Que faut-il savoir sur « Résoudre les divergences ou incompréhensions » ?
Extrait de Audit du système d’information
Il arrive que l’équipe d’audit et les acteurs internes ne soient pas d’accord sur l’ampleur d’un constat ou la priorité à lui accorder.
Dans ce cas, un dialogue est nécessaire pour :
Présenter les preuves recueillies (notes d’entretiens, extraits de configuration, logs).
Comparer avec les référentiels (ISO 27001, COBIT, RGPD…) pour voir quelle est la norme ou l’exigence.
Entendre la position de l’équipe interne : parfois, une “non-conformité” apparente peut être gérée par un autre mécanisme compensatoire ou être justifiée par une politique de gestion des risques spécifique.
L’ISO 19011 insiste sur l’importance de la transparence et du respect mutuel.
Même si l’auditeur doit conserver son indépendance, il n’est pas interdit d’ajuster une conclusion ou une recommandation si l’organisation fournit des informations supplémentaires, prouvant par exemple l’existence d’une procédure méconnue ou d’un contrôle compensatoire.