Conformité réglementaire et dispositifs de contrôle de la gouvernance associés

La plupart des entreprises découvrent le décalage entre la gouvernance des données et la conformité au pire moment possible : une demande d’audit arrive, et l’équipe réalise que les politiques qu’elle a rédigées ne correspondent pas clairement aux preuves qu’elle peut fournir. La panique qui s’ensuit, à savoir reconstituer l’historique des accès, retrouver les propriétaires des données et documenter des dispositifs de contrôle qui n’ont jamais été formellement définis, est pourtant évitable.

La gouvernance fournit le modèle opérationnel et le plan de contrôle qui aident à générer et à préserver les pistes d’audit nécessaires à la conformité réglementaire. Un programme de gouvernance bien géré peut contribuer à rendre la conformité à de multiples frameworks réglementaires plus pérenne. Il permet de traduire les exigences réglementaires en dispositifs de contrôle applicables, de soutenir la conservation continue des preuves et de réutiliser les contrôles pour de multiples obligations.

Dans le contexte des données, la conformité réglementaire signifie répondre aux obligations externes légales, contractuelles et sectorielles concernant la manière dont les données sont collectées, traitées, protégées, partagées, conservées et supprimées. Le RGPD, le CCPA, l’HIPAA, la norme PCI DSS, la loi SOX, le règlement DORA, la directive NIS2 et les réglementations émergentes en matière d’IA définissent chacun des attentes légales, sectorielles ou opérationnelles différentes, mais nombre d’entre eux reposent sur les mêmes familles de contrôles : la classification des données, le contrôle d’accès, les pistes d’audit, la conservation, la réponse aux violations et la responsabilité démontrable.

Une approche axée sur la gouvernance aide les entreprises à créer ces dispositifs de contrôle une seule fois, à les associer à de nombreuses obligations et à garder les preuves à disposition avant même qu’un auditeur ne les demande.

Gouvernance et conformité réglementaire

Pour comprendre à quel point la gouvernance et la conformité sont liées, il est utile d'examiner la chaîne opérationnelle comme colonne vertébrale : politique → dispositif de contrôle → piste d’audit → preuve.

Une exigence légale ou réglementaire commence généralement sous la forme d’un texte dans une loi, une norme, un contrat ou un framework d’audit. Pour l'équipe data, ce texte doit se traduire par un ensemble de décisions : quelles colonnes contiennent des données personnelles, quelles tables incluent des informations de santé protégées, quels rôles peuvent exécuter une requête sur des valeurs en texte clair, quelles lignes doivent être visibles par région, combien de temps un enregistrement doit être conservé et qui peut approuver une exception.

La gouvernance fournit le système d’enregistrement de ces décisions. Par exemple, lorsqu'un gestionnaire des données classe une colonne comme sensible, y associe une balise de confidentialité, définit un propriétaire et associe le jeu de données à une règle de conservation, les équipes de la plateforme peuvent ensuite traduire ces normes en politiques de masquage, en politiques d'accès aux lignes, en contrôle d'accès basé sur les rôles et en supervision. Les équipes de conformité peuvent ensuite associer le contrôle opérationnel à l’obligation qu’il soutient, que cette obligation concerne la minimisation des données, l’accès au moindre privilège, la séparation des tâches, la conservation, la suppression ou la réponse aux violations.

La préparation aux audits découle de cette même chaîne. Au lieu de rassembler des preuves après coup, l'entreprise peut préserver la traçabilité des données, l'historique de classification, l'historique des accès, les modifications de politiques et les approbations dans le cadre de ses opérations normales sur les données. Cela ne rend pas les audits sans effort et n’élimine pas le besoin d’interprétation juridique, mais cela rend la collecte de preuves plus rapide et plus fiable en préservant les pistes d’audit, l’historique des politiques et les registres d’approbation dont les équipes ont besoin avant même qu’un auditeur ne les demande.

Découvrez comment DraftKings gère la conformité réglementaire à grande échelle :

Les réglementations diffèrent par leur formulation, leur portée et leur modèle d’application, mais nombre d’entre elles posent les mêmes questions fondamentales sur les données :

• De quelles données disposez-vous ?
• Où sont-elles stockées et utilisées ?
• Qui peut y accéder ?
• Comment les données sensibles sont-elles protégées ?
• Combien de temps sont-elles conservées ?
• Pouvez-vous montrer ce qui s’est passé en cas de modification, de défaillance ou d’accès ?
• Pouvez-vous répondre lorsqu’un individu, un organisme de réglementation, un auditeur ou un client demande des preuves ?

