Cybersécurité
CONSEIL EN CYBERSÉCURITÉ ET STRATÉGIE DES SYSTÈMES D'INFORMATION
Le système d'information est un actif stratégique. Nous vous donnons les moyens de le piloter
Nous intervenons à vos côtés, sur les entités que vous auditez. Nous évaluons la sécurité de leur système d'information et vous remettons un rapport directement exploitable au dossier, au titre des NEP 315 et NEP 330.
LA MÉTHODE
Questionnaire structuré
Entretiens avec les interlocuteurs de l'entité, sur un référentiel de contrôle établi.
Vérification
Chaque réponse est confrontée au système : configurations, droits, sauvegardes, journaux.
Rapport NEP 315 / 330
Constats documentés, directement versables au dossier de travail.
→ VOS OBLIGATIONS
Le système d'information fait partie de vos diligences. La H2A le vérifie
OBLIGATION DU COMMISSAIRE AUX COMPTES · NEP 315 ET 330
Comprendre le SI pour évaluer les risques
La prise de connaissance de l'entité et de son contrôle interne inclut le système d'information et les contrôles informatiques qui concourent à l'élaboration de l'information financière. L'évaluation des risques d'anomalies significatives, puis les procédures d'audit en réponse, en dépendent.
EXIGENCE DU RÉGULATEUR · H2A, EX-H3C
Documenter ces diligences au dossier
Lors des contrôles d'activité, la Haute autorité de l'audit examine la documentation de ces travaux. Un volet système d'information insuffisamment couvert peut conduire à des observations, voire à des suites disciplinaires, avec un impact direct sur la réputation du cabinet.
C'est le point précis sur lequel nous intervenons.
Cette compréhension demande une compétence technique spécifique et du temps de mission. Nous l'apportons sous une forme resserrée : un diagnostic ciblé du système d'information, calibré sur ce que vos diligences exigent, et restitué dans un format directement versable au dossier.
→ LE CONTEXTE
Le risque cyber touche aussi les entités que vous auditez
1 366
incidents de cybersécurité portés à la connaissance de l'ANSSI en 2025.
ANSSI · PANORAMA 2025, P. 7
48 %
des victimes de rançongiciel sont des TPE, PME et ETI.
ANSSI · PANORAMA 2025, P. 10
+51 %
d'exfiltrations de données en un an : 196 incidents en 2025, contre 130 en 2024.
ANSSI · PANORAMA 2025, P. 13
767
contrôles d'activité conduits par la H2A en 2025.
H2A · RAPPORT ANNUEL 2025
→ DÉROULEMENT
Une mission en quatre étapes, menée avec le commissaire aux comptes et l'entité
Chaque étape précise qui est associé et ce qu'elle produit. Le commissaire aux comptes garde la conduite de sa mission : nous lui apportons des éléments vérifiés, son jugement professionnel reste le sien.
Cadrage
AVEC
Un premier échange de trente minutes avec le commissaire aux comptes pour comprendre son besoin et son calendrier. Puis une réunion de cadrage réunissant le commissaire aux comptes, la direction de l'entité et Klaris : périmètre des systèmes qui concourent à l'information financière, interlocuteurs, calendrier au regard du plan de mission, règles de confidentialité.
CE QUE CELA PRODUIT
Une note de cadrage partagée par le commissaire aux comptes et l'entité.
Collecte et vérification
AVEC
Un questionnaire structuré et des entretiens avec les responsables concernés. Les réponses sont ensuite vérifiées directement sur le système d'information, sans interruption d'activité.
CE QUE CELA PRODUIT
Des constats étayés et documentés, distinguant ce qui est déclaré de ce qui est vérifié.
Restitution
AVEC
Deux restitutions distinctes. Au commissaire aux comptes, un rapport structuré selon les NEP 315 et 330, versable à son dossier. À la direction de l'entité, une lecture des risques sous l'angle de l'activité : continuité d'exploitation, impact financier, exposition réputationnelle.
