Vous êtes ici :
Cycle de vie de gestion des preuves pour la conformité TI
Suivez comment les preuves de conformité passent de la planification de l'audit à l'examen externe. Découvrez comment les responsables d’audit, les exécutants, les contrôleurs de conformité et les auditeurs collaborent pour collecter, vérifier et verrouiller les preuves dans un workflow traçable.
Éditions requises
| Disponible avec : Lightning Experience |
| Disponible avec : éditions Enterprise, Performance et Unlimited avec Agentforce IT Service. |
Suivez le cycle de vie d'une demande de preuve de conformité pour observer comment les transitions de statut, la vérification des artefacts et la propriété basée sur le rôle fonctionnent ensemble afin de créer un parcours vérifiable depuis la collecte de preuves jusqu'à l'examen externe.
Planification et création de demandes
Le responsable du programme d'audit de la Banque Cumulus crée un enregistrement Audit de conformité pour le prochain examen : GMRI-2026 Résilience & Storage Compliance Audit - Q3. Le type d'audit est défini sur Audit interne, la période d'observation va du 1er juillet au 30 septembre et la période d'exécution va du 5 octobre au 15 octobre.
Dans le cadre de cette vérification, le gestionnaire crée une demande de preuve : Preuve que tous les compartiments de production S3 utilisent le cryptage côté serveur. La demande est attribuée à Jordan Chen, ingénieur en infrastructure cloud, avec une date d'échéance liée au calendrier d'audit. Le gestionnaire fait passer le statut de la demande de Brouillon à Envoyé au client, ce qui envoie une notification à Jordan et ajoute la demande à la file d'attente de la plate-forme de preuve de Jordan.
Réalisation et création d'artefacts
Jordan accède à l'application Plate-forme de preuve et ouvre la requête attribuée. En lisant les instructions, Jordan comprend que l'auditeur a besoin d'une exportation montrant les paramètres de cryptage de tous les compartiments de production S3. Jordan crée un nouvel artefact de preuve dans la requête : AWS S3 Bucket Encryption Configuration Export, et définit la classification sur Confidentiel.
Après avoir extrait l'exportation de la configuration depuis AWS Config, Jordan charge le fichier CSV sous l'onglet Fichiers de l'artefact et change le statut de l'artefact de Brouillon à Soumis. L'équipe de conformité est avisée que les preuves sont prêtes à être examinées.
Examen et vérification
Rachel Anderson, analyste de la conformité TI, ouvre l'artefact depuis l'onglet Artefacts de la demande de preuve. Elle clique sur l'onglet Fichiers et ouvre le fichier CSV dans l'aperçu de l'artefact de preuve, qui restitue le fichier en ligne sans téléchargement. En scannant l'exportation, Rachel confirme que chaque compartiment de production de la liste affiche Cryptage : AES-256.
Convaincue que les preuves satisfont à l'exigence de conformité, Rachel définit le statut de l'artefact sur Vérifié - Accepté. L'enregistrement de l'artefact et tous les fichiers joints sont immédiatement verrouillés et deviennent en lecture seule. Aucune autre modification de l'artefact ou de ses fichiers n'est autorisée.
Refus et nouvelle soumission
Dans un scénario alternatif, supposons que l'examen de Rachel révèle que trois compartiments dans la région de l'ouest de l'US-2 ne montrent aucun cryptage. Rachel définit le statut de l'artefact sur Vérifié - Rejeté et remplit le champ Déclaration d'observation avec des commentaires : 3 compartiments dans la région us-west-2 n'affichent aucun cryptage (bucket-analytics-staging, bucket-logs-raw, bucket-temp-uploads). Veuillez corriger et soumettre de nouveau les preuves une fois le cryptage activé.
Jordan reçoit une notification, corrige les écarts de cryptage, extrait une nouvelle exportation AWS Config et crée un artefact avec les preuves correctes. Cette fois, Rachel vérifie que tous les compartiments sont cryptés et accepte l'artefact.
Demande de fermeture
Lorsque tous les artefacts liés à la demande de preuves ont été vérifiés et acceptés, le gestionnaire du programme de vérification marque la demande comme acceptée. La demande, tous ses artefacts liés et l'audit parent restent accessibles pour la génération de rapports et l'examen externe.
Journal d'audit et examen externe
Lorsque l'auditeur externe arrive pour effectuer l'examen d'audit de conformité, il se connecte à la plate-forme de preuve avec un compte utilisateur qui a accès en lecture aux enregistrements de conformité. L'auditeur accède à l'onglet Preuves de l'audit de conformité et examine chaque demande de preuve et ses artefacts vérifiés. Ils ouvrent l'artefact de cryptage S3 de Jordan, prévisualisent le fichier CSV en ligne et voient la même preuve que Rachel a acceptée.
Comme l'artefact était verrouillé au moment de la vérification, le vérificateur est convaincu que le dossier n'a pas été modifié depuis que l'équipe de conformité l'a approuvé. L'historique complet des artefacts (qui les a soumis, quand, qui les a vérifiés et tout commentaire de refus) fournit une chaîne de possession complète qui satisfait aux exigences de rapport de conformité.
