Faha-Andriam RAM

– Responsable du programme du projet « mise en place d'un modèle opérationnel de Gestion des Risques » chez IOS ICA (DSI de Crédit Agricole SA) – PMO: projet (budget, indicateurs, ressources humaines) – Définition d'une feuille de route (fonctionnel, technique, financière) – Mise en place des équipes projet en mode Agile (tribu) – Mise en place d'un tableau de bord des indicateurs sous Excel/Power BI (par stream, fonctions, risque projet) – Construction de modèles de cartographie de risques (base COBIT, ISO 27005, EBIOS) – Construction du planning de déploiement de la cartographie des risques – Modernisation du processus de contrôle permanent (indicateurs LoD1) – Déploiement opérationnel des contrôles DORA correspondant aux livrables requis – Mise en place de la Gouvernance globale (Réglementations et lois applicables, Notes de Procédures et Politiques internes applicables, comitologie en place,..) – Mise à jour du plan de contrôles (LoD1) – Suivi des recommandations d'audit – Réunions d'analyse de risques (Risk Assessments, Risk Treatment, Risk Treatment Plan) – Participation aux différents comités en tant que Risk Expert (Sécurité, Infrastructure, Tiers, Support Transverse..) – Définir une Feuille de route DORA en mode RUN Livrables: – Feuille de route du programme – Cartographie des Risques globale (registre des risques, matrice de risques, plan de traitement des risques, plan de contrôles) – Plan de contrôle permanent LoD1 – PMO program: coûts, délais, qualité – Préparation steering committees (CoDir, CODEP) : tableaux de bord (KPIs, KRIs) – Déploiement des Contrôles (LoD 1) – Feuille de route << DORA : RUN >> – Documentation des processus IT (Gouvernance, RACI, acteurs/rôles, SICOP, golden rules, contrôles..) – Documents d'analyse et cartographie des risques pour chaque processus IT – Tableaux de bord (Risques, Contrôle Permanent, Budget, DORA conformité) – Template pour Comités de Direction (agenda, préparation, minute) – Feuille de route du programme DORA – DORA en mode RUN : définition du plan de contrôles DORA, définition du déploiement du plan de contrôles, définition de contrôles DORA, définition des rapports réglementaires DORA, indicateurs spécifiques DORA (KRIS, KPIs)

– Responsable du programme Cybersécurité (ISO 27001) & GRC chez AGL SA, membre du Groupe MSC – Conception, mise en œuvre et supervision de l'ISO 27001 et GRC Programme Gestion – Conception, mise en œuvre et supervision du La sécurité dans le « Déplacer vers le Cloud >> programme – Conception, mise en œuvre et supervision du Poc pour l'outil Service GRC (Product Owner) – Concevoir le plan directeur SAP GRC & Security Résultats obtenus – Programme ISO 27001 Édition 2022 certification obtenu (France, Cœur Modèle) – Charte de gouvernance, d'intégration et de communication du programme délivrée, mise en œuvre et supervisée – Le plan directeur du programme a été livré – Le plan du programme est livré, mis en œuvre et supervisé – Coût du programme Délai de livraison, de mise en œuvre et de supervision du plan directeur – Plan directeur des risques du programme livré, mise en œuvre et supervisé (KRI) – Plan directeur de la qualité du programme livré, mise en œuvre et supervisé (KPI) – Le plan directeur du programme d'approvisionnement est livré, mis en œuvre et supervisé Projet Résilience réalisé (questionnaire Cyber Vadis : médaille d'or décernée) : (NIS 2 et DORA utilisés comme référentiels) – Gestion des risques : mise en œuvre d'un cadre de gestion des risques (ISO 27005, NIST RMF) – Réponse aux incidents: Mise en œuvre d'un cadre complet de réponse aux incidents – Résilience opérationnelle: Mise en place d'un cadre de résilience opérationnelle pour les activités et sites portuaires (25 pentests réalisés, indicateurs de vulnérabilité, BIA mis à jour et plans d'urgence renforcés et testés). – Gestion des tiers et des fournisseurs : Mise en œuvre d'un cadre de gestion des tiers et des fournisseurs (fournisseurs critiques). – Plan de communication: Mise en œuvre d'un cadre de gestion de crise avec aspects réglementaires Modèle de migration vers le Cloud sécurisé pour les applications – Conception du cadre de sécurité pour M2C – Conception des prérequis de sécurité avant la migration – Registre des applications (Catégories d'applications:, Profil de risque, Exposition Internet,..) – Supervision du déploiement de la migration (KPIS, KRI) – 200 applications migrées avec succès vers le Cloud Azure (OnPremise, Hybrid) GRC: le PoC GRC de ServiceNow approuvé avec succès par le conseil d'administration – Conception, mise en œuvre et supervision de la preuve de concept de Service Now – Conception de l'architecture et des cartes de processus (entités, rôles, politiques, normes, contrôles, flux fonctionnels, flux techniques) – Conception des spécifications générales des exigences (plan directeur GRC ServiceNow: politiques, contrôles, preuves) – Conception de spécifications fonctionnelles détaillées par fonction (utilisation de : Smart Assessment Engine) : – Supervision des tests de personnalisation SN GRC (fonctionnels et d'intégration) – Supervision du déploiement de SN, – Utilisateur clé pour les tests fonctionnels et d'intégration – Réalisation d'une formation pour les utilisateurs clés – Réalisation du rapport final du PoC Sécurité SAP S4 et SAP GRC : – Conception de la partie GRC & Security Requirements du plan directeur du programme SAP (architecture GRC, fonctions GRC, flux métier, flux fonctionnels, flux de données, contrôles de sécurité clés)

