Que faut-il savoir sur « Situer cette étape dans le cycle d’audit » ?
Extrait de Audit du système d’information
Au moment où l’on entreprend l’évaluation des risques et l’analyse de conformité, on dispose déjà :
D’un périmètre clairement défini (phase 1)
D’un plan d’audit validé, précisant les ressources et le calendrier (phase 2)
D’une collecte préliminaire d’informations, incluant la documentation interne (procédures, politiques, rapports d’audits antérieurs, etc.) et éventuellement quelques entretiens exploratoires (phase 3).
Cette situation de départ permet à l’équipe d’audit de se fonder sur des éléments concrets pour identifier les risques majeurs et les écarts potentiels.
L’évaluation des risques, dans un contexte de gouvernance SI (comme le préconise COBIT), doit également s’aligner sur les objectifs stratégiques et opérationnels de l’organisation.
En parallèle, l’analyse de conformité consiste à confronter le système d’information (ses processus, ses contrôles, sa structure) aux exigences normatives, réglementaires ou contractuelles applicables.