Cadrage et périmètre d’un audit SI

Comprendre l’enjeu et le périmètre

Il évite les attentes contradictoires et les conclusions trop générales à partir d’un contrôle limité.

Préciser entités, services, périodes, systèmes, référentiels et exclusions, identifier les contraintes d’accès aux preuves.

Passer à l’action

• Clarifier la question de décision
• Définir périmètre et critères applicables
• Valider les moyens, interlocuteurs et limites

Formulez chaque constat en distinguant le critère attendu, la situation observée, la preuve disponible et la conséquence possible. Cette séparation évite de transformer une opinion en non-conformité et facilite une discussion contradictoire avec l'équipe auditée.

Responsabilités et moyens

Le commanditaire fixe l’objectif, l’auditeur propose le dispositif, et les responsables audités organisent l’accès.

Chiffrer préparation, collecte, tests, restitution et suivi des corrections.

Produire et vérifier

Livrable utile

Une lettre de mission, un plan d’audit et un registre des limitations.

Preuve à rechercher

Vérifier qu’un tiers peut distinguer les éléments contrôlés de ceux seulement déclarés ou exclus.

Indicateur à interpréter

Suivre la couverture des objectifs et les limitations non résolues, sans assimiler couverture et assurance absolue.

Pour fermer une action, vérifiez le résultat et non seulement l'annonce de réalisation. Un nouveau document, une facture ou une capture d'écran peut prouver une livraison, mais seule une vérification adaptée permet d'évaluer la correction effective du problème initial.

Arbitrages et dépendances

Un périmètre flou favorise les conclusions abusives et les désaccords sur la portée de l’audit.

Le cadrage dépend de l’inventaire du SI, des risques connus et de la disponibilité des preuves.

Le niveau d'assurance dépend du périmètre et de l'échantillon. Une absence d'anomalie dans quelques dossiers n'autorise pas à conclure à une maîtrise générale. Rendez visibles les exclusions, les documents non obtenus et les sujets qui n'ont pas pu être testés.