Que doit contenir le rapport final d’un audit du système d’information ?

Rappel des éléments déjà abordés

Dans la phase précédente (phase 6), nous avons vu comment la synthèse et la formulation des recommandations pouvaient s’organiser.

Le rapport final reprend généralement cette même structure, tout en offrant un niveau de mise en forme plus abouti et une présentation adaptée à différents publics : direction générale, DSI, équipes métiers, comité d’audit, etc.

La plupart du temps, la rédaction finale du rapport s’appuie sur :

Les constats et recommandations déjà listés

Les priorités identifiées pour chaque recommandation

Les éléments visuels (tableaux, graphiques, matrice de risques) permettant une lecture rapide

Ajouts et finalisations possibles

Cependant, la version finale du rapport peut intégrer des compléments ou ajustements :

Réponses ou commentaires de l’organisation : certains audits, notamment internes, incluent une colonne “Réponse du service audité” ou une phase où la DSI ou la direction réagissent point par point aux constats et recommandations.

Cela montre la prise en compte effective ou la contestation argumentée.

Plan d’actions succinct : dans une logique de clôture, on peut insérer directement un plan d’actions (ou un début de plan) mentionnant pour chaque recommandation : l’acteur responsable, l’échéance visée, l’indicateur de réussite, etc.

D’autres référentiels, tel ITIL, encouragent fortement la documentation d’un plan “CSI register” (Continual Service Improvement).

Synthèse managériale revue : le résumé exécutif initial peut être mis à jour à la lumière des discussions de la réunion de clôture, afin de refléter le consensus final ou les arbitrages.

Le rapport final se veut accessible et impactant.

C’est le document de référence qui restera dans l’organisation une fois l’équipe d’audit partie (ou une fois la mission interne officiellement achevée).