Diag. IT · Audit IT, risques et conformitéPréparé par : Guy Mrejen, CISA
Constat n°1 :
Guy Mrejen
Pendant des années, j'ai posé la même question. Personne n'a vraiment pu me répondre.
Quand je teste un contrôle, la revue des droits d'accès par exemple, je veux savoir quelles exigences je couvre, dans quels textes, à quels articles, et laquelle est la plus stricte.
Je l'ai demandé à des auditeurs, des RSSI, des consultants, des éditeurs de logiciels. Personne ne connaît tous les référentiels, moi non plus, non pas par manque de compétence, mais en raison de « la jungle des normes ». C'est mon point de départ : j'ai pris le problème dans l'autre sens. Je suis parti de la question d'audit, pas de la norme.
Tout le monde parle de la même chose. Personne n'utilise les mêmes mots.
Une semaine ordinaire d'auditeur IT :
Jour
Interlocuteur
Langue parlée
Lundi
Le régulateur
DORA
Mardi
Le client
SOC 2
Mercredi
Le commissaire aux comptes
Contrôle interne
Jeudi
Le RSSI
ISO 27001
Vendredi
L'exploitation
ITIL
Et l'auditeur ? Il prend des notes, dans cinq langues.
Pour m'y retrouver, je range ces textes en trois couches. Elles ne se concurrencent pas : elles s'emboîtent.
Le pourquoi et qui décideCOSO, normes de l'IIA, ISO 31000
Ils donnent : Qui est responsable, et comment on s'assure que le dispositif fonctionne. Il leur manque : Les contrôles concrets à tester. Parfaits pour le comité d'audit ; pour tester une habilitation, nettement moins.
Le quoi faireISO 27001 et 27002, NIST, ITIL, ISO 22301, PCI DSS
Ils donnent : Comment atteindre le résultat attendu, mesure par mesure. Il leur manque : La force de la loi. Et chacun a son vocabulaire, sa numérotation et son périmètre.
L'obligationDORA, NIS2, RGPD, arrêté du 3 novembre 2014, AI Act
Ils donnent : Le résultat attendu, les obligations, les délais et les sanctions. Il leur manque : Presque toujours, la façon de le vérifier. Le RGPD demande une sécurité « appropriée ». Il ne dit pas comment on le prouve.
La bonne nouvelle, c'est que ces couches ne se concurrencent pas : elles s'emboîtent. La mauvaise, c'est que personne ne fait le lien à votre place. Alors on empile les audits, et les mêmes équipes répondent aux mêmes questions à trois mois d'intervalle, sous trois numérotations différentes.
Lien manquant
Les tables de correspondance existent. Elles disent que deux références se répondent. Elles ne disent pas quoi demander, quoi tester, ni quelle preuve suffit. Ce travail-là, chaque auditeur le refait seul, mission après mission.
Exemple. La revue des droits d'accès figure dans six textes (ISO 27002, NIST 800-53, NIST CSF, PCI DSS, SOC 2, DORA, normes techniques) : six numérotations, une seule question. Les droits sont-ils revus, par qui, à quelle fréquence, et sur quelle preuve ?
La solution que je proposep. 3/4
Relier les normes plutôt qu'en apprendre une de plus. Une question d'audit, toutes ses références.
La jungle des normes ne va pas disparaître. Elle va même s'épaissir, avec l'intelligence artificielle, la résilience et les exigences sur les tiers. Je ne crois pas qu'il faille connaître une norme de plus. Je crois qu'il faut savoir les relier, les traduire en tests concrets et les expliquer simplement à chacun.
N°
Ma méthode : tester une fois, couvrir tout
1
Partir de la question d'audit, pas de la norme.
2
Pour chaque question, citer toutes les normes et tous les articles qu'elle couvre, et retenir l'exigence la plus stricte.
3
Préciser la méthode de test, l'échantillon, les preuves attendues et le critère de notation.
Un test, documenté une fois, sert tous les textes à la fois. Je ne voulais pas un catalogue de plus. Je voulais un traducteur : une question simple pour l'auditeur qui débute, la référence précise pour l'expert, la traçabilité pour le superviseur.
Mon référentielp. 4/4
Un référentiel d'audit IT, sourcé question par question
Je l'ai construit à partir de mes missions. Chaque question cite tous les textes qu'elle couvre : DORA et ses normes techniques, NIS2, ISO 27001, NIST, RGPD, AI Act et d'autres. Elle précise la méthode de test, l'échantillon, les preuves attendues et une notation de 1 à 4. Les objectifs de contrôle sont rédigés en propre, sans reprise du texte des normes.
