Niveaux de certification
Trois niveaux — L1 Foundation, L2 Standard, L3 Advanced — et une méthodologie d'évaluation binaire sans notation numérique.
CCSA définit trois niveaux de certification. Un niveau n'est pas un score ; il enregistre la part des exigences applicables qui sont satisfaites : plus le niveau est élevé, plus le ratio En Place requis est élevé et plus la part autorisée de contrôles compensatoires est faible. À chaque niveau, la catégorie Non en place parmi les exigences obligatoires est 0%, et toutes les exigences critiques 8 doivent être satisfaites via l'approche définie.
Seuils de niveau
Exigences minimales par niveau. Source : Section D de la norme.
Fondation
Niveau 1 — Fondation
Niveau de conformité de base pour les actifs en phase de démarrage et les petits actifs sous gestion.
Rapport en place / Max CC
Rapport en place >= 90%
Contrôle Compensatoire <= 10%
Pas en place = 0%
Exigences critiques
Toutes les exigences critiques du 8 en place via l'approche définie
Recommandé
Startups, MVP, pilotes et petits projets : AUM ou capitalisation boursière inférieure à 5 M$ (C.1, C.3, C.4) ou inférieure à 10,000 MAU (C.2)
Fondation CCSA
Les commandes compensatoires sont approuvées par le CCSAC.
Norme
Niveau 2 — Standard
Le principal niveau de travail pour les acteurs du marché réglementé.
Rapport en place / Max CC
Rapport en place >= 95%
Contrôle Compensatoire <= 5%
Pas en place = 0%
Exigences critiques
Toutes les exigences critiques du 8 en place via l'approche définie
Recommandé
Bourses matures, portefeuilles avec une large base (10 000 à 1 million de MAU), la plupart des dépositaires et des émetteurs (5 à 500 millions de dollars AUM) ; le niveau minimum requis pour les VASP réglementés
Norme CCSA
Les contrôles compensatoires sont approuvés par le CCSAC avec examen par les pairs par un autre CCSAC.
Avancé
Niveau 3 — Avancé
Un niveau amélioré pour les infrastructures d'importance systémique.
Rapport en place / Max CC
Rapport en place 100% (ou <= 2.5% CC avec l'approbation obligatoire du chef du conseil QA)
Contrôle Compensatoire <= 2.5%
Pas en place = 0%
Exigences critiques
Toutes les exigences critiques du 8 en place via l'approche définie
Recommandé
Acteurs d'importance systémique (bourses de premier ordre 10, les plus grands dépositaires), VASP réglementés dans des juridictions strictes, grands émetteurs de stablecoins (capitalisation boursière > 100 millions de dollars)
CCSA Avancé
Les contrôles compensatoires sont approuvés par le Directeur QA du Conseil.
| Niveau | Rapport en place | Max CC | Pas en place | Exigences critiques |
|---|---|---|---|---|
| L1 | Rapport en place >= 90% | Contrôle Compensatoire <= 10% | 0% | Toutes les exigences critiques du 8 en place via l'approche définie |
| L2 | Rapport en place >= 95% | Contrôle Compensatoire <= 5% | 0% | Toutes les exigences critiques du 8 en place via l'approche définie |
| L3 | Rapport en place 100% (ou <= 2.5% CC avec l'approbation obligatoire du chef du conseil QA) | Contrôle Compensatoire <= 2.5% | 0% | Toutes les exigences critiques du 8 en place via l'approche définie |
Méthodologie d'évaluation binaire
Un CCSA-QSA attribue à chaque exigence applicable l'un des cinq statuts. Les échelles numériques (scores 5-points, moyennes pondérées) ne sont pas utilisées. Aucun statut intermédiaire ("Partiellement en place", "50% implémenté") n'existe : tout écart signifie Pas en place.
En place — conformité totale via l'approche définie ; toutes les procédures de test réussissent sans résultat.
En place avec une approche personnalisée — l'objectif de l'approche personnalisée est atteint et vérifié par l'auditeur.
Pas en place – non mis en œuvre ou présentant des lacunes critiques.
Non applicable — hors de portée selon les notes d'applicabilité et la matrice de segments (nécessite une justification dans le ROC).
Contrôle compensatoire — une mesure de protection alternative ; la procédure CC est réussie.
Contrairement au PCI DSS, le CCSA n'a pas de statut « Non testé ».
Comment la conformité est calculée
Ratio En Place = (En Place + En Place avec Personnalisé) / exigences obligatoires applicables
Ratio CC = nombre de contrôles compensatoires / exigences obligatoires applicables
La certification de niveau L est accordée si : Rapport en place >= seuil (L) Rapport AND CC <= limite (L) AND Pas en place = 0 AND toutes les exigences critiques 8 en place.
Limites de contrôle compensatoires et approbation
Part maximale de CC des exigences obligatoires et de l'autorité d'approbation par niveau.
| Niveau | Max CC d'obligatoire | Autorité d'approbation |
|---|---|---|
| L1 | Contrôle Compensatoire <= 10% | CCSAC |
| L2 | Contrôle Compensatoire <= 5% | CCSAC + revue par les pairs par un autre CCSAC |
| L3 | Contrôle Compensatoire <= 2.5% | Chef du Conseil QA Officier |
CC est totalement interdit pour B.1.1, B.1.2, B.5.2, B.7.3. CC est restreint (L1 uniquement, avec l'approbation du Conseil) pour B.2.1, B.3.1, B.4.1, B.8.1.
Cycles de réévaluation
Un audit complet est réalisé annuellement à tous les niveaux. Le cycle de deux ans des premières versions a été supprimé.
| Niveau | Audit complet | Chèques intermédiaires |
|---|---|---|
| L1 | Un audit complet est réalisé annuellement à tous les niveaux. | Audit complet annuel ; intérimaire SAQ tous les mois 6 (SAQ-1 au mois 6, SAQ-2 au mois 12 du cycle). |
| L2 | Un audit complet est réalisé annuellement à tous les niveaux. | Audit complet annuel ; le ROC est soumis au Conseil pour examen QA (% d'échantillonnage 10 des certifications L2 par an) ; examen de conformité trimestriel avec le CCSAC et examen des journaux de détection de compromission. |
| L3 | Un audit complet est réalisé annuellement à tous les niveaux. | Audit complet annuel ; examens imprévus du Conseil (échantillonnage aléatoire 100 % des certifications L3 par an) ; surveillance continue, examen trimestriel et examen des journaux ; ré-auditez au plus tard 90 jours avant l’expiration du certificat. |
Marque de certification
Après avoir réussi l'audit, une organisation reçoit la note correspondant à son niveau et est répertoriée dans le registre LVCS.
Marque de certification
CCSA définit trois niveaux de certification. Un niveau n'est pas un score ; il enregistre la part des exigences applicables qui sont satisfaites : plus le niveau est élevé, plus le ratio En Place requis est élevé et plus la part autorisée de contrôles compensatoires est faible. À chaque niveau, la catégorie Non en place parmi les exigences obligatoires est 0%, et toutes les exigences critiques 8 doivent être satisfaites via l'approche définie.