Gouvernance, risque et conformité au Canada
Ils nous font confiance
Lequel de ces problèmes vous coûte en ce moment?
Quatre des raisons pour lesquelles des équipes de moyennes entreprises canadiennes nous appellent. Si l'une d'elles est la vôtre, la suite de la page dit quel volet du travail la règle.
Un client a fait du SOC 2 une condition du renouvellement
Ce n'est pas le contrat qui est menacé, c'est le renouvellement, et le calendrier de l'auditeur est la contrainte déterminante. Personne ne commence le SOC 2 avec assez de temps devant soi.
Trois cadres, trois équipes, et les mêmes preuves en double
Votre responsable de la sécurité répond à la même question de contrôle pour ISO, pour SOC 2 et pour le questionnaire d'un client. Ce dédoublement est tout l'argument pour faire le travail une seule fois.
Personne ne peut dire si la loi québécoise s'applique à vous
La Loi 25 peut atteindre une entreprise qui n'a aucun bureau au Québec. Bien des entreprises ontariennes n'ont jamais vérifié si elles y sont assujetties.
Votre plus gros fournisseur a subi une violation de données et vous en êtes à deviner
Vous avez signé un contrat assorti d'une annexe de sécurité et n'y avez jamais eu recours. Il vous faut maintenant une réponse pour votre propre conseil d'administration d'ici vendredi.
Choisissez le volet qu'il vous faut, ou tout le programme.
Chaque service de gouvernance, de risque et de conformité de cette pratique, avec ce qu'il couvre et qui le demande.
- Évaluation des facteurs relatifs à la vie privée (ÉFVP)Évaluation des facteurs relatifs à la vie privée pour les institutions canadiennes et leurs fournisseurs, rédigée selon la règle qui les lie réellement.
- Gestion du risque lié aux tiersGestion du risque lié aux tiers pour les organisations canadiennes, qui couvre les sous-traitants et la concentration dont traite la B-10 du BSIF.
- Préparation au projet de loi C-26Le projet de loi C-26 est devenu la loi C-8, désormais inscrite dans le droit canadien, et la désignation déclenche un compte à rebours légal de 90 jours.
- Système de management de l'IA ISO/CEI 42001ISO/CEI 42001 pour les organisations canadiennes, de l'inventaire des systèmes d'IA jusqu'au certificat que signe un organisme accrédité.
- Conformité à la Loi 25 du QuébecConformité à la Loi 25 du Québec pour les entreprises canadiennes, avec des règles de conservation, des registres des incidents et des demandes de portabilité qui fonctionnent réellement.
- Conformité CMMCLa conformité CMMC pour les fournisseurs canadiens de la chaîne de défense américaine, bâtie sur les contrôles qui ont survécu à la suspension.
- Cadre de cybersécurité du NISTLe cadre de cybersécurité du NIST pour les organisations canadiennes, en commençant par la Fonction que le CSF 2.0 a placée au centre.
- Soutien à la certification ISO/CEI 27001Soutien à la certification ISO/CEI 27001 au Canada, de la première décision sur le domaine d'application jusqu'à l'audit mené par un organisme accrédité.
- Continuité des activités ISO 22301Continuité des activités ISO 22301 pour les organisations canadiennes, bâtie pour que l'analyse d'impact sur les activités et l'infrastructure concordent.
- Soutien à la certification PCCCSoutien à la certification PCCC pour les fournisseurs canadiens de la défense, de l'autoévaluation de niveau 1 jusqu'au comblement des écarts par rapport à l'ITSP.10.171.
- Services de conformité SOC 2Conformité SOC 2 pour les entreprises canadiennes, ramenée à ce que vos clients ont réellement demandé, puis appuyée par des preuves.
- Conformité à la LPRPDELa conformité à la LPRPDE pour les organisations canadiennes, bâtie pour tenir encore quand le projet de loi C-36 remplacera la loi actuelle.
Ce que couvrent au juste la gouvernance, le risque et la conformité.
Trois volets, douze cadres, une seule base de preuves. En gouvernance, risque et conformité, la plupart des économies viennent de ce dernier élément plutôt que des deux premiers.
Certification et attestation
Les certificats et rapports que vos acheteurs inscrivent au contrat. SOC 2, ISO/CEI 27001, ISO/CEI 42001 pour l'IA, puis la CMMC et le PCCC, les deux programmes de la chaîne d'approvisionnement de la défense. Visez la norme que votre marché demande. Se faire certifier selon la mauvaise norme est une dépense réelle. Et courante.
