Ma réponse : la Méthode DIAG.IT. Une question d'audit simple, raccordée à chaque référentiel, et un générateur qui en tire le plan d'audit.
Découvrir la Méthode →
Le Constat
Tout le monde parle de la même chose. Personne n'utilise les mêmes mots.
Une semaine ordinaire d'auditeur IT :
| Jour | Interlocuteur | Langue parlée |
|---|---|---|
| Lundi | Le régulateur | DORA |
| Mardi | Le client | SOC 2 |
| Mercredi | Le commissaire aux comptes | Contrôle interne |
| Jeudi | Le RSSI | ISO 27001 |
| Vendredi | L'exploitation | ITIL |
Et l'auditeur ? Il prend des notes, dans cinq langues.
Pour m'y retrouver, je range ces textes en trois couches.
- L'obligationDORA, NIS2, RGPD, arrêté du 3 novembre 2014, AI Act
Ils donnent : le résultat attendu, les obligations, les délais et les sanctions. Il leur manque presque toujours la façon de le vérifier. Le RGPD demande une sécurité « appropriée ». Il ne dit pas comment on le prouve.
- Le quoi faireISO 27001 et 27002, NIST, ITIL, ISO 22301, PCI DSS
Ils donnent : comment atteindre le résultat attendu, mesure par mesure. Il leur manque la force de la loi. Et chacun a son vocabulaire, sa numérotation et son périmètre.
- Le pourquoi et qui décideCOSO, normes de l'IIA, ISO 31000
Ils donnent : qui est responsable, et comment on s'assure que le dispositif fonctionne. Il leur manque les contrôles concrets à tester. Parfaits pour le comité d'audit ; pour tester une habilitation, nettement moins.
- Le lien manquant
La question d'audit qui relie les trois : quoi demander, quoi tester, quelle preuve suffit.
La bonne nouvelle
Ces couches ne se concurrencent pas : elles s'emboîtent.
La mauvaise
Personne ne fait le lien à votre place.
Alors on empile les audits, et les mêmes équipes répondent aux mêmes questions à trois mois d'intervalle, sous trois numérotations différentes.
Lien manquant
Les tables de correspondance existent. Elles disent que deux références se répondent. Elles ne disent pas quoi demander, quoi tester, ni quelle preuve suffit. Ce travail-là, chaque auditeur le refait seul, mission après mission.
Exemple. La revue des droits d'accès figure dans six textes (ISO 27002, NIST 800-53, NIST CSF, PCI DSS, SOC 2, normes techniques de DORA) : six numérotations, une seule question. Les droits sont-ils revus, par qui, à quelle fréquence, et sur quelle preuve ?
