Mis à jour le 28 août 2026
La conformité continue consiste à maintenir dans le temps les mesures, preuves, responsabilités et actions qui permettent de démontrer qu’un dispositif de cybersécurité reste maîtrisé.
Pour une PME, cela ne signifie pas réauditer ISO 27001, NIS2 ou l’ensemble de son référentiel tous les mois.
Une cadence réaliste consiste plutôt à :
Le principe est simple :
contrôler chaque sujet avant que le niveau de confiance dans sa conformité ne devienne insuffisant.
La conformité continue est une méthode de pilotage visant à éviter qu’une organisation ne découvre ses écarts uniquement quelques semaines avant un audit.
Elle repose sur une boucle :
mesure → preuve → contrôle → écart → action → nouvelle preuve → réévaluation.
ISO/IEC 27001 repose précisément sur un système de management devant être établi, mis en œuvre, maintenu et amélioré dans le temps.
Le NIST utilise une logique comparable avec l’Information Security Continuous Monitoring : l’objectif est de conserver une connaissance suffisamment actuelle de l’état de la sécurité, des vulnérabilités, des menaces et de l’efficacité des contrôles pour soutenir les décisions de gestion des risques.
Prenons une mesure déclarée conforme en janvier :
« Tous les comptes administrateurs sont protégés par MFA. »
En février, l’entreprise recrute un nouvel administrateur.
En avril, elle ajoute une nouvelle application SaaS.
En juin, un prestataire obtient un accès privilégié temporaire.
La conclusion de janvier peut rester exacte sur l’ancien périmètre tout en étant devenue incomplète sur le nouveau.
Le même problème se présente avec :
La conformité continue sert précisément à détecter ces changements avant le prochain audit.
Les plateformes de compliance automation emploient souvent l’expression continuous compliance pour désigner des contrôles techniques exécutés automatiquement et fréquemment.
Cette approche est pertinente pour des informations comme :
Elle s’applique beaucoup moins directement à :
Une organisation n’a donc pas besoin de tout contrôler en permanence.
Elle doit surtout déterminer une fréquence suffisamment courte pour détecter une dérive avant qu’elle ne crée un problème important.
Une PME dispose rarement d’une équipe dédiée uniquement à la conformité.
Une organisation réaliste consiste donc à répartir les contrôles selon leur nature.
| Fréquence | Type de contrôle |
| Continu ou automatisé | État technique facilement observable |
| Mensuel | Pilotage opérationnel et dérives courantes |
| Trimestriel | Revues nécessitant une analyse humaine |
| Annuel ou programmé | Audits, risques, politiques et gouvernance |
| Événementiel | Incident ou changement majeur |
La fréquence doit toujours être adaptée au risque.
Une revue annuelle peut être suffisante pour certaines mesures et beaucoup trop lente pour d’autres.
Pour une PME, la revue mensuelle doit rester suffisamment courte pour être réellement réalisée.
L’objectif n’est pas de reprendre chaque ligne du référentiel.
Il s’agit de détecter les événements capables de faire dériver la posture de conformité.
Commencez par le plan d’action.
Pour chaque action importante, vérifiez :
Un plan de traitement qui n’est consulté qu’avant l’audit devient rapidement un inventaire d’intentions.
| Indicateur | Question |
| Actions P1 ouvertes | Quels risques importants ne sont pas encore traités ? |
| Actions en retard | Où la feuille de route dérive-t-elle ? |
| Actions bloquées | Quel arbitrage manque ? |
| Actions à valider | Quelles corrections doivent encore être vérifiées ? |
| Reports d’échéance | Repousse-t-on régulièrement les mêmes sujets ? |
Le plus important n’est pas le nombre d’actions clôturées.
C’est la capacité à expliquer pourquoi les actions réellement importantes avancent ou non.
Une mesure peut toujours exister alors que la preuve disponible n’est plus suffisamment représentative.
Exemples :
La revue mensuelle doit donc identifier les preuves qui devront bientôt être renouvelées.
| Situation | Traitement |
| Plus de 60 jours avant revue | Pas d’action immédiate |
| 30 à 60 jours | Préparer le renouvellement |
| Moins de 30 jours | Affecter la collecte |
| Preuve expirée | Vérifier immédiatement la mesure |
Ces seuils ne constituent pas une exigence ISO ou NIS2.
Ils servent simplement à éviter de devoir reconstruire plusieurs dizaines de preuves juste avant un audit.