Répondre à ces questions de manière satisfaisante nécessite un ensemble commun de familles de contrôles :

• Classification des données et inventaire : Les entreprises doivent identifier les données personnelles, les données de paiement, les données de santé, les données de reporting financier, les données opérationnelles stratégiques et d’autres catégories sensibles avant de pouvoir appliquer les politiques appropriées. La classification aide également les équipes à définir le périmètre des obligations réglementaires, car une table contenant des identifiants clients, un historique de transactions ou des informations de santé protégées peut être soumise à des exigences différentes de celles d’une table contenant des métriques opérationnelles agrégées.
• Contrôle d’accès et application des politiques : Les réglementations reposent souvent sur la limitation de l’accès aux bonnes personnes pour la bonne finalité. L’accès au moindre privilège, l’accès basé sur les rôles, le masquage, les restrictions au niveau des lignes et les processus d’approbation contribuent à transformer ce principe en contrôles applicables.
• Pistes d’audit et preuves : Les programmes de conformité ont besoin de registres indiquant qui a accédé aux données, à quel moment, ce qui a changé et quels contrôles ont été appliqués. Les pistes d’audit facilitent également l’attestation, l’examen des incidents et la responsabilité interne.
• Conservation et suppression : Les règles en matière de confidentialité, de finance, de santé et de secteur d’activité exigent souvent des entreprises qu’elles conservent certains registres pendant une période définie et qu’elles suppriment d’autres données lorsqu’elles ne sont plus nécessaires. La gouvernance permet d’associer une logique de conservation aux catégories de données, aux propriétaires et aux politiques de cycle de vie, au lieu de laisser les décisions de suppression à un jugement ad hoc.
• Processus de réponse et de gestion des violations : Lorsqu’un incident se produit, les équipes doivent comprendre quelles données ont été affectées, quels systèmes ont été impliqués, qui y a eu accès et quelles notifications peuvent être requises. La classification, la traçabilité des données et l'historique des accès aident les équipes de sécurité, juridiques et de conformité à passer d'un registre d'incidents générique à un processus de réponse spécifique aux données.

Cette couche de contrôle commune est ce qui permet à un programme de gouvernance unique de prendre en charge plusieurs réglementations à la fois. Les étiquettes peuvent changer d’une obligation à l’autre, mais l’entreprise doit toujours savoir de quelles données elle dispose, comment elles sont contrôlées et quelles preuves démontrent que le contrôle a fonctionné comme prévu.

Les réglementations sur la confidentialité des données se concentrent sur les droits des individus par rapport à leurs données, et non seulement sur la sécurité des systèmes. Par exemple, lorsqu’un dossier client, un fichier collaborateur ou un identifiant d’appareil transite par des workflows de marketing, de support, d’IA ou autres, l’entreprise doit savoir où se trouvent ces données, pourquoi elles sont traitées, qui peut les utiliser et combien de temps elles doivent être conservées.

RGPD

Le RGPD régit le traitement des données personnelles dans l’UE et inclut des principes tels que la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité, la confidentialité et la responsabilité. Les contrôles de gouvernance aident les entreprises à identifier les données personnelles, à documenter le contexte de traitement, à restreindre l’accès, à appliquer les politiques de conservation et à préserver les preuves qui soutiennent la responsabilité.

En France, le RGPD s'applique conjointement avec la loi Informatique et Libertés (modifiée en 2018), qui constitue le texte national de référence et introduit des adaptations spécifiques au droit français, notamment sur les données sensibles et le traitement à des fins d'intérêt public. C'est la CNIL (Commission Nationale de l'Informatique et des Libertés) qui exerce le rôle d'autorité de contrôle compétente en France. Elle publie des recommandations pratiques sur la gouvernance des données personnelles, notamment sur les durées de conservation, la pseudonymisation et les analyses d'impact, et peut prononcer des sanctions administratives en cas de manquement.

Les organisations qui ne respectent pas le RGPD s'exposent à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Ces sanctions renforcent l'argument en faveur d'une gouvernance des données opérationnelle : un programme de contrôles documentés, traçables et auditables est à la fois une mesure préventive et une démonstration de diligence raisonnable en cas de contrôle.

