Projet

Ordonnance «%ASFF_YYYY_ID»

d. prendre note des instruments utilisés et de leurs versions, et les comparer avec ceux définis dans les spécifications.

Le responsable de l’audit a l’interdiction :

a. de participer activement aux activités de test ou d’assumer un rôle ou une fonction qui devrait incomber au personnel du requérant ;

b. de formuler des avis ou des propositions et de répondre à des questions ;

c. d’influencer de quelque manière que ce soit le processus de test, le laboratoire ou les résultats.

Le responsable de l’audit peut interrompre le test à tout moment si une grave nonconformité qui invaliderait les résultats du test est constatée. Dans ce cas, il en informe immédiatement le requérant.

2.5.4 Résultats de l’observation de tests

Le responsable de l’audit doit établir un rapport comportant au minimum les indications suivantes :

a. date, heure, lieu ;

b. personnel impliqué et rôles de celui-ci ;

c. objectif et contexte des tests ;

d. version des scénarios de test appliqués ;

e. écarts entre les résultats attendus et les résultats obtenus ;

f. évaluation des résultats par des tiers.

2.6 Audit – Niveau 3

Il est nécessaire d’évaluer l’efficacité et la pertinence des artefacts et des processus, et de confirmer l’appréciation des partenaires concernés. À cet effet, un audit formel, ciblé sur les éléments ci-après, est réalisé après l’examen préliminaire des artefacts de sécurité et des processus y relatifs :

- examen des fonctions de sécurité de l’objet examiné ;

- évaluation du niveau d’implémentation et de maturité des processus de soutien.

L’audit peut porter notamment sur les thèmes suivants :

- organisation de la sécurité et compétences ;

- processus d’amélioration continu ;

- audits internes de cybersécurité ;

- cycle de vie ;

- système de la gestion de la qualité ;

- gestion des configurations ;

- gestion des modifications ;