Après cette lecture, vous saurez écrire une liste qui guide l'audit sans le limiter, et qui laisse derrière elle des preuves utilisables.
Définition
L'ISO 19011 traite les listes de contrôle comme des documents de travail qui aident l'auditeur à garder le fil, et avertit qu'elles ne doivent pas restreindre l'audit. Ce qui apparaît en chemin mérite toujours d'être suivi.
Pourquoi c'est important
Elle garantit que le périmètre est couvert, et montre ensuite ce qui a été vérifié et ce qui ne l'a pas été.
Un auditeur moins expérimenté y gagne aussi une structure qui garde son travail cohérent.
Comment ça fonctionne
Prenez les critères du périmètre. Pour chacun, écrivez ce que vous vous attendez à voir en pratique, les documents et enregistrements à demander, et les personnes à rencontrer.
Décidez vos échantillons à l'avance : combien, sur quelle période, et comment ils seront choisis.
Pendant l'audit, consignez les preuves avec précision : nom du document, version, date et numéros des enregistrements vus. Terminez chaque ligne par un résultat.
Un cas concret
Critère : mesure 5.18 de l'ISO/IEC 27001, droits d'accès. L'auditeur s'attend à une revue annuelle signée par les propriétaires des systèmes, et demande la dernière revue du système financier ainsi que la liste des 15 personnes arrivées ou ayant changé de rôle cette année.
La preuve est une revue du 14 février signée par le directeur financier, et 15 changements d'accès sur 15 approuvés. Résultat : conforme.
Bonnes pratiques
- Décrivez la pratique que vous vous attendez à voir. Recopier le texte de la norme n'apporte rien.
- Laissez de la place sur chaque ligne pour consigner la preuve.
- Préparez une nouvelle version pour chaque audit, en partant de ce que le précédent a trouvé.
- Suivez ce que vous découvrez, même hors de la liste.
Erreurs fréquentes
- Réutiliser la liste de l'an dernier sans regarder ce qui a changé.
- Poser des questions fermées et accepter un oui. Les gens ont tendance à répondre ce que vous semblez vouloir entendre.
- Transformer l'audit en remplissage de formulaire, si bien que l'auditeur ne lève plus les yeux de la page.
- Écrire « vérifié » sans référence, ce qui ne laisse rien sur quoi s'appuyer ensuite.
Questions
- Une liste de contrôle d'audit est-elle obligatoire ?
- Non. L'ISO 19011 la cite parmi les documents de travail qu'un auditeur peut préparer.
- Faut-il partager la liste à l'avance ?
- Le plan d'audit est partagé. Envoyer la liste des enregistrements à préparer fait gagner du temps, tant que l'auditeur choisit encore les échantillons sur place.
- Combien de lignes faut-il dans une liste de contrôle d'audit ?
- Autant que le périmètre et le temps permettent d'en vérifier correctement, ce qui est en général bien moins que le texte complet de la norme.
- Quelle taille d'échantillon convient pour un audit ?
- Aucun chiffre unique ne convient. Cela dépend de la population, du risque et de la fréquence de la mesure. Écrivez comment vous avez choisi.
- Les résultats peuvent-ils être autre chose que conforme ou non conforme ?
- Oui : conforme, non conforme, piste d'amélioration et non audité sont tous des résultats utiles.