Contrôles de conformité
Contrôles rattachés à plusieurs référentiels à la fois, responsables, preuves qui expirent, vérifications et rappels.
Données : contrôles
Kibo / Kits / Gouvernance, risques et conformité (GRC)
Gouvernance, risques et conformité en un kit.
Des contrôles reliés une fois à chaque référentiel qu'ils couvrent, des preuves vérifiées chaque semaine, des risques traités et acceptés par les bonnes personnes, et un audit à blanc avant le vrai.
Exemple de conversation
Vous
Ajoute au registre un contrôle de sauvegarde : sauvegardes nocturnes du serveur de fichiers, test de restauration fait en octobre, responsable Tom Becker.
Kibo
J'ajoute le contrôle avec ISO 27001 A.8.13 (sauvegarde des informations) et le rapport du test d'octobre comme preuve. Vérifie d'abord la fiche.
Nouveau contrôle : sauvegardes du serveur de fichiers
ContrôleSauvegarde nocturne du serveur de fichiers, restauration testée chaque annéeRéférences aux référentielsISO 27001 A.8.13ResponsableTom BeckerStatutimplémentéDate de la preuve14 oct. 2026
1 · Ce qu'il fait tourner
Les processus de ce kit.
Processus de conformité prêts à l'emploi : un registre des contrôles rattaché à plusieurs référentiels à la fois (ISO 27001, SOC 2, NIST CSF, CIS v8, NIS2, DORA, RGPD) avec des preuves qui expirent, un registre des risques, la gestion des politiques avec accusés de réception des collaborateurs, constats d'audit et actions correctives, audits à blanc, exceptions et dérogations avec un approbateur et une expiration, et la structure du référentiel de conformité : documents faisant autorité, leurs citations (chargées depuis ISO 27001, NIST CSF 2.0, CIS v8, DORA ou l'annexe 11), objectifs de contrôle et contrôles reliés dans une seule chaîne, entités, et conformité en % par document, citation, objectif, politique et entité avec un tableau de bord par rôle. Chacun se met en place en une seule étape, avec ses rappels ; les chiffres proviennent toujours des enregistrements.
Registre des risques
Risques avec responsables, probabilité x impact, traitement, acceptation par un approbateur et rappels de revue.
Données : risques
Gestion des politiques
Politiques avec responsable, approbateur et revue annuelle ; les collaborateurs en accusent réception et ne voient que les leurs.
Données : politiques, accusés de réception des politiques
Constats d'audit
Constats issus de chaque audit, responsables, actions correctives et échéances, clôturés uniquement une fois vérifiés.
Données : constats
Audit à blanc
Planifiez des audits, testez-vous comme un auditeur avant le vrai, constats versés dans le tableau des constats, préparation un mois à l'avance.
Données : audits, constats
Exceptions et dérogations
Exceptions aux politiques, dérogations aux contrôles et acceptations de risques : responsable, motif, contrôle compensatoire, approbateur, expiration.
Données : exceptions
Référentiel de conformité
Documents faisant autorité, leurs citations, objectifs de contrôle et contrôles reliés dans une seule chaîne, politiques reliées à ce qu'elles couvrent, entités avec leurs parents ; conformité en % par document, citation, objectif, politique et entité avec consolidation et exploration détaillée ; un tableau de bord par rôle.
Données : documents faisant autorité, entités, politiques, citations, objectifs de contrôle, contrôles
2 · Exemples
De vraies demandes, et la carte que chacune produit.
Exemple de conversation
Vous
Ajoute au registre un contrôle de sauvegarde : sauvegardes nocturnes du serveur de fichiers, test de restauration fait en octobre, responsable Tom Becker.
Kibo
J'ajoute le contrôle avec ISO 27001 A.8.13 (sauvegarde des informations) et le rapport du test d'octobre comme preuve. Vérifie d'abord la fiche.
Nouveau contrôle : sauvegardes du serveur de fichiers
ContrôleSauvegarde nocturne du serveur de fichiers, restauration testée chaque annéeRéférences aux référentielsISO 27001 A.8.13ResponsableTom BeckerStatutimplémentéDate de la preuve14 oct. 2026
Exemple de conversation
Vous
Nous n'écrivons aucun logiciel nous-mêmes. Marque le développement sécurisé comme non applicable.
