L’unité de travail est le contrôle
Une exigence de référentiel est une phrase ; un contrôle est une chose qui se teste : « les comptes à privilèges sont revus chaque trimestre et la revue est signée ». La CCM travaille à ce niveau. Pour chaque contrôle, elle dit quelle preuve le démontre, quelle fraîcheur cette preuve doit avoir, qui la revoit et ce qui se passe quand elle échoue. Une centaine de contrôles bien spécifiés surveillés ainsi couvrent plusieurs référentiels à la fois, parce que les phrases d’exigence se mappent dessus.
Automatisée quand c’est possible, honnête sinon
Un programme de CCM qui revendique une automatisation totale revendique d’ordinaire une couverture qu’il n’a pas. Les contrôles d’identité, de configuration cloud et de poste de travail se testent depuis des connecteurs ; une formation suivie, une clause de contrat fournisseur ou une approbation du conseil ne se testent pas ainsi. Le modèle qui fonctionne mélange les deux : tests automatisés quand une source existe, dépôt de preuve avec validation assistée par IA et revue humaine ailleurs, et un seul vocabulaire de statut pour qu’un lecteur n’ait jamais à demander quel type de preuve se cache derrière un vert.
Ce qu’elle alimente
Le statut des contrôles est l’entrée qui rend honnête le reste de la GRC. Le score résiduel d’un risque hérite du statut de ses contrôles ; un KRI peut compter les contrôles dont la preuve a vieilli ; la vue de conformité d’un référentiel est la somme des statuts de ses contrôles mappés le jour où on la lit. La CCM est donc moins une fonction de reporting que la source de vérité que le registre, les indicateurs et l’audit lisent tous.