Chaque incident de sécurité peut remettre en cause une mesure considérée jusque-là comme satisfaisante.
La revue mensuelle devrait donc poser cette question :
Avons-nous observé depuis la dernière revue un incident ou une anomalie qui remet en cause une conclusion de conformité ?
Exemple :
Une procédure d’offboarding est considérée comme maîtrisée.
Un ancien compte utilisateur est ensuite découvert actif plusieurs semaines après le départ du salarié.
Il ne suffit pas de supprimer le compte.
Il faut également déterminer si l’événement remet en cause :
La conformité continue connecte ainsi la gestion des incidents au pilotage GRC.
Une mesure est toujours évaluée sur un périmètre donné.
Chaque mois, vérifiez donc les changements susceptibles de modifier ce périmètre.
| Changement | Impact GRC potentiel |
| Nouvelle application SaaS | IAM, données, fournisseurs, sauvegardes |
| Nouveau prestataire | Contrat, risque tiers, accès |
| Migration cloud | Architecture, journalisation, responsabilités |
| Nouveau site | Réseau, sécurité physique |
| Nouvelle activité | Analyse de risques, périmètre |
| Acquisition | Utilisateurs, SI, exigences |
| Nouvel administrateur | MFA, comptes privilégiés |
| Changement d’architecture | Risques, audit, preuves |
Attendre la fin de l’année pour analyser une migration réalisée plusieurs mois auparavant réduit fortement la valeur de la démarche de conformité.
Certains écarts restent ouverts non pas pour des raisons techniques, mais parce qu’une décision manque.
Par exemple :
Le tableau mensuel doit rendre ces décisions visibles.
Action : remplacer un serveur obsolète
Statut : bloqué
Cause : budget non validé
Décision attendue : direction
Date d’escalade : prochain comité
Cela évite de présenter un problème de gouvernance comme un simple retard de l’équipe technique.
Terminez la revue en regardant les 60 à 90 prochains jours.
Identifiez :
La conformité continue ne sert donc pas uniquement à constater les retards.
Elle permet également d’anticiper les prochaines charges.
La revue trimestrielle est adaptée aux sujets trop lourds pour être examinés mensuellement mais trop importants pour attendre systématiquement un an.
Les fréquences suivantes constituent une proposition de gouvernance PME. Elles doivent être adaptées au référentiel applicable et au niveau de risque.
Une revue régulière des habilitations permet d’identifier :
Pour une organisation relativement stable, certains accès peuvent être revus annuellement.
Pour des comptes particulièrement sensibles, une fréquence trimestrielle peut être préférable.
| Population | Fréquence indicative |
| Comptes standards stables | Annuelle selon risque |
| Applications sensibles | Semestrielle ou trimestrielle |
| Comptes à privilèges | Trimestrielle si risque élevé |
| Comptes temporaires | À expiration et régulièrement |
Le principe reste le même :
plus le privilège et la dynamique du périmètre augmentent, plus la fréquence de revue doit être courte.
Évaluer un fournisseur lors de sa sélection puis ne plus le revoir pendant plusieurs années est rarement suffisant.
La revue trimestrielle du portefeuille fournisseur peut identifier :
Il ne s’agit pas de réauditer tous les fournisseurs tous les trois mois.
L’objectif est d’identifier ceux dont la situation justifie une nouvelle analyse.
Les sauvegardes opérationnelles doivent naturellement être surveillées beaucoup plus fréquemment.
La revue GRC trimestrielle peut en revanche vérifier :
Une sauvegarde réussie ne démontre pas à elle seule que la restauration fonctionnera.
Le pilotage doit donc conserver le lien avec les tests réels.
La revue mensuelle répond :
Qu’est-ce qui bloque actuellement ?
La revue trimestrielle répond :
Notre trajectoire reste-t-elle crédible ?
Analysez notamment :
Cette revue permet d’éviter qu’une feuille de route de douze mois se transforme progressivement en plan de vingt-quatre mois sans décision explicite.
Quelques tendances valent davantage qu’une accumulation de KPI.
| Indicateur | Lecture recherchée |
| Actions prioritaires en retard | Capacité d’exécution |
| Preuves à jour | Préparation et démontrabilité |
| Contrôles non démontrés | Zones d’incertitude |
| Incidents liés à des contrôles existants | Effectivité |
| Nouveaux risques | Évolution du contexte |
| Écart entre maturité actuelle et cible | Progression |
Le but n’est pas de produire des graphiques.