Kibo
J'ai trouvé SD-02 (ISO 27001 A.8.25, cycle de vie du développement sécurisé). Un contrôle non applicable demande un motif, qui ira dans la déclaration d'applicabilité.
SD-02 passé en non applicable
Identifiant du contrôleSD-02Références aux référentielsISO 27001 A.8.25Statutnon applicableMotif de non-applicabilitéL'entreprise ne développe aucun logiciel ; les logiciels achetés relèvent des contrôles fournisseurs
Exemple de conversation
Vous
Enregistre un risque : notre ancien serveur ERP n'est plus supporté, Ravi en est responsable. Probabilité 4, impact 4. On l'accepte jusqu'à la migration en juin.
Kibo
Le score est 4 x 4 = 16, donc élevé : l'accepter demande l'accord du groupe de gestion des risques. J'ajoute le risque et je le leur soumets dès ta confirmation.
Serveur ERP sans support
RisqueUn serveur ERP sans mises à jour de sécurité du fournisseur pourrait être compromisResponsableRavi MenonScore16TraitementaccepterProchaine revuefévr. 2027
Exemple de conversation
Vous
Nouveau risque : rançongiciel sur le serveur de fichiers, responsable Tom Becker. Probabilité 3, impact 5, on veut le réduire.
Kibo
3 x 5 = 15 est un risque élevé : il faut un plan de traitement avec responsable et date, et une revue chaque trimestre. Je l'ajoute après ta confirmation.
Rançongiciel sur le serveur de fichiers
CatégoriesécuritéResponsableTom BeckerProbabilité3Impact5Score15
Exemple de conversation
Vous
Soumets la nouvelle politique de télétravail à l'approbation. Version 1.0, rédigée par Tom Becker, approuvée par Lena Hoffmann.
Kibo
Je l'ajoute comme brouillon en revue. Elle ne s'applique à tous qu'une fois approuvée par Lena.
Politique de télétravail v1.0
PolitiquePolitique de télétravailVersion1.0ResponsableTom BeckerApprobateurLena HoffmannStatuten revue
Exemple de conversation
Vous
J'ai lu la politique de sécurité de l'information.
Kibo
Tu as une demande ouverte pour la version 3.1. J'enregistre que tu l'as lue aujourd'hui.
Confirmation de Nina
PolitiquePolitique de sécurité de l'informationVersion3.1PersonneNinaAccusé réception le7 nov. 2026Statutconfirmé
Exemple de conversation
Vous
L'audit de surveillance a révélé que nous avons sauté une partie du programme d'audit interne. Mineure, ISO 27001 clause 9.2, Ravi corrige, échéance 15 janvier.
Kibo
J'enregistre un écart mineur sur la clause 9.2, Ravi responsable, échéance 15 janvier 2027. Une correction n'est clôturée qu'après vérification des preuves par une autre personne.
Programme d'audit interne incomplet
Sourceaudit externeExigenceISO 27001 clause 9.2GravitémineureResponsableRavi MenonÉchéance15 janv. 2027
Exemple de conversation
Vous
Ravi a terminé la revue des accès. Lena a contrôlé le rapport. Clôture l'écart sur les droits d'accès.
Kibo
La preuve est la revue des accès signée du 4 novembre, et Lena n'est pas la responsable : elle peut vérifier. Je passe l'écart en vérifié à son nom.
Revue des droits d'accès
ConstatDroits d'accès non revus depuis 12 moisStatutvérifiéPreuveRapport de revue des accès signé, 4 nov. 2026Vérifié parLena Hoffmann
Exemple de conversation
Vous
Prépare un audit à blanc ISO 27001 pour le siège, à partir du 11 janvier. Lena Hoffmann le dirige.
Kibo
Je crée l'audit avec son périmètre et son responsable, puis je pars des faits : les contrôles, leurs preuves et les écarts ouverts pour ISO 27001.
