Pendant des années, j'ai posé la même question. Personne n'a vraiment pu me répondre.

Tout le monde parle de la même chose. Personne n'utilise les mêmes mots.

Une semaine ordinaire d'auditeur IT :

Et l'auditeur ? Il prend des notes, dans cinq langues.

Pour m'y retrouver, je range ces textes en trois couches. Elles ne se concurrencent pas : elles s'emboîtent.

La bonne nouvelle, c'est que ces couches ne se concurrencent pas : elles s'emboîtent. La mauvaise, c'est que personne ne fait le lien à votre place. Alors on empile les audits, et les mêmes équipes répondent aux mêmes questions à trois mois d'intervalle, sous trois numérotations différentes.

Les tables de correspondance existent. Elles disent que deux références se répondent. Elles ne disent pas quoi demander, quoi tester, ni quelle preuve suffit. Ce travail-là, chaque auditeur le refait seul, mission après mission.

Exemple. La revue des droits d'accès figure dans six textes (ISO 27002, NIST 800-53, NIST CSF, PCI DSS, SOC 2, DORA, normes techniques) : six numérotations, une seule question. Les droits sont-ils revus, par qui, à quelle fréquence, et sur quelle preuve ?

Relier les normes plutôt qu'en apprendre une de plus. Une question d'audit, toutes ses références.

La jungle des normes ne va pas disparaître. Elle va même s'épaissir, avec l'intelligence artificielle, la résilience et les exigences sur les tiers. Je ne crois pas qu'il faille connaître une norme de plus. Je crois qu'il faut savoir les relier, les traduire en tests concrets et les expliquer simplement à chacun.

Un test, documenté une fois, sert tous les textes à la fois. Je ne voulais pas un catalogue de plus. Je voulais un traducteur : une question simple pour l'auditeur qui débute, la référence précise pour l'expert, la traçabilité pour le superviseur.

Un référentiel d'audit IT, sourcé question par question

Je l'ai construit à partir de mes missions. Chaque question cite tous les textes qu'elle couvre : DORA et ses normes techniques, NIS2, ISO 27001, NIST, RGPD, AI Act et d'autres. Elle précise la méthode de test, l'échantillon, les preuves attendues et une notation de 1 à 4. Les objectifs de contrôle sont rédigés en propre, sans reprise du texte des normes.

Vous auditez et vous voulez le tester en mission ? Écrivez-moi, et dites-moi ce qui manque : c'est exactement le genre de réponse que j'ai attendu pendant 25 ans.