Leadership et gouvernance (clause 5)
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 11 minutes
5.1 — L’engagement de la direction
Section titled “5.1 — L’engagement de la direction”ISO 27001 exige que la direction (pas seulement le RSSI) démontre son engagement. Concrètement, un auditeur cherchera :
- une politique signée par le directeur général ;
- des objectifs de sécurité alignés sur la stratégie ;
- des ressources allouées (budget, effectifs) ;
- la participation de la direction à la revue de direction (chapitre 9) ;
- l’intégration des exigences du SMSI dans les processus métier (lancement de produits, achats, RH).
💡 Un bon test : demandez au directeur général quels sont les trois principaux risques de sécurité de l’entreprise. S’il ne sait pas répondre, le leadership n’est pas encore là.
Le modèle des trois lignes
Section titled “Le modèle des trois lignes”Dans le secteur financier, la gouvernance des risques suit presque toujours le modèle des trois lignes (Institute of Internal Auditors) :
| Ligne | Qui chez KamaPay | Rôle vis-à-vis de la sécurité |
|---|---|---|
| 1re ligne — opérer et maîtriser | DSI, exploitation, développement, opérations, gestion des agents | Appliquer les contrôles au quotidien ; propriétaires des risques de leur activité |
| 2e ligne — encadrer et surveiller | Direction des risques, RSSI et ingénieur SSI, conformité, DPO, anti-fraude | Définir le cadre (politiques, méthode de risques), conseiller, contrôler, consolider le reporting |
| 3e ligne — assurance indépendante | Audit interne (local et groupe) | Vérifier de façon indépendante que les 1re et 2e lignes fonctionnent |
⚠️ Piège classique : un RSSI qui administre lui-même les pare-feu est à la fois 1re et 2e ligne — il se contrôle lui-même. C’est une faiblesse de séparation des fonctions (voir le module 9).
5.3 — Rôles et responsabilités
Section titled “5.3 — Rôles et responsabilités”| Rôle | Responsabilités principales dans le SMSI |
|---|---|
| Directeur général | Approuve la politique, arbitre l’appétit pour le risque, préside la revue de direction |
| Directeur des risques | Intègre le risque cyber dans la cartographie globale des risques, rattachement hiérarchique du RSSI |
| RSSI | Pilote le SMSI, rend compte au comité des risques, valide les dérogations |
| Ingénieur SSI | Décline les politiques en procédures, mène les analyses de risques projets, anime le dispositif d’incidents et la sensibilisation, prépare les audits |
| Propriétaires de risques (directeurs métier) | Acceptent ou refusent formellement le risque résiduel de leur périmètre |
| Propriétaires d’actifs | Classifient l’information, valident les droits d’accès |
| DSI | Met en œuvre les contrôles techniques, gère les changements |
| DPO | Conformité des traitements de données personnelles |
| Responsable anti-fraude | Détection et traitement de la fraude transactionnelle, en lien étroit avec la SSI |
| Audit interne | Audit indépendant du SMSI |
| Tous les salariés | Respect de la charte, signalement des incidents |
La comitologie
Section titled “La comitologie”| Instance | Fréquence | Participants | Rôle |
|---|---|---|---|
| Conseil d’administration / comité d’audit et des risques | Semestrielle | Administrateurs, DG, directeur des risques | Approuve l’appétit pour le risque, reçoit le reporting consolidé |
| Comité de sécurité de l’information | Trimestrielle | DG, directeurs, RSSI, DSI, DPO, conformité | Revue de direction, arbitrages, suivi du plan de traitement |
| Comité opérationnel sécurité | Mensuelle | RSSI, ingénieur SSI, DSI, exploitation, anti-fraude, SOC | Indicateurs, incidents, vulnérabilités, projets |
| Comité des changements (CAB) | Hebdomadaire | DSI, exploitation, ingénieur SSI | Validation des changements avec avis sécurité |
5.2 — La politique de sécurité de l’information
Section titled “5.2 — La politique de sécurité de l’information”C’est le document de tête du SMSI : court (2 à 4 pages), signé par la direction, diffusé à tous. Il ne contient pas de détail technique.
POLITIQUE DE SÉCURITÉ DE L'INFORMATION — KamaPay SA — v1.0──────────────────────────────────────────────────────────────1. Objet et périmètre Renvoi à la déclaration de périmètre du SMSI.
2. Engagement de la direction « La confiance de nos clients repose sur la sécurité de leurs fonds et de leurs données. La direction générale s'engage à … »
3. Principes - Protection des fonds et des données des clients en priorité - Approche fondée sur les risques - Moindre privilège et séparation des fonctions - Sécurité intégrée dès la conception des services - Conformité aux exigences légales, réglementaires, du groupe et contractuelles - Amélioration continue
4. Objectifs de sécurité (renvoi au tableau de bord annuel) ex. disponibilité plateforme ≥ 99,9 % ; 100 % des projets avec analyse de risques ; 0 vulnérabilité critique > 15 jours
5. Organisation et responsabilités (renvoi au RACI)
6. Cadre documentaire (renvoi aux politiques thématiques)
7. Non-respect : sanctions conformément au règlement intérieur
8. Revue : annuelle, ou après un changement majeur
Approuvée par : Directeur général — Date — Signature──────────────────────────────────────────────────────────────La pyramide documentaire
Section titled “La pyramide documentaire” ▲ / \ Politique de sécurité de l'information / \ (1 document, signé par le DG) /─────\ / \ Politiques thématiques (~12) / \ accès, cryptographie, fournisseurs, incidents, /───────────\ continuité, développement, classification… / \ / \ Procédures et standards / \ revue des accès, gestion des vulnérabilités, /───────────────────\ durcissement, sauvegardes… / \ / \ Enregistrements (preuves) /─────────────────────────\ journaux, comptes rendus, tickets, rapports💡 Conseil terrain : quand le groupe a déjà des politiques, ne les réécrivez pas. Déclinez-les : un document local court qui dit « la politique groupe X s’applique, avec les précisions suivantes pour KamaPay ». C’est exactement ce que demande une fiche de poste qui parle de « décliner et mettre en œuvre opérationnellement les politiques ».
Liste des politiques thématiques de KamaPay
Section titled “Liste des politiques thématiques de KamaPay”| Politique | Contrôles Annexe A principaux |
|---|---|
| Contrôle d’accès et gestion des identités | A.5.15 à A.5.18, A.8.2 à A.8.5 |
| Classification et manipulation de l’information | A.5.12, A.5.13 |
| Relations avec les fournisseurs et cloud | A.5.19 à A.5.23 |
| Gestion des incidents | A.5.24 à A.5.28 |
| Continuité et résilience | A.5.29, A.5.30 |
| Protection des données personnelles | A.5.34 |
| Cryptographie et gestion des clés | A.8.24 |
| Développement sécurisé | A.8.25 à A.8.29 |
| Gestion des vulnérabilités et des correctifs | A.8.8 |
| Journalisation et surveillance | A.8.15, A.8.16 |
| Sauvegarde | A.8.13 |
| Gestion des changements | A.8.32 |
| Charte d’utilisation des ressources (salariés) | A.5.10, A.6.2 |
Prochaine étape : Appréciation et traitement des risques →