De l’analyse de situation au TFf Du TFf aux FRAP

Présentation au sujet: "De l’analyse de situation au TFf Du TFf aux FRAP"— Transcription de la présentation:

1 De l’analyse de situation au TFf Du TFf aux FRAP
SIE 2 De l’analyse de situation au TFf Du TFf aux FRAP

2 Place et forme de l’Audit
Norme / Optimum Propositions Bilan Actuel Audit de Prescription Réalisable Existant MISE EN ŒUVRE & SUIVI Futur Audit Opérationnel Historique Audit de Contrôle

3 Mission d’audit : préparation
Ordre de Mission (OM) Plan d’Approche (PdA) Reconnaissance Analyse des risques Tableau des Forces et faiblesses apparentes (TFfA) Choix des objectifs Rapport d’orientation (RdO) Détermination des tâches Programme de Vérification (PdeV) Planification Budget, Allocation, Planning, Suivi (BAPS)

4 Mission d’Audit : réalisation
Feuille de Couverture FdeC PHASES TERRAIN Papier de travail PdT Constats directs BBK Tableau des Forces et faiblesses Constatées (TFf) Feuille de Révélation et d’Analyse de Problème (FRAP) – 1 par section

5 Mission d’Audit : Finalisation
FRAP Synthèse (au service d’audit) Ossature de Rapport (OR) Restitution Compte Rendu Final au Site (CRFS) Rédaction et Validation Rapport : en 3 temps Projet, Validation, Définitif (Rapp) Suivi des recommandations État des Actions de Progrès (EAP)

6 Axes d‘audit et d’analyse informatique
Audit de sécurité Audit de la fonction informatique Audit opérationnel de la fonction informatique Audit des performances Audit du plan de sauve -garde et de reprise FONCTION INFORMATIQUE Efficacité des mesures de sécurité Connaissance et appréciation de la Fonction informatique Optimisation efficacité de la fonction informatique Optimisation performances et config. Garantie de pérennité des données Garantie de continuité d'exploitation Audit des applications Certification d'applic. Audit des projets Audit de l'exploitation APPLICATIONS INFORMATIQUES Fiabilité et sécurité des travaux Respect obligations légales et réglem. Délivrance d'une attestation de conformité à certaines normes Respect des normes «développement» Optimisation des coûts et des performances Vérification des générations et des paramétrages Fiabilités des données, traitements Fiabilité, exactitude, exhaustivité [DIPC] RAO (Révision) DONNEES INFORMATIQUES

7 Niveaux de Contrôles Informatiques
CONCEPTS et MODELES TECHNIQUES ORGANISATION et SOCIAL ENTRE- PRISE Schéma directeur et Plan informatique Audit Interne et Fonction d'Audit Normalisation et Réglementation Sécurité Générale et Qualifications Circulation des informations Procédures et Formalismes NIVEAU DE LA FONCTION, DU SERVICE ET DES PERSONNELS Projets et Développement Méthodes et Techniques Formation et Assistance Organisation et Maintenance Sous-Traitance et Fournisseurs NIVEAU DES MATERIELS DES APPLICATIONS et DES DONNES Matériels et Réseaux Communications externes Applications spécifiques Applications standards Bases de données

8 Mission d’étude-conseil (externe)
ORDRE de MISSION (OM-int.) ou LETTRE de MISSION (LM-ext.) Réception LM - Spécification des objectifs Bilan de compétences (BC) - Validation M ENQUETE PRELIMINAIRE (EPr) Phase préparatoire (PPr) Etude Préalable et Confirmation (OM-LM) PHASE DE VERIFICATION (PVr) Preuve Suffisantes ? Rapports intermédiaires (Mémorandums) RAPPORT FINAL (Rapports) Rapport de synthèse Rapport final avec recommandations

9 Place des « BBK » et du « TFf »
Vérifications "RAPIDES" La phase Vérifications RAPIDES a pour objectif, la recherche des points à risques ou à problèmes. Ceux-ci trouvés, la phase Vérification DETAILLLEE va analyser les causes, les incidents, les rapports,... de ces problèmes recensés Vérifications "DETAILLEES" NON BBK sûrs ? TFf complet ? NON OUI Points de REVUE (PR) Confirmation ? ANALYSE et DEPOUILLEMENT OUI

10 Place des « BBK » et du « TFf »
Interviews préliminaires Plan d'approche Plan de vérification Phase de vérification Vérification Rapide Vérification détaillée « Certification » des BBKS Mise en forme du TFf Dépouillement final & synthèse Préparation des contrôles : Quelles preuves rechercher Quels moyens de certitude Réalisation de la vérification Lister les problèmes Vérifier chaque point S'assurer de leur véracité Rechercher des parades