Pièce
Contenu
Accès
236
Questions d'audit Réparties en 13 domaines, de la gouvernance à l'intelligence artificielle. Une fiche complète est présentée ci-dessous à titre d'exemple.
La version complète (les 236 fiches, la concordance des 405 références et le générateur de mission) n'est pas en libre accès : je la mets à disposition dans le cadre d'une mission.
Vous auditez et vous voulez le tester en mission ? Écrivez-moi, et dites-moi ce qui manque : c'est exactement le genre de réponse que j'ai attendu pendant 25 ans.
Nos offres
Deux façons de travailler ensemble
Chaque offre s'appuie sur le référentiel Diag. IT : des tests fondés sur l'article de la norme, des preuves définies à l'avance et une notation de 1 à 4 défendable devant l'audité, le superviseur et le régulateur.
Priorité réglementaire
Offre 1 · Diagnostic
Diagnostic NIS2 et DORA
Mesurez votre écart aux obligations de résilience numérique et décidez des priorités.
Pour qui
Banques, assureurs et prestataires financiers soumis à DORA ; entités essentielles et importantes au sens de NIS2.
Ce que nous faisons
Cadrage du périmètre et des obligations applicables
Tests sur la gouvernance, les risques, les incidents et leur notification, la continuité et les tiers
Quatre engagements qui font la différence en mission
Un questionnaire générique produit des constats contestables. Chaque fiche de ce référentiel est conçue pour tenir face à l'audité, au superviseur et au régulateur.
1:1
Ancré dans l'article de la norme
Chaque question cite l'exigence précise et sa référence : clause ISO, sous-catégorie NIST, article NIS2, DORA ou RGPD.
5+
Étapes de test exécutables
Une procédure pas à pas, la population, la méthode de sélection et les preuves attendues : un auditeur junior peut l'exécuter sans interprétation.
1–4
Notation objectivée
Des critères mesurables propres à chaque question (seuils, délais, taux) pour une notation homogène d'une mission à l'autre.
N2
Prêt pour la revue qualité
Points de vigilance, version testée consignée, traçabilité norme vers question : le dossier de travail résiste à une revue de niveau 2 ou 3.
Démarche
Une méthodologie en six étapes, du cadrage au rapport
Le référentiel outille la phase de travaux et s'insère dans le cycle complet d'une mission d'audit.
1
Cadrage
Type de mission, périmètre, secteur, budget et référentiels applicables.
2
Plan d'audit
Choix des domaines et pondération par le risque pour répartir les jours.
3
Programme
Sélection des questions et taille d'échantillon selon la profondeur.
4
Travaux
Exécution des tests, collecte des preuves, version des documents consignée.
5
Notation
Critères 1 à 4 propres à chaque question, observation pour toute note 3 ou 4.
6
Rapport
Synthèse par domaine, constats, plan d'action et suivi.
Audit interneNormes mondiales d'audit interne (IIA) et ITAF (ISACA)
Audit externe ou conseilISAE 3000 et ITAF (ISACA)
Revue de conformitéISO/IEC 27007 (audit de SMSI) et ISO 19011
Couverture
Treize domaines, de la gouvernance à l'intelligence artificielle
Vingt questions détaillées par domaine en général, vingt et une à vingt-deux pour la gouvernance, les changements et les fournisseurs, six pour la protection des données personnelles et l'intelligence artificielle.
GOUV · 21 questions
Gouvernance et politiques
Vérifier que la sécurité et l'IT sont pilotés, financés et mesurés par la direction.
RISQ · 20 questions
Gestion des risques IT
S'assurer que les risques IT sont identifiés, évalués et traités selon une méthode reconnue.
PERS · 20 questions
Ressources humaines et personnel
Vérifier que la sécurité est intégrée à tout le cycle de vie du personnel : avant l'embauche, pendant le contrat, au départ et en télétravail.
ACCE · 20 questions
Gestion des accès et des identités
Vérifier que seuls les utilisateurs autorisés accèdent aux systèmes, au bon niveau de droits.
PHYS · 20 questions
Sécurité physique et matériels
Vérifier que les locaux, les équipements et les supports sont protégés contre l'accès non autorisé, les menaces environnementales et la perte, de l'acquisition à la mise au rebut.
