Audit de conformité RGPD et du système d'archivage et de gestion documentaire (Norme ISO 15489)
Un dossier de preuves traçable et argumenté, présentable à la CNIL ou au service des archives, avec des écarts classés et des actions réparties.
En bref
- Résultat
- Un dossier de preuves traçable et argumenté, présentable à la CNIL ou au service des archives, avec des écarts classés et des actions réparties.
- Idéal pour
- Délégué à la protection des données, archiviste ou responsable de la gestion documentaire qui veut un état des lieux avant un contrôle ou une refonte de sa politique.
- Ce que vous obtenez
- Rapport d'audit exigence par exigence : traitements, information des personnes, sécurité, durées de conservation, circuit des archives, écarts et plan d'actions.
- Prérequis de votre côté
- Registre des traitements, règles de conservation ou tableau de gestion, politique de sécurité, accès à des services échantillons et aux locaux d'archives.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation
Préparer un échange avec la CNIL. Une commune apprend qu'elle doit répondre à une demande de la CNIL sur le thème Norme ISO 15489. L'audit, en cinq jours, relit le registre, les contrats avec les sous-traitants et les durées de conservation, et classe les points à corriger avant la réponse.
Nous auditons, sous l'angle du thème Norme ISO 15489, la manière dont votre collectivité traite ses données personnelles et gère ses documents : registre, information des personnes, contrats avec les sous-traitants, durées de conservation, sécurité, circuit des documents depuis leur création jusqu'à leur élimination ou leur versement aux archives. Nous interrogeons des services échantillons et nous confrontons ce que nous constatons au règlement général sur la protection des données, à la loi Informatique et Libertés et au code du patrimoine, dans les services des collectivités et des administrations qui traitent des données personnelles et produisent des archives publiques, où le délégué à la protection des données, l'archiviste et la direction des systèmes d'information doivent travailler ensemble.
Le rapport présente les écarts, la preuve attendue pour chacun et les actions, avec leur ordre et leur pilote. Il est écrit pour le délégué à la protection des données, l'archiviste et la direction générale, et il s'organise autour de l'objectif de gérer la conformité documentaire et la traçabilité pour se prémunir des risques juridiques. C'est un audit de conseil : il ne vaut ni avis juridique, ni décision de conformité, ni visa d'élimination, qui relève de l'autorité de contrôle.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Norme ISO 15489, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos élus ou à l'autorité de contrôle.
- Rapport d'audit avec écarts, preuves attendues et actions proposées
- Revue du registre, des durées de conservation et du circuit des archives
- Plan d'actions présenté au délégué à la protection des données et à la direction générale
Format et charge : forfait, 5 à 12 jours. Idéal pour : délégué à la protection des données, archiviste ou responsable de la gestion documentaire qui veut un état des lieux avant un contrôle ou une refonte de sa politique. Prérequis de votre côté : registre des traitements, règles de conservation ou tableau de gestion, politique de sécurité, accès à des services échantillons et aux locaux d'archives.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Préparer un échange avec la CNIL
Une commune apprend qu'elle doit répondre à une demande de la CNIL sur le thème Norme ISO 15489. L'audit, en cinq jours, relit le registre, les contrats avec les sous-traitants et les durées de conservation, et classe les points à corriger avant la réponse.
Évaluer l'archivage des dossiers d'un service
Un département veut savoir où en est l'archivage de ses dossiers sur le thème Norme ISO 15489. L'audit suit le circuit d'un dossier du bureau au magasin d'archives, relève les doublons et les conservations sans durée définie, et propose un plan d'actions par service.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Norme ISO 15489 dans le secteur public, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, contrôle, audit interne ou revue externe, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Norme ISO 15489, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre direction ou à l'autorité de contrôle. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Accédez-vous à des données personnelles de la collectivité pendant une mission ?
Seulement si la mission l'exige, et autant que possible sur des données anonymisées ou fournies à titre d'exemple. Lorsque nous accédons à des données personnelles pour votre compte sur le thème Norme ISO 15489, un contrat conforme à l'article 28 du règlement général sur la protection des données fixe les instructions, la confidentialité, la sécurité, le recours à des sous-traitants ultérieurs et la restitution ou la suppression en fin de mission. Nous n'hébergeons pas de données de santé et nous restituons les livrables et les données dans des formats ouverts.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Norme ISO 15489
- Audit de conformité à la réglementation et aux référentiels de l'État (Norme ISO 15489)
- Diagnostic flash avant contrôle, inspection ou revue externe (Norme ISO 15489)
Les autres types de prestation sur le thème Norme ISO 15489
- Conseil en gouvernance des données personnelles, en records management et en archivage (Norme ISO 15489)
- Rédaction de registres, d'analyses d'impact, de procédures et de plans de classement (Norme ISO 15489)
- Accompagnement du délégué à la protection des données et des archivistes (Norme ISO 15489)
- Gérer la création et le classement de documents