Comment structurer un rapport de synthèse d’audit informatique ?
D’après Audit du système d’information
Le rapport de synthèse, parfois appelé “rapport final” ou “rapport d’audit”, peut être structuré de la façon suivante (à titre d’exemple) :
Résumé exécutif : objectifs de l’audit, périmètre, référentiels utilisés, grands points de vigilance, recommandations majeures.
Contexte et méthodologie : rappel de la démarche, des étapes, de l’équipe d’audit, des limites éventuelles (périmètre exclu, indisponibilité d’une ressource).
Synthèse des constats : classés par thème, criticité ou référentiel.
Analyse des risques : rappel de la matrice de risques, liens avec les constats.
Recommandations : pour chaque point essentiel, description de l’action à mener, du responsable pressenti, de l’échéance.
Points forts : s’il existe des processus particulièrement efficaces ou conformes, il est bon de les souligner.
Conclusion et perspectives : rappel de la valeur ajoutée de l’audit, et orientation vers la mise en place du plan d’actions.
Annexes : documents techniques, extraits de configuration, relevés de logs, etc.
Il ne s’agit pas d’un format imposé : l’important est de hiérarchiser l’information et de permettre une lecture à plusieurs niveaux (direction, DSI, techniciens, etc.).