11 BBK, TFf et PR Les BBK (Blue Black Keys) représentent :
Les problèmes et incidents, critiques, dysfonctionnements, etc. constatés : les POINTS NOIRS (Blacks) Les points qui semblent corrects et fonctionnels : les POINTS BLEUS (Blue) Il y a donc une répartition en 2 classes des points analysés Chaque BK est vérifié pour savoir : si un point noir est réel et ne cache pas un problème plus important si un point bleu est réel et n'est pas simplement une apparence de fonctionnement correct En cas d'incertitude on effectue un Point de REVUE (pour "revoir") des BBK contestés. Les BBK sont classés au sein d’un Tableau des Forces et faiblesses apparentes (TFf)

12 Séparation BBK et Manques
Blue Key Éléments positifs primordiaux et à conserver  problématique de la conservation et réutilisation au sein des propositions futures Black Key Problèmes constatés Pannes Incidents Dysfonctions Erreurs et bugs Malveillance Etc. Risques recensés Techniques Humains Naturels Financiers Qualité Manques Manques exprimés par le personnel lors des interviews et réunions Manques constatés lors de la RAO, des analyses de circulations de doc, des procédures, etc. Non usages Moyens existants et non utilisés (mais utilisables) au sein du SI Moyens existants et non connus du personnel (mais utilisables) au sein du SI

13 Etude des BBK : Thèmes Organisation Circuit et traitements
Humain / Social / Relationnel Informations Informatique Structurelle Schéma directeur et plans Matériel Logiciels / OS / Tools Base de données / Fichiers Energie et associés Locaux et mobiliers Documentations Communications & Réseaux Projets en cours et futurs Budgets Informatique Organisationnelle Service informatique Personnel informatique Exploitation Hot line et assistance Développement Maintenance, Formation Contrats et doc légaux Sous-traitance, régie, fournisseurs Projets en cours et futurs Budgets Sécurité Accès, personnel, locaux, moyens mat et log., budgets Scénarios et process Assurances

14 Tableau des Forces & Faiblesses
L’existant opérationnel Fonctionnel (opérationnel, technique, etc.) Gains Avancée Certifiés et contrôlés Savoir-faire et savoirs Reconnaissance Les maîtrises Maîtrise d’œuvre et d’ouvrages formalisés et contrôlés Projet en cours en situation de validité Certifications et normalisations Tableaux de bords Outils de contrôles et de validation LES FORCES Les acquis et avoirs pérennes Transmission de savoir-faire et de savoirs Historique exploitable Biens et produits (informatiques) RH pérennisées Relations et contrats pérennisés

15 Tableau des Forces & Faiblesses
L’existant opérationnel Incidents Pannes Dysfonctions Erreurs Retards Pertes Conflits L’existant non opérationnel Non maîtrisé Inutile Non connu Sous-utilisé Les faiblesses Les risques (problèmes potentiels) Risque technique Risque humain Risque économique et/ou financier Les manques et besoins Manque constaté Manque exprimé

16 (exprimés/constatés)
Analyse des BBK AUDIT Manques (exprimés/constatés) Blue Keys Black Keys Code et intitulé du point Constat (et preuves du constat) si Point Noir : Cause(s) du problème PreuveS Thème(s) de rattachement et Acteurs (Services, Sites, …) concernés Impacts et conséquences (directes & indirectes, techniques & financières) Pondération (importance) et Seuil de confiance SI SEUIL INSUFFISANT  LANCEMENT DE P.R. SUR CE BBK Dépendances Préconisation de correction / suppression ou Solution (temporaire ou immédiate) Documents associés …

17 Description d’une clef …
Niveau de confiance et justification de ce niveau Importance relative, coefficient de pondération et justifications Interdépendance avec d’autres BBK regroupement (thèmes et familles), séquence, etc. Solutions possibles technique, organisationnelle, financière, etc. Indicateur de suivi outil et process de suivi process de réaction et correction sur incident N° ou code de référence Définition sommaire Détail du BBK Type incident ponctuel, problème récurant, risque, erreur technique, erreur humaine, etc. Source de la découverte personne, groupe, documents, RAO, élément externe, étude directe, etc. Origine, cause Conséquence technique, organisationnelle financière, etc.

18 Démarche Préconisations pour chaque groupe de BBK d’exploitation.
BBK bruts … (tels que recensés) BBK classés 1 - par causalité 2 – par dépendance 3 – par thèmes Préconisations pour chaque groupe de BBK d’exploitation. Préparation des FRAP associées. BBK d’exploitation simplifiés pour lisibilité au sein du rapport (points clefs des BBK classés au sein d’1 fonction, process, domaine, sous-système, etc.

19 Présentation des FRAP FRAP n° xxxx en date du xx/xx/xxxx réalisé par xxxxx DOMAINE xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Problème : description (la plus précise possible du problème) tenir compte des POINTS DE VUE Constat : expliquer comment à été constaté le problème et comment sa réalité a été vérifiée et prouvée si besoin par quels outils et quelles mesures Causes : origines et causes REELLES du problèmes Impact : impacts et conséquences du problèmes (directs et indirectes, techniques, organisationnelles, humaines et financières) Acteurs : acteurs concernés par le problème Préconisations (recommandation, conseils) – voire Solutions préconisées xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx dont acteurs devant appliquer et gérer la préconisation