DEUX LIVRABLES
1 · POUR LE COMMISSAIRE AUX COMPTES
Rapport NEP 315 et 330
Versable au dossier de travail.
2 · POUR LA DIRECTION DE L'ENTITÉ
Lecture des risques business et réputationnels
Impact sur la continuité d'activité, la trésorerie et la réputation, hiérarchisé pour la décision.
Plan d'action
AVEC
Les mesures recommandées sont classées par gain et par effort, avec un ordre de priorité. L'entité les met en œuvre à son rythme, avec ses équipes ou ses prestataires.
CE QUE CELA PRODUIT
Une feuille de route priorisée pour l'entité.
→ LA MÉTHODE
Votre système d'information n'est pas un centre de coûts. C'est un actif stratégique
Il porte la continuité de l'activité, la fiabilité des comptes et la confiance des partenaires. Nous l'évaluons comme tel.
Le système, pas seulement les documents
Un questionnaire structuré, puis la vérification sur le système : configurations, comptes et droits d'accès, exposition externe, sauvegardes, journalisation.
Ce qui est déclaré doit fonctionner
Des sauvegardes qui se restaurent. Des alertes qui arrivent à un destinataire identifié. Des règles d'accès réellement appliquées.
Un constat sans décision ne sert à rien
Chaque risque débouche sur une mesure, avec son coût, son délai et sa priorité.
Le dirigeant sait quoi arbitrer. Le commissaire aux comptes sait quoi documenter. Le DSI ou le RSSI sait quoi corriger.
→ INTERVENTIONS
Un diagnostic, puis des missions à la demande
LE POINT DE DÉPART
Diagnostic cybersécurité
Évaluation croisée des processus et du système d'information, cartographie des risques et plan d'action priorisé. Double restitution : à l'entité auditée, et au commissaire aux comptes.
BUDGET
4 000 € HT pour un diagnostic type de deux jours et demi, ajusté selon la taille de l'entité.
- Évaluation processus + SI
- Cartographie des risques
- Plan d'action priorisé
- Restitution à l'entité et au commissaire
SUITE LOGIQUE · MISSIONS AVAL, EN RELATION DIRECTE AVEC L'ENTITÉ
Mise en conformité
NIS 2, ISO/IEC 27001, RGPD. Analyse d'écart puis accompagnement jusqu'à une conformité démontrable.
Accompagnement continu
RSSI à temps partagé, pilotage du plan d'action, animation du comité sécurité.
→ RÉFÉRENTIELS
Les cadres sur lesquels nous nous appuyons
NEP 315 / NEP 330
Diagnostics réalisés en appui des commissaires aux comptes, en réponse aux exigences d'appréciation des risques liés au système d'information.
NIS 2
Directive européenne de cybersécurité : obligations applicables aux entités essentielles et importantes. La transposition en droit français reste en cours à ce jour ; nous travaillons sur le texte européen, en anticipation du cadre national.
DORA
Résilience opérationnelle numérique du secteur financier : continuité, tests, gestion des prestataires critiques.
SecNumCloud
Qualification ANSSI des offres cloud : hébergement des données sensibles et exigences d'exploitation.
→ LE CABINET
Qui sommes-nous
Klaris Conseil est un cabinet indépendant d'experts dédiés à la cybersécurité et à la protection des systèmes d'information, formés à la norme ISO/IEC 27001 et certifiés Lead Implementer.
Le cabinet reste indépendant de tout éditeur : aucune solution revendue, aucune commission perçue sur les outils recommandés. L'intervention porte sur le volet système d'information, en complément des diligences du commissaire aux comptes.
La discrétion fait partie de la prestation : chaque mission est couverte par un engagement de confidentialité, et l'identité des entités accompagnées demeure confidentielle. Les interlocuteurs vous sont présentés nominativement dès le premier échange.
Référentiels cités à titre informatif, sans reproduction de logo officiel.
Commençons par un échange
Trente minutes pour comprendre votre situation et vous dire, sans engagement, ce qui mérite d'être vérifié en priorité.