Un audit est un examen structuré et indépendant visant à déterminer si les mesures de sécurité, les politiques et les pratiques d'une organisation fonctionnent comme prévu et répondent aux exigences définies. Les audits internes sont menés par des collaborateurs qui rendent compte indépendamment des fonctions qu'ils examinent, tandis que les audits externes sont réalisés par des tiers tels que des organismes de certification, des régulateurs ou des évaluateurs mandatés par les clients. Les uns comme les autres apportent l'assurance que le programme de sécurité fait bien ce qu'il prétend faire.
Au sein de la gouvernance, l'audit est le mécanisme de vérification qui referme la boucle entre la politique et la pratique. La direction fixe le cap et définit les contrôles, les équipes opérationnelles les mettent en œuvre, et l'audit en confirme les résultats de manière objective. C'est cette indépendance qui donne aux constats d'audit leur crédibilité auprès des conseils d'administration, des régulateurs et des partenaires commerciaux.
Un audit type suit un processus reproductible : planification et cadrage, collecte de preuves par des entretiens, l'examen de documents et des tests, évaluation de ces preuves au regard d'une norme ou d'un ensemble de contrôles, puis restitution des constats assortis de niveaux de gravité. Les constats décrivent les écarts entre les conditions attendues et réelles, accompagnés de recommandations.
Le suivi est aussi important que l'audit lui-même. Chaque constat doit se voir attribuer un responsable, un plan de remédiation et une échéance cible, puis être suivi jusqu'à sa clôture et retesté. Sans un suivi rigoureux, les audits produisent des rapports plutôt que des améliorations.
Références#
- ISO/IEC 27001, Systèmes de management de la sécurité de l'information, qui précise les exigences relatives à l'audit interne et à la revue de direction.
- The Institute of Internal Auditors (IIA), International Professional Practices Framework.