Audit du Risque Tiers

Partie 1  : Stratégie et Préparation de l’Audit

Enjeux et Méthodologie

1. Introduction :
   • Passer de la « bonne pratique » à l’exigence légale et contractuelle.
2. Cadre de référence :
   • Maîtriser le vocabulaire, la notation et le scoring cybersécurité.
3. L’approche par les risques :
   • Comprendre les enjeux et prioriser les tiers selon leur criticité.

1. Le cadre réglementaire :
   • Focus sur NIS2, DORA, RGPD et les référentiels comme l’ISO 27001 ou HDS.

Organiser sa démarche d’audit

1. Avant d’auditer :
   • Définir les méthodes de contrôle et les outils (AWS, Azure, Cloud public).
2. Référentiels de contrôle :
   • Choisir ses bases
     • ISO 27002 -Guide d’hygiène ANSSI- COBIT- CIS.

1. Cible de l’audit :

• Déterminer quoi auditer, qui interviewer et évaluer le coût d’une mission.

1. Construction du programme :

• Élaboration de votre propre planning d’audit fournisseur.

Partie 2  : Conduite, Restitution et Réalité du Terrain

La conduite de la mission

1. Principes fondamentaux :
   •  Vue d’ensemble de la posture de l’auditeur.
2. Phase de préparation :
   • Déclenchement de l’audit et analyse documentaire approfondie.
3. Réalisation de l’audit :
   • Conduire les entretiens et collecter les preuves de maturité de sécurité.
4. Restitution :
   •  Méthodologie de rédaction et de diffusion du rapport d’audit.

Pilotage et Amélioration Continue

1. L’après-audit :
   • Suivre les plans d’actions et ajuster le programme annuel.
2. Gestion de la relation :
   • Conséquences des résultats sur les relations contractuelles et le cycle de vie du fournisseur.
3. Atelier « Réalité opérationnelle » :

1. • Arbitrage :
     • Analyser et prioriser les décisions face à la résistance d’un fournisseur.
   • Vigilance Documentaire :
     • Identifier les pièges des certifications à périmètre restreint (ex: ISO 27001 limitée).
   • Simulation d’Entretien :
     • Gérer les interlocuteurs (RSSI, Admin) et les réponses évasives.
   • Scoring :
     • Utiliser une grille de maturité pour positionner objectivement le tiers.

Validation des acquis :

• QCM (Questionnaire à Choix Multiples) de fin de session portant sur les protocoles et la sécurité.

 Profil Formateur :

• Expert en Gouvernance cybersécurité
• Praticien de la gestion des risques tiers (TPRM) ayant conduit des missions de mise en conformité réglementaire (NIS2, DORA).

Autre formation disponible en gouvernance 

• Formation Elaborer un PCA Plan de Continuité d’Activité
• Formation Exercice de Gestion de Crise cybersécurité
• Formation Gestion de crise cyber les fondamentaux
• formation RSSI
• Formation RSSI avancé