Un formulaire unique qui suit chaque contrôle SOC 2 et ISO 27001 pour lequel votre équipe a besoin de preuves, de la demande jusqu’au document final approuvé. Votre équipe conformité crée une demande pour chaque contrôle directement dans le tableau de bord. Le responsable du contrôle se connecte à un portail, ne voit que les demandes qui lui sont attribuées, téléverse les preuves et signale ce qui est encore en cours. Votre équipe dispose d’un pipeline en temps réel du statut de chaque contrôle, d’une vue par date d’échéance pour prioriser les relances et d’un PDF de preuve à votre image pour chaque soumission approuvée : rien ne vous prend au dépourvu lorsque l’audit commence réellement.

Commencez par créer le formulaire qui contiendra chaque demande de preuve et sa soumission. Comme une équipe crée la demande et qu’une autre personne (le responsable du contrôle) renseigne ensuite les preuves, il s’agit d’un seul et même formulaire. Votre équipe conformité crée une demande en renseignant les détails du contrôle directement dans le tableau de bord, puis le responsable du contrôle modifie cette même ligne pour ajouter ses preuves.

Le moyen le plus rapide de le créer est d’utiliser le Form Creation Agent, le créateur de formulaires IA de Formaloo.

1. Ouvrez le Form Creation Agent : Depuis votre page d’accueil Formaloo, cliquez sur Form Creation Agent.

2. Décrivez votre formulaire : Collez ce prompt : « Crée un formulaire pour recueillir et suivre les demandes de preuves d’audit SOC 2 et ISO 27001 auprès des responsables des contrôles. Inclus une liste déroulante pour le référentiel auquel appartient le contrôle (SOC 2, ISO 27001 ou Both), un champ de texte court pour l’ID ou le numéro de référence du contrôle, un champ de texte court pour le nom ou l’exigence du contrôle, un champ de texte long décrivant les preuves nécessaires, un champ de texte court pour le nom du responsable du contrôle, un champ de texte court pour l’e-mail du responsable du contrôle, un champ de date pour l’échéance des preuves, une liste déroulante pour le type de preuve (Policy document, Screenshot, Log export, Access review report, Configuration export, Other), un champ de téléversement de fichier acceptant plusieurs fichiers pour les preuves, un champ oui/non demandant si la preuve est complète, un champ de texte long pour ce qui manque ou est encore en cours, et un champ de texte long pour le contexte supplémentaire. Ajoute aussi ces champs réservés aux administrateurs : une liste déroulante de statut (Not sent, Sent to owner, Submitted, Under review, Approved, Incomplete – needs follow-up), un champ assignee et un champ de texte long pour les notes internes. »

3. Cliquez sur Create : Formaloo génère le formulaire complet pour vous.

Votre formulaire devrait ressembler à ceci. Le Form Creation Agent en aura généré l’essentiel. Vérifiez que chaque champ et chaque ID de champ correspond exactement.

4. Enregistrez votre formulaire : Enregistrez le formulaire une fois tous les champs vérifiés.

Pour l’instant, rien ne distingue une soumission complète d’une soumission que le responsable a déjà signalée comme partielle. Cette partie configure, avec le Logic Agent, une règle qui oblige le responsable du contrôle qui indique une preuve incomplète à préciser ce qui manque.

1. Ouvrez Advanced logic : Dans le panneau des paramètres du formulaire, à droite de l’éditeur, ouvrez Advanced logic et allez dans l’onglet Logic.

2. Ouvrez le Logic Agent : Cliquez sur Logic Agent en haut à droite du panneau.

3. Décrivez la règle : Collez ce prompt : « Si “Cette preuve est-elle complète ?” vaut Non, afficher “Qu’est-ce qui manque ou est encore en cours ?” et le rendre obligatoire. Masquer ce champ par défaut et le garder masqué et facultatif lorsque la réponse est Oui. »

4. Générez et vérifiez : Cliquez sur Generate Rules, puis approuvez la règle dont l’IA affiche un aperçu.

5. Enregistrez votre logique : Enregistrez une fois la règle validée.

Règle 1 : SI « Cette preuve est-elle complète ? » vaut Non, afficher « Qu’est-ce qui manque ou est encore en cours ? » et le rendre obligatoire. État par défaut : « Qu’est-ce qui manque ou est encore en cours ? » est masqué et facultatif.

Ce workflow nécessite cinq modèles d’e-mail : une notification de demande, une confirmation de réception, une relance, un avis d’approbation et une alerte interne. Créez-les tous les cinq maintenant, puis configurez leurs déclencheurs dans la partie suivante.

1. Ouvrez vos modèles d’e-mail : Cliquez sur l’icône de votre profil, allez dans Apps and Integrations et trouvez Custom Email Templates.

