SIE 2

1. SIE 2 De l’analyse de situation au TFf Du TFf aux FRAP

2. Norme / Optimum Propositions Réalisable Existant MISE EN ŒUVRE & SUIVI Historique Actuel Futur Audit de Contrôle Audit Opérationnel Audit de Prescription Place et forme de l’Audit Bilan

3. Plan d’Approche (PdA) Reconnaissance Tableau des Forces et faiblesses apparentes(TFfA) Analyse des risques Choix des objectifs Rapport d’orientation (RdO) Programme de Vérification (PdeV) Détermination des tâches Budget, Allocation, Planning, Suivi (BAPS) Planification Mission d’audit : préparation Ordre de Mission (OM)

4. Mission d’Audit : réalisation Feuille de Couverture FdeC PHASES TERRAIN Papier de travail PdT Constats directs BBK Tableau des Forces et faiblesses Constatées (TFf) Feuille de Révélation et d’Analyse de Problème (FRAP) – 1 par section

5. FRAP Synthèse (au service d’audit) Ossature de Rapport (OR) FRAP FRAP Compte Rendu Final au Site (CRFS) Restitution Rédaction et Validation Rapport : en 3 tempsProjet, Validation, Définitif (Rapp) Suivi des recommandations État des Actions de Progrès (EAP) Mission d’Audit : Finalisation

6. Audit de sécurité • Audit de la fonction informatique • Audit opérationnel de la fonction informatique • Audit des performances • Audit du plan de sauve -garde et de reprise FONCTION INFORMATIQUE • Audit des applications • Certification d'applic. • Audit des projets • Audit de l'exploitation APPLICATIONS INFORMATIQUES DONNEES INFORMATIQUES • Fiabilité, exactitude, exhaustivité [DIPC] RAO (Révision) Axes d‘audit et d’analyse informatique • Efficacité des mesures de sécurité • Connaissance et appréciation de la Fonction informatique • Optimisation efficacité de la fonction informatique • Optimisation performances et config. • Garantie de pérennité des données • Garantie de continuité d'exploitation • Fiabilité et sécurité des travaux • Respect obligations légales et réglem. • Délivrance d'une attestation de conformité à certaines normes • Respect des normes «développement» • Optimisation des coûts et des performances • Vérification des générations et des paramétrages • Fiabilités des données, traitements

7. CONCEPTS et MODELES ORGANISATION et SOCIAL TECHNIQUES Niveaux de Contrôles Informatiques ENTRE- PRISE Schéma directeur et Plan informatique Audit Interne et Fonction d'Audit Normalisation et Réglementation Sécurité Générale et Qualifications Circulation des informations Procédures et Formalismes NIVEAU DE LAFONCTION, DU SERVICE ET DES PERSONNELS Projets et Développement Méthodes et Techniques Formation et Assistance Organisation et Maintenance Sous-Traitance et Fournisseurs Matériels et Réseaux Communications externes Applications spécifiques Applications standards Bases de données NIVEAU DES MATERIELS DES APPLICATIONS et DES DONNES

8. Vérifications "DETAILLEES" NON BBK sûrs ? TFf complet ? Points de REVUE (PR) Confirmation ? NON OUI ANALYSE et DEPOUILLEMENT OUI Place des « BBK » et du « TFf » La phase Vérifications RAPIDES a pour objectif, la recherche des points à risques ou à problèmes. Ceux-ci trouvés, la phase Vérification DETAILLLEE va analyser les causes, les incidents, les rapports,... de ces problèmes recensés Vérifications "RAPIDES"

9. Interviews préliminaires Plan d'approche Plan de vérification Phase de vérification Vérification Rapide Vérification détaillée « Certification » des BBKS Mise en forme du TFf Dépouillement final & synthèse Préparation des contrôles : Quelles preuves rechercher Quels moyens de certitude Réalisation de la vérification Lister les problèmes Vérifier chaque point S'assurer de leur véracité Rechercher des parades Place des « BBK » et du « TFf »

10. BBK, TFf et PR • Les BBK (Blue Black Keys) représentent : • Les problèmes et incidents, critiques, dysfonctionnements, etc. constatés : les POINTS NOIRS (Blacks) • Les points qui semblent corrects et fonctionnels : les POINTS BLEUS (Blue) • Il y a donc une répartition en 2 classes des points analysés • Chaque BK est vérifié pour savoir : • si un point noir est réel et ne cache pas un problème plus important • si un point bleu est réel et n'est pas simplement une apparence de fonctionnement correct • En cas d'incertitude on effectue un Point de REVUE (pour "revoir") des BBK contestés. • Les BBK sont classés au sein d’un Tableau des Forces et faiblesses apparentes (TFf)

