Audit de conformité au référentiel applicable (EBIOS RM)
Vous abordez l'audit de votre donneur d'ordre, de l'autorité ou d'un organisme tiers avec un dossier de preuves déjà constitué.
En bref
- Résultat
- Vous abordez l'audit de votre donneur d'ordre, de l'autorité ou d'un organisme tiers avec un dossier de preuves déjà constitué.
- Idéal pour
- Responsable qualité, responsable de la conformité réglementaire et des autorisations ou responsable de bureau d'études qui prépare un audit client, une inspection de l'autorité ou une visite de classification sur le thème EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI).
- Ce que vous obtenez
- Rapport de conformité exigence par exigence au référentiel applicable, avec preuves attendues et preuves présentées.
- Prérequis de votre côté
- Le référentiel applicable (règlement, norme, règle de classification, exigences de l'exploitant ou du donneur d'ordre), vos procédures et enregistrements, un interlocuteur par exigence.
- Durée et charge
- 4 à 8 jours
- Format
- Forfait
Exemple de situation
Constituer le dossier de preuves d'un audit client. Un équipementier reçoit le questionnaire d'audit d'un constructeur de matériel roulant sur le thème EBIOS RM. Nous confrontons chaque exigence à ses procédures et à ses enregistrements, classons les écarts et rédigeons le dossier de réponse ; les actions sont réparties entre les services avant l'échéance.
Un auditeur, qu'il vienne d'un exploitant, d'un gestionnaire d'infrastructure, d'un armateur, d'un donneur d'ordre, d'une autorité ou d'un organisme tiers, évalue sur un référentiel précis, exigence par exigence, et attend des preuves, pas des intentions. Sur le thème EBIOS RM, nous reprenons ce référentiel, qu'il s'agisse d'un règlement européen, d'une norme, d'une règle de société de classification ou du cahier des charges de votre client, et nous confrontons chaque exigence à vos documents et à vos pratiques, sur des systèmes industriels, embarqués et de bord où une compromission peut dégrader la disponibilité d'une ligne ou d'un navire, toucher des fonctions de sécurité et remettre en cause la confiance du donneur d'ordre.
Le rapport présente, pour chaque exigence, la preuve attendue, la preuve que vous détenez, l'écart éventuel et l'action pour le combler avant l'échéance. Il sert de dossier de réponse et d'entraînement pour vos responsables sécurité informatique, qui savent ainsi quoi montrer et comment le dire. Il reste un audit de conseil : il ne remplace ni l'audit officiel, ni une évaluation de sécurité indépendante, ni une visite de classification, et il ne préjuge pas de leur résultat.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème EBIOS RM, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Grille exigence par exigence avec preuves attendues et preuves présentées
- Liste des écarts et des actions avant l'échéance
- Dossier de réponse prêt pour l'audit ou l'inspection
Format et charge : forfait, 4 à 8 jours. Idéal pour : responsable qualité, responsable de la conformité réglementaire et des autorisations ou responsable de bureau d'études qui prépare un audit client, une inspection de l'autorité ou une visite de classification sur le thème EBIOS RM. Prérequis de votre côté : le référentiel applicable (règlement, norme, règle de classification, exigences de l'exploitant ou du donneur d'ordre), vos procédures et enregistrements, un interlocuteur par exigence.
Exemples d'usage
Une situation d'exemple dans laquelle cette prestation a du sens. C'est un exemple construit à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Constituer le dossier de preuves d'un audit client
Un équipementier reçoit le questionnaire d'audit d'un constructeur de matériel roulant sur le thème EBIOS RM. Nous confrontons chaque exigence à ses procédures et à ses enregistrements, classons les écarts et rédigeons le dossier de réponse ; les actions sont réparties entre les services avant l'échéance.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 4 à 8 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème EBIOS RM dans l'industrie ferroviaire ou navale, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, inspection de l'autorité, visite de classification ou évaluation d'un organisme tiers, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème EBIOS RM, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité, d'une société de classification ou d'un organisme tiers, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des systèmes en exploitation, sur un navire ou sur une ligne ?
Notre travail se déroule d'abord hors production : documents, schémas, configurations exportées, entretiens et environnements de test. Sur le thème EBIOS RM, une intervention sur site n'a lieu qu'avec l'autorisation de l'exploitant, en appliquant les règles d'accès et de sécurité du site ou du chantier. Nous n'assurons pas d'intervention embarquée en mer. Toute modification d'un équipement qui concourt à la sécurité reste décidée et évaluée par vous et, si nécessaire, par l'organisme tiers compétent. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par le donneur d'ordre.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous répondons sous 48 h ouvrées et le devis est établi après l'échange.