Documentez votre org Salesforce pour DORA, et maintenez cette documentation à jour.

Une configuration éparpillée

Objets, automatisations, règles de validation et intégrations se répartissent entre des dizaines de types de métadonnées. Personne ne peut décrire de mémoire l’état actuel de l’org, et le dernier document la montre telle qu’elle était.

Des interdépendances invisibles

L’article 8(4) porte sur « les liens et interdépendances entre les différents actifs informationnels et actifs de TIC ». Dans une org, ce sont les chemins d’exécution et les intégrations, que l’on ne découvre souvent qu’au moment d’une panne.

Des inventaires vite périmés

L’article 8(6) demande des inventaires mis à jour « périodiquement et chaque fois qu’a lieu une modification importante ». Un document annuel ne peut pas suivre des mises en production hebdomadaires.

Identifier et documenter

DORA demande : « les entités financières identifient, classent et documentent de manière adéquate toutes les fonctions “métiers”, tous les rôles et toutes les responsabilités s’appuyant sur les TIC, les actifs informationnels et les actifs de TIC qui soutiennent ces fonctions, ainsi que leurs rôles et dépendances en ce qui concerne le risque lié aux TIC », et examinent « au moins une fois par an, le caractère adéquat de cette classification et de toute documentation pertinente » (art. 8(1)).

aprity fournit : la documentation du contenu de l’org Salesforce, en termes métier : objets et champs, automatisations, règles métier et processus, chaque règle étant reliée au composant dont elle provient.

Cartographier la configuration et les interdépendances

DORA demande : « Les entités financières identifient tous les actifs informationnels et actifs de TIC […] et répertorient ceux considérés comme critiques. Elles répertorient la configuration des actifs informationnels et des actifs de TIC et les liens et interdépendances entre les différents actifs informationnels et actifs de TIC » (art. 8(4)).

aprity fournit : un graphe de dépendances calculé à partir des métadonnées et, pour chaque objet, un graphe d’exécution qui montre ce qui se déclenche à chaque événement de sauvegarde.

Connaître vos dépendances à des tiers

DORA demande : « Les entités financières identifient et documentent tous les processus qui dépendent de prestataires tiers de services TIC, et identifient les interconnexions avec des prestataires tiers de services TIC qui fournissent des services qui soutiennent des fonctions critiques ou importantes » (art. 8(5)), et « tiennent et mettent à jour, au niveau de l’entité et aux niveaux sous-consolidé et consolidé, un registre d’informations en rapport avec tous les accords contractuels portant sur l’utilisation de services TIC fournis par des prestataires tiers de services TIC » (art. 28(3)).

aprity fournit : une carte des systèmes externes que l’org appelle et de ceux qui l’appellent, établie à partir des appels réellement présents dans le code. Le registre lui-même reste sous votre responsabilité.

Tenir les inventaires à jour

DORA demande : « Aux fins des paragraphes 1, 4 et 5, les entités financières tiennent des inventaires pertinents et les mettent à jour périodiquement et chaque fois qu’a lieu une modification importante visée au paragraphe 3 » (art. 8(6)).

aprity fournit : une analyse lancée à la demande, jusqu’à une fois par semaine, et la liste des règles ajoutées, modifiées ou supprimées entre deux analyses, décrites en langage métier.

Équipes risques TIC et conformité

Disposez, pour les inventaires de l’article 8, d’une description à jour de la configuration et des dépendances de l’org, actualisée avant chaque revue au lieu d’être reconstituée pour l’occasion.

Responsables de la plateforme Salesforce

Montrez ce qui s’exécute sur chaque objet et de quels systèmes externes l’org dépend, sous une forme que la conformité peut lire sans connaître Salesforce.

Responsables du risque tiers

À partir de la carte des intégrations, vérifiez que le registre d’informations couvre bien les prestataires avec lesquels le CRM échange réellement des données.