11. Black Key Problèmes constatés Pannes Incidents Dysfonctions Erreurs et bugs Malveillance Etc. Risques recensés Techniques Humains Naturels Financiers Qualité Etc. Manques Manques exprimés par le personnel lors des interviews et réunions Manques constatés lors de la RAO, des analyses de circulations de doc, des procédures, etc. Non usages Moyens existants et non utilisés (mais utilisables) au sein du SI Moyens existants et non connus du personnel (mais utilisables) au sein du SI Séparation BBK et Manques • Blue Key • Éléments positifs primordiaux et à conserver problématique de la conservation et réutilisation au sein des propositions futures

12. Organisation Circuit et traitements Humain / Social / Relationnel Informations Informatique Structurelle Schéma directeur et plans Matériel Logiciels / OS / Tools Base de données / Fichiers Energie et associés Locaux et mobiliers Documentations Communications & Réseaux Projets en cours et futurs Budgets Informatique Organisationnelle Service informatique Personnel informatique Exploitation Hot line et assistance Développement Maintenance, Formation Contrats et doc légaux Sous-traitance, régie, fournisseurs Projets en cours et futurs Budgets Sécurité Accès, personnel, locaux, moyens mat et log., budgets Scénarios et process Assurances Etude des BBK : Thèmes

13. L’existant opérationnel Fonctionnel (opérationnel, technique, etc.) Gains Avancée Certifiés et contrôlés Savoir-faire et savoirs Reconnaissance Les maîtrises Maîtrise d’œuvre et d’ouvrages formalisés et contrôlés Projet en cours en situation de validité Certifications et normalisations Tableaux de bords Outils de contrôles et de validation Les acquis et avoirs pérennes Transmission de savoir-faire et de savoirs Historique exploitable Biens et produits (informatiques) RH pérennisées Relations et contrats pérennisés LES FORCES Tableau des Forces & Faiblesses

14. L’existant opérationnel Incidents Pannes Dysfonctions Erreurs Retards Pertes Conflits L’existant non opérationnel Non maîtrisé Inutile Non connu Sous-utilisé Les risques (problèmes potentiels) Risque technique Risque humain Risque économique et/ou financier Les manques et besoins Manque constaté Manque exprimé Les faiblesses Tableau des Forces & Faiblesses

15. AUDIT Manques (exprimés/constatés) Blue Keys Black Keys Analyse des BBK • Code et intitulé du point • Constat (et preuves du constat) • si Point Noir : • Cause(s) du problème • PreuveS • Thème(s) de rattachement et Acteurs (Services, Sites, …) concernés • Impacts et conséquences (directes & indirectes, techniques & financières) • Pondération (importance) et Seuil de confiance SI SEUIL INSUFFISANT  LANCEMENT DE P.R. SUR CE BBK • Dépendances • Préconisation de correction / suppression ou Solution (temporaire ou immédiate) • Documents associés …

16. N° ou code de référence Définition sommaire Détail du BBK Type incident ponctuel, problème récurant, risque, erreur technique, erreur humaine, etc. Source de la découverte personne, groupe, documents, RAO, élément externe, étude directe, etc. Origine, cause Conséquence technique, organisationnelle financière, etc. Niveau de confiance et justification de ce niveau Importance relative, coefficient de pondération et justifications Interdépendance avec d’autres BBK regroupement (thèmes et familles), séquence, etc. Solutions possibles technique, organisationnelle, financière, etc. Indicateur de suivi outil et process de suivi process de réaction et correction sur incident Description d’une clef …

17. Démarche BBK classés 1 - par causalité 2 – par dépendance 3 – par thèmes BBK bruts … (tels que recensés) Préconisations pour chaque groupede BBK d’exploitation. Préparation des FRAPassociées. BBK d’exploitationsimplifiés pour lisibilitéau sein du rapport (points clefs des BBK classés au sein d’1 fonction, process, domaine, sous-système,etc.

18. Présentation des FRAP FRAP n° xxxx en date du xx/xx/xxxx réalisé par xxxxx DOMAINE xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Problème : description (la plus précise possible du problème) tenir compte des POINTS DE VUE Constat : expliquer comment à été constaté le problème et comment sa réalité a été vérifiée et prouvée si besoin par quels outils et quelles mesures Causes : origines et causes REELLES du problèmes Impact : impacts et conséquences du problèmes (directs et indirectes, techniques, organisationnelles, humaines et financières) Acteurs : acteurs concernés par le problème Préconisations (recommandation, conseils) – voire Solutions préconisées xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxdont acteurs devant appliquer et gérer la préconisation