Conformité continue : de l'audit annuel au contrôle permanent

La conformité continue consiste à vérifier en permanence, ou à un rythme fixé selon le risque, que vos mesures de sécurité sont en place et fonctionnent, au lieu de le constater une fois par an lors d'un audit. Chaque contrôle a sa fréquence, ses preuves sont collectées au fil de l'eau, automatiquement quand c'est possible, et chaque écart déclenche une correction. ISO 27001, NIS 2 et DORA ne prononcent pas toujours le mot, mais leurs exigences y mènent. Cet article du dossier GRC Ops explique ce que disent les textes, quels contrôles automatiser et comment démarrer.

L'expression traduit l'anglais continuous compliance, très utilisée par les éditeurs américains. Elle recouvre une idée simple : la conformité n'est pas un état constaté à une date, c'est un niveau qui bouge tous les jours. Un compte administrateur créé sans authentification multifacteur, une sauvegarde qui échoue en silence, un correctif critique oublié : chacun de ces écarts fait baisser le niveau réel sans que personne le voie.

Trois termes voisins circulent, qu'il vaut mieux distinguer :

• La surveillance continue des contrôles (continuous control monitoring) est le moyen : on collecte des données (configuration, journaux, tickets, exports d'outils) pour vérifier chaque contrôle à intervalle régulier.
• La conformité continue est l'objectif : rester conforme entre deux audits, et le prouver à tout moment.
• L'audit continu désigne plutôt la pratique des auditeurs internes qui exploitent des analyses de données récurrentes pour fonder leur opinion. Il s'appuie sur la surveillance, sans s'y confondre : l'auditeur reste indépendant de ceux qui exploitent les contrôles.

Le NIST, l'institut américain de normalisation, a posé dès 2011 une définition utile dans sa publication SP 800-137 : la surveillance continue vise une connaissance permanente de la sécurité, des vulnérabilités et des menaces pour éclairer les décisions de gestion des risques. Il précise surtout que « continu » ne veut pas dire « à chaque seconde » : chaque mesure est évaluée à une fréquence suffisante pour fonder des décisions fondées sur le risque. C'est la bonne grille de lecture : la conformité continue, c'est la bonne fréquence pour chaque contrôle, pas une alarme permanente.

L'audit annuel reste indispensable, mais il ne montre qu'un instant. Le schéma ci-dessous compare deux façons de suivre le même niveau de conformité sur une année.

Le schéma met en évidence trois défauts de l'approche ponctuelle :

• La dérive reste invisible. Entre deux audits, les configurations changent, des comptes sont créés, des prestataires arrivent. Rien ne mesure l'écart qui se creuse.
• La remise à niveau se fait juste avant l'audit. On rassemble les preuves dans l'urgence, on corrige ce qui se voit, et l'audit constate un niveau qui n'a pas existé le reste de l'année.
• Le coût est concentré et répété. Chaque année, les mêmes équipes refont les mêmes captures d'écran et les mêmes extractions, pour un résultat qui vieillit dès le lendemain.

Le contexte a aussi changé. Les régulateurs demandent désormais des dirigeants qu'ils approuvent et supervisent les mesures de sécurité (article 20 de NIS 2, article 5 de DORA), ce qui suppose de leur présenter un état à jour plutôt qu'un rapport vieux de dix mois. Et les clients, soumis eux-mêmes à ces textes, envoient leurs questionnaires de risques tiers tout au long de l'année.

ISO 27001 : surveiller, auditer, améliorer

La norme ISO/IEC 27001:2022, socle de votre SMSI, contient trois clauses qui forment ensemble une boucle de conformité continue :

• Clause 9.1, surveillance, mesure, analyse et évaluation : l'organisme détermine ce qu'il faut surveiller et mesurer, y compris les mesures de sécurité, les méthodes à utiliser, à quel moment, par qui, et quand les résultats sont analysés. La norme demande des résultats comparables et reproductibles.
• Clause 9.2, audit interne, mené à des intervalles planifiés, et clause 9.3, revue de direction.
• Clause 10 : traiter les non-conformités par des actions correctives (10.2) et améliorer le système de façon continue (10.1).

La certification elle-même suit un cycle de trois ans avec des audits de surveillance au moins annuels, selon la norme ISO/IEC 17021-1 qui encadre les organismes certificateurs. La norme ne fixe pas de fréquence de mesure pour chaque contrôle : c'est à vous de la définir et de la justifier.

NIS 2 : évaluer l'efficacité des mesures

L'article 21 de la directive NIS 2 liste les mesures minimales de gestion des risques. Son point f) vise « des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité ». Avoir mis une mesure en place ne suffit donc pas : il faut vérifier qu'elle produit son effet. L'article 20 confie aux organes de direction l'approbation de ces mesures et la supervision de leur mise en œuvre (voir nos articles De NIS à NIS 2 et sur les sanctions).

Pour les fournisseurs du numérique qu'il vise (informatique en nuage, centres de données, services gérés, etc.), le règlement d'exécution (UE) 2024/2690 est plus précis. Son annexe demande un suivi de la conformité aux politiques « à intervalles planifiés » et après tout incident ou changement important (point 2.2), une revue indépendante (point 2.3), une surveillance des systèmes automatisée et menée en continu ou à intervalles réguliers (point 3.2), et une procédure qui fixe, comme ISO 27001, quoi mesurer, comment, quand et par qui (point 7). Le guide de mise en œuvre de l'ENISA, publié en juin 2025, recommande que ce suivi et le compte rendu à la direction aient lieu au moins une fois par an.