RESE · 20 questions
Sécurité réseau et supervision
Évaluer la protection du périmètre, la segmentation et la capacité de détection.
VULN · 20 questions
Vulnérabilités et correctifs
Vérifier que les failles sont détectées et corrigées dans des délais maîtrisés.
CHGT · 21 questions
Gestion des changements et du développement
S'assurer que les évolutions en production sont autorisées, testées et réversibles.
CONT · 20 questions
Sauvegardes et continuité
Vérifier la capacité à restaurer les services et les données dans les délais attendus.
INCI · 20 questions
Gestion des incidents
Évaluer la détection, le traitement et la notification des incidents de sécurité.
TIER · 22 questions
Fournisseurs et cloud
Maîtriser les risques liés aux prestataires critiques et aux services cloud.
DONN · 6 questions
Protection des données personnelles
Vérifier que le système d'information permet de respecter les obligations de protection des données : registre, analyses d'impact, délégué, conception, droits des personnes et décisions automatisées.
IA · 6 questions
Intelligence artificielle
Vérifier que les systèmes d'IA sont inventoriés, classés et encadrés selon la réglementation européenne, et que leur usage par le personnel est maîtrisé.
Aperçu
À quoi ressemble une fiche de test
Chaque question du référentiel suit le même modèle : objectif de contrôle, références, étapes de test, échantillonnage, preuves attendues, critères de notation et point de vigilance. Voici une fiche complète, telle qu'elle est utilisée en mission.
ACCE-14Les droits d'accès sont-ils recertifiés périodiquement par les propriétaires d'applications ou de données ?
Objectif de contrôle
Vérifier que les droits d'accès sont revus périodiquement par les responsables métier et que les anomalies sont corrigées. NIST PR.AA-05 : définir, gérer, appliquer et revoir les permissions d'accès.
Si l'entité est une entité financière, les incidents majeurs liés aux TIC sont-ils classés et notifiés à l'autorité selon les délais fixés par la réglementation DORA ?
Des stratégies de sortie et de réversibilité sont-elles définies, contractualisées et testées pour les services critiques, avec restitution et suppression des données ?
Les traitements susceptibles d'engendrer un risque élevé pour les personnes ont-ils fait l'objet d'une analyse d'impact avant leur mise en œuvre, et les mesures retenues sont-elles appliquées ?
236 fiches de ce type, sur 13 domaines. La bibliothèque complète, avec filtres par référentiel, notation et exports, est mise à disposition dans le cadre d'une mission.
Une notation de 1 à 4, objectivée question par question
L'échelle est commune ; les seuils sont propres à chaque fiche. Toute note 3 ou 4 appelle une observation documentée.
1
Satisfaisant
Exigence couverte, preuves complètes, aucune exception significative sur l'échantillon.
2
Satisfaisant avec réserves
Dispositif en place avec des écarts mineurs ou ponctuels, sans risque immédiat.
3
Insatisfaisant
Écart significatif sur un élément clé de l'exigence, à corriger dans un délai défini.
4
Insatisfaisant critique
Dispositif absent ou inopérant, exposition élevée, action immédiate attendue.
Traçabilité
Quatorze référentiels, 405 références tracées
Chaque article, clause ou sous-catégorie cité est relié aux questions qui le couvrent. Le tableau ci-dessous indique, pour chaque référentiel, le nombre de références tracées et le nombre de questions concernées.
Le site ne reproduit pas le texte des normes : les références renvoient aux textes officiels. La table de correspondance détaillée, article par article, fait partie de la version mise à disposition en mission.
En mission
Du référentiel au dossier de mission
Lors d'une mission, je travaille avec la version complète du référentiel et du générateur. Ce qu'elle produit pour vous :
Plan de mission
Plan d'audit pondéré par les risques : répartition des jours par domaine selon le secteur, la durée et le niveau de risque retenu.
Programme de travail
Questions retenues avec étapes de test, échantillonnage, preuves attendues et références, exportables vers Excel ou Word.
Liste des documents à demander
Preuves attendues dédoublonnées par domaine, à envoyer à l'audité dès le lancement de la mission.
Synthèse des notes
Moyenne, répartition des notes et constats notés 3 ou 4 par domaine, prêts pour le rapport.
Version complète réservée aux missions. Le référentiel détaillé, la concordance et le générateur sont mis à disposition dans le cadre d'un diagnostic ou d'un accompagnement.
