Un questionnaire ne constitue pas automatiquement un audit
Des réponses déclaratives peuvent identifier des sujets à approfondir. Elles ne démontrent pas nécessairement qu'une mesure est appliquée. Un audit confronte les affirmations à des documents, des configurations, des échantillons et des observations. Ses conclusions doivent rester proportionnées à ce qui a été effectivement examiné.
L'indépendance, les compétences et les conflits d'intérêts doivent aussi être appréciés. Faire relire son propre travail peut être utile, mais ce n'est pas la même assurance qu'un examen mené avec une distance suffisante et des critères explicites.
Lire le périmètre avant le label
Une certification ou une attestation porte sur un périmètre, une période et des conditions. Elle ne signifie pas que tous les produits, toutes les configurations ou tous les usages d'une organisation sont couverts. Demandez le document exact et vérifiez l'organisme, les exclusions et la validité selon le dispositif concerné.
Utiliser chaque exercice pour sa bonne finalité
L'autoévaluation prépare et oriente les efforts. L'audit produit des constats étayés et des limites d'assurance. La certification répond à des règles spécifiques de reconnaissance. Aucun de ces exercices ne dispense du suivi des actions ni des vérifications de fonctionnement entre deux revues.