En France, la loi de transposition n'est toujours pas adoptée au 7 octobre 2026 : l'examen du projet de loi à l'Assemblée nationale a encore été reporté le 6 octobre. L'ANSSI a publié en mars 2026 le ReCyF, son référentiel de mesures recommandées, comme document de travail. Les principes ci-dessus ne dépendent pas de ce calendrier.

DORA : surveiller en permanence, réexaminer chaque année

Le règlement DORA, applicable depuis le 17 janvier 2025 aux entités financières, est le plus explicite :

• Article 6 : le cadre de gestion du risque lié aux TIC est documenté et réexaminé au moins une fois par an, et après tout incident majeur ; il est amélioré en continu à partir des enseignements de sa mise en œuvre et de son suivi. Il fait l'objet d'audits internes réguliers, suivis d'un processus formel de traitement des constats critiques.
• Article 8 : les fonctions, actifs et sources de risque sont recensés et revus au moins chaque année, et une analyse de risques est menée à chaque changement majeur de l'infrastructure.
• Article 9 : les entités doivent « surveiller et contrôler en permanence » la sécurité et le fonctionnement des systèmes et outils TIC.
• Article 13 : les enseignements des tests et des incidents sont intégrés en continu à l'évaluation des risques.

Et le RGPD

L'article 32 du RGPD demande, parmi les mesures de sécurité, une procédure pour tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles. Le principe est le même depuis 2018.

Un contrôle se prête à la surveillance continue quand son résultat peut se lire dans une donnée fiable : une configuration, un journal, un export d'outil. C'est le cas de la plupart des mesures techniques. Les contrôles qui demandent un jugement (la politique est-elle encore adaptée ? ce fournisseur est-il acceptable ?) restent humains ; on peut seulement automatiser leur rappel, leur échéance et la collecte des pièces. Le tableau ci-dessous donne des ordres de grandeur, à adapter à votre analyse de risques.

Les mesures du plan de continuité d'activité, l'évaluation des tiers ou l'acceptation des risques résiduels gardent donc un rythme annuel ou événementiel. Ce qui change, c'est qu'elles sont planifiées dans le même calendrier que les contrôles automatisés, avec la même traçabilité. Le passage de la configuration à la preuve automatique est au cœur de la démarche dite GRC Engineering, qui traite les contrôles comme du code.

Pour chaque contrôle, quatre questions suffisent à choisir un rythme défendable devant un auditeur :

1. Quelle est la gravité d'une défaillance ? Une authentification multifacteur désactivée sur un compte d'administration expose tout le système d'information ; elle justifie une vérification quotidienne.
2. À quelle vitesse le contrôle dérive-t-il ? Les comptes et les configurations changent tous les jours ; une politique de sécurité, quelques fois par an.
3. Combien coûte une mesure ? Si la preuve se lit dans une interface de programmation (API), la mesurer chaque jour ne coûte presque rien ; si elle demande un entretien, on espace.
4. Un texte impose-t-il un rythme ? DORA impose un réexamen annuel du cadre et une analyse à chaque changement majeur ; vos contrats ou votre homologation peuvent fixer d'autres échéances.

Notez la fréquence retenue et sa justification dans la fiche du contrôle. C'est exactement ce que demandent la clause 9.1 d'ISO 27001 et le point 7 de l'annexe du règlement 2024/2690 : savoir dire quand on mesure, et pourquoi.

Un tableau de bord de conformité continue répond à trois questions : où en est-on, depuis quand, et à quelle vitesse corrige-t-on ? Quelques indicateurs suffisent :

• Taux de contrôles conformes, par référentiel et par périmètre, à la date du jour.
• Âge des preuves : part des contrôles dont la dernière preuve date de plus que la fréquence prévue. C'est l'indicateur qui révèle une conformité « de façade ».
• Délai de détection d'une dérive : temps entre l'apparition de l'écart et l'alerte.
• Délai de correction, comparé à un objectif fixé selon la gravité.
• Nombre d'exceptions acceptées et leur date d'échéance : une exception sans échéance est un risque accepté sans le dire.
• Couverture : part du périmètre (filiales, applications, sites) effectivement surveillée.

Présentez-les à la direction à un rythme fixe, trimestriel par exemple : c'est ce qui donne un contenu concret à l'obligation de supervision de l'article 20 de NIS 2.

1. Partir d'un socle de contrôles commun à vos référentiels, plutôt que d'une liste par texte. Notre article sur la gestion de la conformité détaille cette correspondance entre référentiels.
2. Décrire chaque contrôle : objectif, propriétaire, preuve attendue, seuil de tolérance, fréquence.
3. Brancher les sources de données pour les contrôles techniques, en commençant par ceux qui comptent le plus : comptes à privilèges, correctifs, sauvegardes.
4. Planifier les contrôles manuels dans le même calendrier, avec relances et dates d'échéance.
5. Relier chaque écart à une action : un propriétaire, une date, une vérification de clôture. Une alerte qui ne produit pas d'action n'est qu'un bruit de plus.
6. Rendre compte et ajuster : indicateurs à la direction, revue annuelle des fréquences et des seuils, à la lumière des incidents.

Commencez petit : cinq à dix contrôles bien choisis, suivis en continu, valent mieux qu'un catalogue de deux cents exigences évaluées une fois par an.