– Conception, mise en œuvre et supervision du programme d'attestation SOC 2 – Concevoir et mettre en œuvre un core model afin de disposer d'une boîte à outils « SOC 2 As a Service » permettant à toute entité Natixis et/ou Groupe BPCE d'obtenir une attestation SOC 2. Résultats obtenus : – 2 entités Natixis ont obtenu l'attestation SOC 2 par KPMG (InterEpargne, Natixis Global Trade Cash Management Operations) – Charte de gouvernance, d'intégration et de communication du programme délivrée, mise en œuvre et supervisée – Le plan directeur du programme a été livré – Le plan du programme est livré, mis en œuvre et supervisé – Coût du programme Délai de livraison, de mise en œuvre et de supervision du plan directeur – Plan directeur des risques du programme livré, mis en œuvre et supervisé (KRI) – Plan directeur de la qualité du programme livré, mis en œuvre et supervisé (KPI) – Le plan directeur du programme d'approvisionnement est livré, mis en œuvre et supervisé – Modèle « SOC 2 As a Service » prêt à être déployé et utilisé par d'autres entités Natixis et BPCE Ensemble de contrôles formatés selon les normes SOC 2 pour les zones critiques – Contrôles de gestion des risques (DORA Pilier 1) – Contrôles de déclaration des incidents (DORA Pilier 2) – Contrôles des tests de résilience opérationnelle (DORA Pilier 3) – Contrôles de gestion des risques liés aux tiers (DORA Pilier 4) – Contrôles de partage d'informations Méthodologie du processus SOC 2 : – Choix des modèles, des processus clés et des applications clés comme périmètre SOC 2 et comment se conformer aux exigences/preuves SOC 2

– J'ai mené 2 missions d'audit SWIFT CSP – Une pour CreditPlus AG (Stuttgart, Allemagne), filiale de Crédit Agricole Consumer Finance) - Juillet 2022 - Septembre 2022 : évaluation SWIFT CSP 2022 – Octobre 2021-Décembre 2022: évaluation SWIFT CSP 2021

– Rapport sur l'architecture de sécurité << telle quelle >> (outil Archer GRC) par rapport à l'architecture de sécurité cible (ServiceNow GRC) – Rapport sur les fonctions << telles quelles » (outil Archer GRC) par rapport aux fonctions cibles (ServiceNow GRC) – Rapport sur le flux de données et les données « telles quelles » (outil Archer GRC) par rapport aux données cibles et aux données (ServiceNow GRC) – Rapport sur les rapports hiérarchiques << tels quels » par rapport aux rapports hiérarchiques cibles (ServiceNow GRC) – Réalisation des plannings de migration sur la base des rapports ci-dessus (Architecture, Fonctions, Flux de données et Données, Reporting) Dans le cadre de la phase préliminaire avant la mise en œuvre globale de ServiceNow GRC

