Un rapport distinguant périmètre, preuves, constats, risques et plans d’action avec responsables et critères de clôture.
ÉTAPE 1
Cadrage et périmètre d’un audit SI
Il évite les attentes contradictoires et les conclusions trop générales à partir d’un contrôle limité.
Pour commencer : Clarifier la question de décision.
Élément à vérifier : Vérifier qu’un tiers peut distinguer les éléments contrôlés de ceux seulement déclarés ou exclus.
Le dossier et ses questionsÉTAPE 2
Preuves et traçabilité d’audit
Elle permet de discuter les résultats sur des faits et de vérifier ultérieurement les corrections.
Pour commencer : Définir la preuve attendue pour chaque contrôle.
Élément à vérifier : Vérifier qu’un autre évaluateur peut comprendre le raisonnement sans dépendre de la mémoire de l’auditeur.
Le dossier et ses questionsÉTAPE 3
Échantillonnage dans un audit
Il rend l’audit réalisable sans prétendre avoir vérifié chaque événement ou chaque configuration.
Pour commencer : Décrire la population complète disponible.
Élément à vérifier : Vérifier que les cas choisis ne proviennent pas uniquement d’une sélection favorable préparée par l’équipe auditée.
Le dossier et ses questionsÉTAPE 4
Constats et non-conformités
Cette distinction évite les rapports contestables et aide à prioriser les corrections sur leurs conséquences.
Pour commencer : Formuler le fait sans jugement excessif.
Élément à vérifier : Vérifier qu’un lecteur peut comprendre exactement ce qui manque et comment démontrer la correction.
Le dossier et ses questionsÉTAPE 5
Plans d’action et remédiation
Il relie les audits et risques à une amélioration observable.
Pour commencer : Définir le résultat à obtenir.
Élément à vérifier : Contrôler que l’écart initial ne se reproduit plus dans un cas représentatif.
Le dossier et ses questionsÉTAPE 6
Suivi d’audit et vérification des corrections
Il évite que le rapport soit considéré comme la fin de la démarche alors que les risques restent ouverts.
Pour commencer : Recueillir les preuves de correction.
Élément à vérifier : Tester la correction sur plusieurs situations pertinentes, notamment celle qui avait révélé le défaut.
Le dossier et ses questions