En savoir plus sur le RGPD →

CCPA et CPRA

Le California Consumer Privacy Act accorde aux consommateurs californiens des droits relatifs à leurs informations personnelles, notamment le droit de savoir, de supprimer et de s’opposer à certaines utilisations ou ventes de ces informations. Le California Privacy Rights Act a modifié et élargi le CCPA le 1er janvier 2023, en y incluant des obligations supplémentaires liées aux informations personnelles sensibles et la création de la California Privacy Protection Agency. Les programmes de gouvernance soutiennent les exigences du CCPA et du CPRA en classant les informations personnelles sensibles, en appliquant des restrictions d’accès et en alignant l’utilisation des données sur les finalités déclarées.

En savoir plus sur le CCPA et le CPRA →

LGPD

La Lei Geral de Proteção de Dados du Brésil s’applique au traitement des données personnelles et partage de nombreux concepts avec le RGPD, notamment les bases légales du traitement, les droits des personnes concernées et les exigences en matière de sécurité et de responsabilité. La classification, le suivi des consentements, le contrôle d’accès et les politiques de conservation aident les entreprises à opérationnaliser ces obligations sur l’ensemble de leurs systèmes de données.

PDPA

Les lois sur la protection des données personnelles (Personal Data Protection Acts) dans des juridictions telles que Singapour et la Thaïlande exigent des entreprises qu’elles gèrent les données personnelles de manière responsable, ce qui inclut souvent des droits d’information, de consentement, de limitation des finalités, de protection, de conservation et d’accès. Un programme de gouvernance permet de relier ces exigences aux inventaires de données, à l’accès basé sur les rôles, au masquage et aux contrôles du cycle de vie.

POPIA

Le Protection of Personal Information Act de l’Afrique du Sud réglemente le traitement des informations personnelles et comprend des conditions liées à la responsabilité, à la limitation du traitement, à la spécification des finalités, aux mesures de sécurité et à la participation des personnes concernées. La gouvernance soutient le POPIA en documentant le contexte de traitement, en attribuant la propriété, en appliquant des contrôles de protection des données et en conservant les preuves d’audit.

PIPL (Chine)

La loi chinoise sur la protection des informations personnelles (Personal Information Protection Law) réglemente le traitement des informations personnelles et comprend des exigences liées au consentement, à la transparence, à la limitation des finalités, aux droits des personnes concernées, aux informations personnelles sensibles et aux transferts transfrontaliers. Les dispositifs de contrôle de la gouvernance aident les entreprises à classer les informations personnelles, à suivre les finalités de traitement, à appliquer des politiques d’accès et à documenter les décisions de transfert ou de partage.

DPDP (Inde)

Le Digital Personal Data Protection Act de 2023 de l’Inde a établi un framework pour le traitement des données personnelles numériques d’une manière qui reconnaît à la fois le droit des individus à protéger leurs données personnelles et la nécessité de traiter ces données à des fins légales. Pour les entreprises, l’implication en matière de gouvernance est familière : les données personnelles numériques doivent être identifiées, protégées, utilisées à des fins définies, conservées de manière appropriée et connectées à des processus qui soutiennent les droits individuels et la responsabilité de l’entreprise.

Les réglementations sur les services financiers se concentrent généralement sur l’intégrité du reporting, la résilience des opérations stratégiques et la capacité à démontrer que les contrôles fonctionnent dans des environnements de données et de technologies complexes. Un modèle de risque, un calcul de capital, un rapport de transaction ou un tableau de bord de résilience opérationnelle peut extraire des données de nombreux systèmes, ce qui signifie que la conformité dépend de la traçabilité, de la cartographie des contrôles, de l'historique des accès, de la qualité des données et de la propriété documentée.

Plus le patrimoine de données financières est distribué, plus il est important de maintenir une couche de gouvernance homogène pour le reporting, l’analytique, la gestion des risques, la surveillance des tiers et la résilience opérationnelle.

DORA

Le Digital Operational Resilience Act de l’UE s’applique aux entités financières et à l’environnement de risque lié aux tiers prestataires de services TIC qui les soutiennent. Il se concentre sur la capacité à résister, à répondre et à se remettre des perturbations des technologies de l’information et de la communication. DORA est entré en application le 17 janvier 2025. La gouvernance soutient DORA en aidant les entreprises financières à comprendre quelles données, quels systèmes et quelles dépendances vis-à-vis des tiers soutiennent les opérations stratégiques, comment l’accès est contrôlé et quelles preuves sont disponibles pour la réponse aux incidents, les tests et la surveillance.

