Audit interne ISO/IEC 27001
Un audit interne complet de votre SMSI selon ISO/IEC 27001:2022, des articles 4 à 10 et des mesures de l'Annexe A déclarées dans votre déclaration d'applicabilité.
Assurance et évaluation indépendantes
Un audit ne vaut la peine que si la personne qui le mène accepte de vous dire ce que vous préféreriez ne pas entendre. Nous évaluons ce que vous avez construit, nous étayons par des preuves ce que nous trouvons, et nous vous remettons un rapport sur lequel vous pouvez agir.
We get you ready to certify & show where you stand.
ZULTIV runs your internal audit, your readiness assessment and your third-party/supplier/ Independent assessment against the same standards we teach. You finish with the evidence pack, the corrective plan and the confidence to book the certification audit.
C'est notre indépendance qui donne sa valeur à ce verdict. Nous n'avons aucun certificat à vous vendre et aucune mise en œuvre à défendre, donc rien n'est adouci. Vous obtenez une lecture honnête de votre situation avant qu'un organisme de certification, un régulateur ou un client ne se fasse la sienne.
Scope note: ZULTIV is not an accredited certification body. Your accredited certificate is issued by the registrar you appoint. Our job is to help you enter that audit prepared, with evidence and findings addressed.
Catégorie 01
Audits internes
Clause 9.2 requires an internal audit programme. While audits may be conducted by internal personnel, maintaining independence and objectivity is essential for an effective assessment.
Audit interne ISO 22301
Management de la continuité d'activité audité selon ISO 22301 : analyse d'impact sur l'activité, objectifs de reprise, stratégie de continuité, et vérification que les exercices testent réellement quelque chose.
Audit interne ISO 9001
Audit du système de management de la qualité selon ISO 9001 : interactions entre processus, approche par les risques, et preuves d'amélioration plutôt que d'intention.
Catégorie 02
Préparation et évaluation
Avant l'audit de certification, la revue de sécurité d'un client ou la question du régulateur, sachez quelle sera la réponse.
Préparation HIPAA
Garanties administratives, physiques et techniques examinées au regard des HIPAA Security et Privacy Rules, avec un registre des écarts que vous pouvez traiter point par point.
Préparation SOC 2
Les Trust Services Criteria parcourus mesure par mesure, pour que l'examen mené par votre cabinet CPA ne soit pas le moment où vous découvrez que la preuve n'existe pas.
Évaluation des risques et de la conformité
Un examen structuré de votre univers de risques et de votre environnement de contrôle au regard des obligations qui s'appliquent réellement à vous, y compris le DPDP Act indien.
Évaluation des tiers / fournisseurs
Vos fournisseurs détiennent vos données et votre disponibilité. Nous les évaluons correctement, sur preuves, et non sur un questionnaire renvoyé que personne n'a lu.
Catégorie 03
Attestation de conformité
Lorsqu'un client, un investisseur ou un régulateur demande une preuve, une attestation indépendante signée répond à la question en un seul document.
Une attestation de conformité (AOC) est une déclaration formelle, émise et signée par ZULTIV, confirmant que nous avons examiné vos mesures au regard d'un référentiel nommé à une date nommée et que nous les avons trouvées mises en œuvre et opérationnelles.
C'est le document que vous remettez à une équipe sécurité côté client qui refuse les questionnaires d'auto-évaluation, et celui qui fait avancer une affaire quand un audit de certification complet est encore à plusieurs mois.
Ce que vous recevez
Une lettre d'attestation signée, la déclaration de domaine d'application sur laquelle elle repose, la synthèse des tests de mesures qui la fonde, et un journal des constatations pour tout ce qui a dû être corrigé au préalable.
Délai
En général trois à six semaines entre le cadrage et la signature, selon la taille du parc et le volume de preuves déjà disponibles.
Référentiels couverts
ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001, ISO 22301, ISO 9001, HIPAA, SOC 2 criteria and India's DPDP Act, individually or combined.
Une attestation de conformité est l'attestation indépendante propre à ZULTIV. Elle vient en complément, et non en remplacement, d'un certificat accrédité de système de management ISO délivré par un organisme de certification.
Notre façon de travailler
La même méthode, à chaque mission
Deux organisations ne se ressemblent jamais, mais la discipline, elle, ne change pas. Chaque évaluation que nous menons suit les principes d'audit d'ISO 19011 : fondée sur les preuves, impartiale, et restituée dans une langue que vous pouvez présenter à un conseil d'administration.
01 : Cadrer
Nous convenons de ce qui entre dans le domaine d'application, de ce qui en est délibérément exclu, et de ce à quoi ressemble un « bon » résultat, avant tout examen.
02 : Examiner
Documents, entretiens, preuves systèmes et échantillonnage, en quantité suffisante pour aboutir à une conclusion qui résiste à la contestation.
03 : Rapporter
Des constatations où l'exigence, la preuve et l'écart restent séparés, chacune graduée et chacune traçable.
04 : Clôturer
Un chemin de remédiation priorisé, et une revue de suivi lorsque vous êtes prêt à démontrer que les écarts sont refermés.
Ce que vous recevez
Des livrables, pas des opinions
Rapport d'évaluation
Domaine d'application, méthode, échantillon, et chaque constatation avec sa piste de preuves, rédigé pour qu'un tiers puisse suivre votre raisonnement sans vous dans la pièce.
Registre des écarts et des risques
Chaque écart rattaché à l'article ou au critère qu'il enfreint, gradué, et classé selon le risque qu'il porte réellement plutôt que selon la facilité à le corriger.
Feuille de route de remédiation
Un plan séquencé avec responsables et charges réalistes, plus une synthèse de direction que vos dirigeants liront jusqu'au bout.
Questions
Avant de nous confier une mission
Non. La certification est délivrée par un organisme de certification accrédité, et ZULTIV n'en est pas un. Ce que nous faisons, c'est vous préparer à cet organisme et vous auditer comme il le fera, et, séparément, conduire le programme d'audit interne que la norme vous impose d'avoir.
Pas sur le même périmètre, et nous vous le dirons d'emblée. Auditer sa propre mise en œuvre détruit l'indépendance qui donne toute sa valeur à l'audit. Là où nous avons conseillé la mise en œuvre, nous vous dirons de faire réaliser l'audit interne par quelqu'un d'autre, et inversement.
Cela dépend entièrement du domaine d'application, des effectifs et du nombre de sites ou de systèmes concernés. Une revue de préparation ciblée peut tenir en quelques jours ; un audit interne complet d'un SMSI multisite est plus long. Nous cadrons avant de chiffrer, et le périmètre est écrit.
Oui, la plupart des revues documentaires et beaucoup d'entretiens se prêtent bien au distanciel. Les mesures physiques, la sécurité des sites et tout ce qui demande une observation se traitent mieux sur place, et nous vous dirons quelles parties de votre périmètre relèvent de cette catégorie.
Entièrement. Les missions se déroulent sous accord de confidentialité signé, les constatations ne sont partagées qu'avec les personnes que vous désignez, et nous n'utilisons pas les noms de nos clients en référence sans autorisation écrite.
Demander une évaluation
Dites-nous ce que vous voulez faire évaluer
Décrivez le périmètre avec vos mots : un système, une norme, le questionnaire de sécurité d'un client, ou simplement une échéance qu'on vous a imposée. Nous vous dirons ce que cela demande.