Comment repérer les informations manquantes ou incohérentes au début d’un audit ?
D’après Audit du système d’information
Les lacunes de documentation et les contradictions entre sources orientent les vérifications suivantes. Il faut les identifier explicitement, sans transformer immédiatement une information absente en conclusion défavorable sur le système audité.
L’une des utilités de la phase préliminaire est de mettre en évidence les zones d’ombre, c’est-à-dire :
Les processus ou activités pour lesquels aucune documentation n’a été fournie.
Les incohérences flagrantes ou les contradictions entre plusieurs sources (ex. : un organigramme daté de l’an passé alors qu’un nouveau a été communiqué sans explication).
Les documents référencés mais inexistants au moment de la collecte (ex. : une « procédure de contrôle d’accès » mentionnée dans la PSSI, mais introuvable dans l’outil documentaire).
Ces « zones d’ombre » constitueront autant de pistes prioritaires pour les entretiens et les vérifications de terrain.
COBIT insiste sur le fait qu’une gouvernance efficace repose sur une documentation fiable et régulièrement mise à jour.
Ainsi, l’absence ou l’obsolescence d’un document est déjà le signe d’une potentielle faiblesse de gouvernance ou d’organisation.