Après cette lecture, vous saurez planifier un programme d'audit, mener un audit du début à la fin, et suivre ce qu'il trouve.
Définition
L'ISO 19011 définit l'audit comme un processus méthodique, indépendant et documenté permettant d'obtenir des preuves et de les évaluer de manière objective pour déterminer dans quelle mesure les critères sont satisfaits. La clause 9.2 de l'ISO/IEC 27001 exige des audits internes à intervalles planifiés.
Les normes mondiales d'audit interne de l'IIA encadrent la profession elle-même, qui va plus loin dans la gouvernance et la gestion des risques.
Pourquoi c'est important
Il trouve les problèmes tant qu'il vous appartient encore de les corriger, avant qu'un organisme de certification, une autorité ou un incident ne le fasse.
Il donne aussi à la direction un regard qui ne vient pas des personnes qui font tourner le processus.
Comment ça fonctionne
Construisez d'abord le programme : quels domaines, à quelle fréquence et pourquoi. Donnez la priorité à ce qui porte le plus de risque ou a récemment changé, et choisissez des auditeurs qui ne vérifieront pas leur propre travail.
Pour chaque audit, fixez les objectifs, le périmètre et les critères. Lisez les documents, puis interrogez les personnes, observez le travail et échantillonnez les enregistrements.
Rapportez les constats avec leurs preuves et tenez une réunion de clôture. Suivez ensuite les actions correctives jusqu'au bout, et vérifiez qu'elles ont fonctionné.
Un cas concret
Une entreprise de 150 personnes audite la gestion des accès selon l'ISO/IEC 27001, avec un auditeur venu de son équipe financière. Le plan couvre trois systèmes sur deux jours.
Sur 25 départs échantillonnés, 2 ont gardé leurs accès plus d'un mois. Le constat expose le critère, la preuve et l'effet. Le responsable informatique s'engage sur une action corrective pour le 30 avril, et l'auditeur la vérifie en juin.
Bonnes pratiques
- Communiquez à l'avance le périmètre et les dates à l'équipe auditée. Un audit n'est pas une embuscade.
- Consignez l'échantillon et la façon dont vous l'avez choisi, pour que quelqu'un d'autre puisse le reproduire.
- Rapportez les bonnes pratiques autant que les écarts. Les gens coopèrent plus volontiers avec un auditeur qui remarque ce qui fonctionne.
- Attendez une période de fonctionnement avant de vérifier une action corrective.
Erreurs fréquentes
- Laisser des personnes auditer leur propre travail, aussi petite que soit l'équipe.
- S'appuyer sur des entretiens sans enregistrement derrière.
- Rapporter des opinions sans critère associé, ce qui transforme la réunion de clôture en débat.
- Clore une action parce que quelqu'un dit qu'elle est faite.
Questions
- À quelle fréquence faut-il un audit interne ?
- À des intervalles planifiés que vous fixez. L'ISO/IEC 27001 ne fixe aucun nombre, mais un programme annuel couvrant tout le système au cours du cycle de certification est courant.
- Une petite entreprise peut-elle s'auditer elle-même ?
- Oui, si l'auditeur est objectif et impartial. Une personne d'un autre département ou un auditeur externe conviennent tous deux.
- Quelle différence entre audit interne et audit externe ?
- L'entreprise commande le premier pour elle-même. Un client, une autorité ou un organisme de certification réalise le second.
- Qu'est-ce que le modèle des trois lignes ?
- Un modèle de l'IIA dans lequel la direction porte les risques, les fonctions de deuxième ligne les soutiennent et les supervisent, et l'audit interne donne une assurance indépendante.
- Quelle longueur pour un rapport d'audit ?
- Aussi court que la clarté le permet : périmètre, critères, conclusion, constats avec leurs preuves, et actions convenues.