Que faut-il savoir sur « Décrire les constats de manière factuelle » ?
Extrait de Audit du système d’information
La première tâche, dans la synthèse, est de formaliser les constats : qu’a-t-on réellement observé ou vérifié ?
Pour être crédibles et utiles, ces constats doivent être :
Clairs et précis : “Le fichier de configuration du pare-feu principal n’a pas été mis à jour depuis 12 mois”, plutôt que “la configuration est approximative”.
Objectifs : se baser sur des preuves tangibles (entretien, log, échantillon, test technique), pas de jugements de valeur ou d’exagérations.
Référencés : pointer, si possible, le ou les référentiels concernés (“Non-conformité vis-à-vis du contrôle A.9.2.2 d’ISO 27001”, “Écart par rapport à la recommandation ITIL de documenter les changements”).
Cela rejoint l’exigence d’impartialité prônée par l’ISO 19011.
L’auditeur doit démontrer qu’il ne se base pas sur des rumeurs ou des impressions, mais sur des éléments vérifiables.