Que faut-il savoir sur « Phase 3 : Collecte et analyse préliminaire des informations » ?
Extrait de Audit du système d’information
La troisième étape d’un audit de système d’information, après la définition du périmètre et la planification, consiste à collecter et à analyser de manière préliminaire l’ensemble des informations pertinentes.
Cette phase est fondamentale puisqu’elle conditionne la qualité et la pertinence des constats qui seront établis par la suite.
Une bonne préparation et une bonne organisation de la collecte, ainsi qu’une analyse rigoureuse de la documentation et des données disponibles, permettent de maximiser l’efficacité de l’audit et de limiter les allers-retours intempestifs avec les équipes auditées.
Dans cette phase, nous aborderons les objectifs, les méthodes, les sources documentaires, les points de vigilance et les bonnes pratiques relatifs à cette étape.
Nous verrons également comment les principaux référentiels (dont l’ISO 19011, COBIT, ISO 27001, ITIL, ISO 27005, et d’autres) recommandent de procéder pour structurer et fiabiliser cette démarche préliminaire.
Enfin, nous traiterons de la manière dont la collecte d’informations s’articule avec l’analyse initiale des risques, la mise en évidence des premières hypothèses de non-conformité et l’élaboration de pistes d’investigation plus poussées.