Logiciel de gestion des preuves pour la conformité et les audits

Ne pas seulement documenter la conformité. La prouver.

Avec Complaica, vous gérez vos preuves de conformité — par exemple pour l’ISO 27001 et l’IT-Grundschutz du BSI — avec les exigences, les risques et les mesures auxquels elles se rapportent. Les modifications pertinentes sont collectées automatiquement ; les preuves enregistrées restent traçables dans le temps et vérifiables de façon indépendante. Une chaîne de preuves liée par cryptographie et des horodatages qualifiés eIDAS sécurisent les états choisis, du premier périmètre jusqu’à l’audit.

01Une chaîne de preuves continue sur tout le cycle de vie de la conformité
02Des preuves créées automatiquement à partir du périmètre, des besoins de protection, des risques et des mesures
03Des règles d’événements configurables et des horodatages qualifiés eIDAS
04Une intégrité vérifiable par cryptographie et un historique complet
05Une vérification indépendante et des preuves d’audit exportables

Demander un compte d’essai Demander la liste de prix

Chaîne de preuves

Chaîne de preuves Concept de conformité SMSI 2026

#1288 Audit terminé Audit interne SMSI 2026 b5a7b218…a964 eIDAS
#1287 Constat clôturé F-07 Gestion des correctifs 7cc5e4d5…cd40
#1283 Risque résiduel accepté R-12 Accès non autorisé 1b17a798…bf7f eIDAS
#1280 Configuration Terraform enregistrée fw-dmz.tf 3a1424f5…d73a
#1279 Mesure terminée M-114 Segmentation réseau DMZ 32bf5712…c47c

Chaîne vérifiée 1 288 événements Dernier point de contrôle 12/10/2026

EVIDENCE 01

Une chaîne de preuves pour chaque concept de conformité

Dès qu’un concept de conformité est créé dans Complaica, sa chaîne de preuves commence elle aussi.

Elle documente les états, décisions et modifications pertinents sur tout le cycle de vie. Chaque événement enregistré fait référence aux objets concernés et est relié par cryptographie à l’historique qui le précède.

La chaîne devient ainsi la chronologie vérifiable du concept de conformité — de sa structure initiale à l’audit, en passant par l’appréciation des risques et la mise en œuvre des mesures.

Votre organisation décide elle-même quels événements sont enregistrés automatiquement et quand des horodatages électroniques qualifiés sont créés.

EVIDENCE 02

Preuves de conformité pour l’ISO 27001 et l’IT-Grundschutz du BSI

Des normes comme l’ISO 27001 et l’IT-Grundschutz du BSI exigent des preuves documentées : du traitement des risques, des mesures, des audits internes et de la revue de direction. Un exemple tiré d’un concept SMSI montre comment une décision sur un risque devient une preuve qu’un auditeur peut vérifier.

Exemple tiré d’un concept SMSI

01 Approuver le traitement du risque R-12 Accès non autorisé La direction approuve le traitement du risque. Complaica enregistre la décision, son auteur et l’heure comme événement de preuve.
02 Mettre en œuvre la mesure M-114 Segmentation réseau DMZ L’exploitation informatique met en œuvre la mesure. Les changements de statut et le commit Terraform du pipeline arrivent dans la même chaîne.
03 Enregistrer la preuve technique Pentest-Bericht_DMZ_2026-Q3.pdf Le rapport du prestataire de tests externe est enregistré avec son hash et relié à la mesure, au risque et à A.8.20.
04 Ancrer l’état dans le temps Point de contrôle · eIDAS Un horodatage qualifié confirme l’état de la chaîne à cet instant. Seule la valeur de hash est transmise au prestataire de services de confiance.
05 Exporter un paquet de vérification verification-package_ISMS-2026_1288.zip Pour l’audit, le RSSI exporte un paquet avec les données des événements, les valeurs de hash, les preuves de chaînage et l’horodatage.

Ce que voient les responsables

Pour chaque exigence, son état actuel et les preuves sur lesquelles il repose
Qui a pris une décision ou clôturé une mesure, et quand
Où des preuves manquent ou sont plus anciennes que prévu

Ce que reçoit l’auditeur

L’historique de l’exigence : évaluation, décision sur le risque, mesure, preuve
Un paquet de vérification dont l’intégrité et l’horodatage se contrôlent sans accès à Complaica
La base de son jugement : décider si une preuve suffit sur le fond reste l’affaire de l’auditeur

D’autres exemples : de l’exigence à l’audit

ISO 27001 · 8.3 Traitement des risques de sécurité de l’information
1. Plan de traitement des risques
2. Approbation des risques résiduels
3. Mesures avec responsables
4. Historique des décisions
5. Vérification en audit
ISO 27001 · 9.3 Revue de direction
1. Éléments d’entrée de la revue
2. Procès-verbal et décisions
3. Mesures qui en découlent
4. Point de contrôle avec horodatage eIDAS
5. Vérification en audit
IT-Grundschutz · Détermination des besoins de protection (standard BSI 200-2)
1. Besoins de protection des processus métier
2. Héritage vers les applications et les systèmes informatiques
3. Approbation de l’évaluation
4. Historique des modifications
5. Vérification en audit
IT-Grundschutz · NET.1.1 Architecture et conception du réseau
1. Modélisation du réseau
2. Contrôle IT-Grundschutz des exigences
3. Configuration du pare-feu depuis Terraform
4. Rapport de test d’intrusion
5. Vérification en audit

Complaica enregistre ce qui a été décidé, mis en œuvre et prouvé, et rend cet historique vérifiable. Cela ne rend pas à soi seul une organisation conforme.