SOX

La loi Sarbanes-Oxley se concentre sur l’intégrité du reporting financier et les contrôles internes. Pour les équipes data, les contrôles pertinents pour SOX impliquent souvent les systèmes, les flux de données et les droits d’accès qui soutiennent le reporting financier, les processus de clôture et les preuves d’audit. La gouvernance peut aider à identifier les sources de données de référence, à documenter la traçabilité, à appliquer la séparation des tâches et à préserver l’historique des modifications pour les données de reporting clés.

Bâle III

Bâle III établit des normes bancaires internationales pour l’adéquation des fonds propres, les tests de résistance et le risque de liquidité. Bien qu’il ne s’agisse pas uniquement d’une réglementation sur les données, sa mise en œuvre dépend de données fiables sur les risques, l’exposition, la liquidité et le capital. La gouvernance aide les banques à définir des sources de référence, à maintenir la qualité des données, à documenter les transformations et à soutenir des processus de reporting reproductibles.

BCBS 239

BCBS 239 définit des principes pour l’agrégation des données sur les risques et le reporting sur les risques. La norme est particulièrement pertinente pour la gouvernance, car elle dépend de l’exactitude, de l’exhaustivité, de l’actualité, de l’adaptabilité et de la traçabilité des données dans les processus de reporting sur les risques. Les dispositifs de contrôle de la gouvernance tels que la traçabilité, la propriété, la surveillance de la qualité des données et les pistes d’audit contribuent à répondre à ces attentes.

APRA CPS 234

APRA CPS 234 définit des exigences en matière de sécurité de l’information pour les entités réglementées en Australie, avec des attentes concernant l’identification des actifs d’information, l’efficacité des contrôles, la notification des incidents et la gestion des tiers. La gouvernance des données soutient CPS 234 en aidant les entreprises à identifier les actifs de données sensibles et stratégiques, à attribuer la propriété, à appliquer des politiques d’accès et à conserver des preuves du fonctionnement des contrôles.

Certaines obligations de conformité sont définies par le type de données sensibles qu’une entreprise gère, plutôt que par un régime général de confidentialité ou un framework de reporting financier. L’HIPAA s’applique aux informations de santé protégées, tandis que la norme PCI DSS s’applique aux environnements de données des titulaires de cartes. Dans les deux cas, la conformité dépend de la capacité à savoir où résident les données réglementées, quels rôles peuvent y accéder, comment les valeurs sensibles sont protégées et si l’activité d’accès peut être examinée a posteriori.

HIPAA

La loi HIPAA régit les informations de santé protégées dans l’écosystème de santé américain. La gouvernance facilite la conformité à la loi HIPAA en identifiant les informations de santé protégées, en restreignant l’accès en fonction du rôle et de l’objectif, en documentant les flux de données, en appliquant les protections appropriées et en conservant les pistes d’audit qui montrent comment les données de santé sensibles ont été consultées et utilisées.

Pour les organisations opérant en France et dans l'UE, le cadre applicable est distinct. L'hébergement et le traitement de données de santé à caractère personnel sont soumis à la certification HDS (Hébergeur de Données de Santé), définie par l'article L.1111-8 du Code de la santé publique. Cette certification délivrée par des organismes accrédités, est obligatoire pour tout prestataire hébergeant des données de santé pour le compte d'un établissement ou d'un professionnel de santé. Elle impose des exigences en matière de sécurité physique et logique, de gestion des accès, de traçabilité et de continuité de service qui vont souvent au-delà des seules obligations RGPD. Les équipes data opérant dans ce contexte doivent s'assurer que leurs plateformes de données sont hébergées chez un prestataire certifié HDS ou que leurs charges de travail liées aux données de santé sont isolées en conséquence.

PCI DSS

La norme PCI DSS (Payment Card Industry Data Security Standard) s’applique aux entreprises qui stockent, traitent ou transmettent des données de titulaires de cartes. La version 4.0.1 de la norme PCI DSS a été publiée en juin 2024, et le Conseil des normes de sécurité PCI (PCI Security Standards Council) a confirmé que cette révision ne modifiait pas la date d’entrée en vigueur du 31 mars 2025 pour les exigences futures. La gouvernance aide les équipes de paiement à définir le périmètre des environnements de données des titulaires de cartes, à classifier les données de paiement, à restreindre l’accès, à surveiller l’activité et à conserver des preuves pour les évaluations.