Audit à blanc ISO 27001, siège
AuditAudit à blanc ISO 27001 siègeTypeà blancPérimètreSystème de management de la sécurité de l'information, siègeProspectLena HoffmannDate de début11 janv. 2027
Exemple de conversation
Vous
L'audit à blanc a montré que les sauvegardes n'ont jamais été testées en restauration. Enregistre-le comme écart, Tom en est responsable, à corriger avant l'audit.
Kibo
Les sauvegardes ont tourné, mais je ne trouve aucune trace de test de restauration : je propose un écart mineur sur A.8.13, à confirmer par Lena. Il n'est ajouté qu'avec ton accord.
Aucun test de restauration des sauvegardes
Sourceaudit à blancExigenceISO 27001 A.8.13GravitémineureResponsableTom BeckerAction correctiveRéaliser et documenter un test de restauration du serveur de fichiers
Exemple de conversation
Vous
L'équipe design a besoin de deux portables sans chiffrement de disque jusqu'à la certification du nouveau logiciel de CAO. Demande à Stefan Brandt d'approuver une exception jusqu'au 31 mars.
Kibo
Je dépose une exception à la politique avec une mesure compensatoire et une échéance au 31 mars 2027. Elle n'est valable qu'une fois approuvée par Stefan.
Deux portables sans chiffrement de disque
ExceptionDeux portables du design sans chiffrement de disqueTypeexception à la politiqueContrôle compensatoireAucune donnée client sur les portables, appareils enfermés au bureau la nuitApprobateurStefan BrandtExpiration31 mars 2027
Exemple de conversation
Vous
Enregistre l'acceptation du risque du serveur ERP jusqu'au 30 juin, avec Lena Hoffmann comme approbatrice. Le serveur est isolé d'internet en attendant.
Kibo
Le risque a le score 16 : il est enregistré ici comme acceptation de risque, lié au registre des risques. Il n'est valable qu'après l'accord de Lena.
Acceptation de risque : serveur ERP sans support
Typeacceptation de risquePolitique ou contrôleGestion des correctifsContrôle compensatoireServeur isolé d'internet, accès uniquement depuis le réseau du bureauRisque16ApprobateurLena Hoffmann
Exemple de conversation
Vous
Ajoute la directive NIS2 à nos documents de référence. Elle s'applique à tout le groupe, Lena Hoffmann en est responsable.
Kibo
NIS2 n'est pas encore dans la liste. Je l'ajoute comme loi applicable ; ses exigences pourront ensuite devenir des citations.
Directive NIS2
NomDirective (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécuritéNom courtNIS2TypeloiApplicableouiResponsableLena Hoffmann
Exemple de conversation
Vous
Ajoute notre site de Lyon comme entité sous Hoffmann Logistik GmbH, pour que son score remonte au groupe.
Kibo
J'ajoute le site avec Hoffmann Logistik GmbH comme parent. Ses contrôles comptent alors dans l'entité juridique et dans le groupe.
Site de Lyon
EntitéSite de LyonTypesiteParentHoffmann Logistik GmbHPaysFranceCriticitéélevée
3 · Approbations et rappels
Les règles qu'il met en place, appliquées par le code.
- Rappel · contrôles : 14 jours avant « prochain contrôle »
- Rappel · contrôles : 30 jours avant « preuve valide jusqu'au »
- Rapport · Un résumé au responsable, chaque lundi à 9 h 00
- Approbation · Acceptation de risque
Étape 1 : le groupe gestion des risques si “traitement” est accepter, “score” atteint au moins 15 - Rappel · risques : 7 jours avant « prochaine revue »
- Rapport · Un résumé au responsable, le 1er de chaque mois à 9 h 00
- Rappel · politiques : 30 jours avant « prochaine revue »
- Rappel · accusés de réception des politiques : 7 jours après « demandé le »
- Rappel · constats : 7 jours avant « échéance »
- Rappel · constats : 1 jours après « échéance »
- Rappel · audits : 30 jours avant « date de début »
- Approbation · Exceptions et dérogations
Étape 1 : la personne indiquée dans « approbateur » - Rappel · exceptions : 30 jours avant « expiration »
- Rappel · exceptions : Le jour de « expiration »