Comment organiser les documents et les premiers entretiens d’un audit SI ?
D’après Audit du système d’information
Récupération documentaire centralisée
Une pratique courante, dès la phase de planification, consiste à demander à l’organisation auditée de préparer un ensemble de documents qui seront mis à disposition de l’équipe d’audit.
Il peut s’agir d’une plateforme de partage, d’un drive sécurisé, ou encore de dossiers physiques pour les éléments qui n’existent qu’en format papier.
L’ISO 19011 recommande de formaliser cette demande dans un courrier ou une note de cadrage, afin d’expliquer clairement les attentes : la liste des documents souhaités, les délais de mise à disposition, le format attendu (PDF, documents éditables, etc.).
Cette approche permet d’éviter la dispersion et de réduire le temps perdu à solliciter en permanence différents services pour obtenir les pièces nécessaires.
Entretiens exploratoires initiaux
En complément de l’étude documentaire, il peut être judicieux de mener quelques entretiens exploratoires avec des interlocuteurs clés (DSI, RSSI, responsables de domaine, etc.) avant même de passer à la phase plus formelle sur le terrain.
Ces entretiens, plus informels, servent à :
Valider la cohérence du périmètre de l’audit : s’assurer qu’aucun système ou service critique n’a été omis.
Préciser la structure hiérarchique et le fonctionnement opérationnel : parfois, la documentation officielle ne reflète pas la réalité, notamment lorsque l’organisation est récente ou en pleine transformation.
Recueillir des indications sur les points sensibles : zones de friction, projets en retard, incidents majeurs récents, contraintes réglementaires mal maîtrisées, etc.
L’ISO 19011 évoque l’importance de recueillir des éléments contextuels lors de la phase de préparation.
Dans ce sens, COBIT recommande aussi de connaître la culture d’entreprise et la répartition des responsabilités pour mieux cerner comment sont gérés les processus IT.
Ces entretiens préliminaires ne remplacent pas les entretiens d’audit « officiels » (qui surviendront plus tard), mais ils évitent de partir avec une vision trop théorique.