Il est de savoir si l’organisation devient réellement plus maîtrisée.
Toutes les mesures ne sont pas soumises à une fréquence annuelle obligatoire.
La bonne méthode consiste à définir des intervalles planifiés, puis à déclencher des revues supplémentaires lorsque le risque ou les changements l’exigent.
Pour une PME, une revue annuelle constitue néanmoins un bon point de synchronisation pour plusieurs sujets structurants.
L’audit interne permet de réévaluer de manière formelle le dispositif.
Une PME peut organiser :
Le programme doit être adapté :
L’audit ne doit pas être le seul moment où les contrôles sont examinés.
Il doit confirmer et approfondir ce que le suivi régulier a déjà permis d’observer.
Une politique ne doit pas être révisée uniquement pour changer sa date.
La revue doit vérifier :
Cette règle correspond-elle encore à nos pratiques, à notre organisation et à nos risques ?
Une nouvelle revue peut également être déclenchée par :
L’analyse de risques doit rester connectée à l’organisation réelle.
Une revue annuelle peut constituer un point de synchronisation.
Elle ne doit toutefois pas empêcher une réévaluation anticipée après :
La revue de direction ne devrait pas être une présentation annuelle d’un score de conformité.
Elle doit permettre de décider :
Pour une petite structure, cette revue peut parfaitement être combinée avec une réunion annuelle de gouvernance cyber.
L’important est que les décisions soient explicites et traçables.
Les tests de sauvegarde, de restauration et de continuité doivent être programmés selon le niveau de criticité.
Une organisation peut par exemple prévoir :
Un changement significatif peut justifier un nouveau test avant la prochaine échéance planifiée.
Enfin, une revue annuelle du programme d’audit permet de vérifier :
Le programme d’audit doit vivre avec l’organisation.
Voici une matrice simple.
| Fréquence | Contrôles | Objectif |
| Continu / automatisé | Configurations critiques, alertes, vulnérabilités selon les outils | Détecter rapidement les dérives techniques |
| Mensuel | Actions, retards, preuves, incidents, changements, décisions | Maintenir le pilotage opérationnel |
| Trimestriel | Accès sensibles, fournisseurs, trajectoire, indicateurs | Détecter les dérives structurelles |
| Semestriel | Contrôles intermédiaires selon le risque | Ne pas attendre la revue annuelle |
| Annuel / programmé | Audits, risques, politiques, gouvernance, exercices | Réévaluer le dispositif |
| Événementiel | Incident, migration, acquisition, changement majeur | Réévaluer immédiatement |
Cette matrice n’est pas une fréquence officielle ISO 27001, ANSSI ou NIS2.
Elle fournit un modèle de gouvernance permettant de traduire la notion de conformité continue en calendrier réellement applicable à une PME.
Une organisation ne doit pas piloter sa conformité uniquement avec un calendrier.
Certains événements doivent provoquer une réévaluation.
| Événement | Éléments à réexaminer |
| Incident cyber | Contrôles ayant échoué ou limité l’impact |
| Nouvelle application | Accès, données, fournisseur, sauvegarde |
| Migration | Architecture, configuration, supervision |
| Nouveau système IAM | Comptes, MFA, privilèges |
| Acquisition | Périmètre, risques, référentiels |
| Nouveau prestataire critique | Contrats, accès, risques tiers |
| Vulnérabilité majeure | Correctifs et exposition |
| Nouvelle réglementation | Applicabilité et référentiel |
| Échec d’un test | Mesure concernée et risque |
| Réorganisation | Responsabilités et habilitations |
Les fréquences planifiées sont un filet de sécurité.
Elles ne remplacent pas le jugement fondé sur le risque.
La conformité continue suppose de passer d’un dossier de preuves à un véritable cycle de vie des preuves.
Chaque élément devrait posséder au minimum :
| Champ | Exemple |
| Preuve | Revue des comptes privilégiés Q2 |
| Mesure | Gestion des droits |
| Propriétaire | Responsable IAM |
| Date | 30/06/2026 |
| Période couverte | Avril à juin |
| Statut | Valide |
| Prochaine revue | 30/09/2026 |
| Localisation | SharePoint |
| Déclencheur particulier | Changement IAM |
La revue mensuelle ne consiste pas à examiner à nouveau tous les documents.
Elle répond principalement à trois questions :
Cette approche évite la collecte massive réalisée quelques semaines avant l’audit.
