de chaque cadre applicable : un contrôle de revue des accès satisfait en même temps une mesure de l’annexe A de l’ISO 27001, une mesure de gestion des risques NIS2 et un critère SOC 2. La preuve est attachée au contrôle, pas au référentiel, avec une cadence, un responsable et une revue. Ajouter un référentiel revient alors à mapper ses exigences aux contrôles existants et à écrire seulement ceux qui manquent, pas à reconstruire le programme.
Ce que les réglementations ont changé
NIS2 exige des politiques pour évaluer l’efficacité des mesures de gestion des risques ; DORA exige des entités financières qu’elles tiennent leur cadre de risque TIC documenté, revu et audité régulièrement. Les deux font de « conforme le jour de l’audit » une réponse insuffisante : la question devient si l’organisation peut démontrer que ses mesures fonctionnent à n’importe quelle date choisie par le superviseur. La conformité continue est le modèle d’exploitation qui peut répondre oui.