Rapports et exports

Les rapports se génèrent dans Rapports › Générer, pour l’entité sélectionnée. Ils sont disponibles en PDF ou en Excel ; il n’y a pas d’export CSV des rapports. Un aperçu (« Apercu avant export ») est proposé avant la génération, sauf pour l’export ROI DORA.

Date des données

Un rapport reflète l’état des données au moment où il est généré. Exception : les scores du Rapport Exécutif sont les derniers instantanés enregistrés, qui peuvent être antérieurs à certaines modifications (voir Historique et tendances). Il n’existe pas de date de référence : le titre par défaut et le nom du fichier téléchargé portent la date de génération. Pour figer un état, générez le rapport à la date voulue et conservez le fichier.

Types de rapports

Rapport	Formats	Disponible si
Conformité par Framework	PDF, Excel	un référentiel actif (seuls les référentiels maîtres aboutissent)
Rapport Exécutif (COMEX)	PDF, Excel	un référentiel actif
Rapport d’Audit	PDF, Excel	un référentiel actif
Rapport de Risques	PDF, Excel	toujours
Rapport RGPD (RoPA & DPIA)	PDF, Excel	référentiel RGPD actif
Export ROI DORA (Format EBA)	Excel	référentiel DORA actif
Rapport d’Écarts (Gap Analysis)	PDF, Excel	réponses d’analyse d’écart enregistrées (rapport limité à NIS2)

Conformité par Framework

Pour un référentiel maître (les référentiels personnalisés ne sont pas pris en charge) actif sur l’entité (le rapport d’un référentiel désactivé est refusé) :

• Synthèse : score du référentiel calculé au moment de la génération (formule pondérée, voir Calcul du score) et nombre de contrôles implémentés ;
• Progrès par domaine : score pondéré de chaque domaine ;
• Détail des contrôles : code, intitulé, domaine, statut, responsable, échéance ;
• Plan d’actions : contrôles « Non démarré », « En cours » et « Non conforme », triés par échéance, avec code, intitulé (PDF et Excel), domaine, statut, responsable et échéance ; l’aperçu en affiche les 15 premiers ;
• Risques liés : risques rattachés à des contrôles non implémentés ;
• Historique des scores sur 12 mois, avec la version du référentiel de chaque instantané, une note lorsque l’historique mélange des formules de calcul et une note « Changement de version du référentiel » datant chaque changement de version.

Dans le PDF et l’Excel, les statuts apparaissent en français (par exemple « Non démarré »). Le nombre de contrôles de la synthèse PDF inclut les contrôles non applicables.

Rapport Exécutif (COMEX)

Dernier score enregistré de chaque référentiel actif (les référentiels sans score enregistré sont omis) et son évolution sur 30 jours ; quand elle n’est pas comparable, la colonne en donne la raison (« Méthode de calcul modifiée » ou « Changement de version du référentiel »). Il n’y a pas de score moyen ni de score global : un score par référentiel. Puis les risques critiques (ni clos, ni en brouillon, ni acceptés, et classés Critique sur leur propre échelle : leur nombre est celui du tableau de bord, les 5 aux scores les plus élevés sont listés) et la synthèse des risques, les incidents des 90 derniers jours, les tâches en retard et des points clés.

Rapport d’Audit

Couvre tous les référentiels actifs de l’entité (les contrôles d’un référentiel désactivé n’y figurent pas) sur une période (les 12 derniers mois ; l’interface ne permet pas de la modifier) : périmètre, contrôles avec leur date de dernière modification, registre des risques et actions de traitement, incidents de la période, piste d’audit de l’entité (les 500 entrées les plus récentes de la période, avec le nom de l’utilisateur ; la version Excel inclut aussi les modifications avant/après), tâches terminées sur la période et, si le RGPD est actif, une section RGPD. La couverture porte la mention « Confidentiel — Usage Interne ».

La piste d’audit de ce rapport ne contient que les entrées rattachées à l’entité : les entrées sommaires des requêtes d’écriture n’y figurent que si elles portent l’entité, ce qui n’est pas le cas des plus anciennes (voir Journal d’audit).