Un retard ne doit pas être traité simplement en modifiant la date cible.
Conservez :
| Situation | Traitement |
| Action P1 en retard | Analyse et escalade |
| P2 en retard de courte durée | Revue mensuelle |
| Reports successifs | Arbitrage de gouvernance |
| Blocage budgétaire | Décision de direction |
| Action réalisée sans preuve | Maintien « à valider » |
| Action abandonnée | Décision et risque résiduel tracés |
L’objectif n’est pas de sanctionner les équipes.
Il est d’éviter qu’une organisation conserve implicitement un risque pendant plusieurs mois sans décision explicite.
Un dashboard mensuel doit rester court.
Une PME n’a pas besoin de quarante graphiques.
| Indicateur | Valeur fictive | Tendance |
| Actions P1 ouvertes | 3 | En baisse |
| Actions en retard | 7 | En hausse |
| Preuves à renouveler sous 30 jours | 5 | Stable |
| Mesures insuffisamment démontrées | 8 | En baisse |
| Incidents significatifs du mois | 1 | - |
| Risques en attente de décision | 2 | En hausse |
| Contrôles prévus le mois prochain | 4 | - |
Les valeurs sont uniquement illustratives.
Ajoutez trois blocs.
Exemples :
Uniquement les sujets empêchant réellement la progression.
Audits, tests, revues, renouvellements et comités.
Le dashboard devient ainsi un outil de gouvernance et non un simple tableau de statistiques.
Prenons une PME de 80 salariés ayant terminé un audit interne en janvier.
Le rapport identifie 18 actions.
L’entreprise décide de ne pas attendre l’audit de l’année suivante.
Le suivi mensuel vérifie :
Une action MFA est bloquée par une application historique.
La décision est escaladée.
Une nouvelle application RH est déployée.
La revue ajoute immédiatement :
Le périmètre est mis à jour sans attendre l’audit suivant.
La revue trimestrielle des comptes sensibles révèle deux comptes de prestataires qui ne devraient plus être actifs.
Ils sont supprimés et le processus de sortie est corrigé.
Une preuve relative à la sensibilisation arrive à échéance.
La nouvelle campagne est préparée en avance.
Plusieurs échecs de sauvegarde sont observés.
L’incident déclenche une analyse avant le prochain test de restauration prévu.
La revue trimestrielle montre que quatre actions sont régulièrement reportées.
Deux nécessitent un budget.
La direction arbitre.
L’organisation prépare son audit interne.
La majorité des informations existent déjà :
La préparation de l’audit devient alors la conséquence du travail réalisé toute l’année, et non une opération de reconstruction.
C’est précisément l’objectif de la conformité continue.
Un contrôle automatique peut déterminer qu’un poste est chiffré.
Il ne décide pas nécessairement :
La surveillance technique et la gouvernance doivent rester complémentaires.
Cette organisation devient rapidement disproportionnée.
La revue mensuelle doit porter sur :
Elle ne doit pas reproduire l’intégralité de l’audit.
Un compte administrateur temporaire ne doit pas nécessairement attendre une revue annuelle.
Inversement, une politique stable n’a aucune raison d’être réapprouvée tous les mois.
La cadence doit dépendre du risque.
Le stock documentaire augmente mais personne ne sait ce qui reste réellement valable.
Le tableau de bord devient vert sans que le risque ait réellement diminué.
Une amélioration du score moyen peut masquer :
Le score doit compléter l’analyse, pas la remplacer.
Le RSSI peut piloter la démarche.
Les actions restent réparties entre :
Une conformité réellement continue implique que chaque responsable connaisse ses propres engagements.
Le suivi ne doit pas devenir un second audit.
Pour une PME déjà structurée, une charge indicative peut être :
| Activité | Effort indicatif |
| Préparation du dashboard | 30 à 60 min |
| Revue des actions et retards | 30 min |
| Revue des preuves | 15 à 30 min |
| Incidents et changements | 15 à 30 min |
| Comité opérationnel | 30 à 60 min |
| Mise à jour des décisions | 15 à 30 min |
| Total | 2 à 4 heures par mois |
Ces durées ne constituent pas un benchmark ISO, ANSSI ou NIST.
Elles supposent :
La charge augmente fortement lorsque les informations doivent être recherchées dans :
CompliKey permet de maintenir une continuité entre référentiels, audits, preuves et remédiations sans transformer la conformité en succession d’évaluations isolées.
