Actions et ressources

Préparer

Que rassembler avant de rédiger

Cochez chaque champ à l'arrivée des preuves. Les responsables sont les équipes qui détiennent habituellement les fichiers sources.

• Actions mises en œuvre

  Durabilité / risques / responsable métier concerné

  Un résumé simple des mesures que l'entité a mises en place au cours de la période de reporting pour traiter la question mentionnée dans la disposition.

  Éléments probants Plans d'action, mises à jour de projets, registres des mesures correctives, notes d'approbation et dossiers de clôture.

  Point de vigilance Les mesures sont décrites à un niveau élevé, mais ne concordent pas avec le registre de suivi des mesures correctives ou le plan de réalisation pour la période.

• Contrôles de sécurité en place

  Sécurité des produits / qualité / opérations

  Les mesures actuellement utilisées pour réduire les préjudices liés aux produits, y compris les contrôles, les vérifications et toute modification apportée au cours de la période.

  Éléments probants Procédures de sécurité des produits, résultats des tests, dossiers de suivi des incidents, registres d'assurance qualité et dossiers de rappel ou de correction.

  Point de vigilance Les contrôles répertoriés ne correspondent pas au registre de sécurité des produits ou omettent une gamme de produits couverte par le périmètre du reporting.

• Contrôles de confidentialité en place

  Protection des données / sécurité informatique / juridique

  Les mesures pratiques utilisées pour protéger les données à caractère personnel, notamment les mesures techniques, organisationnelles et de processus appliquées au cours de la période.

  Éléments probants Politiques de protection des données, registres de contrôle des accès, paramètres de sécurité, registres de formation, procédures de réponse aux violations et constats d’audit.

  Point de vigilance Les mesures sont tirées du libellé de la politique, mais ne sont pas rapprochées de l’ensemble réel des contrôles du programme de confidentialité.

• Mesures de protection en matière de marketing

  Marketing / conformité / juridique

  Les actions prises pour maintenir les activités de marketing dans des limites responsables, notamment les étapes de contrôle, d’approbation et de correction.

  Éléments probants Listes de contrôle de l’examen du marketing, flux de travail d’approbation, dossiers de validation des campagnes, registres des réclamations, ainsi que justificatifs de retrait ou de correction.

  Point de vigilance Les contrôles des campagnes sont décrits, mais les actions rapportées ne correspondent pas au flux de travail d’approbation en vigueur ou omettent un canal utilisé en pratique.

• Catégorie d’impact

  Risques / conformité / gestion des incidents

  Le type de problème signalé, en utilisant la classification choisie par l’organisation pour le domaine de préjudice concerné, tel que la vie privée, la sécurité ou les informations trompeuses.

  Éléments probants Taxonomie des incidents, guide de codification des cas, registres des problèmes et règles de classification utilisés par l’équipe chargée de l’établissement du rapport.

  Point de vigilance Le libellé de la catégorie est utilisé de manière incohérente, de sorte que les cas sont codés selon une taxonomie différente de celle du registre des incidents.

• Mesures prises en réponse

  Gestion des incidents / risques / responsable opérationnel concerné

  Les mesures prises après l’identification du problème, notamment le confinement, la correction, la remontée et les travaux de suivi.

  Éléments probants Dossiers de réponse aux incidents, plans d’actions correctives, notes de cas, courriels de remontée et éléments probants de clôture.

  Point de vigilance Le descriptif de la réponse ne concorde pas avec le registre des incidents et omet les mesures prises par une autre équipe.

• Arbitrages

  Direction générale / risques / juridique

  Tout jugement porté lorsqu’un objectif a dû être mis en balance avec un autre, ainsi que la raison pour laquelle l’équilibre retenu a été accepté.

  Éléments probants Documents de décision, notes d’acceptation des risques, procès-verbaux des comités, documents d’approbation et évaluations des compromis.

  Point de vigilance L’explication décrit le résultat privilégié, mais omet l’arbitrage effectivement approuvé dans le document de décision.

• Mesures clés

  Gestion de la performance / finance / fonction concernée

  Les principaux indicateurs utilisés pour suivre le problème ou la réponse apportée, avec les noms et les valeurs exacts des indicateurs utilisés en interne.

  Éléments probants Tableaux de bord de gestion, dossiers d’indicateurs clés de performance, tableaux de suivi et définitions des indicateurs.

  Point de vigilance Les noms des indicateurs sont publiés, mais ils ne correspondent pas aux définitions utilisées dans le tableau de bord ou le tableau de suivi.

• Mesures de suivi

  Risques / reporting de durabilité / analyse de données

  Les indicateurs utilisés pour suivre les progrès au fil du temps, notamment ce qui est mesuré et la manière dont chaque indicateur est défini.

  Éléments probants Cadre de suivi, catalogue d’indicateurs, modèles de reporting et dictionnaire de données.

