Comprendre simplement le module, son rôle et son fonctionnement
Le module d’audit interne CompliKey a été conçu pour répondre à une question très concrète :
Comment vérifier, de façon structurée et défendable, le niveau réel de maturité de ses mesures de cybersécurité ?
Dans beaucoup d’organisations, la conformité et la maturité sont suivies au quotidien de manière déclarative.
C’est utile pour piloter. Mais cela ne suffit pas toujours quand il faut objectiver la situation, préparer un audit, rendre compte à une direction ou produire un livrable crédible pour un client.
Le module d’audit interne apporte cette seconde lecture :
une maturité auditée, datée, structurée et exploitable.
Dans CompliKey, les mesures de conformité peuvent déjà être suivies dans le temps avec une maturité déclarative.
Cette vision est utile pour gérer le quotidien, suivre une progression et prioriser les actions.
Mais une auto-évaluation a toujours une limite :
elle peut être optimiste, incomplète ou difficile à défendre face à un tiers.
Le module d’audit interne a donc été conçu pour :
En pratique, il transforme un pilotage déclaratif en un pilotage plus crédible, plus structuré et plus défendable.
Le module permet de réaliser un audit guidé à partir d’un modèle CompliKey, sur un périmètre donné, en évaluant les mesures une par une.
Il sert notamment à :
Ce n’est pas un simple questionnaire.
C’est un cadre structuré pour évaluer, constater et suivre.
L’objet central de l’audit est la mesure.
Une mesure correspond à un contrôle ou à une exigence présente dans le tableau de conformité, rattachée à une ou plusieurs normes.
C’est un choix important, car il rend l’audit :
Autrement dit, on n’audite pas un principe abstrait.
On audite une mesure réellement suivie dans l’organisation.
Le module repose sur des modèles d’audit fournis par CompliKey.
Ces modèles permettent de lancer rapidement un audit structuré, sans avoir à recréer toute la méthode.
Ils sont conçus pour être cohérents, multi-normes, et directement exploitables.
Chaque modèle contient :
Chaque audit est créé sur un périmètre précis.
Cela peut être par exemple :
Ce cadrage est essentiel pour éviter toute ambiguïté sur ce qui est réellement audité.
Dans le MVP, la sélection des mesures se fait à partir du tableau de conformité.
Le module d’audit ne se base donc pas sur la DDA pour pré-sélectionner les mesures dans cette première version.
Cette logique permet de rester simple et cohérente avec le socle central de CompliKey.
Chaque mesure auditée est notée selon une échelle de 0 à 4, identique à celle utilisée dans le reste de la plateforme.
L’évaluation repose sur 4 dimensions fixes.
Cette approche a été choisie pour garder un audit :
L’objectif n’est pas de multiplier les questions pour complexifier l’exercice, mais de donner une méthode stable pour objectiver la maturité.
CompliKey ne stocke pas de documents sensibles dans le module d’audit.
Il n’y a donc pas d’upload de preuves dans le MVP.
À la place, l’auditeur renseigne des références simples et utiles :
Cette logique permet de documenter ce qui a été vu, sans transformer l’outil en espace de stockage documentaire.
Elle reste cohérente avec l’ADN CompliKey :
référencer les preuves, sans stocker inutilement des contenus sensibles.
Le module permet aussi de préciser comment l’audit a été réalisé.
Les méthodes de collecte peuvent être indiquées, par exemple :
Cela permet de donner plus de contexte au rapport et d’expliquer sur quelle base les évaluations ont été faites.
Pendant l’audit, l’auditeur peut formaliser des constats sur une mesure.
Dans le MVP, les types de constats sont :
Chaque constat doit être justifié par les faits observés.
L’idée est simple : on ne signale pas un problème “au ressenti”.
On documente ce qui a été constaté.
Dès qu’une mesure comporte au moins un constat, CompliKey crée automatiquement une remédiation par mesure.
Cette remédiation sert à suivre la suite de l’audit dans le temps.
Elle contient :
Les statuts disponibles sont :
C’est un point important du module :
l’audit ne s’arrête pas à l’évaluation. Il débouche sur un suivi concret.
Non.
Une fois clôturé, l’audit devient immuable.
Cela signifie qu’il :
C’est essentiel pour garder un historique fiable et éviter de réécrire un audit a posteriori.
Les audits clôturés restent ensuite consultables dans le temps par périmètre.
C’est une distinction importante dans CompliKey.
C’est la maturité suivie au quotidien dans le tableau de conformité.
Elle reflète l’état estimé par l’organisation.
C’est la maturité issue du module d’audit interne.
Elle est évaluée à une date donnée, sur la base d’un audit structuré.
Le module permet ensuite d’aligner le déclaratif sur l’audit avec une action simple :
aligner toutes les mesures auditées.
Dans le MVP, cette action met à jour uniquement le score déclaratif.
Une fois l’audit clôturé, CompliKey permet d’exporter un rapport PDF exécutif.
Ce rapport est pensé pour être :
Il contient notamment :
Le rapport permet de sortir du seul cadre de l’outil et de partager une synthèse exploitable avec :
Le module permet de vérifier si les mesures suivies dans CompliKey sont réellement maîtrisées, et pas seulement “notées” comme telles.
Il apporte un cadre commun pour réaliser des audits plus homogènes, plus lisibles et plus réutilisables d’un client à l’autre.
Il permet de disposer d’une lecture plus crédible qu’une simple auto-évaluation, avec des constats et des actions de suivi.
Pour rester simple et utilisable, le MVP ne cherche pas à tout couvrir.
Il n’intègre pas :
Ces limites sont assumées.
Le but du module n’est pas de devenir un outil d’audit complexe, mais de fournir un cadre guidé, sérieux et actionnable.
Dans la logique CompliKey, l’audit interne ne remplace pas le pilotage quotidien.
Il vient le renforcer.
Il permet de :
C’est ce qui fait du module d’audit un outil utile non seulement pour l’audit, mais aussi pour la gouvernance dans la durée.
👉 Une organisation qui audite ses mesures de façon structurée ne se contente plus de déclarer sa maturité.
Elle commence à la rendre défendable.
