Que faut-il savoir sur « Passer de la théorie à la pratique » ?
Extrait de Audit du système d’information
Jusqu’à présent, l’auditeur a principalement examiné des documents (politiques, procédures, schémas d’architecture, rapports antérieurs), mené quelques entretiens préliminaires et établi une première cartographie des risques et des non-conformités potentielles.
Or, la documentation et les déclarations ne traduisent pas toujours fidèlement la réalité du terrain.
Les procédures peuvent exister sur le papier sans être appliquées, ou bien être partiellement obsolètes.
Les vérifications sur le terrain visent donc à mesurer l’écart entre le référentiel théorique (ce qui “devrait” être fait selon les documents et les standards) et la pratique (ce qui est réellement fait par les équipes, les utilisateurs, et les systèmes en production).
COBIT, par exemple, insiste sur la nécessité de démontrer non seulement l’existence d’une politique ou d’un processus, mais aussi leur mise en œuvre concrète et leur efficacité.