  Point de vigilance Les indicateurs sont mélangés à des indicateurs clés de performance plus larges, de sorte que l’ensemble publié ne correspond pas au cadre de suivi.

• Fréquence de revue

  Reporting / risques / analytique

  À quelle fréquence l’organisation vérifie ou met à jour les mesures, y compris le cycle de revue effectivement utilisé en pratique.

  Éléments probants Calendrier de reporting, calendriers des réunions, paramètres d’actualisation des tableaux de bord et dates des dossiers de gouvernance.

  Point de vigilance La fréquence indiquée reflète le cycle de la politique plutôt que la fréquence réelle d’actualisation utilisée pour les données.

• Nombre d'incidents

  Gestion des incidents / risques / conformité

  Le nombre total d'incidents enregistrés pour la période, comptés une seule fois chacun conformément à la définition applicable au reporting.

  Éléments probants Registre des incidents, extraction du système de gestion des dossiers et rapprochement en fin de période avec le journal source.

  Point de vigilance Le nombre ne correspond pas au registre des incidents parce que les doublons ou les dossiers clôturés ont été traités différemment.

• Type d'incident

  Gestion des incidents / conformité / juridique

  Une brève description du type d'incident, utilisant les catégories d'incidents de l'organisation pour les événements liés à la confidentialité ou à la sécurité.

  Éléments probants Règles de classification des dossiers, entrées du journal des incidents, notes d'enquête et résumés des causes profondes.

  Point de vigilance L'incident est étiqueté en fonction de son résultat plutôt que de sa cause, de sorte que le type ne correspond pas à la classification du dossier.

• Gravité de l’incident

  Gestion des incidents / risques / conformité

  Le niveau de gravité attribué à l’incident, sur la base de la propre échelle de gravité et des critères d’évaluation de l’organisation.

  Éléments probants Matrice de gravité, notes de triage, dossiers de revue des incidents et seuils d’escalade.

  Point de vigilance La notation de la gravité est tirée du résultat final, et non de l’échelle d’évaluation initiale utilisée dans le processus de gestion de l’incident.

Comment le préparer

Demander les données

Demander aux responsables concernés les actions, les contrôles et le registre des incidents

Traduisez l’information en une question métier interne, puis adaptez-la au vocabulaire de votre organisation.

Quelles actions, quels contrôles, quel suivi et quels détails sur les incidents devons-nous décrire pour expliquer comment l’entreprise gère les impacts concernant les clients et les risques connexes au cours de la période de reporting ?

Utilisez d’abord les propres appellations de votre organisation, puis faites-les correspondre aux catégories de reporting. Par exemple, demandez les registres de sécurité des produits, de confidentialité, de contenu, de confiance des clients, de réclamations, d’incidents ou de contrôles que vos équipes utilisent déjà, plutôt que d’employer les intitulés du référentiel dans la demande.

Objet : Demande de contrôles, d’actions et de détails sur les incidents concernant les clients pour [période de reporting]

Bonjour [nom/équipe],

Nous préparons le dossier de reporting de durabilité et avons besoin d’un court ensemble d’éléments probants provenant de votre domaine pour [période de reporting]. Veuillez transmettre les informations que votre équipe détient déjà sur les contrôles, les actions, le suivi et les incidents liés à [vos termes internes : p. ex. sécurité des produits / confidentialité / contenu / confiance des clients / réclamations].

Veuillez inclure :
- les principales actions menées au cours de la période
- les contrôles ou vérifications en place
- tout suivi ou toute mesure de performance que vous suivez
- tout incident, problème ou manquement enregistré au cours de la période, avec son type et sa gravité
- tout arbitrage ou toute décision prise lorsque deux priorités ont dû être conciliées
- le système source, le responsable et la date de l’extraction

Veuillez d’abord utiliser votre propre terminologie interne ; nous la ferons ensuite correspondre aux catégories de reporting. Si cela est utile, envoyez un tableau ou un export et nous le mettrons en forme. Veuillez vérifier les documents sources avant la validation finale.

Merci,
[nom de la personne chargée de la préparation]

Bonjour [nom] — pourriez-vous envoyer les dernières actions, les contrôles, le suivi et le registre des incidents relatifs à [vos termes internes : sécurité des produits / confidentialité / contenu / confiance des clients] pour [période] ? Veuillez inclure la source, le responsable, les dates et tout arbitrage important. Nous ferons correspondre votre terminologie au dossier de reporting. Merci.

Exemples sectoriels

Rédigez votre information

Des notes qui transforment les données en information publiée

Modèles pédagogiques LRA — adaptez-les à votre organisation et vérifiez la source officielle avant validation.