2. Créez la notification de demande : Cliquez sur Add New Template, nommez-le « Evidence request notification », ajoutez un bloc AI Content et utilisez ce prompt : « Rédige un e-mail clair et professionnel destiné à un responsable de contrôle à qui une demande de preuve SOC 2 / ISO 27001 a été attribuée. Indique l’ID du contrôle, le nom du contrôle, les preuves exactes nécessaires (@evidence_needed) et la date d’échéance (@evidence_due_date). Demande-lui de téléverser les preuves via le lien de son portail. 4 à 5 phrases, sans remplissage. » Définissez l’objet sur « Nouvelle demande de preuve : @control_name (@framework) ».

3. Enregistrez le modèle : Donnez-lui un nom et enregistrez-le.

4. Créez la confirmation de réception : Répétez l’opération pour « Evidence received confirmation », avec le prompt : « Rédige une confirmation courte et chaleureuse destinée à un responsable de contrôle qui vient de soumettre des preuves. Confirme leur réception, indique qu’elles sont en cours d’examen et rassure-le : il sera prévenu si quoi que ce soit d’autre est nécessaire. 3 à 4 phrases. » Objet : « Nous avons bien reçu vos preuves pour @control_id ». Enregistrez-le.

5. Créez la relance : Répétez l’opération pour « Evidence needs follow-up », avec le prompt : « Rédige un e-mail courtois mais direct informant un responsable de contrôle que les preuves soumises ont été jugées incomplètes. Mentionne ce qui manque (@missing_details) et la date d’échéance initiale (@evidence_due_date). Demande-lui de mettre à jour sa soumission. Ton factuel, sans reproche, 4 à 5 phrases. » Objet : « Action requise : les preuves pour @control_id sont incomplètes ». Enregistrez-le.

6. Créez l’avis d’approbation : Répétez l’opération pour « Evidence approved », avec le prompt : « Rédige un e-mail bref et reconnaissant confirmant au responsable de contrôle que ses preuves ont été approuvées et qu’aucune autre action n’est requise de sa part. 2 à 3 phrases. » Objet : « Preuves approuvées pour @control_id ». Enregistrez-le.

7. Créez l’alerte interne : Répétez l’opération pour « New submission alert », avec le prompt : « Rédige un e-mail interne bref destiné à l’équipe conformité pour l’informer que de nouvelles preuves ont été soumises pour un contrôle. Indique l’ID et le nom du contrôle (@control_id, @control_name) et si le responsable l’a marqué comme complet (@is_complete). Invite le lecteur à l’examiner dans le tableau de bord. 2 à 3 phrases, sans superflu. » Objet : « Preuves soumises pour @control_id, examen requis ». Enregistrez-le.

Une fois les cinq modèles enregistrés, configurez les déclencheurs afin que chacun soit envoyé au bon moment. La notification de demande et la confirmation de réception utilisent la notification de soumission intégrée. Les trois autres sont envoyés de manière conditionnelle, en fonction de ce qui change sur une demande existante.

1. Activez les notifications au répondant : Dans le panneau des paramètres du formulaire, ouvrez Notify, puis Send email to respondent, et activez l’option.

2. Sélectionnez le modèle de notification de demande : Choisissez « Evidence request notification » dans la liste déroulante. Il est envoyé dès qu’un membre de l’équipe conformité crée et enregistre une nouvelle ligne de demande de preuve.

3. Enregistrez vos paramètres de notification.

Configurez maintenant les e-mails conditionnels pour la suite, une fois que le responsable a répondu.

4. Ouvrez Advanced logic : Allez dans l’onglet Logic et ouvrez la section On Update.

5. Ajoutez la règle de confirmation de réception : Cliquez sur Add Rule. Définissez la condition « Cette preuve est-elle complète ? a une réponse », puis l’action d’envoi du modèle « Evidence received confirmation » à @control_owner_email. Elle se déclenche lorsque le responsable du contrôle remplit pour la première fois la section preuves de sa ligne.

6. Ajoutez la règle de relance : Ajoutez une autre règle : « Lorsque Statut de traitement est Incomplete – needs follow-up, envoyer Evidence needs follow-up à @control_owner_email. »

7. Ajoutez la règle d’approbation : Ajoutez une autre règle : « Lorsque Statut de traitement est Approved, envoyer Evidence approved à @control_owner_email. »

8. Ajoutez la règle d’alerte interne : Ajoutez une autre règle : « Lorsque Cette preuve est-elle complète ? a une réponse, envoyer New submission alert à [l’adresse de la boîte de réception partagée de votre équipe conformité]. » Les règles de notification envoient vers un champ de type E-mail du formulaire ou vers une adresse fixe que vous définissez ici : dirigez donc celle-ci vers la boîte de réception partagée de votre équipe plutôt que vers une personne, et laissez les évaluateurs suivre ce qui leur est attribué depuis leur propre page de portail (partie 6).