Rapport d’Écarts (Gap Analysis)

Disponible pour NIS2 uniquement, tant que NIS2 est actif sur l’entité. Un écart est considéré comme comblé si la réponse initiale était « Oui », ou si tous ses contrôles liés applicables sont implémentés : les contrôles non applicables ne comptent pas, et un écart dont tous les contrôles liés sont non applicables est comblé (l’exigence ne s’applique pas). Un contrôle lié que l’entité ne possède pas compte comme « Non démarré » et laisse l’écart ouvert ; une question sans contrôle lié n’est comblée que par une réponse « Oui ». La progression n’est pas pondérée. Dans le détail des écarts, le statut de contrôle d’une question est le statut le plus défavorable de ses contrôles liés applicables, dans l’ordre « Non conforme », « Non démarré », « En cours » ; il est « Implémenté » quand tous ses contrôles liés applicables le sont, et « Non applicable » quand tous ses contrôles liés le sont. Les actions restantes listent, pour chaque écart ouvert ayant reçu une réponse, les contrôles liés applicables non implémentés. Un contrôle lié que l’entité ne possède pas y figure avec son intitulé dans le référentiel de l’organisation, ou « Contrôle introuvable » si le référentiel ne contient pas son code.

Rapports de Risques et RGPD

L’API accepte des filtres (méthode d’analyse et statut des risques ; contenu, traitements actifs seulement, demandes de droits, violations pour le RGPD). L’interface n’en propose qu’un : pour le rapport RGPD, la case « Inclure les traitements non actifs (brouillon, en revue) », décochée par défaut, ajoute à l’aperçu et à l’export les traitements en brouillon et en revue ; sans elle, seuls les traitements actifs figurent. Les traitements archivés n’y figurent jamais. Le rapport RGPD généré depuis l’interface ne contient ni violations ni demandes de droits, et un rapport RGPD planifié se limite aux traitements actifs.

Qui peut générer

Tous les rôles disposant de la lecture des rapports (Administrateur, RSSI, Contributeur, Auditeur) peuvent générer, prévisualiser, télécharger et archiver des rapports, à une exception près : le Rapport d’Audit, qui contient la piste d’audit de l’entité, est réservé aux rôles qui lisent le journal d’audit de cette entité (Administrateur, RSSI, Auditeur). Il n’est pas proposé aux Contributeurs, et les Rapports d’Audit générés par d’autres n’apparaissent pas dans leur historique. La planification est réservée aux Administrateurs et RSSI (le bouton « Nouvelle planification » est visible pour tous, mais l’enregistrement est refusé aux autres rôles).

Conservation des rapports générés

Les fichiers générés sont stockés et restent téléchargeables depuis Rapports › Historique pendant une durée qui dépend de l’offre :

Offre	Conservation
Free	7 jours
Starter	30 jours
Business	90 jours
Enterprise, On-Premises	365 jours

Au-delà, le rapport disparaît de l’historique et son téléchargement est refusé avec un message indiquant sa date d’expiration. Sept jours après l’expiration, le fichier est définitivement supprimé du stockage : il ne peut plus être récupéré. Conservez une copie des rapports dont vous avez besoin (preuve d’audit, archives) et, sinon, générez-en un nouveau.

Rapports planifiés

Une planification génère un rapport mensuellement, trimestriellement, semestriellement ou annuellement, à un jour du mois choisi, et l’envoie en pièce jointe aux destinataires indiqués, vérifiés à chaque envoi : un Rapport d’Audit planifié ne part qu’aux utilisateurs Administrateurs, RSSI ou Auditeurs de l’entité à ce moment-là, jamais à une adresse e-mail libre. Le rapport est généré au nom de l’utilisateur qui a créé la planification. Le formulaire de planification ne permet pas de choisir le référentiel : un rapport de conformité planifié porte sur le premier référentiel activé de l’entité. Le type « Incidents de sécurité » proposé dans ce formulaire n’est pas pris en charge.

Autres exports

Export	Format	Où
Journal d’audit	CSV (sans les modifications avant/après)	Paramètres › Journal d’audit
Registre d’informations DORA	Excel	Fournisseurs › ROI DORA (si le registre est complet à 80 % au moins)
Version d’un référentiel personnalisé	JSON	Mes frameworks
Modèle de questionnaire fournisseur	JSON	Questionnaires fournisseurs

Il n’existe pas d’export autonome de la liste des contrôles, du registre des risques ou du registre des traitements : ces données s’exportent par les rapports ci-dessus (en Excel pour une exploitation tabulaire).