Centre de téléchargement

Vérifier

Pour chaque affirmation, vérifiez les preuves

• Nous avons vérifié que le chiffre de couverture avait été établi à partir de la population et de la période appropriées, et que toute exclusion ou estimation avait été appliquée de manière cohérente et expliquée dans nos documents de travail.

  Risque Un professionnel de l’assurance peut vérifier si le chiffre est complet, si le périmètre retenu exclut des cas pertinents et si des décisions fondées sur le jugement ont été prises pour rendre le résultat plus favorable ou plus facile à présenter.

  Preuves à vérifier Note sur le périmètre ; liste de la population source ; registre des inclusions et exclusions ; classeur de calcul ; méthode d’estimation ; notes de validation indiquant la période couverte et les éventuelles exceptions.

• Nous avons utilisé les activités et les groupes mentionnés qui étaient effectivement pertinents pour le thème, et nous avons documenté les raisons pour lesquelles certains sites, produits, canaux ou groupes de clients ont été exclus du décompte.

  Risque Le professionnel de l’assurance peut examiner si le périmètre a été réduit sans fondement solide ou si l’ensemble présenté n’est pas aligné sur le problème sous-jacent décrit.

  Preuves à vérifier Document de définition du périmètre ; cartographie des activités/produits/canaux par rapport au sujet ; justification des omissions ; notes de revue de la direction ; historique des versions du projet d’information.

• Nous nous sommes appuyés sur des données qui avaient été vérifiées par rapport aux pièces sources, et nous avons conservé les éléments probants montrant comment nous avons traité les données manquantes, reçues tardivement ou incohérentes avant de finaliser le chiffre.

  Risque Le prestataire d’assurance peut s’interroger sur la fiabilité des données sous-jacentes, sur la question de savoir si les lacunes ont été comblées de manière contrôlée, et sur la possibilité de reproduire le chiffre final à partir des fichiers sources.

  Preuves à vérifier Extractions des sources ; feuilles de rapprochement ; contrôles de la qualité des données ; registre des exceptions ; courriels ou tickets résolvant les anomalies ; piste d’audit de la source au chiffre publié.

• Avant la publication, nous avons effectué des contrôles internes sur le texte et les chiffres du projet, notamment une revue de la cohérence interne, des erreurs manifestes et de l’alignement avec les fichiers justificatifs.

  Risque Le prestataire d’assurance peut rechercher des contrôles de revue insuffisants, des divergences entre le texte et les chiffres, ou des signes indiquant que l’information publiée n’a pas été vérifiée par rapport au dossier de pièces justificatives.

  Preuves à vérifier Liste de contrôle de la revue préalable à la publication ; circuit d’approbation ; projets annotés ; contrôles de cohérence ; index du dossier de pièces justificatives ; validation finale par le responsable désigné.

• Lorsque nous faisons référence à des actions, nous avons conservé des documents indiquant ce qui a été fait, les ressources utilisées et la manière dont nous avons suivi les progrès, afin de pouvoir expliquer le fondement de l’affirmation figurant dans l’information publiée.

  Risque Le prestataire d’assurance peut vérifier si la description de l’action est étayée par des documents établis au moment des faits, si l’utilisation des ressources est réelle plutôt que simplement déclarative, et si les affirmations relatives aux progrès sont étayées par des éléments de suivi.

  Preuves à vérifier Plans de projet ; budgets ou affectations de ressources ; rapports d’avancement ; tableaux de bord des KPI ; procès-verbaux de réunions ; éléments attestant de la mise en œuvre, tels que registres de formation, modifications des processus ou documents relatifs aux mesures correctives.

Là où les brouillons dérapent

Erreurs à éviter et points nécessitant un jugement

La colonne de gauche montre ce que les préparateurs font mal lors de la collecte ; celle de droite, où vous devrez exercer et expliquer un jugement.

Exemples

Ce que cela donne sur la page

Synthétiques, rédigés par LRA — ils ne proviennent ni d’un rapport d’entreprise ni du texte d’une norme.

Échelle de qualité

• Basique

  Nous avons consigné 3 incidents.

• Meilleur

  Nous avons consigné 3 incidents, répartis entre 2 atteintes à la vie privée et 1 problème de sécurité, et nous les avons suivis chaque mois.

• Optimal

  Nous avons consigné 3 incidents cette année, dont 2 liés à la vie privée et 1 à la sécurité ; nous les avons examinés chaque mois, et le total inférieur à celui de l'an dernier reflétait des contrôles renforcés après une mise à jour du produit.

Vérifiez votre compréhension

Scénarios à travailler

Références au référentiel

Exigences ESRS applicables et informations connexes

Guides that settle this question

Connexes et exploration

Plus dans ESRS S4 →Parcourir le catalogue complet →Rechercher dans toutes les informations →

FAQ

Questions auxquelles cette page répond

Autres questions auxquelles cette page peut aider