Que doit réellement produire un audit du SI ?

Une question d’audit explicite

Avant les entretiens, il faut savoir ce que la mission doit éclairer. Un audit d’organisation, un diagnostic applicatif et une revue de continuité ne mobilisent pas les mêmes compétences ni les mêmes preuves. Le périmètre doit préciser ce qui est examiné et ce qui ne l’est pas.

Cette distinction évite qu’un rapport général soit interprété comme une assurance sur un domaine qu’il n’a pas couvert. Un audit d’architecture, par exemple, ne démontre pas l’absence de vulnérabilités techniques.

Des constats traçables

Chaque constat doit être relié à des éléments observables. Un entretien apporte un point de vue ; un contrat, une procédure, une démonstration ou un historique peuvent aider à le confirmer ou à le nuancer. Les informations contradictoires méritent une analyse, pas une sélection silencieuse.

La rédaction doit distinguer le fait, l’interprétation et le risque. Cette discipline facilite la discussion avec les équipes et évite de présenter une impression comme une conclusion.

Une lecture des impacts

Dire qu’une documentation manque n’explique pas encore pourquoi agir. Est-ce un obstacle à la reprise, à la maintenance, à la réversibilité ou à l’intégration d’un nouveau collaborateur ? L’impact donne une portée au constat.

Il faut également examiner les protections déjà en place. Un risque brut et un risque résiduel ne conduisent pas aux mêmes décisions. Les limites de l’analyse doivent rester visibles.

Des recommandations qui tiennent compte du terrain

Une recommandation doit préciser l’objectif, le périmètre et les prérequis. Proposer un nouvel outil sans examiner les responsabilités ou les compétences peut déplacer le problème. Les actions doivent être discutées avec les personnes qui devront les mettre en œuvre.

La priorisation compare l’impact, l’urgence, l’effort et les dépendances. Elle distingue les mesures immédiates, les travaux de fond et les sujets qui demandent un arbitrage de direction.

Un mécanisme de suivi

Le rapport n’est pas la fin du travail. Pour les actions retenues, identifiez un responsable, une échéance de revue et un élément permettant de constater la réalisation. Les recommandations non retenues doivent aussi faire l’objet d’une décision.

Le suivi ne doit pas se limiter à un pourcentage de lignes closes. Il doit vérifier que le problème initial est traité ou que le risque est explicitement accepté.

Les points à vérifier

• Le périmètre et les exclusions sont écrits.
• Les constats sont reliés à des éléments de preuve.
• Les recommandations ont des prérequis et une priorité.
• Les décisions de suite sont tracées.

Pour approfondir ce thème : les ressources et ouvrages de l’écosystème DYNAMAP SI.