Audit interne : programme, preuves, non-conformités
Concevoir un programme d'audit interne, collecter des preuves fiables et qualifier correctement une non-conformité.
À retenir
- Le programme d'audit priorise les processus selon leur criticité et les résultats antérieurs.
- Les preuves d'audit combinent documents, entretiens et observations, jamais une déclaration seule.
- Une non-conformité majeure traduit une défaillance systémique, une mineure un écart ponctuel isolé.
- Le rapport d'audit doit relier chaque non-conformité à un plan d'actions correctives suivi en revue de direction.
L'audit interne, filet de sécurité avant l'audit externe
L'audit interne est l'exigence du chapitre 9 de l'ISO/IEC 27001 qui permet à l'organisation de vérifier elle-même que son SMSI fonctionne comme prévu, avant qu'un auditeur externe ne le fasse. L'ISO 19011 propose des lignes directrices générales et transposables pour concevoir ce type d'audit, quel que soit le référentiel de management concerné.
Construire un programme d'audit
Un programme d'audit planifie, sur un cycle (souvent trois ans), quels processus ou sites seront audités et à quelle fréquence, en tenant compte de leur criticité et des résultats des audits précédents. Un processus jugé à risque ou récemment modifié doit être audité plus fréquemment qu'un processus stable et déjà bien maîtrisé.
| Processus / périmètre | Fréquence | Dernière date | Prochaine échéance | Auditeur |
|---|---|---|---|---|
| Gestion des accès | Annuelle | Mars N-1 | Mars N | Auditeur interne A |
| Continuité d'activité (salle serveurs) | Annuelle | Juin N-1 | Juin N | Auditeur interne B |
| Gestion des fournisseurs critiques | Tous les 2 ans | Janvier N-2 | Janvier N | Auditeur interne A |
Point clé
un auditeur interne ne doit jamais auditer son propre travail au quotidien — l'indépendance de jugement est une exigence de fond, pas une formalité administrative.
Échantillonnage et collecte de preuves
Un audit ne vérifie pas 100 % des dossiers : il s'appuie sur un échantillon représentatif, dont la taille et la méthode de sélection doivent être justifiables (par exemple 10 comptes utilisateurs tirés au sort parmi les créations du trimestre). Les preuves recueillies peuvent être documentaires (procédures, tickets, journaux), déclaratives (entretiens) ou observationnelles (constat sur site).
Attention
une preuve purement déclarative (« on le fait toujours ainsi ») sans document ni journal associé n'est pas suffisante pour clore un point d'audit — l'auditeur doit pouvoir corroborer la déclaration par une trace.
Qualifier une non-conformité
| Type | Définition opérationnelle | Exemple |
|---|---|---|
| Non-conformité majeure | Absence ou défaillance systémique d'une exigence, remettant en cause la confiance dans le SMSI | Aucune revue de droits d'accès effectuée depuis plus d'un an |
| Non-conformité mineure | Écart ponctuel, isolé, sans remise en cause globale du système | Une procédure non signée par son propriétaire, cas isolé |
| Remarque / piste d'amélioration | Constat n'ayant pas valeur de non-conformité, mais méritant attention | Un délai de traitement des tickets en légère dérive |
Sur le terrain
sur un site d'hébergement, une non-conformité majeure classique est l'absence de test réel de bascule sur groupe électrogène depuis plus d'un an malgré une procédure qui l'exige mensuellement — l'écart entre le document et la pratique constatée est ce qui déclenche la qualification « majeure ».
Restituer utilement
Le rapport d'audit doit être lisible par la direction : constats classés par gravité, preuves associées, et non-conformités reliées à un plan d'actions correctives avec échéance, suivi ensuite lors de la revue de direction.
Astuce
terminez chaque réunion de clôture d'audit par un rappel oral des points forts constatés, pas seulement des écarts — cela facilite l'adhésion des équipes auditées aux actions correctives à venir.