– Réalisation d'une méthodologie Security In Project – Réalisation d'un modèle d'évaluation des fournisseurs (Volet Achats d'un projet) – Réalisation d'un référentiel de gestion des vulnérabilités applicatives (en lien avec le SOC Société Générale, les équipes IT: Développement et Infrastructure, Red Team, les équipes Audit Groupe et les auditeurs externes). Résultats obtenus – Cadre opérationnel pour la Sécurité dans la gestion de projet : projet en mode V, DevSecOps et mode agile, planification du projet Sécurité dans les projets (ressources, coûts, délais) avec des KPI de performance et des KRI de risque. – Registre des risques des candidatures pour les candidatures de Société Générale Assurances – Cadre de gouvernance de la sécurité des projets et des applications pour chaque unité commerciale (comités de gestion, comité de performance, comité des risques) – Réduction de 90 % des vulnérabilités globales, élimination des vulnérabilités critiques et à haut risque. – 98% de réduction des incidents – 10 recommandations critiques ont été clôturées – Note A lors d'une mission d'Audit Interne sur l'aspect sécurité des projets (ISP), zéro recommandation critique et majeure, parfaitement alignée avec les standards du Groupe Société Générale en matière de Sécurité Projets et de Sécurité Applicative.

Mission visant à améliorer les processus de traitement des recommandations d'audit critiques – Coordination de groupes de travail par domaine de sécurité dans les domaines de l'habilitation, de la gouvernance, de l'analyse des risques et du contrôle permanent, en mettant en place des correspondants clés dans chaque groupe. – Suivi et reporting des tâches d'avancement, des tâches de remédiation et de clôture. – Création d' un tableau de bord permettant de suivre en temps réel la mise en œuvre à l'aide de six indicateurs clés. Résultats obtenus – Clôture des 30 recommandations en six mois – Méthodologie de processus de fermeture reproductible pour différents domaines de sécurité et recommandations.

– Conception et mise en œuvre de Framework de Contrôles IT Basé sur COBIT IL contrôle plan à réduire dans l'ensemble risques tout en optimisant les processus dans 12 équipes I&P (250 personnes). Résultats obtenu – Déploiement du Plan de Contrôle IT auprès de toutes les équipes de la Direction Infrastructure & Production France & UK (120 contrôles) – Cartographie des risques mondiaux, Registre mondial des risques – Mise en place de standards et de référentiels partagés et d'un cadre commun pour toutes les entités d'infrastructure et de production de la CIB (KRI, KPI) – 25% de réduction des incidents et des pannes.

– Sélection de un anti-argent blanchiment solution à assurer conformité avec européen Directive 4ème par 2015. – Collectionner et encadrement LBC Directif exigences. Guidage et documenter le processus de sélection des fournisseurs. Superviser la mise en œuvre du système POC. Obtenir l'approbation des parties prenantes pour le fournisseur sélectionné.

– Conception et mise en œuvre du cadre du plan de contrôle informatique GIT (basé sur le cadre ITIL) – Formation et animation de groupes de travail basés sur ITIL. – Formation des utilisateurs clés (outil GRC Enablon) Résultats obtenus – 100% de satisfaction des utilisateurs avec la gestion du changement. – Mise en œuvre complète de 8 flux ITIL, 8 divisions, 800 personnes et 200 contrôles informatiques.

Responsable du projet << Permanent Control Business Analyst ». Suite à une recommandation de l'IG, il était nécessaire de disposer d'un cartographie documentée de le Paris Centres entreprise processus dans commande à identifier et document les contrôles de niveau 1 et 2 nécessaires pour contrôler et atténuer les risques dans le activité. – Conception du référentiel de processus de modélisation – Mettre en place des groupes de travail par processus métier (Garanties, Commerce, Comptabilité, Paiements et Fonds, Comptabilité, etc.). – Déploiement de la méthodologie de cartographie des processus et mise en place de contrôles conjoints de niveaux 1 et 2 – Rapports de projet Résultats obtenus – Cartographie et modélisation complète de tous les processus métiers (outil ARIS): 5 départements, 15 processus opérationnels – Les contrôles de niveau 1 et 2 sont documentés (100 contrôles conçus et implémentés dans l'outil Archer GRC). – Tableau de bord des risques avec KRI et KPIS disponible en ligne pour la direction informatique et le conseil d'administration – L'Inspection Générale attribue au Groupe BNP Paribas la note A+ pour le respect de ses politiques de contrôle permanent.