Demander la liste des prix

… ou demandez simplement sur WhatsApp.

EVIDENCE 03

Gérer les preuves de conformité sur tout le cycle de vie

Six phases, une chaîne. À chaque phase, Complaica enregistre les événements qui montreront plus tard ce qui s’appliquait à quel moment et qui l’a décidé.

01
01 · Gestion du périmètre

Le périmètre devient traçable.
Complaica documente le périmètre d’un concept de conformité, y compris ses structures organisationnelles et techniques.
Les modifications pertinentes sont enregistrées dans la chaîne de preuves et restent traçables dans le temps.

Ce qui devient démontrable

On peut retracer quelles unités organisationnelles, quels processus et quels actifs faisaient partie du périmètre à un moment donné.
Événements de preuve typiques
- e428690 Concept de conformité créé Horodatage électronique qualifié (eIDAS)
- 82069a0 Périmètre défini ou modifié
- af5cdda Unité organisationnelle ajoutée ou retirée
- fe96c5f Processus métier rattaché au périmètre
- 8009ee1 Actif ajouté ou modifié
- 221a257 Version de la structure validée
02
02 · Besoins de protection et classification

Des évaluations à la base traçable.
Les évaluations des besoins de protection et les classifications sont liées aux objets concernés et documentées dans le temps.

Ce qui devient démontrable

On voit non seulement le résultat actuel, mais aussi l’évolution des évaluations et leur place dans le temps.
Événements de preuve typiques
- 7b56aef Besoin de protection d’un actif évalué
- 2fd5ca4 Évaluation modifiée
- 0da7c18 Besoin de protection hérité mis à jour
- 5591da7 Criticité d’un processus métier ajustée
- 90b0551 Évaluation confirmée ou validée Horodatage électronique qualifié (eIDAS)
03
03 · Exigences et évaluations de conformité

Chaque évaluation dans le contexte de ses exigences.
Complaica relie les exigences de différentes normes aux contrôles, aux mesures et à leurs évaluations.

Ce qui devient démontrable

Pour chaque exigence, on peut retracer quelle évaluation s’appliquait à quel moment et sur quelles preuves elle reposait.
Événements de preuve typiques
- 3d397df Exigence évaluée
- 25e20e2 Statut de conformité modifié
- 4391a42 Justification mise à jour
- 206115a Preuve rattachée
- 159098b Écart constaté
- 34c0416 Évaluation validée
04
04 · Gestion des risques

De l’identification du risque à une décision vérifiable.
Les risques, leurs appréciations et les décisions de traitement sont documentés avec les actifs, processus et exigences concernés.

Ce qui devient démontrable

Les décisions relatives aux risques restent traçables sur tout leur cycle de vie.
Événements de preuve typiques
- 6ec6b44 Risque identifié
- 7fb0e35 Vraisemblance ou impact évalués
- 068095c Appréciation du risque modifiée
- 95da879 Traitement du risque décidé
- 572681e Risque résiduel accepté Horodatage électronique qualifié (eIDAS)
- 19b8fcc Risque réapprécié
05
05 · Mesures et mise en œuvre technique

De la décision à la mise en œuvre effective.
Complaica relie les mesures aux exigences, aux risques et aux preuves de leur mise en œuvre.
La chaîne de preuves documente les modifications et validations pertinentes. Grâce aux intégrations, des artefacts et événements techniques externes peuvent aussi être collectés.

Ce qui devient démontrable

Le lien entre l’exigence métier, la décision organisationnelle et la mise en œuvre technique devient visible.
Événements de preuve typiques
- ecf3934 Mesure créée ou modifiée
- e4ebdce Responsable désigné
- f85c5f2 Statut de mise en œuvre mis à jour
- ff4cad8 Mesure terminée
- f3e74e3 Preuve de mise en œuvre ajoutée
- bb6522c Configuration Terraform enregistrée
- 5019ad1 Résultat de déploiement collecté
- e08c42f Configuration technique vérifiée
Exemple d’une chaîne de preuves cohérente
1. Exigence de sécurité
2. Mesure
3. Demande de changement
4. Commit Terraform
5. Configuration du pare-feu
6. Vérification
06
06 · Audits et amélioration continue

Prêt pour l’audit — avec un historique vérifiable.
Les audits s’appuient sur l’état actuel des données de conformité et sur l’historique documenté des événements pertinents.