9. Enregistrez votre logique.

Chaque preuve approuvée doit générer un PDF propre, prêt pour l’audit, que vous pouvez remettre à votre auditeur sans travail de mise en forme supplémentaire.

1. Ouvrez vos modèles PDF : Cliquez sur l’icône de votre profil, allez dans Apps and Integrations et cliquez sur Custom PDF Template.

2. Ajoutez un nouveau modèle : Cliquez sur Add New Template, passez l’éditeur en vue HTML et collez le modèle de dossier de preuve conçu pour ce workflow.

3. Nommez-le et enregistrez-le : Nommez-le « Evidence record » et enregistrez.

Le modèle insère @rowid dans le numéro de référence (EVID-@rowid) et @created_at pour l’horodatage de la soumission, deux véritables variables Formaloo : aucun champ supplémentaire n’est donc nécessaire pour générer un code de référence.

4. Joignez-le à l’e-mail d’approbation : Ouvrez le modèle d’e-mail « Evidence approved » de la partie 3 et joignez-y le modèle PDF « Evidence record », afin que le responsable (et vos archives) reçoive le document final dès qu’une demande est approuvée.

Offrez maintenant aux responsables des contrôles un endroit où retrouver les demandes qui leur sont attribuées, et aux évaluateurs un endroit où suivre leur file.

1. Activez le portail : Depuis votre projet, cliquez sur l’icône des paramètres (engrenage), sélectionnez Activate Portal, puis Manage User, et ouvrez le Setup Wizard.

2. Configurez l’annuaire d’utilisateurs : Ajoutez un nouvel annuaire d’utilisateurs (ou connectez-en un existant) afin que les responsables des contrôles puissent s’inscrire ou se connecter sans compte Formaloo complet.

3. Ajoutez un champ de profil à votre formulaire : De retour dans votre formulaire de preuves, ajoutez un champ supplémentaire, un champ Profile, lié à cet annuaire d’utilisateurs. C’est ce qui vous permet d’attribuer une demande à un responsable de contrôle inscrit précis, et c’est sur lui que s’appuie la restriction « view only their data » du portail : considérez-le comme un ajout au tableau des champs de la partie 1.

4. Renseignez le champ de profil lors de la création d’une demande : Désormais, lorsque votre équipe conformité crée une nouvelle demande de preuve, sélectionnez le responsable de contrôle concerné dans ce champ afin que la demande apparaisse dans son portail.

Limitez maintenant la page du responsable à ses propres demandes.

5. Limitez le tableau aux utilisateurs correspondants : Sur la page « My evidence requests » du responsable, passez en mode Edit, ouvrez les Options du bloc de données et, sous Manage Access, sélectionnez votre nouveau champ Profile. Activez Allow users to view only their data et Allow users to edit their data.

Les évaluateurs bénéficient du même traitement, mais filtré par le champ Assignee.

6. Limitez la page de l’évaluateur aux enregistrements attribués : Sur la page « My assigned requests » de l’équipe conformité, ouvrez Manage Access de la même manière, sélectionnez le champ Assignee et activez Allow assignees to view only their data et Allow assignees to edit their data.

Les évaluateurs conformité font partie du personnel interne : ils n’ont pas besoin de rôle de portail, il leur suffit d’être membres de l’espace de travail. Si vous les regroupez dans une équipe, limitez toute page réservée à l’interne à cette équipe via le menu Access de la page.

Une fois les règles d’accès en place, complétez le portail afin que les responsables des contrôles comme votre équipe conformité voient clairement où en est chaque demande.

Un formulaire unique qui accompagne la demande de preuve de chaque contrôle, de sa création à son approbation, avec un portail qui offre aux responsables des contrôles leur propre vue et à votre équipe conformité un pipeline complet. Les soumissions incomplètes sont signalées automatiquement, les e-mails de relance et d’approbation partent sans que personne ait à les rédiger, et chaque demande approuvée génère son propre PDF prêt pour l’audit. Au lieu de relancer par e-mail la même documentation à chaque cycle, votre équipe travaille depuis un tableau de bord en temps réel qui montre exactement ce qui reste à fournir et à quel point vous êtes prêt pour l’audit.

Inutile de partir de zéro : nous l’avons déjà préparé pour vous.

Employee request workflow — Gestion des demandes internes pour les équipes RH et opérations. Le même principe d’acheminement des demandes, de suivi des approbations et de notification des bonnes personnes s’applique directement aux demandes de preuves par contrôle.

Job applicant tracking workflow — Suit les candidats à chaque étape du recrutement avec mises à jour de statut et attribution des évaluateurs. C’est la même structure Kanban et statut que celle utilisée par cet outil de suivi des preuves pour faire avancer les demandes.

Scholarship & grant application with scoring and approval — Un workflow d’examen à plusieurs intervenants avec e-mails automatiques d’approbation et de refus, semblable aux e-mails de relance et d’approbation que ce workflow envoie aux responsables des contrôles.