Certaines obligations de conformité se concentrent moins sur un seul type de données réglementées que sur la capacité de l’entreprise à faire confiance aux systèmes, aux contrôles et aux données qui sous-tendent les opérations réglementées. La directive NIS2 établit des obligations de gestion des risques de cybersécurité et de signalement des incidents pour les secteurs concernés dans l’UE, tandis que la norme ISO 8000 fournit un standard de qualité des données qui permet de consolider les processus de création de rapports, d’audit et de preuve.

NIS2

La directive NIS2 étend les obligations en matière de cybersécurité aux secteurs stratégiques et importants de l’UE. Les États membres de l’UE devaient transposer la directive NIS2 dans leur droit national au plus tard le 17 octobre 2024, les mesures s’appliquant à partir du 18 octobre 2024. La gouvernance des données facilite la conformité à la directive NIS2 en identifiant les données et les systèmes liés aux services essentiels, en prenant en charge les processus de réponse aux incidents et en aidant les entreprises à documenter l’accès, la propriété et la couverture des contrôles.

ISO 8000

La norme ISO 8000 est un standard de qualité des données qui se concentre sur la qualité et l’échange des données. Pour les programmes de données axés sur la conformité, la norme ISO 8000 est utile, car la solidité des preuves réglementaires dépend de celle des données sous-jacentes. La propriété, les définitions des données, les règles de qualité, la traçabilité et la gestion des problèmes permettent de garantir que les rapports, les audits et les attestations reposent sur des données fiables.

Les organisations doivent être prêtes à défendre l'exactitude, l'absence de biais, l'explicabilité et la sécurité de leurs systèmes d'IA, notamment quelles données ont été utilisées pour entraîner, valider, tester ou ancrer le système ; d'où provenaient ces données ; comment elles ont été préparées et quels dispositifs de contrôle ont régi leur utilisation.

Pour les équipes data, la conformité réglementaire de l’IA transforme les données d’entraînement, les données de validation, les prompts, les sources de récupération et les résultats des modèles en actifs gouvernés. L’ensemble de contrôles est le même, mais la cible de conformité est le système d’IA dont le comportement dépend des choix de données en amont.

Règlement européen sur l'IA (EU AI Act)

Le règlement européen sur l’IA établit un lien explicite entre la conformité de l’IA et la gouvernance des données pour les systèmes d’IA à haut risque. L’article 10 exige que les systèmes d’IA à haut risque qui utilisent des données d’entraînement soient développés sur la base de jeux de données d’entraînement, de validation et de test répondant à des critères de qualité, avec des pratiques de gouvernance et de gestion des données couvrant des domaines tels que la collecte des données, la préparation des données, l’examen des biais, les lacunes dans les données, ainsi que la pertinence et la représentativité des données pour le contexte prévu du système.

Cadre de gestion des risques liés à l'IA du NIST (NIST AI RMF)

Le NIST AI Risk Management Framework n’est pas une réglementation, mais il offre aux entreprises une structure utile pour la gestion des risques liés à l’IA. Ses fonctions principales (gouverner, cartographier, mesurer et gérer) relient les politiques, le contexte du système, les mesures et la réponse continue aux risques.

En pratique, ces fonctions dépendent de données gouvernées. Les équipes doivent cartographier l’utilisation prévue d’un système d’IA, mesurer la performance et les biais par rapport aux données pertinentes, gérer les risques à mesure que les données et le comportement du modèle évoluent, et conserver des preuves que les parties prenantes des services juridiques, des risques, de la conformité et de l’audit peuvent examiner. Un inventaire des modèles ne suffit pas si l’entreprise ne peut pas retracer les sources de données, les transformations, les politiques d’accès et les données d’évaluation qui ont façonné le système.

La gouvernance, les risques et la conformité (GRC) relient trois disciplines connexes : la manière dont une entreprise définit et applique des normes d’exploitation, la manière dont elle identifie et gère les risques, et la manière dont elle démontre son respect des obligations externes. Dans un contexte de données, la GRC dépend des mêmes détails opérationnels que les équipes data gèrent au quotidien : les propriétaires, les classifications, les politiques d’accès, les cheminements de traçabilité, les approbations, les exceptions et les pistes d’audit.