Ce qui devient démontrable

Les auditeurs peuvent retracer quelles évaluations, mesures et preuves étaient enregistrées à un moment donné.
Événements de preuve typiques
- 53fe039 Audit démarré
- 980f257 Périmètre d’audit défini
- 2bb0a72 Preuves examinées
- 185949e Constat enregistré
- d06539c Action corrective définie
- 6e11303 Constat clôturé
- 561fbb7 Audit terminé Horodatage électronique qualifié (eIDAS)
- d19f1a9 Point de contrôle qualifié créé Horodatage électronique qualifié (eIDAS)

EVIDENCE 04

Collecter les preuves automatiquement dans le travail quotidien

La chaîne de preuves n’est pas reconstituée à la main après coup. Complaica enregistre les événements pertinents au moment où ils se produisent.

Des règles configurables déterminent :

01Quels types d’objets sont surveillés.
02Quelles modifications constituent un événement de preuve.
03Quels changements d’état sont ignorés.
04Quelles métadonnées et quels états d’objet sont collectés.
05Quels événements déclenchent automatiquement un horodatage qualifié.

Demander un compte d’essai

Règles d’événements

Concept de conformité SMSI 2026

Ajouter une règle

Objet	Événement	Chaîne de preuves	Horodatage qualifié
Concept de conformité	Créé	Automatique	Oui
Périmètre	Modifié	Automatique	Non
Actif	Besoin de protection validé	Automatique	Oui
Risque	Appréciation modifiée	Automatique	Non
Risque	Risque résiduel accepté	Automatique	Oui
Mesure	Terminée	Automatique	Non
Audit	Clôturé	Automatique	Oui

EVIDENCE 05

Enregistrer des documents externes et des preuves techniques

Toutes les preuves pertinentes ne naissent pas dans Complaica. Les utilisateurs peuvent à tout moment enregistrer des objets, documents ou artefacts techniques supplémentaires dans la chaîne de preuves.

L’enregistrement collecte le hash cryptographique, l’identité de l’objet, la source, la date et les métadonnées associées. Il peut être relié à des exigences, risques, mesures, actifs ou audits.

Exemples

Politique de sécurité de l’information en PDF
Concept de sécurité approuvé
Rapport d’audit externe
Résultat de test d’intrusion
Fichier de configuration du pare-feu
Manifeste Terraform
Rapport d’incident du SIEM
Certificat fournisseur

Enregistrer une preuve

Fichier

Rapport-pentest_DMZ_2026-T3.pdf PDF · 2,4 Mo · SHA-256 57196172…2917

Relier à

M-114 Segmentation réseau DMZ

R-12 Accès non autoriséA.8.20 Sécurité des réseaux

Source

Prestataire de tests externe

Description

Test d’intrusion de la DMZ après la segmentation du réseau, rapport final.

Créer un horodatage qualifié Seule la valeur de hash est transmise au prestataire de services de confiance.

Annuler Enregistrer

EVIDENCE 06

Une chaîne de preuves avec horodatages qualifiés eIDAS

Chaque événement de preuve est relié par cryptographie à l’historique qui le précède. Les modifications ultérieures deviennent ainsi détectables.

Pour les états que vous choisissez, des horodatages électroniques qualifiés selon eIDAS peuvent être créés. Ils confirment l’état cryptographique de la chaîne à un moment donné et permettent de vérifier de façon indépendante son ancrage dans le temps.

Hash de la preuve

Identifie le contenu ou l’état enregistré.

Chaîne de preuves

Relie par cryptographie les événements enregistrés entre eux.

Horodatage qualifié

Confirme de façon indépendante qu’un état donné de la chaîne existait au plus tard au moment indiqué.

Un point de contrôle couvre tout l’historique enregistré jusque-là.

Événement 001 d56bc121 eIDAS
Événement 002 dfe4f0b6
Événement 003 c256f59f eIDAS
Événement 004 e6e64286
Événement 005 e9a8facd eIDAS

Point de contrôle à l’événement 001

Point de contrôle à l’événement 003 · couvre les événements 001⁠–⁠003

Point de contrôle à l’événement 005 · couvre les événements 001⁠–⁠005

Les horodatages sont délivrés par un prestataire de services de confiance qualifié. Les données et documents eux-mêmes n’ont pas à lui être transmis.

Obtenir un compte

… ou demandez simplement sur WhatsApp.

EVIDENCE 07

Retracer les preuves d’audit dans l’explorateur de la chaîne

Complaica offre une vue navigable de la chaîne de preuves.

Les utilisateurs peuvent

01Parcourir les événements par ordre chronologique.
02Ouvrir des blocs individuels.
03Consulter les valeurs de hash et les liens.
04Accéder aux objets d’origine dans Complaica.
05Ouvrir les documents externes et artefacts techniques, s’ils sont disponibles et autorisés.
06Vérifier les horodatages qualifiés et le statut de vérification.
07Retracer des états historiques.
08Examiner les événements et preuves liés entre eux.

Explorateur de la chaîne

Explorateur de la chaîne de preuves Rechercher un hash, un objet ou un acteur

Bloc #1279

Mesure terminée

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Hash précédent: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Objet source: M-114 Segmentation réseau DMZ
Acteur: T. Yilmaz
Date et heure: 08/10/2026 14:02 UTC
Vérification: Intégrité vérifiée
Horodatage qualifié: Aucun — couvert par le point de contrôle suivant