Les mesures restent centralisées dans l’espace de l’organisation.
Le responsable peut retrouver :
Cela évite de reconstruire le contexte à partir de plusieurs fichiers.
Un audit représente la situation à un instant donné.
Il doit rester possible de distinguer :
audit initial → actions → nouvel audit → progression.
La situation actuelle ne doit pas effacer l’historique qui permet d’expliquer la trajectoire.
Les preuves peuvent être référencées directement depuis les mesures.
Les documents sensibles peuvent rester dans l’environnement documentaire maîtrisé par le client, tandis que le lien avec l’exigence est conservé dans CompliKey.
Les constats et écarts peuvent alimenter des remédiations puis des actions suivies.
Le responsable sait donc :
Les tableaux de bord et l’espace consultant permettent de suivre les organisations, leurs audits, leurs niveaux de maturité et leurs actions.
Pour un consultant GRC ou un RSSI externalisé, cette logique facilite également le suivi de plusieurs clients tout en conservant des espaces distincts.
CompliKey ne remplace pas :
La plateforme ne transforme donc pas chaque contrôle en capteur technique automatique.
Son rôle est de maintenir la couche de gouvernance permettant de savoir :
C’est cette approche qui permet de rendre la conformité continue réaliste pour une PME.
La conformité continue ne consiste pas à passer l’année entière en audit.
Elle consiste à ne pas attendre douze mois avant de vérifier si les conclusions de l’audit précédent sont toujours vraies.
Une cadence PME simple peut retenir :
La fréquence exacte doit rester adaptée au risque.
La prochaine étape n’est donc pas d’automatiser immédiatement des centaines de contrôles.
Elle consiste d’abord à répondre à une question beaucoup plus simple :
Quelles informations devons-nous regarder chaque mois pour être certains de ne pas découvrir nos dérives au prochain audit ?
La conformité continue consiste à vérifier régulièrement que les mesures, preuves, responsabilités et plans d’action restent adaptés à la situation réelle de l’organisation. Elle ne signifie pas que toutes les exigences doivent être contrôlées en temps réel. Certaines données techniques peuvent être surveillées automatiquement, tandis que les politiques, risques, fournisseurs, décisions et contrôles organisationnels nécessitent des revues périodiques adaptées à leur niveau de risque.
Il n’existe pas de checklist mensuelle officielle applicable à toutes les organisations. Une PME peut néanmoins vérifier chaque mois les actions prioritaires, retards, preuves à renouveler, incidents, changements significatifs et risques en attente de décision. Les fréquences précises doivent être définies selon le risque, les intervalles planifiés et le fonctionnement du SMSI. Le suivi mensuel complète l’audit interne ; il ne le remplace pas.
Non. Une revue mensuelle doit principalement identifier les changements et les dérives : actions en retard, preuves expirées, incidents, nouvelles applications, nouveaux fournisseurs ou décisions non prises. L’audit structuré reste conduit selon le programme défini par l’organisation. Refaire l’intégralité du référentiel chaque mois serait souvent disproportionné et réduirait la valeur du suivi.
La fréquence dépend du niveau de risque, du référentiel applicable et du type de compte. Les comptes standards d’un environnement stable peuvent être revus moins fréquemment que les comptes administrateurs ou les accès temporaires de prestataires. Une organisation peut par exemple mettre en place une revue annuelle générale complétée par des revues trimestrielles des accès les plus sensibles.
Le renouvellement dépend de la fréquence du contrôle, de la période couverte et des changements du SI. Une preuve peut devenir obsolète après une migration, un changement de fournisseur ou une modification importante de configuration même si elle est récente. Chaque preuve importante devrait donc disposer d’une date de prochaine revue et, lorsque nécessaire, d’événements déclencheurs permettant de la réévaluer plus tôt.
Non. L’automatisation est particulièrement adaptée aux configurations techniques ou à certaines preuves facilement collectables depuis les outils. Elle ne remplace pas les décisions humaines concernant les risques, politiques, responsabilités, fournisseurs ou actions de remédiation. Une approche efficace en PME combine automatisation lorsque celle-ci apporte réellement de la valeur et pilotage GRC régulier pour les contrôles nécessitant du contexte.
Centralisez mesures, audits, preuves, remédiations et actions pour identifier chaque mois les sujets qui nécessitent réellement votre attention.
Découvrir comment piloter la conformité continue avec CompliKey