Un programme de GRC peut définir la taxonomie des risques, le framework de contrôle et la fréquence de création de rapports, mais c’est la gouvernance des données qui fournit les preuves. Si un contrôle exige un accès restreint aux données réglementées, l’entreprise doit savoir quelles données sont réglementées, quels rôles peuvent y accéder, quelles politiques s’appliquent et si des exceptions restent ouvertes. Si un contrôle exige la conservation des données de rapports financiers, l’entreprise a besoin de règles de cycle de vie, d’une responsabilisation des propriétaires et de la preuve que les enregistrements ont été conservés ou supprimés conformément à la politique.

En savoir plus sur la gouvernance, les risques et la conformité →

Un programme de gouvernance bien géré gagne en valeur à mesure que les obligations réglementaires s’étendent, car un même contrôle peut répondre à de nombreuses exigences. Par exemple, la traçabilité des données peut faciliter l’auditabilité des rapports financiers, l’explicabilité des modèles de risque, l’analyse d’impact pour la réponse aux incidents et la documentation des systèmes d’IA. Le contrôle d’accès peut garantir la confidentialité, la séparation des tâches, l’accès au moindre privilège et la minimisation des données.

Prenons l’exemple d’une organisation de santé qui doit se conformer à la loi HIPAA, aux lois nationales sur la confidentialité, aux politiques de sécurité internes et aux obligations contractuelles avec ses partenaires. Sans un programme de gouvernance partagé, chaque obligation pourrait déclencher un inventaire distinct, un examen des accès distinct et une demande de preuves distincte. Cependant, avec un environnement de contrôle commun, l’organisation peut classifier les informations de santé protégées et autres données personnelles une seule fois, associer des propriétaires et des politiques à ces classifications, appliquer le masquage ou l’accès aux lignes le cas échéant, documenter les flux de données et réutiliser les mêmes preuves pour plusieurs examens.

Cela ne signifie pas qu’un seul contrôle satisfait automatiquement à toutes les exigences. L’interprétation juridique reste importante, et différentes réglementations peuvent exiger des seuils, une documentation et des cycles d’examen différents. Toutefois, la conformité axée sur la gouvernance offre aux équipes une base réutilisable : les contrôles peuvent être mis en correspondance avec les obligations, les preuves peuvent être conservées en continu et les nouvelles réglementations peuvent être évaluées par rapport aux contrôles existants.

Snowflake aide les entreprises à relier les contrôles de gouvernance aux processus de conformité en rapprochant les métadonnées, l’application des politiques et l’auditabilité des données elles-mêmes. Avec Snowflake Horizon Catalog, les équipes peuvent découvrir, classifier, gouverner et protéger les données dans tout Snowflake, avec notamment des contrôles pour l’accès, le masquage, les restrictions au niveau des lignes, la traçabilité et la classification des données sensibles.

Snowflake Access History ajoute un autre maillon à la chaîne opérationnelle en enregistrant le moment où les requêtes lisent les données et où les instructions SQL effectuent des opérations d’écriture telles que des insertions, des mises à jour, des suppressions et des copies. Pour les équipes de conformité, cet historique des accès permet de relier l’application des politiques à la piste d’audit et aux preuves.

De plus, Snowflake Compliance Center prend en charge la surveillance de la posture en fournissant des informations de haut niveau sur la posture de sécurité d’un compte, notamment les résultats des analyses, l’état de préparation de l’authentification sécurisée et la sécurité des données. Snowflake fournit également de la documentation et des certifications de conformité par le biais de ses ressources de conformité, notamment des certifications mondiales telles que SOC 1 Type II, SOC 2 Type II et les certifications ISO, avec des informations de conformité supplémentaires disponibles par région et par programme.

Ensemble, ces capacités aident les organisations à passer de l’intention écrite au fonctionnement gouverné, et du fonctionnement gouverné aux preuves pouvant appuyer les audits, les attestations et les examens réglementaires.

Les réglementations définissent différentes obligations, mais elles dépendent souvent des mêmes faits opérationnels : quelles données existent, où elles se déplacent, qui peut y accéder, comment elles sont protégées et si l’organisation peut prouver que le contrôle a fonctionné.

Un programme de gouvernance bien géré capture ces faits dans le cadre des opérations normales sur les données. La classification, la propriété, la traçabilité, les politiques d’accès, les règles de conservation et les pistes d’audit deviennent des contrôles réutilisables qui peuvent être mis en correspondance avec les lois sur la confidentialité, les exigences en matière de rapports financiers, les règles de résilience opérationnelle, les normes de santé et de paiement, ainsi que les frameworks de gouvernance de l’IA.