Preuves et traçabilité d’audit

Comprendre l’enjeu et le périmètre

Elle permet de discuter les résultats sur des faits et de vérifier ultérieurement les corrections.

Associer chaque preuve à un critère, un périmètre et une période, limiter la collecte aux informations nécessaires.

Passer à l’action

• Définir la preuve attendue pour chaque contrôle
• Conserver origine, date et contexte
• Croiser les éléments quand une seule source est insuffisante

Formulez chaque constat en distinguant le critère attendu, la situation observée, la preuve disponible et la conséquence possible. Cette séparation évite de transformer une opinion en non-conformité et facilite une discussion contradictoire avec l'équipe auditée.

Responsabilités et moyens

L’auditeur apprécie la suffisance, le propriétaire de la source explique le contexte, et l’organisation protège les informations collectées.

Prévoir extraction, anonymisation, conservation et destruction maîtrisée des preuves.

Produire et vérifier

Livrable utile

Un dossier de preuves indexé, protégé et relié aux constats.

Preuve à rechercher

Vérifier qu’un autre évaluateur peut comprendre le raisonnement sans dépendre de la mémoire de l’auditeur.

Indicateur à interpréter

Suivre les constats importants sans preuve suffisante et les preuves devenues trop anciennes.

Pour fermer une action, vérifiez le résultat et non seulement l'annonce de réalisation. Un nouveau document, une facture ou une capture d'écran peut prouver une livraison, mais seule une vérification adaptée permet d'évaluer la correction effective du problème initial.

Arbitrages et dépendances

Une capture d’écran isolée peut montrer un paramètre sans démontrer son application à tous les systèmes concernés.

Les preuves dépendent des journaux, configurations, tickets, contrats et procédures réellement disponibles.

Le niveau d'assurance dépend du périmètre et de l'échantillon. Une absence d'anomalie dans quelques dossiers n'autorise pas à conclure à une maîtrise générale. Rendez visibles les exclusions, les documents non obtenus et les sujets qui n'ont pas pu être testés.