Vie privée et renseignements personnels
Ce qui vous lie déjà, vérifié ou non. La LPRPDE au fédéral, la Loi 25 si vous touchez aux renseignements personnels de résidents du Québec, puis une évaluation des facteurs relatifs à la vie privée avant tout lancement. Ce volet se découvre tard, en général parce qu'un client a posé la question.
Risque et résilience
Survivriez-vous si les choses tournaient mal? Et pourriez-vous le prouver? Le cadre de cybersécurité du NIST sert de charpente. Ensuite, ISO 22301 pour la continuité des activités, le risque lié aux tiers pour les fournisseurs qui ont accès à vos données, puis la préparation à la LPCE, la loi canadienne sur les cybersystèmes essentiels. Le risque, c'est le volet sur lequel les conseils d'administration posent des questions et pour lequel personne ne prévoit de budget.
En chiffres
Ans d'expérience
Déploiements en entreprise
Spécialistes chevronnés
Soutien
Le regard d'un conseiller chevronné sur vos TI?
Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.
Demander une consultationComment se déroule un mandat en gouvernance, risque et conformité.
Quatre étapes. La première raccourcit d'habitude la liste, ce que personne n'attend d'une soumission en conformité.
Phases du mandat
Phases 01 à 04
Établir ce qui s'applique réellement
On détermine lesquels de ces cadres vous lient légalement, lesquels vos acheteurs exigent et lesquels quelqu'un a ajoutés parce que ça semblait prudent. La troisième catégorie est en général la plus grosse.
Bâtir une seule base de preuves
Un contrôle s'écrit une fois, rattaché à chaque cadre qui l'exige : la même revue des accès répond à ISO, à SOC 2 et au questionnaire. L'argent s'économise là.
Combler les écarts dans l'ordre des demandes
Ce sont la date de l'audit et l'échéance du client qui fixent la séquence, pas l'ordre dans lequel le cadre range ses chapitres. Un spécialiste principal fait le travail technique, et cette personne reste joignable pendant que tout se met en place.
Rester en règle après le certificat
Des preuves qui n'existent qu'à l'audit? Un problème reporté, pas réglé. Nous branchons la collecte sur les systèmes en marche et vous remettons le calendrier.
Jamais le cadre
Où flanchent les programmes canadiens en gouvernance, risque et conformité.
C'est moi qui dirige la pratique de gouvernance, risque et conformité. Je vais donc vous dire franchement quels sont les deux échecs que je vois le plus souvent, parce qu'aucun n'est un problème de cadre et que les deux coûtent cher à défaire.
Se faire certifier selon la mauvaise norme
Un conseil d'administration décide que l'entreprise doit être certifiée. Quelqu'un choisit la norme la plus connue, et dix-huit mois plus tard, vous détenez un certificat qu'aucun client n'a jamais demandé à voir. Ça arrive surtout avec ISO/CEI 27001, une excellente norme qui n'est pas ce que demande un acheteur SaaS nord-américain. Lui veut un rapport SOC 2. Le bon ordre? Demandez par écrit à vos trois plus gros clients potentiels ce qu'ils exigent, puis faites-vous certifier. Cet appel ne coûte rien, et c'est le geste le plus rentable de toute cette page.
Une conformité qui n'existe que le jour de l'audit
Le deuxième échec fait moins de bruit. Une équipe réussit un audit en rassemblant des preuves pendant les six semaines qui le précèdent, puis reprend son train-train, et l'audit suivant coûte encore les mêmes six semaines. Rien n'a vraiment été bâti. Le remède n'a rien de glorieux : choisissez les dix ou douze contrôles qui portent la plupart des preuves, branchez leur collecte sur les systèmes qui tournent déjà et donnez à chacun un responsable et une date. La certification devient alors un rapport que vous imprimez plutôt qu'un projet que vous financez.
Gouvernance, risque et conformité : de quoi avez-vous besoin?
Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.
Votre demande
- Service
- Gouvernance, risque et conformité
La suite
- Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
- On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
- Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.
Appelez la ligne 24/7
+1 514-465-1584La gouvernance, le risque et la conformité au Canada, sans détour.
Les six questions qu'on nous pose avant chaque mandat.
Secteurs réglementés, et où lire ensuite
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
